ANSPDCP a sancționat Bitdefender SRL cu o amendă de 49.772 lei (aproximativ 10.000 euro) pentru încălcarea RGPD. Sancțiunea a fost aplicată în aprilie 2025, în urma unei investigații declanșate de o notificare de încălcare a securității datelor primită de la companie.
Detaliile încălcării
Autoritatea a constatat că Bitdefender SRL a încălcat art. 32 alin. (1) lit. b) și d), și alin. (2) din RGPD. Mai exact, compania nu a implementat măsuri tehnice și organizatorice adecvate pentru a asigura securitatea prelucrării datelor.
Cauza și consecințele
Încălcarea s-a produs din cauza unei erori de programare sau de implementare apărută în timpul unei actualizări a unui serviciu de analiză a securității e-mail-urilor. Această eroare a dus la divulgarea neautorizată a datelor cu caracter personal ale unui număr mare de clienți către terți.
Datele expuse au inclus cel puțin numele, prenumele și adresa de e-mail a persoanelor vizate.
Un comunicat recent al Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) aduce în atenție un caz important, care vizează o companie de top din industria de securitate cibernetică: BITDEFENDER SRL. Acest caz demonstrează că nici măcar experții în domeniu nu sunt imuni la riscurile GDPR, dacă nu implementează măsuri de securitate adecvate și proceduri de testare riguroase.
Sancțiunea aplicată: Bitdefender SRL, amendată cu 10.000 de euro
În luna aprilie 2025, în urma unei notificări de breșă de securitate transmise chiar de Bitdefender, ANSPDCP a investigat compania și a constatat o încălcare a articolelor 32 alin. (1) lit. b) și d) și alin. (2) din Regulamentul (UE) 2016/679 (RGPD). Sancțiunea a fost o amendă de 49.772 lei (echivalentul a 10.000 euro).
Investigația a scos la iveală că, din cauza unei erori de programare sau de implementare, o actualizare a unui serviciu de securitate a e-mail-urilor a dus la divulgarea neautorizată a datelor personale ale unui număr semnificativ de clienți către terți. Datele expuse au inclus, cel puțin, nume, prenume și adrese de e-mail.
Problema principală a fost faptul că Bitdefender nu a implementat măsuri tehnice și organizatorice adecvate și, în special, nu a realizat testarea, evaluarea și aprecierea periodică a eficacității măsurilor de securitate.
Rolul Crucial al unui Consultant DPO în Prevenirea Riscurilor
Acest caz subliniază importanța absolută a unui Responsabil cu Protecția Datelor (DPO) sau a unui consultant DPO, chiar și în companiile cu un nivel ridicat de expertiză tehnică. Un DPO are un rol strategic în a preveni astfel de incidente prin:
- Evaluarea de impact și audit preventiv: Un DPO ar fi inițiat o evaluare de impact asupra protecției datelor (DPIA) înainte de a lansa o actualizare majoră. Acest proces ar fi identificat potențialele riscuri și vulnerabilități, prevenind eroarea de programare care a dus la breșă.
- Implementarea principiului „privacy by design”: DPO-ul ar fi lucrat alături de echipele de dezvoltare pentru a se asigura că protecția datelor este integrată în faza de proiectare a oricărui serviciu sau aplicație, nu doar adăugată ulterior.
- Crearea de politici de testare riguroase: Un DPO ar fi impus o politică internă de testare, evaluare și apreciere periodică a eficacității măsurilor de securitate. Acest lucru ar fi inclus simulări de atacuri și audituri de securitate, care ar fi putut detecta eroarea înainte ca serviciul actualizat să fie lansat public.
- Coordonarea răspunsului la incidente: Chiar și în cazul unei breșe, DPO-ul ar fi gestionat procesul de notificare către ANSPDCP și comunicarea cu persoanele vizate, minimizând impactul și asigurând respectarea cerințelor legale.
Amenda aplicată Bitdefender SRL demonstrează că expertiza tehnică în securitate cibernetică nu este suficientă dacă nu este dublată de un cadru solid de conformitate cu GDPR. O simplă eroare, nedecontată printr-o testare adecvată, poate avea consecințe financiare considerabile. Un consultant DPO calificat este esențial pentru a asigura că sunt implementate atât măsuri tehnice, cât și organizatorice, protejând astfel companiile de riscuri și amenzi.
