În urma unei investigații, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a aplicat o amendă de 637.262,50 lei (125.000 euro), ca urmare a unor deficiențe grave în protejarea datelor personale.
Ce s-a întâmplat
Investigația a fost declanșată după notificarea unui incident de securitate generat de un atac cibernetic asupra unei aplicații gestionate printr-un furnizor extern.
În urma acestui incident:
- Au fost accesate și divulgate neautorizat datele unui număr foarte mare de persoane
- Au fost compromise date sensibile, precum:
- Cod numeric personal
- Adresă de domiciliu
- Date din cartea de identitate
- Număr permis de conducere
- Adresă de e-mail
- Numere de telefon
- Informații profesionale și identificatori interni
Impactul a fost major atât prin volumul datelor, cât și prin natura acestora.
Ce prevederi GDPR au fost încălcate
Autoritatea a constatat încălcarea unor obligații esențiale:
Art. 32 – Securitatea prelucrării
Nu au fost implementate măsuri tehnice și organizatorice adecvate pentru:
- Asigurarea confidențialității datelor
- Prevenirea accesului neautorizat
- Testarea și evaluarea periodică a sistemelor
- Garantarea securității prelucrării în mod continuu
Art. 28 – Relația cu persoanele împuternicite
Operatorul nu s-a asigurat că furnizorul:
- Oferă garanții suficiente privind securitatea datelor
- Respectă cerințele GDPR
- Implementează măsuri tehnice adecvate
De ce a fost aplicată sancțiunea
Amenda reflectă gravitatea cumulată a situației:
- Număr foarte mare de persoane afectate
- Expunerea unor date cu caracter sensibil
- Lipsa unor măsuri reale de prevenție
- Lipsa unui control eficient asupra furnizorilor
- Risc ridicat pentru drepturile și libertățile persoanelor vizate
Nu doar atacul cibernetic a fost sancționat, ci modul în care acesta a fost posibil.
Cum pot companiile evita astfel de sancțiuni
Pentru a preveni situații similare, organizațiile trebuie să adopte o abordare proactivă:
Implementarea măsurilor de securitate adecvate
- Adaptarea nivelului de securitate la riscurile reale
- Protejarea datelor în funcție de sensibilitate și volum
Testare și evaluare periodică
- Audituri de securitate regulate
- Teste de penetrare
- Monitorizarea continuă a vulnerabilităților
Managementul furnizorilor
- Verificarea furnizorilor înainte de colaborare
- Încheierea de acorduri contractuale clare
- Monitorizarea constantă a conformității acestora
Integrarea principiului „privacy by design"
- Includerea măsurilor de protecție încă din faza de dezvoltare
- Evitarea implementării ulterioare a soluțiilor de securitate
Controlul accesului la date
- Acces limitat doar la personal autorizat
- Implementarea unor mecanisme de autentificare sigură
- Monitorizarea accesului și a activităților
Plan de răspuns la incidente
- Proceduri clare pentru gestionarea incidentelor
- Reacție rapidă pentru limitarea impactului
- Responsabilități bine definite
Trebuie să se înțeleagă de către top management că lipsa măsurilor adecvate de securitate atrage sancțiuni semnificative, chiar și atunci când incidentul este generat de un atac extern.
Și nu uitați: protecția datelor cu caracter personal trebuie tratată ca o prioritate operațională și strategică, nu doar ca o obligație formală.
Întrebări frecvente
De ce a dus o breșă de securitate la o amendă GDPR?
Pentru că ANSPDCP nu a sancționat atacul cibernetic în sine, ci faptul că operatorul l-a făcut posibil. Investigația a arătat că nu existau măsuri reale de prevenire și nici un control eficient asupra furnizorului extern care gestiona aplicația. Cu alte cuvinte, răspunderea aparține operatorului care nu și-a protejat datele, nu doar atacatorului.
Ce măsuri de securitate din art. 32 RGPD lipseau?
Operatorul nu implementase măsuri tehnice și organizatorice adecvate pentru: asigurarea confidențialității datelor, prevenirea accesului neautorizat, testarea și evaluarea periodică a sistemelor și garantarea securității prelucrării în mod continuu. Suplimentar, autoritatea a reținut și încălcarea art. 28, pentru că operatorul nu s-a asigurat că furnizorul oferă garanții suficiente privind securitatea datelor.
Cum se stabilește cuantumul amenzii?
Amenda de 637.262,50 lei (125.000 euro) reflectă gravitatea cumulată a situației: numărul foarte mare de persoane afectate, expunerea unor date cu caracter sensibil, lipsa unor măsuri reale de prevenție, lipsa unui control eficient asupra furnizorilor și riscul ridicat pentru drepturile și libertățile persoanelor vizate. Cu cât impactul și culpa sunt mai mari, cu atât sancțiunea crește.
Cum poate o companie să prevină o astfel de sancțiune?
Printr-o abordare proactivă: măsuri de securitate adaptate riscurilor reale, testare și evaluare periodică (audituri, teste de penetrare, monitorizarea vulnerabilităților), management riguros al furnizorilor, integrarea principiului privacy by design, controlul accesului la date și un plan clar de răspuns la incidente. Top managementul trebuie să trateze protecția datelor ca o prioritate operațională și strategică, nu ca o obligație formală.
Vrei să eviți o breșă care se transformă în amendă?
Evaluăm securitatea prelucrării și relația cu furnizorii tăi, ca riscul de sancțiune să scadă.