Din informarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP),sancțiunea aplicată companiei CV PRO CONSULT S.R.L. de către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) în aprilie 2025 este un exemplu clar al responsabilităților legate de securitatea datelor, conform Art. 32 din GDPR.
Ce s-a întâmplat?
- Punctul de plecare: O breșă de securitate a datelor cauzată de un atac cibernetic. Operatorul a notificat ANSPDCP despre incident, conform obligației din Art. 33.
- Implicațiile atacului: Atacul a compromis infrastructura IT a operatorului, ducând la divulgarea și accesul neautorizat la datele personale ale unui număr semnificativ de salariați ai clienților.
- Datele afectate: O gamă largă de date sensibile, printre care nume, prenume, CNP, domiciliu, funcție, dar mai ales salarii, sporuri și alte drepturi salariale.
- Cauza sancțiunii: Investigarea a arătat că operatorul nu a implementat măsuri tehnice și organizatorice adecvate pentru a proteja datele împotriva riscurilor de divulgare neautorizată și acces neautorizat. Această deficiență a dus direct la incidentul de securitate.
- Temeiul legal: Încălcarea Art. 32 alin. (1) și alin. (2) din GDPR, care obligă operatorul să asigure un nivel de securitate corespunzător riscului prelucrării.
Păreri și Concluzii despre această Sancțiune
- Securitatea, o obligație permanentă: Sancțiunea reconfirmă că Art. 32 este o prevedere centrală a GDPR. Operatorii nu sunt sancționați pentru atacul cibernetic în sine, ci pentru faptul că nu au avut măsuri de securitate solide pentru a-l preveni sau pentru a-i reduce impactul. Faptul că atacul a dus la o breșă de date indică o vulnerabilitate majoră.
- Date sensibile și impactul ridicat: Datele compromise, în special CNP-ul, salariile și alte drepturi salariale, sunt extrem de sensibile. Divulgarea acestor informații are un impact ridicat asupra vieții private și financiare a persoanelor vizate. Amploarea și gravitatea breșei justifică, fără îndoială, sancțiunea.
- Rolul DPO și al instruirii personalului: Pe lângă amendă, ANSPDCP a impus măsuri corective foarte clare:
- Verificarea periodică a procedurilor de lucru.
- Instruirea periodică a angajaților privind protecția datelor. Acest aspect subliniază importanța elementului uman în securitatea datelor. Oamenii trebuie să știe cum să identifice riscurile, cum să protejeze datele și cum să reacționeze în caz de incident. Un Ofițer DPO (Data Protection Officer) are un rol crucial în a stabili aceste proceduri și în a asigura instruirea constantă.
- „Accountability” (Principiul Responsabilității): Faptul că operatorul a notificat breșa, conform Art. 33, este un aspect pozitiv, care arată că cel puțin un pas al conformității a fost respectat. Totuși, acest lucru nu a anulat amenda, deoarece investigația a scos la iveală lipsa unor măsuri preventive esențiale. Un operator trebuie să poată demonstra că a luat toate măsurile necesare pentru a preveni astfel de incidente.
- Costul neconformității: O amendă de 2.000 EUR, deși nu la fel de mare ca în alte cazuri, este un semnal că nerespectarea GDPR, chiar și pentru o companie mai mică, nu este tolerată. La această sumă se adaugă costurile de remediere a infrastructurii IT, costurile reputaționale și efortul de a implementa măsurile corective cerute de ANSPDCP.
În concluzie, sancțiunea aplicată CV PRO CONSULT S.R.L. este un avertisment clar pentru toate companiile: securitatea datelor este o obligație fundamentală și continuă. Nu este suficient să ai o politică de confidențialitate pe site; trebuie să ai și măsuri tehnice și organizaționale funcționale, verificate constant, care să te protejeze împotriva riscurilor cibernetice. Rolul unui DPO experimentat și instruirea constantă a personalului sunt esențiale pentru a evita astfel de situații.
