În ianuarie 2025, Autoritatea Națională de Supraveghere a constatat încălcarea art. 32 alin. (1) lit. b) și d) și art. 32 alin. (2) din Regulamentul (UE) 2016/679.
Ca urmare, operatorul a fost sancționat contravențional cu amendă în cuantum de 99.518 lei (echivalentul a 20.000 euro).
Contextul investigației
Investigația a fost declanșată în urma unei notificări privind încălcarea securității datelor cu caracter personal, conform art. 33 din RGPD.
S-a constatat că operatorul, care deținea un site de facturare online, a fost victima unui atac informatic prin care un terț a accesat ilegal serverul ce conținea baza de date a clienților.
Datele compromise au inclus:
- nume și prenume;
- cod numeric personal;
- adresă de domiciliu;
- telefon și e-mail;
- număr de cont bancar.
Constatările Autorității
ANSPDCP a stabilit că WEBRASOFT SRL nu a realizat testarea, evaluarea și aprecierea periodică a eficacității măsurilor tehnice și organizatorice pentru a asigura securitatea prelucrării, încălcând astfel art. 32 alin. (1) lit. b) și d) și alin. (2) din RGPD.
Lipsa acestor măsuri a permis accesul neautorizat al unui terț, afectând confidențialitatea, integritatea, disponibilitatea și rezistența sistemelor și a datelor personale ale clienților.
Măsuri corective dispuse
În temeiul art. 58 alin. (2) lit. d) din RGPD, ANSPDCP a dispus operatorului:
implementarea unui sistem de jurnalizare a tuturor accesărilor și încercărilor nereușite asupra serverelor din infrastructura IT;
păstrarea jurnalelor pentru cel puțin 30 de zile, cu efectuarea backup-urilor corespunzătoare pentru fișierele de log.
Rolul crucial al unui ofițer DPO
Cazul subliniază importanța desemnării unui ofițer DPO (Data Protection Officer), care să:
- monitorizeze securitatea datelor și respectarea principiilor RGPD;
- gestioneze incidentelor de securitate și să coordoneze notificările către autoritate și persoanele vizate;
- instruiască personalul și să implementeze măsuri tehnice și organizatorice adecvate;
- reducă riscul de sancțiuni și protejeze reputația operatorului.
Operatorul a achitat amenda aplicată. Cazul evidențiază importanța implementării măsurilor tehnice și organizatorice corespunzătoare, a monitorizării constante a securității și a rolului esențial al unui ofițer DPO în protecția datelor personale și prevenirea încălcărilor RGPD.
