Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a finalizat în luna mai 2026 o investigație la Altex România S.R.L și a constatat încălcarea dispozițiilor art. 32 alin. (1), lit. b) și d) și alin. (2), a art. 33 alin. (1) și a art. 34 alin. (1) din Regulamentul (UE) 2016/679.

Ca atare, Altex România S.R.L a fost sancționat contravențional cu amendă, astfel:

amendă în cuantum de 36.461 lei (echivalentul sumei de 7.000 euro) pentru încălcarea dispozițiilor art. 32 alin. (1), lit. b) și d) și alin. (2) din Regulamentul (UE) 2016/679, întrucât nu a implementat măsuri tehnice și organizatorice adecvate;
amendă în cuantum de 10.417 lei (echivalentul sumei de 2.000 euro) pentru încălcarea dispozițiilor art. 33 alin. (1) din Regulamentul (UE) 2016/679, întrucât operatorul nu a transmis Autorității Naționale de Supraveghere notificarea privind încălcarea securității datelor cu caracter personal;
amendă în cuantum de 5.208 lei (echivalentul sumei de 1.000 euro)pentru încălcarea dispozițiilor art. 34 alin. (1) din Regulamentul (UE) 2016/679, deoarece operatorul nu a informat persoana vizată asupra faptului că i-a fost încălcată securitatea datelor cu caracter personal.

Investigația a fost demarată ca urmare a transmiterii unor petiții de către o persoană fizică care a semnalat posibile încălcări ale Regulamentului (UE) 2016/679.

Ca urmare a investigației efectuate a rezultat că, datorită unei vulnerabilități tehnice din cadrul aplicației mobile a operatorului în procesul de validare a contului petentului, au fost accesate date cu caracter personal aparținând unei terțe persoane.

Astfel, această disfuncționalitate a condus la accesul neautorizat la datele cu caracter personal ale unei terțe persoane, precum: nume, prenume, facturi și adrese de livrare.

În cadrul investigației, s-a constatat că operatorul nu a implementat suficiente măsuri tehnice și organizatorice adecvate pentru asigurarea securității și confidențialității datelor cu caracter personal, conform prevederilor art. 32 alin. (1) și (2) din Regulamentul (UE) 2016/679.

În plus, s-a constatat că operatorul nu a notificat Autoritatea Națională de Supraveghere cu privire la incidentul de încălcare a securității datelor cu caracter personal și nici nu a informat persoana afectată, încălcând astfel prevederile art. 33 și ale art. 34 din Regulamentul (UE) 2016/679.

Totodată, în temeiul art. 58 alin. (2) lit. d) din Regulamentul (UE) 2016/679 s-au dispus față de operator următoarele măsuri corective:

revizuirea mecanismelor de validare/autentificare asociate conturilor utilizatorilor;
implementarea unor proceduri de testare periodică a vulnerabilităților aplicației;
implementarea unor proceduri interne privind gestionarea incidentelor de securitate și evaluarea obligațiilor de notificare conform art. 33 și 34 din Regulamentul (UE) 2016/679;
instruirea periodică a personalului implicat în gestionarea incidentelor și a solicitărilor persoanelor vizate;
transmiterea unui răspuns scris către petent cu privire la aspectele sesizate.

Direcția juridică și comunicare

A.N.S.P.D.C.P.