Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a finalizat, în luna iunie 2026, o investigație la operatorul HOMELUX S.R.L. și a constatat încălcarea art. 32 alin. (1) lit. d) și alin. (2) din Regulamentul (UE) 2016/679, precum și încălcarea art. 4 alin. (5) din Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice.

Ca atare, operatorul a fost sancționat contravențional, astfel:

amendă în cuantum de 78.570 lei, echivalentul sumei de 15.000 euro, pentru încălcarea dispozițiilor art. 32 alin. (1) lit. d) și alin. (2) din Regulamentul (UE) 2016/679;
amendă în cuantum de 30.000 lei pentru încălcarea art. 4 alin. (5) din Legea 506/2004.

Investigația a fost demarată ca urmare a transmiterii de către operatorul HOMELUX S.R.L a unei notificări de încălcare a securității datelor cu caracter personal, potrivit dispozițiilor art. 33 din Regulamentul (UE) 2016/679.

În cadrul investigației, s-a constatat că incidentul s-a datorat unui atac cibernetic asupra platformei ce asigura funcționarea site-ului administrat de operator; la momentul producerii incidentului platforma nu corespundea din punct de vedere tehnic cu versiunea oficială lansată de producător.

În același timp, s-a constatat că incidentul a fost facilitat și de complexitatea redusă a parolelor folosite la momentul creării conturilor pe site-ul deținut de operator, deficiență neremediată după incident.

Din investigație a rezultat că operatorul nu a asigurat securitatea adecvată a datelor prelucrate (nume, prenume, adrese, e-mailuri și parole), inclusiv împotriva prelucrării neautorizate sau ilegale, a pierderii, distrugerii sau a deteriorării accidentale.

Ca atare, s-a constatat că operatorul nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prezentat de prelucrare, incluzând printre altele capacitatea de a asigura confidențialitatea sistemelor și serviciilor de prelucrare, precum și introducerea unui proces pentru testarea, evaluarea și aprecierea periodică ale eficacității măsurilor tehnice și organizatorice pentru a garanta securitatea prelucrării.

De asemenea, cu ocazia efectuării investigației s-a constatat că operatorul a stocat informații, respectiv module cookies care nu erau necesare din punct de vedere tehnic pentru funcționarea site-ului deținut de acesta și a obținut accesul la informația stocată în echipamentul terminal al utilizatorilor site-ului, fără obținerea acordului acestora.

În același timp, Autoritatea națională de supraveghere a aplicat și următoarele măsuri corective prin care s-a dispus ca operatorul:

să implementeze unui plan procedurat care să includă un proces de testare, evaluare și apreciere periodică ale tuturor sistemelor și modificărilor ulterioare ale acestora efectuate de operator sau furnizorii de servicii (persoane împuternicite), în special asupra site-ului administrat de acesta;
să implementeze măsuri tehnice și organizatorice adecvate pentru controlul și securizarea accesului la conturile create pe site-ul administrat de operator, inclusiv prin stabilirea unor cerințe minime de complexitate a parolelor, utilizarea autentificării multifactor pentru conturile cu privilegii administrative, gestionarea și dezactivarea conturilor inactive, precum și aplicarea principiului privilegiului minim; să implementeze măsuri tehnice adecvate pentru protejarea aplicației web împotriva accesului neautorizat și a exploatării vulnerabilităților, inclusiv mecanisme de detectare și blocare a tentativelor de atac, validare și filtrare a datelor introduse de utilizatori, precum și restricționarea accesului la interfețele administrative, în vederea asigurării confidențialității, integrității și disponibilității datelor cu caracter personal prelucrate;
pentru site-ul administrat de operator, să se îndeplinească, în mod cumulativ, condițiile impuse de prevederile art. 4 alin. (5) din Legea 506/2004.

Direcția juridică și comunicare

A.N.S.P.D.C.P