În februarie 2025, Autoritatea Națională de Supraveghere a constatat încălcarea art. 32 alin. (1) și alin. (2) din Regulamentul (UE) 2016/679.
Ca urmare, operatorul a fost sancționat cu amendă în cuantum de 24.885 lei, echivalentul a 5.000 euro.
Contextul investigației
Investigația a fost declanșată după ce operatorul a transmis o notificare privind o încălcare a securității datelor, conform art. 33 din RGPD. Incidentul a constat în accesul ilegal de către un terț la baza de date a operatorului, prin exploatarea unei vulnerabilități a serverului, ceea ce a compromis confidențialitatea datelor personale.
Datele accesate ilegal au inclus:
- nume și prenume;
- număr de telefon;
- adresă de livrare;
aparținând unui număr semnificativ de clienți ai operatorului.
Constatările Autorității
ANSPDCP a constatat că operatorul nu a implementat măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului prelucrării, încălcând astfel art. 32 alin. (1) și alin. (2) din RGPD. Aceasta a expus datele personale la distrugere, pierdere, modificare sau acces neautorizat.
Măsuri corective dispuse
În temeiul art. 58 alin. (2) lit. d) din RGPD, ANSPDCP a dispus:
informarea persoanelor vizate afectate cu privire la incidentul de securitate;
furnizarea de detalii privind măsurile tehnice și organizatorice adoptate pentru remedierea situației, prin afișarea unui comunicat pe prima pagină a site-ului operatorului.
Rolul crucial al unui ofițer DPO
Cazul evidențiază importanța desemnării unui ofițer DPO (Data Protection Officer), responsabil cu:
- monitorizarea și implementarea măsurilor de securitate pentru protecția datelor;
- gestionarea incidentelor și notificarea rapidă a Autorității și a persoanelor vizate;
- instruirea personalului și prevenirea accesului neautorizat la date;
- reducerea riscului de sancțiuni și consolidarea încrederii clienților.
Operatorul a achitat amenda aplicată, iar acest caz subliniază importanța măsurilor de securitate tehnice și organizatorice, a notificării rapide în cazul incidentelor și a rolului esențial al unui ofițer DPO în protecția datelor personale.
