Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a finalizat, în luna ianuarie 2025, o investigație la operatorul WEBRASOFT SRL și a constatat încălcarea dispozițiilor art. 32 alin. (1) lit. b) și d) art. 32 alin. (2) din Regulamentul (UE) 2016/679.

Ca atare, operatorul a fost sancționat contravențional cu amendă în cuantum de 99.518,00 lei (echivalentul a 20.000 de EURO).

Investigația a fost demarată ca urmare a unei notificări de încălcare a securității datelor cu caracter personal, conform dispozițiilor art. 33 din Regulamentul (UE) 2016/679.

În cadrul investigației efectuate, s-a constatat faptul că, operatorul care deținea un site de facturare online a fost victima unui atac informatic, prin care a fost accesat, în mod ilegal, serverul pe care era stocată baza de date a clienților.

Totodată, în cursul investigației, a rezultat că atacatorul a accesat neautorizat datele cu caracter personal deținute de operator, ceea ce a afectat confidențialitatea datelor personale ale unui număr mare de clienți (numele, prenumele, codul numeric personal, adresa de domiciliu, telefonul, adresa de e-mail, numărul de cont bancar).

Ca urmare, s-a constatat faptul că WEBRASOFT SRL nu a realizat testarea, evaluarea și aprecierea periodice ale eficacității măsurilor tehnice și organizatorice pentru a garanta securitatea prelucrării, destinate să pună în aplicare în mod eficient principiile de protecție a datelor și să integreze garanțiile necesare în cadrul prelucrării, pentru a îndeplini cerințele Regulamentului (UE) 2016/679 și pentru a proteja drepturile persoanelor vizate, incluzând capacitatea de a asigura confidențialitatea, integritatea, disponibilitatea și rezistența continue ale sistemelor și serviciilor de prelucrare.

Această situație a condus la accesul neautorizat al unui terț la datele cu caracter personal deținute de operator, fiind astfel încălcate prevederile art. 32 alin. (1) lit. b) și d) și art. 32 alin. (2) din RGPD.

În temeiul art. 58 alin. (2) lit. d) din Regulamentul (UE) 2016/679, s-a dispus implementarea tehnică si organizatorică a unui sistem de jurnalizare a tuturor accesărilor valide/erorilor privind încercările nereușite de acces asupra serverelor din infrastructura IT a operatorului, cu reținerea acestora pe o durată de cel puțin 30 de zile, inclusiv cu efectuarea de back-up asupra fișierelor de jurnalizare (log-uri).

Menționăm că operatorul a achitat amenda aplicată.

Direcția juridică și comunicare

A.N.S.P.D.C.P