„Amendă uriașă” la Renault România: Datele personale ale clienților, publicate online. Ce s-a întâmplat

Renault România a fost amendată cu 125.000 de euro după ce, în urma unui atac cibernetic asupra unei aplicații a companiei care era gestionată printr-un împuternicit, datele personale ale unui număr foarte mare de persoane au fost accesate și divulgate în mod neautorizat prin publicarea pe o platformă, a anunțat miercuri Autoritatea Națională pentru Protecția Datelor Personale (ANSPDCP).

Investigația a fost demarată după ce Renault Commercial Roumanie SRL (n.a. Renault România) a notificat autoritatea cu privire la încălcarea securității datelor cu caracter personal, potrivit dispozițiilor art. 33 din Regulamentul (UE) 2016/679.

Ce date au fost postate online

În cadrul investigației, care a fost finalizată în această lună, s-a constatat că, în urma unui atac cibernetic asupra unei aplicații a operatorului administrată prin împuternicit, au fost accesate și divulgate în mod neautorizat prin publicarea pe o platformă, o serie de categorii de date cu caracter personal aparținând unui număr foarte mare de persoane vizate.

„Astfel, au fost accesate și divulgate date cu caracter personal precum: nume, prenume, număr de telefon personal, număr de telefon profesional, adresa domiciliu, număr permis de conducere, adresă de e-mail, adresă poștală, cod numeric personal, seria de șasiu, data nașterii, serie și număr carte de identitate, funcția, angajatorul, număr personal de identificare pentru angajați”, spune autoritatea.

Ce sancțiuni a primit Renault

Autoritatea a constatat că Renault România „nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prezentat de prelucrare, incluzând printre altele capacitatea de a asigura confidențialitatea sistemelor și serviciilor de prelucrare, precum și introducerea unui proces pentru testarea, evaluarea și aprecierea periodică ale eficacității măsurilor tehnice și organizatorice pentru a garanta securitatea prelucrării”.

„De asemenea, s-a constatat că operatorul nu s-a asigurat că recurge doar la persoane împuternicite care oferă garanții suficiente pentru punerea în aplicare a unor măsuri tehnice și organizatorice adecvate, raportat la prevederile art. 28 alin. (1) din RGPD.”, menționează autoritatea.

Ca atare, operatorul a fost sancționat cu amendă în cuantum de 637.262,50 lei, echivalentul sumei de 125.000 euro, pentru încălcarea dispozițiilor art. 32 alin. (1) lit. b), d) și alin. (2) coroborat cu art. 28 alin. (1) din Regulamentul (UE) 2016/679.

Avertismentul unui expert GDPR

Despre „amenda uriașă” de 125.000 de euro aplicată către Renault România a atenționat miercuri și Tudor Galoș, expert în Regulamentul UE privind protecția datelor personale (GDPR).

„Partea interesantă: împuternicitul a suferit data breach-ul, dar Renault, în calitate de operator, încasează amenda, conform principiului de Accountability. De fapt, autoritatea și spune clar: „operatorul nu s-a asigurat că recurge doar la persoane împuternicite care oferă garanții suficiente pentru punerea în aplicare a unor măsuri tehnice și organizatorice adecvate”. Hai, luați-vă furnizori ieftini și buni și vedeți ce pățiți”, a scris Tudor Galoș pe Facebook.

„De mult nu a mai dat ANSPDCP o amendă de peste 100.000 de euro”

Într-o declarație pentru HotNews, Tudor Galoș explică unde a greșit mai exact Renault România.

„Unul dintre cele mai importante principii în GDPR este principiul responsabilității. În engleză se numește accountability, termen relativ intraductibil, ce înseamnă responsabilitate cu consecințe. Practic, un operator este direct responsabil de modul în care angajații, dar și furnizorii săi ce acționează în numele său (persoane împuternicite de operator, conform legii) prelucrează datele cu caracter personal.

Ceea ce înseamnă că dacă un angajat sau un furnizor ce acționează ca persoană împuternicită încalcă GDPR prelucrând datele personale în numele operatorului, operatorul va suporta consecințele: amenzi și măsuri corective. Acest lucru obligă operatorii să aleagă acei furnizori ce oferă garanții suficiente în ceea ce înseamnă prelucrările de date personale – adică nu cei mai ieftini, ci cei mai siguri. Fiindcă orice încălcare de GDPR a furnizorilor ce acționează ca împuterniciți se răsfrânge asupra operatorului.”, a declarat pentru HotNews Tudor Galoș.

Ce spune despre amenda aplicată Renault?

„Această amendă este uriașă întrucât de mult nu a mai dat ANSPDCP o amendă de peste 100.000 euro”, a precizat expertul în GDPR.