Firma de contabilitate amendata cu aproximativ 10.000 Euro pentru incalcarea GDPR
Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal sanctioneaza V&M Contab&Management SRL pentru incalcarea GDPR
Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) a finalizat, in luna decembrie 2024, o investigatie la societatea V&M Contab&Management SRL, constatand incalcarea mai multor dispozitii din Regulamentul General privind Protectia Datelor (GDPR). Ca urmare a acestor incalcari, compania a fost sanctionata contraventional cu doua amenzi ce totalizeaza 49.770 lei (aproximativ 10.000 de euro).
Constatarile investigatiei
Investigatia a fost initiata in urma unei sesizari care reclama o posibila incalcare a dispozitiilor Regulamentului (UE) 2016/679. Autoritatea a constatat ca V&M Contab&Management SRL nu a respectat prevederile legale privind cooperarea cu autoritatea de supraveghere, refuzand sa furnizeze informatiile solicitate, desi avea obligatia legala de a permite accesul la datele cu caracter personal si la informatiile necesare pentru desfaȟurarea investigatiei. Acest fapt constituie o incalcare a art. 58 alin. (1) lit. a) si e) din GDPR, coroborat cu art. 83 alin. (5) lit. e), motiv pentru care compania a fost sanctionata cu o amenda de 9.954 lei (2.000 de euro).
Conform art. 58 alin. (1) din GDPR, autoritatile de supraveghere au competenta de a solicita informatii de la operatori pentru a-si indeplini sarcinile (lit. a) si de a obtine acces la toate datele necesare investigatiei (lit. e).
Mai mult, in cadrul investigatiei, ANSPDCP a descoperit ca operatorul a transmis prin aplicatia WhatsApp un tabel continand parolele de acces in platforma Revisal pentru mai multe entitati juridice. Aceste date au ajuns la o persoana terta, creand astfel un risc major de acces neautorizat la datele personale ale angajatilor si fostilor angajati ai respectivelor societati. Informatiile divulgate includeau numele, prenumele, cetatenia, codul numeric personal si domiciliul persoanelor afectate.
Aceasta utilizare neconforma a aplicatiilor de mesagerie instantanee in interes de serviciu si lipsa unor masuri adecvate de securitate reprezinta o incalcare a prevederilor art. 32 alin. (4) coroborat cu art. 32 alin. (1) lit. b) si alin. (2) din GDPR. Art. 32 alin. (1) lit. b) stipuleaza ca operatorii trebuie sa asigure confidentialitatea, integritatea, disponibilitatea si rezistenta sistemelor si serviciilor de prelucrare. Alin. (2) impune implementarea unor masuri tehnice si organizatorice pentru a garanta un nivel de securitate adecvat riscurilor, iar alin. (4) subliniaza ca accesul la date trebuie limitat doar la persoanele autorizate.
Ca urmare, compania a fost sanctionata cu o amenda suplimentara de 39.816 lei (8.000 de euro).
Masuri corective impuse
Pe langa sanctiunile financiare, autoritatea a impus societatii V&M Contab&Management SRL o serie de masuri corective pentru a preveni astfel de incidente in viitor. Compania este obligata sa schimbe toate credentialele de acces in platforma Revisal pentru toate entitatile juridice afectate. De asemenea, trebuie sa implementeze masuri tehnice si organizatorice adecvate pentru a asigura un nivel de securitate corespunzator riscurilor asociate prelucrarii datelor personale.
Importanta respectarii normelor GDPR
Acest caz subliniaza importanta respectarii normelor privind protectia datelor cu caracter personal si necesitatea unor politici stricte de securitate in gestionarea informatiilor sensibile. Utilizarea necorespunzatoare a aplicatiilor de mesagerie instantanee in interes de serviciu poate genera brese majore de securitate, expunand datele personale la riscuri semnificative.
Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personalreitereaza ca toti operatorii de date trebuie sa respecte obligatiile legale privind protectia informatiilor si sa colaboreze cu autoritatea de supraveghere pentru a evita sanctiuni similare. Lipsa unor masuri adecvate de securitate nu doar ca poate conduce la amenzi considerabile, dar poate afecta si reputatia organizatiei implicate.