Romanya Veri Koruma Otoritesi (“DPA”), WhatsApp'ı GDPR Madde 32 uyarınca teknik ve idari tedbirleri almadan tüketicilerle resmi bir iletişim kanalı olarak kullandığı için Romanya Ulusal Tüketiciyi Koruma Kurumu’na (“ANPC”) karşı düzeltici önlemler öngörmüştür. Veri sorumlusu ANPC, WhatsApp aracılığıyla tüketici şikayetlerinin gönderilmesi için özel bir cep telefonu numarası sağlamıştır. Bu kanal aracılığıyla yapılan çeşitli başvurular ve bildirimler sebebiyle veri sorumlusu çok sayıda kişisel veri toplamıştır. Bu uygulamaya ilişkin çok sayıda şikayeti ve çeşitli medya organlarında yayınlanan haberleri değerlendiren DPA, ANPC tarafından WhatsApp kullanımına ilişkin bir soruşturma başlatmıştır.

Soruşturma sonucunda DPA, ANPC'nin ilgili kişiler için potansiyel riskleri dikkate almadan, kendi kontrolü altında olmayan WhatsApp aracılığıyla kişisel veri topladığını tespit etmiştir. DPA ayrıca, ANPC'nin başvuru ve şikayetler için WhatsApp yerine kullanabileceği kayıtlı bir e-posta hesabı veya kurumsal web sitesindeki formlar gibi başka kanallara sahip olduğunu vurgulamıştır.

Sonuç olarak, DPA, ANPC'nin GDPR Madde 32(2)'yi ihlal ettiğini tespit etmiş ve kişisel verilerin yalnızca ANPC kontrolü altındaki araçlar kullanılarak işlenmesi için uyarı vermiş ve uyarının yanı sıra düzeltici önlemler almasına karar vermiştir. Bu tedbirlerin, işlemenin GDPR hükümlerine uygun olarak gerçekleştirildiğini garanti etmek ve gösterebilmek için uygun teknik ve idari tedbirlerin uygulanmasını içerdiğini vurgulamıştır.

Romanya Veri Koruma Otoritesi, başvuru ve şikayetler için farklı başvuru kanallarına sahip olmasına rağmen Whatsapp’ı iletişim kanalı olarak kullanan Romanya Ulusal Tüketiciyi Koruma Kurumu'nu uyardı.