Firma care operează platforma MyConnector, de organizare de evenimente virtuale, hibride și fizice, a fost amendată cu 6.000 EUR de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) după ce un atac informatic a permis accesul neautorizat la datele personale ale utilizatorilor.
ANSPDCP a anunțat vineri că investigația la MyConnector Platform SRL a fost declanșată după ce firma a notificat instituția cu privire la incidentul de securitate.
În urma verificărilor, Autoritatea a constatat că atacul informatic a vizat serverul de testare al operatorului. Firma nu implementase măsuri de securitate adecvate pentru testarea aplicației, ceea ce a permis unei persoane neautorizate să acceseze datele personale.
Printre informațiile expuse s-au numărat numele, adresele de e-mail, numerele de telefon, CNP-urile și seriile și numerele actelor de identitate, potrivit autorității.
„Operatorul nu a implementat măsuri corespunzătoare pentru testarea aplicației MyConnector Platform, ceea ce a condus la obținerea de către un terț a accesului la anumite date cu caracter personal, precum: adresele de e-mail, numerele de telefon, numele și prenumele utilizatorilor, codurile numerice personale, seriile și numerele actelor de identitate”, precizează ANSPDCP.
O altă problemă identificată a fost folosirea datelor reale ale utilizatorilor în procesul de testare, în locul unor date fictive. Această practică a mărit impactul incidentului, deoarece a expus informațiile personale ale unui număr semnificativ de persoane.
„Operatorul a utilizat pentru testarea aplicației sale date cu caracter personal reale (în loc de date fictive), ceea ce a condus la expunerea datelor personale ale unui număr semnificativ de persoane vizate, având ca efect agravarea impactului incidentului”, conform ANSPDCP.
Astfel, incidentul de securitate a fost cauzat de lipsa implementării unor măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prelucrării, incluzând capacitatea de a asigura confidențialitatea și integritatea sistemelor și serviciilor de prelucrare, concluzionează Autoritatea.
Ca atare, firma a fost sancționată cu amendă de 31.451 lei, echivalentul a 6.000 EUR, în baza Regulamentului GDPR (UE) 2016/679.
În plus, firma va trebui să instituie o procedură internă care să prevadă utilizarea exclusivă, în mediile de dezvoltare și testare, a unor date fictive.