Un comunicat recent al Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) aduce în atenție o problemă esențială pentru orice companie: securitatea cibernetică și protecția datelor. Cazul AG-BROKER ASIGURARE S.R.L. demonstrează că o singură vulnerabilitate tehnică poate duce la o breșă de date masivă și la consecințe financiare considerabile.
Sancțiunea aplicată: AG-BROKER ASIGURARE S.R.L., amendată cu 5.000 de euro
În luna aprilie 2025, în urma unui atac cibernetic, operatorul a notificat ANSPDCP despre o breșă de securitate. Investigația ulterioară a arătat că un număr semnificativ de date personale ale clienților au fost expuse, printre care:
- Date de identificare: CNP, nume, prenume, fotografii din cărți de identitate.
- Date sensibile: Certificate de naștere, permis de conducere, certificate de înmatriculare a autovehiculelor.
- Date de contact: Adrese de e-mail, numere de telefon.
Motivul sancțiunii, o amendă de 24.887 lei (echivalentul a 5.000 euro), a fost încălcarea articolelor 32 alin. (1) lit. b) și alin. (2) din RGPD. S-a constatat că operatorul nu a implementat măsuri de securitate adecvate, în special cerințe specifice pentru accesul securizat la echipamentul de stocare în rețea, ceea ce a permis accesul neautorizat la date.
Rolul Crucial al unui Consultant DPO în prevenirea riscurilor
Acest caz servește drept o dovadă clară că simpla prelucrare a datelor nu este suficientă; protejarea lor este o obligație legală fundamentală. Un Responsabil cu Protecția Datelor (DPO) sau un consultant DPO ar fi prevenit o astfel de situație printr-un management proactiv al riscurilor. Iată cum:
- Evaluarea riscurilor de securitate cibernetică: Un DPO ar fi efectuat un audit detaliat al infrastructurii IT a companiei, identificând vulnerabilitățile potențiale, precum cele legate de echipamentele de stocare în rețea.
- Implementarea de măsuri tehnice și organizatorice adecvate: Pe baza evaluării, DPO-ul ar fi recomandat și ar fi supervizat implementarea unor măsuri de securitate, cum ar fi:
- Criptarea datelor sensibile.
- Politici stricte de control al accesului la echipamente și rețele.
- Monitorizarea constantă a sistemelor pentru a detecta activități suspecte.
- Instruirea angajaților: DPO-ul ar fi elaborat și ar fi implementat un program de training pentru personal, pentru a crește gradul de conștientizare cu privire la riscurile cibernetice și la importanța respectării politicilor de securitate.
