Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a amendat magazinele Auchan România cu 8.000 EUR, în urma unui atac informatic care a dus la compromiterea datelor personale ale unor utilizatori interni.
Investigația ANSPDCP a început ca urmare a unei notificări transmise de Auchan România S.A. cu privire la încălcarea securității datelor cu caracter personal.
Investigația a arătat că atacul a vizat un cont de administrator al unuia dintre sistemele de securitate ale operatorului, iar compania nu avea implementate măsuri tehnice și organizatorice suficiente pentru a preveni accesul neautorizat la date.
„În cursul investigației, a rezultat că operatorul nu avea implementate, la momentul atacului informatic, măsuri de securitate cu cerințe specifice privind accesul securizat la echipamentul de stocare de rețea care să diminueze riscul unui acces neautorizat la datele personale menționate”, precizează ANSPDCP.
Astfel, au fost accesate și divulgate în mod neautorizat datele cu caracter personal ale unui număr semnificativ de persoane vizate (utilizatori interni), precum: user-ul, numele, prenumele, adresa de e-mail și parola..
„Auchan România S.A. nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prelucrării, incluzând capacitatea de a asigura confidențialitatea sistemelor și serviciilor de prelucrare. Această situație a condus la divulgarea neautorizată sau accesul neautorizat al unui terț la datele cu caracter personal deținute de operator, fiind astfel încălcate prevederile art. 32 alin. (1) lit. b) și alin. (2) din Regulamentul (UE) 2016/679”, precizează Autoritatea pentru protecția datelor personale.
Astfel, Auchan România SA a fost sancționată contravențional cu amendă în valoare de 41.908 lei (echivalentul a 8.000 EUR).
Pe lângă amendă, ANSPDCP a dispus și o măsură corectivă pentru Auchan România.
Compania trebuie să implementeze reguli tehnice și organizatorice prin care accesul la toate echipamentele IT să se realizeze exclusiv din rețeaua sa internă.
„Implementare tehnică și organizatorică a regulilor de acces în toate echipamentele IT ale operatorului să se efectueze exclusiv din rețeaua internă a societății, iar în situația în care se considera necesar accesul din exterior, acesta să poată fi făcut cel puțin prin utilizarea concomitentă a unei rețele VPN și a autentificării multifactor MFA”, precizează ANSPDCP.