Надзорният орган отбелязва, че сумите вече са платени
Румънският национален надзорен орган за защита на личните данни (ANSPDCP) тази година наложи две глоби след уведомления за нарушаване на сигурността на личните данни, които вече са платени.
През януари 2025 г. приключва разследване на администратора WEBRASOFT SRL, което установява нарушения на чл. 32, пар. 1, б. „б“ и „г“ и чл. 32, пар. 2 от Регламент (ЕС) 2016/679/GDPR.
Администраторът е санкциониран с глоба в размер на 99 518,00 леи (20 000 евро).
Разследването започва след уведомяване за нарушаване на сигурността на лични данни, съгласно разпоредбите на чл. 33 от GDPR. При проверката се установява, че администраторът е жертва на кибератака, чрез която сървърът, на който се съхранява клиентската база данни, е незаконно достъпен.
По време на разследването става известно, че нападателят е получил неоторизиран достъп до лични данни, съхранявани от администратора, което е повлияло на поверителността на личните данни на голям брой клиенти (име, фамилия, ЕГН, домашен адрес, телефон , имейл адрес, номер на банкова сметка).
В сайта на ANSPDCP пише, че е установено, че WEBRASOFT SRL не провежда редовни тестове, периодична оценка на ефективността на техническите и организационните мерки, за да се гарантира сигурността на обработката. Тези мерки са предназначени за ефективно прилагане на принципите за защита на данните и интегриране необходимите гаранции в обработването, за да отговаря на изискванията на Регламент (ЕС) 2016/679 и да защити правата на субектите на данни, включително възможността да се гарантират поверителност, цялост, наличност и устойчивост на системите и услугите за обработка.
Тази ситуация води до неоторизиран достъп на трета страна до лични данни, съхранявани от администратора, като по този начин е нарушен чл. 32, пар. 1, б. „б“ и „г“ и чл. 32, пар. 2 от GDPR.
Съгласно чл. 58, пар. 2, б. „г“ от Регламент (ЕС) 2016/679, е разпоредено техническо и организационно внедряване на система за регистриране на всички валидни достъпи /грешки по отношение на неуспешни опити за достъп до сървърите в ИТ инфраструктурата на администратора, със запазването им за най-малко 30 дни, включително архивиране на регистриращите файлове (логове).
Администраторът е платил наложената глоба.
Надзорният орган през февруари 2025 г. приключва проверката на администратора BEKO ROMANIA SA и установява нарушения на разпоредбите на чл. 32, пар. 1, б. „б“ и „г“ чл. 32, пар. 2 от Регламент (ЕС) 2016/679.
Администраторът е санкциониран с глоба в размер на 49 766,00 леи (10 000 евро), която е платена.
Разследването започва след уведомяване за нарушаване на сигурността на личните данни, съгласно разпоредбите на чл. 33 от Регламент (ЕС) 2016/679.
При проверката се установява, че неоторизирано лице, възползвало се от програмна уязвимост, е осъществило неправомерен достъп до уебсайта на администратора, съдържащ клиентската му база данни.
По този начин въпросното лице получава достъп до личните данни на голям брой клиенти на администратора, съответно: име, фамилия, телефонен номер, имейл адрес, местожителство, данни за продукта.
ANSPDCP пише, че е установено, че BEKO ROMANIA SA не прилага подходящи технически и организационни мерки, нито в момента на установяване на средствата за обработка, нито при обработката.
Установено е също, че администраторът не е извършвал редовни тествания и оценки на ефективността на техническите и организационните мерки, за да гарантира сигурността на обработката.
Тази ситуация води до неоторизиран достъп на трета страна до лични данни, нарушаващ разпоредбите на чл. 25, пар. 1, във вр. с чл. 32, пар. 1, б. „б“ и „г“ и чл. 32, пар. 2 от Регламент (ЕС) 2016/679.
Съгласно чл. 58, пар. 2, б. „г“ от Регламент (ЕС) 2016/679, на администратора е наредено да предприеме коригираща мярка да внедри от техническа и организационна гледна точка система за анализ на обема на данните в IT инфраструктурата на компанията BEKO ROMÂNIA SA, включително back-up.
Администраторът е платил наложената глоба.