Rompetrol Downstream SRL sanctionat pentru incalcarea normelor GDPR
Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) a finalizat, in luna octombrie 2024, o investigatie privind operatorul Rompetrol Downstream SRL. Aceasta a constatat incalcarea prevederilor art. 32 alin. (1) lit. b) si alin. (2), coroborat cu art. 83 alin. (4) lit. a) din Regulamentul (UE) 2016/679. Ca urmare, operatorul a fost sanctionat cu o amenda de 19.893,20 lei, echivalentul a 4.000 de euro.
Incidentul care a dus la sanctiune
Investigatia a fost initiata dupa ce Rompetrol Downstream SRL a notificat ANSPDCP despre o incalcare a securitatii datelor cu caracter personal, conform obligatiilor prevazute de art. 33 din Regulamentul (UE) 2016/679. Incidentul a constat in transmiterea unor e-mailuri neautorizate cu continut malitios de tip „phishing” catre mai multe persoane fizice.
De asemenea, datele personale ale unor persoane vizate, inclusiv adrese de e-mail, nume si prenume continute in denumirea e-mailului, semnaturi digitale si alte informatii sensibile, au fost descarcate si accesate ilegal. Acest lucru a reprezentat o vulnerabilitate majora in protectia datelor gestionate de operator.
Deficientele constatate
in urma investigatiei, ANSPDCP a stabilit ca adresa de e-mail utilizata de Rompetrol Downstream SRL pentru corespondenta cu clientii era administrata de o persoana juridica imputernicita de operator. Cu toate acestea, parola de acces la aceasta adresa era cunoscuta de mai multi angajati, ceea ce a dus la acces neautorizat si la compromiterea confidentialitatii datelor.
Totodata, s-a constatat ca operatorul nu a implementat masuri tehnice si organizatorice corespunzatoare pentru asigurarea unui nivel adecvat de securitate. Aceste deficiente au afectat capacitatea de protejare a datelor si au favorizat incidentul de securitate investigat.
Sanctiuni si masuri corective
Pentru aceste incalcari, Rompetrol Downstream SRL a fost amendat cu suma de 19.893,20 lei. Pe langa sanctiunea financiara, operatorului i s-a impus adoptarea unor masuri corective, inclusiv:
- Stabilirea unui plan de inspectii si audituri la nivelul persoanei juridice imputernicite;
- Implementarea unor masuri eficiente pentru remedierea deficientelor constatate;
- Aplicarea unor solutii pentru prevenirea unor incidente similare in viitor.
Aceasta sanctiune subliniaza importanta protectiei datelor personale si necesitatea aplicarii unor politici stricte de securitate cibernetica in randul operatorilor economici. ANSPDCP reafirma angajamentul de a monitoriza respectarea Regulamentului (UE) 2016/679 si de a proteja drepturile persoanelor vizate.