Un comunicat recent al Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) aduce în atenție un caz grav, cu implicații serioase pentru toate companiile: securitatea datelor în relația cu angajații și foștii angajați. Cazul Maravet S.R.L. demonstrează că o breșă de securitate internă, cauzată de un fost angajat, poate duce la consecințe financiare considerabile și la o divulgare masivă de date sensibile.
Sancțiunea aplicată: Maravet S.R.L., amendată cu 5.000 de euro
În urma unei notificări de breșă de securitate transmise chiar de operator, ANSPDCP a investigat și a constatat că un fost angajat al companiei a copiat și a postat ilegal pe un site extern date personale din baza de date a companiei. Acestea includ:
- Date de identificare și contact: nume, numere de telefon, adrese de e-mail, adrese de domiciliu, CNP-uri, serii de cărți de identitate și pașapoarte.
- Date sensibile: documente de angajare, salarii, evaluări profesionale și fotografii ale angajaților și clienților.
Amenda de 24.885,50 lei (echivalentul a 5.000 euro) a fost aplicată pentru încălcarea articolelor 32 alin. (4) coroborat cu art. 32 alin. (1) lit. b) și d) și alin. (2) din GDPR. Sancțiunea a fost impusă deoarece operatorul nu a luat măsuri adecvate pentru a se asigura că persoanele care au acces la date le prelucrează doar la cererea sa și nu a implementat măsuri tehnice și organizatorice corespunzătoare pentru a garanta confidențialitatea și integritatea datelor.
Rolul vital al unui Consultant DPO în prevenirea riscurilor interne
Acest caz subliniază de ce o companie trebuie să se protejeze nu doar de atacuri externe, ci și de riscurile interne, cum ar fi acțiunile neautorizate ale angajaților sau foștilor angajați. Un Responsabil cu Protecția Datelor (DPO) sau un consultant DPO ar fi prevenit această situație printr-o abordare proactivă. Iată cum ar fi intervenit:
- Crearea de politici stricte de acces la date: Un DPO ar fi elaborat politici de securitate care să reglementeze strict accesul la baze de date sensibile, asigurându-se că doar personalul autorizat are acces la informațiile necesare.
- Implementarea de măsuri tehnice de securitate: Pe baza unei evaluări de risc, DPO-ul ar fi recomandat măsuri precum monitorizarea accesului la baze de date, jurnalizarea (logging) activităților și implementarea de sisteme de prevenire a scurgerilor de date (DLP) pentru a detecta și bloca copierea neautorizată a informațiilor.
- Proceduri de „offboarding” a angajaților: Un DPO ar fi creat un protocol detaliat pentru încetarea contractelor de muncă, care să includă: dezactivarea imediată a accesului la sisteme, recuperarea tuturor echipamentelor de lucru și obținerea unei declarații de confidențialitate semnată de angajat. Această procedură ar fi minimizat riscul ca un fost angajat să mai aibă acces la date.
