În februarie 2025, Autoritatea Națională de Supraveghere a constatat încălcarea art. 32 alin. (1) lit. b) și d), alin. (2) și art. 33 alin. (1) din Regulamentul (UE) 2016/679.
Ca urmare, operatorul a fost sancționat cu:
- amendă în cuantum de 124.432,50 lei, echivalentul a 25.000 euro, pentru încălcarea dispozițiilor art. 32 alin. (1) lit. b) și d), alin. (2) din RGPD;
- avertisment pentru încălcarea dispozițiilor art. 33 alin. (1) din RGPD, privind notificarea tardivă a incidentului.
Contextul investigației
Investigația a fost declanșată după ce operatorul a transmis o notificare de încălcare a securității datelor, conform art. 33 din RGPD. Verificările au arătat că, în urma unui atac cibernetic, infrastructura informatică a operatorului a fost compromisă, ceea ce a permis extracția neautorizată a datelor cu caracter personal.
Datele accesate neautorizat au inclus:
- informații personale: nume, prenume, semnătură, adresă, număr de telefon, adresă de e-mail, sex, naționalitate;
- copii ale documentelor oficiale: acte de identitate, certificate de căsătorie, pașapoarte, certificate de naștere;
- informații profesionale și financiare: ocuparea forței de muncă, facturi, contracte, planuri de buget;
- date educaționale: înregistrări ale cursurilor de formare, participarea la cursuri, CV-uri, diplome;
- date sensibile privind sănătatea angajaților.
Constatările Autorității
ANSPDCP a constatat că operatorul:
- nu a implementat măsuri tehnice și organizatorice adecvate pentru protecția datelor;
- nu a efectuat testarea, evaluarea și aprecierea periodică a eficacității măsurilor de securitate pentru a asigura confidențialitatea, integritatea, disponibilitatea și rezistența continuă a sistemelor;
- nu a notificat Autoritatea în termenul legal de 72 de ore de la identificarea incidentului, încălcând art. 33 alin. (1) din RGPD.
Aceste deficiențe au condus la accesul neautorizat la datele personale ale unui număr semnificativ de persoane vizate și evidențiază riscurile asociate lipsei unui management eficient al securității datelor.
Importanța unui ofițer DPO
Cazul subliniază și necesitatea desemnării unui ofițer DPO (Data Protection Officer), responsabil cu:
- monitorizarea implementării și respectării măsurilor de securitate;
- supravegherea incidentelor și notificarea rapidă a Autorității;
- instruirea personalului privind protecția datelor și conformitatea cu RGPD;
- evaluarea periodică a eficacității măsurilor tehnice și organizatorice.
Un DPO competent poate preveni astfel de incidente, reduce riscul de sancțiuni și proteja drepturile persoanelor vizate.
Operatorul a achitat amenda contravențională aplicată, iar acest caz evidențiază importanța implementării măsurilor de securitate, notificării rapide a incidentelor și rolul esențial al unui ofițer DPO în asigurarea conformității cu RGPD și protecția datelor personale.
