Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a finalizat, în luna august 2026, o investigație la operatorul GLOBAL CUSTOMER CARE SERVICES S.R.L și a constatat încălcarea art. 32 alin. (1) lit. b) și d) și alin. (2) din Regulamentul (UE) 2016/679.

Ca atare, operatorul a fost sancționat cu amendă în cuantum 26.294 lei, echivalentul sumei de 5.000 euro.

Investigația a fost demarată ca urmare a transmiterii de către operatorul GLOBAL CUSTOMER CARE SERVICES S.R.L a unei notificări de încălcare a securității datelor cu caracter personal, potrivit dispozițiilor art. 33 din Regulamentul (UE) 2016/679.

În cadrul investigației, s-a constatat că, în urma unui atac cibernetic asupra infrastructurii operatorului, au fost afectate confidențialitatea și disponibilitatea datelor cu caracter personal conținute de aceasta.

Acest lucru a condus la accesul neautorizat la datele cu caracter personal ale unui număr semnificativ de persoane vizate (angajați, foști angajați și alte persoane).

Astfel, au fost accesate în mod neautorizat date precum: nume, prenume, date de contact, date privind educația și certificări/atestări profesionale, privind salariul și alte beneficii, date de identificare cuprinse în actele de identitate și alte documente, date de cont bancar și alte date necesare efectuării plăților, detalii privind raporturile de muncă anterioare și/sau existente, date privind rezidența, date necesare obținerii permiselor de ședere, date de contact ale reprezentanților/persoanelor desemnate.

Ca atare, s-a constatat că operatorul nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prezentat de prelucrare, incluzând printre altele capacitatea de a asigura confidențialitatea sistemelor și serviciilor de prelucrare, precum și introducerea unui proces pentru testarea, evaluarea și aprecierea periodică ale eficacității măsurilor tehnice și organizatorice pentru a garanta securitatea prelucrării.

Totodată, în temeiul art. 58 alin. (2) lit. d) din Regulament s-a dispus față de operator măsura corectivă de implementare a unor sisteme de monitorizare/jurnalizare a accesului în infrastructura informatică utilizată pentru prelucrarea datelor cu caracter personal, care să includă o perioadă de păstrare a jurnalelor de activitate de minim 30 zile, inclusiv introducerea unei proces de salvare a acestora.

Direcția juridică și comunicare

A.N.S.P.D.C.P