Hidroelectrica amendata de catre ANSPDCP
Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) a finalizat, in luna decembrie 2024, o investigatie privind respectarea prevederilor Regulamentului General privind Protectia Datelor (GDPR) de catre operatorul S.P.E.E.H. HIDROELECTRICA S.A. Ca urmare a acestei investigatii, ANSPDCP a constatat incalcarea articolului 25, alineatele (1) si (2) din Regulamentul (UE) 2016/679 si a aplicat o sanctiune operatorului.
Concret, HIDROELECTRICA a fost amendata cu suma de 74.562 Lei, echivalentul a 15.000 Euro, pentru deficiente constatate in asigurarea protectiei datelor cu caracter personal ale utilizatorilor. Investigatia a fost initiata ca urmare a notificarii transmise de operator privind o incalcare a securitatii datelor, conform articolului 33 din GDPR.
ANSPDCP a stabilit ca incalcarea securitatii datelor s-a produs la momentul lansarii unei aplicatii a HIDROELECTRICA, din cauza unei erori tehnice. Deficientele constatate includ lipsa unei testari adecvate intr-un mediu de simulare realist, capabil sa reproduca toate interactiunile aplicatiei cu celelalte sisteme utilizate de companie. Aceasta deficienta a avut consecinte grave, inclusiv pierderea integritatii si disponibilitatii datelor cu caracter personal, precum si accesul neautorizat la acestea de catre terte parti.
Potrivit concluziilor ANSPDCP, HIDROELECTRICA nu a implementat masuri tehnice si organizatorice adecvate pentru a garanta securitatea datelor cu caracter personal, ceea ce a dus la o vulnerabilitate majora in sistemul informatic. in acest context, compania a fost sanctionata pentru ca nu a asigurat protectia adecvata a datelor impotriva prelucrarii neautorizate sau ilegale, precum si impotriva pierderii, distrugerii sau deteriorarii accidentale.
Pe langa amenda aplicata, ANSPDCP a impus si o masura corectiva care obliga HIDROELECTRICA sa implementeze un plan tehnic si procedural de testare intr-un mediu de simulare, capabil sa reproduca toate scenariile posibile din mediul de productie. Aceasta masura vizeaza prevenirea unor incidente similare in viitor printr-o testare riguroasa inainte de lansarea oricaror noi componente sau aplicatii ce implica prelucrarea datelor cu caracter personal.
HIDROELECTRICA a achitat amenda contraventionala stabilita de autoritate, iar conducerea companiei a anuntat ca va lua toate masurile necesare pentru a preveni astfel de incidente in viitor. Implementarea noilor masuri de securitate si testare reprezinta o etapa esentiala in consolidarea protectiei datelor utilizatorilor si in asigurarea conformitatii cu cerintele GDPR.
Acest incident subliniaza importanta testarii riguroase a sistemelor informatice si a aplicarii unor standarde stricte de securitate cibernetica pentru a preveni vulnerabilitati ce ar putea compromite datele utilizatorilor. ANSPDCP continua sa monitorizeze respectarea prevederilor GDPR si sa aplice sanctiuni acolo unde este necesar pentru a proteja drepturile persoanelor vizate.
Totodata, acest caz reprezinta un semnal de alarma pentru toate organizațiile care proceseaza date cu caracter personal, subliniind necesitatea unor masuri proactive în securitatea informațiilor. Specialistii in domeniul protectiei datelor recomanda companiilor sa adopte politici stricte de testare si verificare a sistemelor informatice inainte de implementare. De asemenea, utilizarea unor solutii avansate de criptare și protectie a datelor poate reduce riscul unor astfel de incidente in viitor.