BEKO Romania amendata cu 10.000 euro pentru nerespectarea securitatii datelor
Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) a emis un comunicat de presa prin care a anuntat finalizarea unei investigatii la operatorul BEKO ROMANIA SA.
Investigatia, desfasurata in luna februarie 2025, a relevat incalcarea dispozitiilor art. 32 alin. (1) lit. b) si d) si art. 32 alin. (2) din Regulamentul (UE) 2016/679 (Regulamentul General privind Protectia Datelor – GDPR).
Investigatia a fost initiata ca urmare a unei notificari de incalcare a securitatii datelor cu caracter personal, conform art. 33 din GDPR. Conform informatiilor furnizate, o persoana neautorizata a exploatat o vulnerabilitate de programare pentru a accesa ilegal site-ul operatorului, care continea baza de date a clientilor sai. Aceasta bresa de securitate a permis accesul la datele personale ale unui numar mare de clienti, inclusiv:
- Nume si prenume
- Numar de telefon
- Adresa de e-mail
- Domiciliu
- Detalii despre produs
In urma investigatiei, ANSPDCP a constatat ca BEKO ROMANIA SA nu a implementat masuri tehnice si organizatorice adecvate pentru a asigura securitatea prelucrarii datelor, atat in momentul stabilirii mijloacelor de prelucrare, cat si in timpul prelucrarii propriu-zise. De asemenea, operatorul nu a efectuat testarea, evaluarea si aprecierea periodica a eficientei masurilor tehnice si organizatorice pentru a garanta securitatea prelucrarii. Aceste deficiente au condus la accesul neautorizat al unui tert la datele personale ale clientilor, incalcand astfel dispozitiile art. 25 alin. (1) coroborat cu art. 32 alin. (1) lit. b) si d) si art. 32 alin. (2) din GDPR.
Art. 32 alin. (1) lit. b) si d) din Regulamentul (UE) 2016/679 prevede ca operatorul are obligatia de a implementa masuri tehnice si organizatorice adecvate pentru a asigura un nivel de securitate corespunzator riscurilor prezentate de prelucrarea datelor, incluzand:
- capacitatea de a asigura confidentialitatea, integritatea, disponibilitatea si rezilienta sistemelor si serviciilor de prelucrare;
- un proces pentru testarea, evaluarea si aprecierea periodica a eficientei masurilor tehnice si organizatorice pentru a garanta securitatea prelucrarii.
Art. 32 alin. (2) din GDPR stipuleaza ca operatorul trebuie sa ia masuri pentru a asigura ca orice persoana care actioneaza sub autoritatea sa si are acces la date cu caracter personal nu le prelucreaza decat la cererea operatorului, cu exceptia cazului in care acest lucru este impus de legislatia Uniunii Europene sau a unui stat membru.
Art. 25 alin. (1) din Regulamentul General privind Protectia Datelor prevede principiul protectiei datelor prin conceptie si prin setari implicite, obligand operatorii sa ia masuri tehnice si organizatorice adecvate inca din faza initiala a prelucrarii datelor, astfel incat sa fie respectate cerintele regulamentului si drepturile persoanelor vizate.
Pentru aceste incalcari, BEKO ROMANIA SA a fost sanctionata contraventional cu o amenda in cuantum de 49.766 lei, echivalentul a 10.000 de euro. Operatorul a achitat amenda aplicata.
Pe langa amenda aplicata, Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personala dispus si masura corectiva de a implementa, sub aspect tehnic si organizatoric, un sistem de analiza a volumului de date in infrastructura IT a societatii BEKO ROMANIA SA, inclusiv efectuarea de backup asupra acestuia. Aceasta masura are scopul de a preveni pe viitor incidente similare si de a asigura o protectie adecvata a datelor cu caracter personal ale clientilor.
Cazul BEKO ROMANIA SA evidentiaza necesitatea unei atentii sporite din partea operatorilor in ceea ce priveste securitatea datelor cu caracter personal. Respectarea prevederilor GDPR nu este doar o obligatie legala, ci si o responsabilitate fata de clienti si parteneri. Implementarea unor masuri adecvate de securitate si efectuarea de evaluari periodice pot preveni incidentele de securitate si pot mentine increderea publicului in serviciile oferite.