Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a finalizat, în luna decembrie 2024, o investigație la operatorul S.P.E.E.H. HIDROELECTRICA S.A și a constatat încălcarea art. 25 alin. (1) și alin. (2) din Regulamentul (UE) 2016/679.

Ca atare, operatorul a fost sancționat cu amendă în cuantum de 74.562 Lei (echivalentul sumei de 15.000 Euro).

Investigația a fost demarată ca urmare a transmiterii de către operatorul S.P.E.E.H. HIDROELECTRICA S.A a unei notificări de încălcare a securității datelor cu caracter personal, potrivit dispozițiilor art. 33 din Regulamentul (UE) 2016/679.

În cadrul investigației, s-a constatat că încălcarea securității datelor cu caracter personal a avut loc în cadrul și în momentul lansării aplicației operatorului, ca urmare a unei erori tehnice și a neefectuării unei testarări suficiente a acesteia într-un mediu de test, care să simuleze mediul de utilizare reală în toate procesele și interacțiunile cu alte aplicații folosite de operator.

Această situație, a condus la pierderea integrității și disponibilității datelor cu caracter personal, respectiv la divulgarea neautorizată și/sau accesul neautorizat la datele cu caracter personal aparținând unui număr semnificativ de persoane vizate.

În consecință, întrucât operatorul nu a prelucrat datele cu caracter personal într-un mod care asigură securitatea adecvată a acestora, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare, acesta a fost sancționat cu amendă, pentru încălcarea prevederilor art. 25 alin. (1) și alin. (2) din Regulamentul (UE) 2016/679.

Totodată, s-a dispus față de operator măsura corectivă de implementare tehnică și procedurată a unui plan de testare în mediul de test, care să simuleze scenariul real din producție în toate situațiile plauzibile din mediul de producție, anterior lansării în producție a tuturor componentelor/aplicațiilor ce se doresc a fi introduse în cadrul activităților care includ prelucrări de date cu caracter personal.

Operatorul a achitat amenda contravențională stabilită.

Direcția juridică și comunicare

A.N.S.P.D.C.P