L'Autorité Nationale de Surveillance du Traitement des Données à Caractère Personnel (ANSPDCP) a publié une décision de sanction à l'encontre d'un responsable du traitement personne physique, comprenant le prononcé d'une amende de 10 000 €, pour des manquements liés à la gestion d'un site web publiant des données personnelles. Cette affaire débute par deux signalements, rapportant la publication de cartes d'identité sur le site web « évite-les-escrocs.ro », l'absence de réponse à une demande d'effacement et le manque d'informations d'identification du responsable du traitement sur ledit site.

L’enquête menée par l’autorité a permis de constater :
* Obligation de coopération avec l'autorité de contrôle (article 58, paragraphe 1 du RGPD) : Le responsable du traitement n'a pas répondu aux demandes d'informations de l'autorité de contrôle, entravant ainsi l'exercice de ses pouvoirs d'enquête.

* Obligation de licéité et respect des principes de traitement (article 5, article 6, article 9 et article 10 du RGPD) : Le responsable du traitement a publié sans base légale des données personnelles, incluant des photographies, des coordonnées, des informations sur la vie professionnelle, des données relatives à la vie sexuelle et à de possibles condamnations pénales. Les personnes concernées étaient présentées de manière dénigrante comme étant des « débiteurs » ou des « escrocs » sur le site web.

* Obligation d'information et de transparence (articles 12 à 14 du RGPD) : Le site web ne fournissait pas aux personnes concernées les informations requises par le RGPD concernant le traitement de leurs données, manquant ainsi à son obligation d'assurer une information correcte, complète et transparente.

* Obligation de respecter le droit à l'effacement (article 12, paragraphes 3 et 4 et article 17, paragraphe 1 du RGPD) : Le responsable du traitement n'a ni répondu à une demande d'effacement formulée par une personne concernée, ni pris les mesures nécessaires pour supprimer les données personnelles de son site.

En conséquence, l’autorité a imposé une amende de 10 000 € au responsable du traitement.

En outre, l’autorité a ordonné au responsable du traitement de mettre ses opérations de traitement en conformité avec le RGPD, notamment en ce qui concerne les principes de traitement et les droits des personnes, et de donner suite à la demande d'effacement en suspens.