Din informarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) , sancțiunea aplicată companiei Agricola International SA de către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) în iunie 2025, în valoare de 25.226,50 lei (echivalentul a 5.000 EURO), este un exemplu clasic și elocvent al consecințelor nerespectării Art. 32 din GDPR, care vizează securitatea prelucrării datelor.
Ce s-a întâmplat?
Pe scurt, situația este următoarea:
- Punctul de plecare: Un atac cibernetic care a dus la o încălcare a securității datelor (data breach), afectând un număr semnificativ de angajați, membri de familie ai acestora și clienți ai Agricola International SA.
- Datele afectate: O gamă extrem de largă și sensibilă de date personale, de la informații de identificare (fotografie CI, nume, CNP, vârstă, sex) până la date profesionale (funcție, departament, atestate, istoric carte de muncă), financiare (cont bancar, plăți salarii) și chiar date ale membrilor de familie. Aceasta este o breșă de amploare, atât ca număr de persoane vizate, cât și ca tipuri de date expuse.
- Cauza încălcării: Investigația ANSPDCP a relevat că, la momentul atacului, operatorul nu avea implementate măsuri de securitate adecvate, în special cerințe specifice privind accesul securizat la echipamentul de stocare de rețea. Nu existau măsuri tehnice și organizaționale corespunzătoare pentru a asigura confidențialitatea sistemelor și serviciilor de prelucrare și un proces de testare/evaluare periodică a eficacității măsurilor de securitate.
- Temeiul sancțiunii: Încălcarea Art. 32 alin. (1) lit. b) și d) și alin. (2) din GDPR, care se referă la obligația operatorului de a implementa măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului, incluzând capacitatea de a asigura confidențialitatea și un proces de testare și evaluare periodică a eficacității măsurilor.
Păreri și Concluzii despre această Sancțiune:
- Reconfirmarea Importanței Securității Datelor (Art. 32 GDPR): Această sancțiune subliniază, încă o dată, că Art. 32 nu este o simplă recomandare, ci o obligație fundamentală și concretă. Operatorii trebuie să investească și să mențină măsuri tehnice și organizaționale robuste pentru a proteja datele. Neimplementarea acestora duce direct la amenzi.
- Responsabilitatea Operatorului în Fața Atacurilor Cibernetice: Chiar dacă este vorba de un atac cibernetic extern, responsabilitatea finală pentru protejarea datelor aparține operatorului. ANSPDCP nu sancționează atacul în sine, ci lipsa măsurilor de securitate care ar fi putut preveni sau diminua impactul acelui atac. Acest caz demonstrează că nu este suficient să notifici o breșă; trebuie să poți demonstra că ai făcut tot ce ți-a stat în putință pentru a o preveni.
- Gravitatea Datelor Afectate: Setul de date expuse (CNP, acte de identitate, date financiare, date despre familie) este extrem de vast și sensibil. Aceasta crește semnificativ riscul pentru persoanele vizate (furt de identitate, fraude financiare etc.) și, implicit, gravitatea încălcării. Faptul că amenda nu este mai mare (având în vedere amploarea breșei și tipul de date) ar putea sugera fie că Agricola International a colaborat exemplar cu Autoritatea, fie că au existat circumstanțe atenuante (deși acestea nu sunt detaliate aici).
- Rolul Notificării Breșei (Art. 33 GDPR): Este de remarcat că investigația a pornit de la o notificare voluntară a operatorului conform Art. 33 GDPR. Aceasta arată că operatorul a fost conștient de obligația de a notifica. Însă, notificarea nu este o scutire de responsabilitate, ci un prim pas. Ulterior, se analizează dacă breșa a survenit din nerespectarea altor articole GDPR, cum este Art. 32 în acest caz.
- Măsuri Corective Concrete: Pe lângă amendă, ANSPDCP a impus măsuri corective specifice. Aceasta este o practică obișnuită și subliniază focusul autorității nu doar pe sancționare, ci și pe îmbunătățirea conformității. Măsurile impuse (sisteme de operare cu suport activ, soluții antivirus complete, securizarea accesului extern prin VPN, MFA, restricționare IP) sunt măsuri standard de securitate cibernetică, ceea ce sugerează că deficiențele erau fundamentale.
- Importanța un DPO/Expert în Cybersecurity: Acest caz subliniază încă o dată de ce un DPO experimentat sau un specialist în securitate cibernetică este crucial. Ei ar fi putut identifica și remedia lipsurile de securitate înainte de producerea incidentului, ajutând la implementarea unor măsuri preventive precum cele impuse acum de ANSPDCP. Lipsa unor sisteme de operare actualizate, a unui antivirus complet sau a unor controale de acces precum VPN și MFA, este o deficiență majoră într-o infrastructură IT care prelucrează date personale.
- Costul Conformității vs. Costul Neconformității: O amendă de 5.000 EUR, la care se adaugă costurile reputaționale și efortul de remediere a breșei și de implementare a măsurilor corective, demonstrează că investiția proactivă în securitatea datelor este mult mai rentabilă decât gestionarea consecințelor unei breșe.
În concluzie, sancțiunea aplicată Agricola International SA este un semnal clar pentru toate organizațiile: securitatea datelor nu este opțională. Este o obligație continuă care necesită evaluare periodică, investiții în măsuri tehnice și organizaționale adecvate și o cultură solidă a protecției datelor. Ignorarea acestor aspecte, mai ales în contextul unui risc cibernetic crescut, poate duce la consecințe financiare și reputaționale semnificative.
