Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a finalizat o investigație amplă la operatorul Maravet S.R.L., în urma unei notificări de încălcare a securității datelor transmisă de companie conform art. 33 din GDPR. Concluziile au fost ferme: operatorul a încălcat prevederile art. 32 alin. (4) coroborat cu art. 32 alin. (1) lit. b) și d) și alin. (2) din Regulamentul (UE) 2016/679.
Pentru aceste nereguli, Maravet S.R.L. a fost sancționat cu o amendă de 24.885,50 lei, echivalentul a 5.000 euro, sumă achitată ulterior de operator.
Cum a început incidentul
Investigația a fost declanșată după ce operatorul a notificat ANSPDCP despre o breșă de securitate:
un fost angajat a copiat și a divulgat în mod neautorizat informații din baza de date a companiei, publicându-le pe un site.
Ulterior, s-a constatat că acesta a postat datele chiar pe site-ul noului său angajator, unde au rămas vizibile pentru o perioadă determinată de timp.
Ce tipuri de date au fost expuse
Breșa a afectat un număr semnificativ de persoane vizate, iar datele publicate au inclus:
- nume și prenume
- numere de telefon
- adrese de e-mail
- adrese de domiciliu
- coduri numerice personale
- serii și numere de CI sau pașapoarte
- documente de angajare
- salarii și evaluări profesionale
- fotografii ale angajaților și clienților
Este vorba despre o expunere masivă de date cu caracter personal, multe dintre ele aparținând categoriei de date cu risc ridicat.
Ce a constatat ANSPDCP
Autoritatea a concluzionat că operatorul nu a implementat măsuri tehnice și organizatorice adecvate pentru a preveni accesul neautorizat la date. Mai exact:
- nu a asigurat că persoanele care acționează sub autoritatea operatorului prelucrează date doar la cererea acestuia
- nu a implementat controale eficiente pentru a garanta confidențialitatea și integritatea sistemelor
- nu a gestionat corespunzător accesul la date după încetarea raporturilor de muncă
Aceste deficiențe au permis fostului angajat să copieze și să publice informații sensibile fără nicio barieră tehnică sau procedurală.
Concluzie
Cazul Maravet S.R.L. reprezintă un exemplu clar al riscurilor generate de lipsa controlului asupra accesului la date, în special în contextul plecării angajaților.
GDPR impune operatorilor obligația de a implementa măsuri de securitate proporționale cu riscurile, iar nerespectarea acestora poate duce la incidente grave și sancțiuni semnificative.