Lipsa securizarii datelor personale costa scump: Amenda GDPR de 20.000 de euro si masurile impuse operatorului
In luna ianuarie 2025, Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) a finalizat o investigatie la operatorul WEBRASOFT SRL, sanctionand compania cu o amenda de 99.518 lei (echivalentul a 20.000 de euro) pentru incalcarea art. 32 alin. (1) lit. b) si d) si art. 32 alin. (2) din Regulamentul General privind Protectia Datelor (GDPR) deoarece baza de date nu era securizata corespunzator.
Motivul sanctiunii
Investigatia a fost declansata dupa notificarea unei brese de securitate din partea WEBRASOFT SRL, operator al unui site de facturare online. Atacul informatic a permis accesul neautorizat la serverele companiei, expunand date personale ale utilizatorilor, inclusiv nume, prenume, cod numeric personal, adrese de domiciliu, numere de telefon, e-mailuri si detalii bancare.
In urma verificarilor, ANSPDCP a constatat ca operatorul nu a efectuat testari periodice pentru a evalua eficacitatea masurilor tehnice si organizatorice implementate, ceea ce a dus la compromiterea confidentialitatii datelor clientilor.
Masuri impuse de ANSPDCP
Pe langa amenda, WEBRASOFT SRL a fost obligata sa implementeze masuri tehnice si organizatorice sporite pentru securizarea datelor. Printre acestea se numara:
- Jurnalizarea accesarilor valide si a incercarilor nereusite de acces – Implementarea unui sistem de logare care sa inregistreze toate accesarile autorizate si tentativele de acces esuate asupra serverelor si bazelor de date.
- Retinerea log-urilor pentru cel putin 30 de zile – Datele inregistrate trebuie pastrate pe o perioada minima de 30 de zile pentru a permite analiza incidentelor si identificarea eventualelor brese de securitate.
- Backup periodic al fisierelor de jurnalizare – Log-urile trebuie sa fie salvate periodic in locatii securizate pentru a preveni pierderea acestora in cazul unui atac informatic sau al unei defectiuni tehnice.
- Monitorizare continua a accesarilor – Sistemele IT ale operatorului trebuie sa fie echipate cu solutii de monitorizare in timp real, care sa alerteze administratorii in cazul unor incercari suspecte de acces.
- Masuri de audit si evaluare – Testari si analize periodice asupra securitatii infrastructurii IT pentru a asigura conformitatea cu cerintele GDPR.
Importanta sistemului de jurnalizare
Un sistem robust de jurnalizare permite operatorilor sa identifice rapid activitatile suspecte si sa ia masuri de preventie adecvate. Printre beneficiile unei astfel de implementari se numara:
- Detectarea proactiva a tentativelor de acces neautorizat, ceea ce permite o reactie rapida inainte ca un atac sa compromita datele utilizatorilor.
- Usurinta in investigarea incidentelor de securitate, oferind un istoric clar al activitatilor asupra bazelor de date.
- Conformitatea cu reglementarile GDPR, care impun adoptarea unor masuri tehnice si organizatorice adecvate pentru protejarea datelor personale.
Concluzie
Cazul WEBRASOFT SRL demonstreaza ca protectia datelor personale trebuie tratata cu responsabilitate maxima. Lipsa unor masuri adecvate de securitate poate avea consecinte financiare grave, dar si implicatii juridice si reputationale semnificative pentru operatori.
Aceasta sanctiune subliniaza faptul ca preventia este esentiala: implementarea unor politici stricte de securitate, audituri periodice si solutii avansate de protectie trebuie sa devina o practica standard pentru orice companie care gestioneaza date personale. Operatorii au nu doar o obligatie legala, ci si o responsabilitate morala fata de clienti si parteneri pentru a asigura securitatea informatiilor sensibile. Neglijenta in protejarea datelor nu mai este o optiune intr-un mediu digital tot mai expus riscurilor de securitate.