O firmă românească de servicii de contabilitate a fost sancționată de Autoritatea pentru Protecția Datelor Personale cu amendă în valoare de 10.000 EUR, în baza celebrului Regulament GDPR.
Potrivit Autorității Naționale de Supraveghere a Datelor cu Caracter Personal (ANSPDCP), firma V&M Contab&Management SRL i-ar fi trimis pe WhatsApp unei „persoane terțe” un tabel cu parole de acces în platforma Revisal pentru mai multe entități juridice, prin intermediul cărora se puteau accesa datele personale ale angajaților sau foștilor angajați ai acestor firme.
„Acest incident a condus la accesul neautorizat și la divulgarea neautorizată a datelor cu caracter personal (precum, numele, prenumele, cetățenia, codul numeric personal, domiciliul) prelucrate. Prin urmare, operatorul nu a luat măsuri pentru a se asigura că orice persoană fizică care acționează sub autoritatea sa și are acces la date cu caracter personal nu le prelucrează decât la cererea operatorului. Totodată, operatorul nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prelucrării, incluzând capacitatea de a asigura confidențialitatea și integritatea sistemelor și serviciilor de prelucrare”, spune ANSPDCP.
În cadrul investigației care s-a finalizat în luna decembrie 2024, Autoritatea de protecție a datelor personale a constatat că operatorul nu a răspuns solicitărilor sale de informații, deși avea obligația de a permite accesul instituției la datele cu caracter personal și la toate informațiile necesare în vederea îndeplinirii atribuțiilor legale.
Pentru cele două situații, firma de servicii de contabilitate a fost sancționată contravențional:
- 1. cu amendă în cuantum de 9.954,00 lei (echivalentul sumei de 2.000 EUR), pentru încălcarea dispozițiilor art. 58 alin. (1) lit. a) și e) din Regulamentul (UE) 2016/679 coroborat cu art. 83 alin. (5) lit. e) din Regulamentul (UE) 2016/679;
- 2. cu amendă în cuantum de 39.816,00 lei (echivalentul sumei de 8.000 EUR), pentru încălcarea dispozițiilor art. 32 alin. (4) coroborat cu art. 32 alin. (1) lit. b) și alin. (2) din Regulamentul (UE) 2016/679.
Firma va mai trebui să schimbe credențialele de acces în platforma Revisal pentru toate entitățile juridice afectate de incident, conform ANSPDCP.