ANSPDCP a sancționat, în luna iunie 2026, Orange România S.A. cu amenzi în valoare totală de 100.000 de euro, după ce a constatat încălcarea art. 25 și art. 32 din Regulamentul (UE) 2016/679 (RGPD). Investigația a vizat două incidente distincte. Primul incident a vizat o eroare de configurare care a permis unor clienți să acceseze facturile altor persoane. Al doilea incident a privit un atac informatic asupra unei aplicații interne, facilitat de lipsa unor măsuri elementare de securitate (VPN, autentificarea multifactor (MFA) și restricționarea accesului pe bază de IP).
În urma acestor vulnerabilități au fost divulgate neautorizat volume importante de date cu caracter personal, respectiv nume, adrese, CNP-uri, copii ale actelor de identitate, informații privind cardurile bancare, IBAN-uri și alte date sensibile. ANSPDCP a constatat că, în urma acestui incident, „a fost sustras neautorizat un volum foarte mare de date personale ale persoanelor vizate, cum ar fi: numele și prenumele; adresele, numerele de telefon, adresele de e-mail, codul numeric personal, seria și numărul cărţii de identitate, inclusiv copii ale cărţii de identitate; informații legate de cardurile bancare, data expirării, furnizorul cardului; date de autentificare care reprezintă potențiale chei de acces pentru comunicare între aplicații (trecute sau prezente), codul de client, codul IBAN, numerele de SIM; tipologie funcție angajați”.
Drept măsură corectivă, autoritatea de supraveghere a obligat Orange să implementeze un proces permanent de monitorizare, testare și verificare a tuturor aplicațiilor informatice, astfel încât modificările de software și interconectările dintre sisteme să fie verificate înainte și după implementare pentru a preveni noi breșe de securitate.
Implementează GDPR și evită amenzile!
Acest caz evidențiază importanța principiului „protecției datelor încă din faza de concept” (privacy by design) și a testării continue a măsurilor de securitate.
Ce înseamnă în practică? Art. 25 din RGPD impune operatorilor să proiecteze aplicațiile și sistemele informatice astfel încât protecția datelor să fie integrată încă de la început, din faza de design. Cu alte cuvinte, o aplicație trebuie concepută pentru a preveni accesul neautorizat la informații, iar orice actualizare sau integrare cu alte sisteme trebuie testată riguros înainte de a fi pusă în funcțiune. De asemenea, art. 32 din RGPD obligă organizațiile să implementeze măsuri tehnice și organizatorice adecvate riscurilor, precum criptarea autentificarea multifactor, restricționarea accesului și testarea periodică a securității.
->> Sute de companii din România, DPO, avocați și consultanți utilizează soluția noastră de implementare GDPR! Vezi KIT-ul GDPR Premium.
->> Dorești să externalizezi implementarea GDPR către un profesionist? Atunci consultă oferta noastră de servicii de implementare GDPR & DPO!
– >> Abonează-te la newsletterul LegalUp pentru a primi noutățile juridice direct pe e-mail! Link abonare aici.
