În februarie 2025, Autoritatea Națională de Supraveghere a constatat încălcarea art. 32 alin. (1) lit. b) și d) și art. 32 alin. (2) din Regulamentul (UE) 2016/679.
Ca urmare, operatorul a fost sancționat contravențional cu amendă în cuantum de 49.766 lei (echivalentul a 10.000 euro).
Contextul investigației
Investigația a fost declanșată în urma unei notificări privind încălcarea securității datelor cu caracter personal, conform art. 33 din RGPD.
S-a constatat că o persoană neautorizată a profitat de o vulnerabilitate de programare pentru a accesa ilegal site-ul operatorului, care conținea baza de date a clienților.
Datele compromise au inclus:
- nume și prenume;
- număr de telefon și adresă de e-mail;
- domiciliul și detalii despre produsele achiziționate.
Constatările Autorității
ANSPDCP a stabilit că BEKO ROMÂNIA SA nu a implementat măsuri tehnice și organizatorice adecvate, nici la stabilirea mijloacelor de prelucrare, nici în timpul prelucrării efective a datelor.
De asemenea, operatorul nu a realizat testarea, evaluarea și aprecierea periodică a eficienței măsurilor pentru a garanta securitatea prelucrării. Aceasta a permis accesul neautorizat al unui terț, încălcând art. 25 alin. (1) coroborat cu art. 32 alin. (1) lit. b) și d) și art. 32 alin. (2) din RGPD.
Măsuri corective dispuse
În temeiul art. 58 alin. (2) lit. d) din RGPD, ANSPDCP a impus operatorului:
- implementarea unui sistem tehnic și organizatoric de analiză a volumului de date din infrastructura IT a societății;
- efectuarea de back-up asupra datelor analizate.
Rolul crucial al unui ofițer DPO
Acest caz subliniază importanța desemnării unui ofițer DPO (Data Protection Officer) care să:
- monitorizeze securitatea datelor și aplicarea principiilor RGPD;
- prevină vulnerabilitățile IT prin implementarea și testarea periodică a măsurilor de securitate;
- gestioneze incidentele și să asigure notificarea promptă către autoritate și persoanele vizate;
- instruiască personalul și să reducă riscul sancțiunilor și al pierderii reputației.
Operatorul a achitat amenda aplicată. Cazul evidențiază necesitatea măsurilor tehnice și organizatorice adecvate, monitorizarea continuă a securității și rolul esențial al unui ofițer DPO în protecția datelor personale și conformitatea cu RGPD.
