Ce ai voie să postezi despre un client pe Facebook? Un șofer a plătit peste 5.000 de lei amendă GDPR

Un șofer de ride-sharing a primit o amendă de peste 5.000 de lei pentru că a postat pe o rețea de socializare numele unui client, seria și numărul cărții lui de identitate, imaginea și detaliile cursei, fără acordul acestuia, potrivit autorității pentru protecția datelor (ANSPDCP). Autoritatea a constatat că postarea în sine a încălcat art. 6 din Regulamentul general privind protecția datelor (GDPR), care cere un temei legal pentru orice prelucrare a datelor unui client. Aceeași regulă se aplică și dacă publici pe rețelele sociale imaginile cu un hoț surprins de camerele magazinului sau lista clienților care nu te-au plătit. În cazurile din România prezentate mai jos, amenzile au fost între 150 și 2.000 de euro, dar plafonul legal este de 20 de milioane de euro sau 4% din cifra de afaceri.

De ce a fost amendat un șofer de ride-sharing pentru o postare pe rețelele sociale?

Un șofer de ride-sharing care lucrează ca PFA (persoană fizică autorizată), colaborator al unei platforme de transport alternativ, a publicat pe o rețea de socializare numele și prenumele unui client, seria și numărul cărții lui de identitate, imaginea lui, informații despre cursă și locațiile aproximative, potrivit comunicatului ANSPDCP din 5 noiembrie. Clientul nu își dăduse acordul.

Autoritatea a constatat că postarea s-a făcut fără consimțământul clientului „și fără îndeplinirea unei alte condiții" de legalitate, adică o încălcare a art. 6 alin. (1) din GDPR. Amenda a fost de 5.265 de lei, echivalentul a 1.000 de euro, și a fost deja plătită, potrivit aceluiași comunicat. ANSPDCP nu a precizat pentru ce aplicație de transport lucra șoferul, pe ce rețea a apărut postarea și nici de ce a publicat datele.

Pentru o firmă mică, cazul spune două lucruri. ANSPDCP l-a tratat pe un PFA ca operator de date, cu aceleași obligații ca o companie. Încălcarea constatată a fost chiar publicarea datelor, nu modul în care erau păstrate.

Te protejează faptul că postezi de pe contul personal de Facebook?

Nu, dacă postarea are legătură cu activitatea ta profesională. GDPR nu se aplică prelucrărilor făcute de o persoană fizică „în cadrul unei activități exclusiv personale sau domestice", potrivit art. 2 alin. (2) lit. c) din regulament. Excepția acoperă doar activitățile care nu au „legătură cu o activitate profesională sau comercială", potrivit considerentului 18 al GDPR. Considerentele sunt paragrafele numerotate de la începutul regulamentului, care explică cum trebuie înțelese articolele.

Datele unui client le ai pentru că ai lucrat cu el, așa că o postare despre el ține de activitatea firmei, chiar dacă apare pe profilul tău personal. Aceasta este interpretarea redacției, pe baza aceluiași considerent.

Contează și cine poate vedea postarea. O înregistrare publicată pe un site de video-sharing „fără nicio restricție în ceea ce privește accesul", deci accesibilă „unui număr nedefinit de persoane", nu ține de o activitate exclusiv personală, potrivit hotărârii Curții de Justiție a UE în cauza Buivids (C-345/17, punctul 43). Hotărârea a interpretat directiva dinaintea GDPR, care conținea aceeași excepție.

ANSPDCP a mai sancționat o astfel de postare de pe un cont personal. Un medic a filmat cu telefonul propriu o pacientă a spitalului în care lucra și a postat clipul pe pagina lui de Facebook, fără acordul ei, potrivit comunicatului ANSPDCP din 31 august 2023. Clipul a fost șters în aceeași zi, dar fusese deja văzut de multe persoane și preluat de alte site-uri. Amenda a fost de 9.919,20 lei, echivalentul a 2.000 de euro, pentru încălcarea art. 5, art. 6 alin. (1) lit. a) și art. 9 alin. (2) lit. a) din GDPR.

Ce date ale unui client nu ai voie să publici fără temei legal?

Nu ai voie să publici fără temei legal nicio informație după care clientul poate fi identificat. Date cu caracter personal înseamnă orice informații despre o persoană identificată sau identificabilă, „direct sau indirect", de exemplu după nume, un număr de identificare sau date de localizare, potrivit art. 4 pct. 1 din GDPR. În practică, intră aici:

• numele, telefonul, e-mailul și adresa de livrare;
• o captură de ecran dintr-o conversație sau dintr-o comandă;
• poza unui colet pe care se vede eticheta de livrare;
• o fotografie sau o filmare în care se vede chipul clientului ori numărul de înmatriculare al mașinii lui.

Publicarea pe internet este ea însăși o prelucrare de date, fiindcă legea include în definiție „diseminarea sau punerea la dispoziție în orice alt mod", potrivit art. 4 pct. 2 din GDPR. Orice prelucrare are nevoie de unul dintre cele șase temeiuri din art. 6 alin. (1): consimțământul, executarea unui contract, o obligație legală, interesele vitale ale unei persoane, o sarcină de interes public sau interesul legitim al firmei.

Pentru o postare publică despre un client, singurele temeiuri care s-ar putea discuta sunt consimțământul lui și interesul legitim, în analiza redacției. Interesul legitim cade însă atunci când „prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate", potrivit art. 6 alin. (1) lit. f). Recomandarea noastră este să pornești de la ideea că, fără acordul scris al clientului, nu postezi nimic după care poate fi recunoscut.

Seria și numărul cărții de identitate, ca și codul numeric personal (CNP), au o regulă separată. Legea le numește „număr de identificare național", potrivit art. 2 alin. (1) lit. b) din Legea nr. 190/2018. Dacă invoci interesul legitim, ești obligat să ai măsuri de securitate, un responsabil cu protecția datelor, termene de ștergere și instruire periodică pentru cei care lucrează cu aceste date, potrivit art. 4 alin. (2) din aceeași lege. Pentru o postare publică, aceste garanții sunt greu de îndeplinit, așa că recomandarea noastră este să nu publici niciodată seria și numărul cărții de identitate sau CNP-ul unui client.

ANSPDCP a amendat și publicarea unor astfel de date pe un site. O persoană fizică a publicat pe site-ul propriu CNP-uri, serii și numere de acte de identitate, numere de telefon, e-mailuri și starea civilă pentru 383 de persoane, potrivit comunicatului ANSPDCP din 3 octombrie 2022. A primit 493,91 lei amendă pentru publicare, pentru încălcarea art. 5 și art. 6 din GDPR, și încă 246,96 lei pentru încălcarea obligațiilor față de autoritate în timpul investigației, potrivit art. 58 alin. (1).

Datele despre sănătate sunt și mai strict protejate, fiindcă intră în categoriile speciale din art. 9 din GDPR. Medicul din cazul de mai sus a fost amendat și pe acest articol.

Poți publica pe Facebook imaginile cu un hoț din camerele magazinului?

Nu, nu le publici pe internet, le predai poliției. Orice divulgare a înregistrărilor video către altcineva este o prelucrare separată, care are nevoie de propriul temei din art. 6, potrivit Ghidurilor 3/2019 ale Comitetului European pentru Protecția Datelor (EDPB) privind prelucrarea datelor prin dispozitive video (punctul 51).

Ghidurile disting două situații legale (punctul 61):

• poliția îți cere imaginile, de exemplu cu un furt, caz în care temeiul tău este obligația legală de a coopera;
• trimiți tu imaginile poliției, din proprie inițiativă, caz în care temeiul este de obicei interesul legitim, „dacă proprietarul magazinului are o suspiciune rezonabilă legată de comiterea unei infracțiuni".

Pentru a încărca o înregistrare pe internet, ai nevoie de un temei separat, de exemplu consimțământul celui filmat, potrivit acelorași ghiduri (punctul 57). Ghidurile dau exemplul unei filmări de la bariera unei parcări, instalate pentru soluționarea daunelor și publicate online pentru amuzament. Scopul s-a schimbat și nu mai este compatibil cu cel inițial.

Recomandarea noastră este ca, la o suspiciune de furt, să trimiți imaginile poliției împreună cu plângerea și să nu le distribui în grupuri de WhatsApp sau pe pagina firmei.

Ai voie să faci publică lista clienților rău-platnici?

Nu, dacă pe listă apar persoane fizice, în interpretarea redacției. Recuperarea banilor este un interes legitim, dar interesul legitim acoperă doar prelucrările „necesare" scopului, potrivit art. 6 alin. (1) lit. f) din GDPR. O listă publică nu este necesară ca să-ți recuperezi banii, pentru că ai la dispoziție căi legale care nu expun datele nimănui.

Regula diferă după cine îți datorează banii. GDPR protejează doar persoanele fizice și nu acoperă datele firmelor, cum ar fi denumirea sau datele de contact ale unei persoane juridice, potrivit considerentului 14. Numele administratorului, al unui PFA sau al unui client persoană fizică rămân însă date personale.

Recomandarea noastră este să folosești, în ordine, căile care nu presupun publicarea datelor:

1. o notificare scrisă, cu termen de plată, trimisă direct clientului;
2. o firmă de recuperare a creanțelor;
3. procedurile din Codul de procedură civilă pentru sume datorate, cum sunt ordonanța de plată și cererea de valoare redusă, alese împreună cu un avocat.

Cum răspunzi la o recenzie negativă fără să dezvălui datele clientului?

Răspunzi public scurt și fără nicio informație pe care o ai despre client din evidențele firmei. Faptul că el și-a scris numele în recenzie nu îți dă dreptul să adaugi numărul comenzii, adresa sau ce a cumpărat. Aceasta este o recomandare a redacției, pe baza regulilor de mai sus.

Un răspuns sigur are trei părți:

• mulțumești pentru semnalare și spui că verifici situația;
• inviți clientul să continue discuția pe e-mail sau la telefon, cu datele de contact ale firmei;
• corectezi, dacă este nevoie, doar faptele generale despre firmă, fără detalii din comanda lui.

Regulile pentru recenziile pe care le afișezi pe site sunt în Recenzii verificate pe magazinul tău online: ce ești obligat să menționezi.

Răspunzi și pentru ce postează angajații tăi?

Da. Ca operator, ești obligat să iei măsuri astfel încât oamenii care lucrează pentru tine și au acces la date să le folosească doar la instrucțiunile tale, potrivit art. 29 și art. 32 alin. (4) din GDPR. Când un angajat sau un colaborator scoate datele clienților în afara firmei, amenda o poate primi firma.

Două cazuri din România arată cum se întâmplă asta:

• Rompetrol Downstream a primit 9.935,60 lei amendă, echivalentul a 2.000 de euro, după ce imagini ale clienților din camerele a două benzinării, cu numerele de înmatriculare și mărcile mașinilor, au circulat pe WhatsApp și apoi pe două rețele de socializare, potrivit Bihon. Investigația a pornit de la notificările de breșă trimise chiar de firmă. ANSPDCP a constatat încălcarea art. 29 și art. 32 din GDPR, potrivit aceleiași surse.
• O firmă de pază a primit 10.200 de lei amendă după ce un angajat a lăsat o persoană străină în camera de monitorizare a unui magazin Kaufland, unde aceasta a filmat ecranele și a pus clipul pe o rețea de socializare, potrivit Economedia, care citează o informare ANSPDCP.

Recomandarea noastră este ca, dacă lucrezi cu o firmă de pază, de curierat sau de IT care are acces la datele clienților tăi, să verifici în contract cine răspunde și ce instrucțiuni primesc oamenii ei.

Cât poate ajunge amenda GDPR pentru o postare?

Pentru o prelucrare fără temei legal, plafonul este de 20 de milioane de euro sau, pentru o întreprindere, 4% din cifra de afaceri mondială a anului anterior, oricare este mai mare, potrivit art. 83 alin. (5) lit. a) din GDPR. În cazurile din România de mai jos, amenzile au fost mult mai mici:

Pe lângă amendă, ANSPDCP poate dispune măsuri obligatorii. Medicului, de exemplu, i-a cerut să evite orice divulgare neautorizată a datelor pacienților, potrivit comunicatului din 31 august 2023.

Ce faci dacă ai postat deja datele unui client?

Pașii de mai jos sunt recomandări ale redacției.

1. Șterge postarea, împreună cu toate comentariile tale în care apar date ale clientului, și verifică dacă a fost distribuită în grupuri sau pe alte pagini.
2. Notează în scris ce date au apărut, cât timp au fost vizibile și ce ai făcut.
3. Dacă postarea a făcut-o un angajat fără știrea ta, tratează situația ca pe o posibilă breșă de date, adică o divulgare neautorizată, potrivit art. 4 pct. 12 din GDPR. Dacă breșa creează un risc pentru client, ai 72 de ore ca să anunți ANSPDCP, potrivit art. 33 din GDPR. Pașii sunt în Peste 700.000 de clienți afectați într-un singur atac: ce faci în primele 72 de ore după o breșă de date.
4. Răspunde complet și la timp dacă ANSPDCP îți cere informații. Încălcarea obligațiilor față de autoritate se amendează separat, ca în cazul din 2022 de mai sus.

Ca să nu ajungi aici, verifică de azi:

• ai o regulă scrisă pentru angajați, care interzice postarea datelor, a capturilor de ecran și a imaginilor cu clienți fără acordul tău;
• cine are acces la camerele de supraveghere și la exportul imaginilor;
• cine răspunde la recenzii și pe rețelele sociale în numele firmei și dacă știe ce nu are voie să scrie;
• dacă furnizorii cu acces la datele clienților, precum firma de pază sau de IT, au în contract instrucțiuni clare.

Restul obligațiilor GDPR pentru un magazin online sunt în Respectă magazinul tău GDPR-ul? Amenzile aplicate deja în 2026 au ajuns la 20.700 de euro.

Acest articol are caracter informativ și nu constituie consultanță juridică. Pentru situația afacerii tale, consultă textele publicate în Monitorul Oficial al României și în Jurnalul Oficial al Uniunii Europene sau un specialist.