Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a finalizat, în luna octombrie 2026, o investigație la operatorul Expert Petroleum S.R.L. și a constatat încălcarea art. 32 alin. (1) lit. b) și d) și alin. (2) din Regulamentul (UE) 2016/679.

Ca atare, operatorul a fost sancționat cu amendă în cuantum de 42.788 lei, echivalentul sumei de 8.000 euro.

Investigația a fost demarată ca urmare a transmiterii de către operatorul Expert Petroleum S.R.L. a unei notificări de încălcare a securității datelor cu caracter personal, potrivit dispozițiilor art. 33 din Regulamentul (UE) 2016/679.

În cadrul investigației, s-a constatat că, în urma unui atac cibernetic asupra infrastructurii operatorului, au fost afectate confidențialitatea și securitatea datelor cu caracter personal.

Această situație a condus la divulgarea și accesul neautorizat la datele cu caracter personal ce aparțin unui număr semnificativ de persoane vizate, respectiv: nume, prenume, cod numeric personal, data și locul nașterii, cetățenia, starea civilă, seria și numărul cărții de identitate și ale pașaportului, adresa de domiciliu, numărul de telefon, adresa de e-mail, date privind situația profesională și studiile, imaginea, semnătura, adresa IP (internet protocol), participații/acțiuni deținute la diferite entități/societăți și calitatea deținută în cadrul acestora; date din certificatele de calificare, date privind starea de sănătate, date privind tranzacții financiare.

Ca atare, s-a constatat că operatorul nu a implementat măsuri tehnice și organizatorice adecvate și nu a realizat testarea, evaluarea și aprecierea periodică ale eficacității măsurilor tehnice și organizatorice pentru a garanta securitatea prelucrării.

Totodată, în temeiul art. 58 alin. (2) lit. d) din Regulament s-au dispus față de operator următoarele măsuri corective:

Implementarea unor sisteme de monitorizare/jurnalizare a accesului în infrastructura informatică utilizată pentru prelucrarea datelor cu caracter personal care să includă o perioadă de păstrare a jurnalelor de activitate de minim 30 zile, inclusiv introducerea unei proces de salvare a acestora.
În cazul în care se menține oportunitatea accesului din exterior la infrastructura informatică a Expert Petroleum S.R.L, acesta se va realiza exclusiv prin utilizarea VPN (rețea privată virtuală) și autentificare multifactor (MFA).

Direcția juridică și comunicare

A.N.S.P.D.C.P