Un comunicat recent al Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) aduce în discuție o investigație finalizată la Vodafone România S.A., demonstrând că nici măcar giganții din industrie nu sunt imuni la consecințele nerespectării GDPR.
În luna mai 2025, în urma unei notificări de breșă de securitate transmise chiar de Vodafone, ANSPDCP a demarat o investigație. Aceasta a constatat că operatorul a încălcat articolele 25 alin. (1) și (2) din Regulamentul (UE) 679/2016 (RGPD), primind o amendă de 20.226 Lei (echivalentul a 4.000 Euro).
Principala problemă identificată a fost eșecul operatorului de a implementa măsuri tehnice și organizatorice adecvate, atât în faza de proiectare a sistemelor, cât și pe parcursul prelucrării datelor. Această lipsă a ceea ce se numește „protecția datelor încă din faza de concept și în mod implicit” (privacy by design and by default) a dus la o breșă de securitate.
Datele expuse au inclus informații sensibile ale clienților, cum ar fi:
- Date de identificare: Nume, prenume, cod de client, CNP pentru cetățeni străini, serie de pașaport.
- Date de contact: Adresă de corespondență.
- Date financiare: Suma de plată aferentă facturii.
Pe lângă amendă, Autoritatea a impus și o măsură corectivă: implementarea unui mecanism periodic de testare, evaluare și apreciere a eficacității măsurilor de securitate, pentru a preveni incidente similare în viitor.
Rolul Crucial al unui Consultant DPO în Asigurarea Conformității
Acest caz subliniază de ce un Responsabil cu Protecția Datelor (DPO) sau un consultant DPO este indispensabil pentru orice companie, indiferent de mărime. Un DPO are rolul de a preveni astfel de situații, ghidând organizația să respecte principiile fundamentale ale GDPR. Iată cum ar fi putut un DPO interveni în acest scenariu:
- Aplicarea principiului „privacy by design”: Un DPO ar fi fost implicat încă din faza de proiectare a oricărui sistem nou de prelucrare a datelor. El s-ar fi asigurat că securitatea și protecția datelor sunt integrate în arhitectura sistemului, prevenind astfel vulnerabilitățile care au dus la breșa de securitate.
- Auditarea periodică a sistemelor: DPO-ul ar fi implementat un program riguros de audituri și teste de penetrare a sistemelor informatice. Această acțiune ar fi identificat eventualele deficiențe tehnice și organizatorice înainte ca ele să fie exploatate de persoane neautorizate, prevenind divulgarea de date.
- Crearea de politici și proceduri interne: Un DPO ar fi elaborat proceduri clare pentru gestionarea datelor personale, inclusiv protocoale de securitate, planuri de răspuns la incidente și politici de acces la date. Aceste măsuri organizatorice ar fi completat măsurile tehnice, asigurând o protecție completă.
