În luna martie 2025, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a finalizat o investigație la operatorul NEW GAMBLING SOLUTIONS S.R.L., constatând încălcări ale art. 32 alin. (1) lit. b), d) și alin. (2) din Regulamentul (UE) 2016/679 (RGPD).
Ca urmare, operatorul a fost sancționat cu:
- amendă în cuantum de 9.951,20 lei, echivalentul a 2.000 euro, pentru nerespectarea obligațiilor legale privind securitatea prelucrării datelor cu caracter personal.
Contextul investigației
Investigația a fost declanșată după ce operatorul a transmis o notificare de încălcare a securității datelor, conform dispozițiilor art. 33 din RGPD. Verificările au arătat că, în urma unui atac informatic, un terț a accesat date din infrastructura IT a operatorului, inclusiv:
- nume și prenume ale angajaților;
- CNP, serie și număr CI;
- adresă de domiciliu;
- informații privind activitatea profesională a angajaților.
Această situație a condus la divulgarea și accesul neautorizat la datele personale ale unui număr semnificativ de persoane vizate.
Constatările Autorității
ANSPDCP a constatat că operatorul:
- nu a implementat măsuri tehnice și organizatorice adecvate pentru protecția datelor;
- nu a realizat testarea, evaluarea și aprecierea periodică a eficacității acestor măsuri pentru a garanta confidențialitatea, integritatea, disponibilitatea și rezistența sistemelor de prelucrare a datelor.
Aceste deficiențe reprezintă încălcări ale art. 32 alin. (1) lit. b), d) și alin. (2) din RGPD, care reglementează obligația operatorilor de a asigura securitatea datelor personale.
Rolul crucial al unui ofițer DPO
Cazul evidențiază și importanța desemnării unui ofițer DPO (Data Protection Officer), responsabil cu:
- supravegherea implementării și respectării măsurilor de protecție a datelor;
- monitorizarea incidentelor de securitate și raportarea acestora;
- instruirea personalului în privința obligațiilor legale privind prelucrarea datelor;
- asigurarea conformității continue cu RGPD.
Prezența unui DPO competent poate preveni astfel de incidente și reduce riscurile de sancțiuni sau pierderea încrederii angajaților și a clienților.
Operatorul a achitat amenda contravențională aplicată, iar cazul subliniază necesitatea implementării și verificării periodice a măsurilor de securitate, precum și rolul esențial al unui oficer DPO în protejarea drepturilor persoanelor vizate și în prevenirea accesului neautorizat la datele cu caracter personal.
