Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a finalizat, în luna decembrie 2024, mai multe investigații la operatorul Vodafone Romania S.A. și a constatat încălcarea dispozițiilor art. 32 alin. (4) coroborat cu art. 32 alin. (1) lit. b din Regulamentul (UE) 2016/679.

Ca atare, operatorul a fost sancționat contravențional cu amendă în cuantum de 74.526 Lei (echivalentul sumei de 15000 Euro).

Investigațiile au fost demarate ca urmare a transmiterii de către operator a mai multor notificări de încălcare a securității datelor cu caracter personal, potrivit dispozițiilor art. 33 din Regulamentul (UE) 2016/679, dar și ca urmare a unor sesizări.

În cadrul investigațiilor a rezultat că, în mod repetat, operatorul Vodafone Romania S.A. nu a asigurat confidențialitatea datelor apartinând mai multor persoane vizate, clienți ai companiei (nume, prenume, adrese de e-mail, CNP, Cod client și adresa client), ca urmare a nerespectării politicilor și procedurilor de lucru în ceea ce privește prelucrarea datelor cu caracter personal de către angajații sau persoanele împuternicite ale acestuia.

Încălcărea securității datelor a fost determinată de situații precum:

transmiterea neautorizată a unei poze cu detaliile facturii unei persoane vizate către o persoană terță;
neascunderea adreselor de e-mail ale destinatarilor și neselectarea opțiunii “ BCC” (blind carbon copy) cu ocazia informării unor persoane vizate asupra unor modificări cu privire la managerul de cont al acestora;
transmiterea prin WhatsApp de către angajatul unui împuternicit al operatorului, a unei fotografii conținând o captura de ecran cu date afișate în interfața aplicației operatorului;
transmiterea în mod eronat a unei facturi aparținând unei persoane vizate către un terț.

Incidentele produse au condus la divulgarea și accesul neautorizat la datele cu caracter personal ale mai multor persoane vizate.

Astfel, s-a constatat ca operatorul nu a luat măsuri tehnice și organizatorice adecvate pentru a asigura că orice persoană fizică care acționează sub autoritatea sa și are acces la datele cu caracter personal, nu le prelucrează decât la cererea sa și nici nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prelucrării datelor incluzând capacitatea de a asigura confidențialitatea și integritatea acestora.

Pentru aceaste fapte, operatorul a fost sancționat cu amendă pentru încălcarea dispozițiilor art. 32 alin. (4) coroborat cu art. 32 alin. (1) lit. b) din Regulamentul (UE) 2016/679.

Operatorul a achitat amenda contravențională stabilită.

Direcția juridică și comunicare

A.N.S.P.D.C.P