Un comunicat recent al Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) aduce în atenție cazul companiei CVA TAX & FINANCE S.R.L., un exemplu elocvent al consecințelor unui atac cibernetic atunci când măsurile de securitate sunt insuficiente. Acest caz subliniază responsabilitatea crucială a firmelor de contabilitate și consultanță de a proteja datele sensibile ale clienților și angajaților acestora.
Sancțiunea aplicată: CVA TAX & FINANCE S.R.L., amendată cu 2.000 de euro
În luna aprilie 2025, în urma unei notificări de breșă de securitate, ANSPDCP a investigat compania și a descoperit o încălcare a articolelor 32 alin. (1) și (2) din Regulamentul (UE) 2016/679 (RGPD). S-a constatat că, în urma unui atac cibernetic, a fost compromisă infrastructura IT a operatorului, ducând la divulgarea și accesul neautorizat la datele personale ale angajaților clienților.
Printre datele sensibile expuse se numără:
- Date de identificare: Nume, prenume, CNP, domiciliu.
- Date financiare și profesionale: Salariu, sporuri, funcție și alte drepturi salariale.
Amenda de 9.954,80 lei (echivalentul a 2.000 euro) a fost aplicată deoarece operatorul nu a implementat măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscurilor.
Pe lângă sancțiunea financiară, ANSPDCP a impus și o măsură corectivă: operatorul trebuie să verifice periodic respectarea procedurilor de protecție a datelor și să instruiască periodic angajații cu privire la riscurile prelucrării datelor personale.
Rolul Crucial al unui Consultant DPO în Prevenirea Riscurilor
Acest caz servește drept un memento puternic pentru toate companiile care prelucrează date sensibile, în special în calitate de împuterniciți. Un Responsabil cu Protecția Datelor (DPO) sau un consultant DPO este esențial pentru a preveni astfel de incidente. Iată cum ar fi intervenit:
- Evaluarea riscurilor de securitate cibernetică: Un DPO ar fi efectuat un audit detaliat al infrastructurii IT a companiei, identificând vulnerabilitățile care ar fi putut duce la o breșă de date.
- Implementarea de măsuri de securitate solide: Pe baza evaluării, DPO-ul ar fi recomandat și ar fi supravegheat implementarea unor măsuri tehnice, cum ar fi criptarea datelor, politici stricte de control al accesului și soluții de securitate cibernetică avansate. De asemenea, ar fi pus accentul pe măsuri organizatorice, precum protocoale clare de gestionare a datelor și politici de backup și recuperare.
- Instruirea continuă a personalului: DPO-ul ar fi creat un program regulat de instruire pentru angajați, pentru a-i face conștienți de riscurile de securitate și de importanța respectării procedurilor de protecție a datelor.
