Apa Canal Ilfov amendata pentru utilizarea gresita a email-ului
Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) a finalizat, in luna decembrie 2022, o investigatie la operatorul Apa Canal Ilfov SA, constatand incalcarea prevederilor Regulamentului (UE) 2016/679.
Investigatia a relevat ca operatorul a incalcat dispozitiile art. 32 alin. (1) lit. b), art. 32 alin. (2) si art. 32 alin. (4) din regulament, ceea ce a condus la sanctionarea acestuia cu o amenda contraventionala de 14.757,60 RON, echivalentul a 3.000 de euro.
Aceasta investigatie a fost declansata ca urmare a unei notificari de incalcare a securitatii datelor transmisa de catre operatorul Apa Canal Ilfov SA. Conform rezultatelor investigatiei, incalcarea securitatii datelor a survenit in urma unei erori operationale. Pentru a transmite un mesaj electronic utilizatorilor inregistrati pe portalul online al societatii, operatorul a introdus eronat adresele de e-mail la sectiunea „To”, in loc de „BCC”. Aceasta eroare a dus la divulgarea neautorizata a adreselor de e-mail ale unui numar semnificativ de persoane fizice, generand o bresa de securitate.
Prin aceasta situatie, datele personale ale utilizatorilor au fost expuse neautorizat, fapt ce a contravenit obligatiilor impuse de GDPR privind protectia datelor. Mai exact, ANSPDCP a constatat ca operatorul nu a implementat masuri tehnice si organizatorice adecvate pentru asigurarea unui nivel de securitate corespunzator riscului prelucrarii, conform art. 32 alin. (1) lit. b) care prevede obligatia implementarii unor masuri adecvate pentru asigurarea confidentialitatii, integritatii si disponibilitatii datelor. De asemenea, art. 32 alin. (2) subliniaza necesitatea evaluarii riscurilor si adoptarea de solutii tehnice care sa limiteze vulnerabilitatile, iar art. 32 alin. (4) impune operatorilor obligatia de a se asigura ca persoanele autorizate sa prelucreze date au primit instructiuni corespunzatoare privind protectia acestora.
Conform GDPR, operatorii de date trebuie sa aplice protocoale riguroase pentru prevenirea unor astfel de incidente. Printre masurile recomandate se numara utilizarea unor proceduri stricte de trimitere a mesajelor electronice, instruirea personalului responsabil cu prelucrarea datelor si implementarea unor verificari automate care sa previna erorile umane.
ANSPDCP a subliniat ca, in ciuda impactului aparent minor al acestei incalcari, protectia datelor cu caracter personal trebuie tratata cu maxima seriozitate, avand in vedere posibilele consecinte asupra persoanelor vizate. Divulgarea adreselor de e-mail, chiar si accidental, poate facilita atacuri de tip phishing, spam sau alte tentative de frauda informatica.
Aceasta sanctiune se adauga unei serii de actiuni similare desfaturate de ANSPDCP, menite sa impuna respectarea reglementarilor europene privind protectia datelor. Autoritatea va continua sa monitorizeze respectarea acestor norme si sa aplice sanctiuni atunci cand este necesar, pentru a proteja drepturile persoanelor vizate si pentru a preveni incidente viitoare similare.