Un comunicat recent al Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) aduce în atenție o problemă esențială în lumea afacerilor: responsabilitatea companiilor de a-și proteja datele, chiar și atunci când acționează ca împuterniciți pentru alți clienți. Cazul Accounting Audit SRL servește drept un avertisment serios cu privire la consecințele unui atac informatic, atunci când măsurile de securitate sunt insuficiente.
Sancțiunea aplicată: Accounting Audit SRL, amendată cu 10.000 de euro
În luna mai 2025, în urma unei investigații declanșate de notificări de breșe de securitate transmise atât de companie, cât și de doi dintre clienții săi, ANSPDCP a sancționat Accounting Audit SRL cu o amendă de 50.553 lei (echivalentul a 10.000 EURO).
Investigația a scos la iveală faptul că un atac informatic a compromis datele personale ale unui număr foarte mare de persoane, în special angajați ai clienților companiei. Printre datele divulgate se numără:
- Date de identificare.
- State de plată.
- Acte constitutive și alte documente confidențiale.
- Documente financiar-contabile.
Amenda a fost aplicată pentru încălcarea articolelor 32 alin. (1) lit. b) și alin. (2) din RGPD, deoarece Accounting Audit SRL, în calitatea sa de împuternicit, nu a implementat măsuri tehnice și organizatorice adecvate pentru a asigura confidențialitatea și integritatea sistemelor de prelucrare, lăsând astfel datele vulnerabile în fața unui atac.
Rolul Crucial al unui Consultant DPO în Prevenirea Riscurilor
Acest caz subliniază de ce este vital ca o companie, în special una care prelucrează date sensibile pentru alții (ca împuternicit), să aibă un Responsabil cu Protecția Datelor (DPO) sau un consultant extern specializat. Un DPO are un rol strategic în a asigura că astfel de incidente nu se întâmplă. Iată cum ar fi intervenit:
- Evaluarea riscurilor cibernetice: Un DPO ar fi evaluat riscurile asociate cu prelucrarea datelor sensibile ale clienților și ar fi identificat vulnerabilitățile potențiale ale sistemului informatic al companiei.
- Implementarea de măsuri de securitate proactive: Pe baza evaluării, DPO-ul ar fi recomandat și ar fi supervizat implementarea unor măsuri tehnice solide, cum ar fi:
- Criptarea datelor sensibile.
- Soluții de securitate cibernetică (antivirus, firewall-uri, sisteme de detectare a intruziunilor).
- Politici de backup și de recuperare a datelor în caz de incident.
- Crearea de proceduri interne: Un DPO ar fi elaborat proceduri clare pentru gestionarea datelor, inclusiv politici de acces restricționat la informații și un plan de răspuns la incidente de securitate, pentru a minimiza impactul oricărei breșe.
