Buletin informativ GDPR – martie 2025

Luna martie a adus o intensificare a activității Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, cu nu mai puțin de 8 amenzi aplicate în urma unor incidente ce au implicat fie lipsa măsurilor de securitate cibernetică, fie nerespectarea drepturilor persoanelor vizate. Aceste cazuri reflectă nu doar diversitatea domeniilor afectate: de la IT, retail sau hotelier, până la sectorul imobiliar, ci și amploarea responsabilităților care revin operatorilor de date în fiecare interacțiune cu clienții sau utilizatorii.

Noutăți relevante în domeniul GDPR – Martie 2025

• Crește numărul investigațiilor privind breșele de securitate IT și atacurile cibernetice, mai ales în companii care gestionează baze mari de clienți (ex: platforme online, servicii digitale, retail).
• Se observă un accent tot mai mare pus de Autoritate pe respectarea termenelor legale în soluționarea cererilor de acces, ștergere sau opoziție.
• Securitatea aplicațiilor web și responsabilitatea față de partenerii împuterniciți devin puncte cheie în conformitatea reală cu GDPR.

Amenzile aplicate în luna martie 2025 (în ordine cronologică):

• BEKO ROMÂNIA SA (10.000 EUR) a fost sancționată pentru că nu a implementat măsuri de securitate adecvate și nu a testat periodic eficiența acestora. Un atac informatic a compromis datele clienților, inclusiv nume, telefoane, e-mailuri și adrese.
• WEBRASOFT SRL (20.000 EUR). După un atac cibernetic asupra unei platforme de facturare online, au fost expuse date personale și bancare ale clienților. Compania nu testase eficiența sistemelor de securitate IT și nu avea un plan adecvat de prevenție.
• SHOPBAG GROUP ONLINE SRL (2.000 EUR) a fost amendată pentru nerespectarea dreptului de ștergere. A ignorat atât cererea unui utilizator de a-i fi șters contul, cât și solicitările Autorității.
• Noy Business Tranzactions SRL (1.000 EUR) Un client a cerut acces la înregistrările video și ștergerea datelor personale. Nu a primit niciun răspuns legal în termen, ceea ce a dus la sancțiune.
• Automobilus International S.R.L. (5.000 EUR) a raportat o breșă de securitate după ce un server a fost compromis, iar datele clienților au fost expuse. Operatorul a fost obligat să afișeze un comunicat public și să îmbunătățească măsurile de securitate.
• ONE UNITED PROPERTIES S.A. (2.000 EUR) a fost amendată pentru trimiterea de mesaje comerciale fără consimțământ și pentru nerespectarea cererilor de acces și ștergere. Autoritatea a impus proceduri clare și instruirea personalului.
• Bucharest Down Town Hotel SRL (1.000 EUR) nu a răspuns la cererea unui client privind accesul la datele sale personale, iar răspunsul ulterior a fost incomplet. A fost sancționat pentru lipsa de transparență și nerespectarea obligației de informare.
• NTT DATA ROMÂNIA S.A. (25.000 EUR) Cea mai mare amendă a lunii a fost aplicată după un atac cibernetic care a expus un volum masiv de date, inclusiv copii ale actelor de identitate și informații medicale. Operatorul nu a notificat la timp incidentul și nu testase eficiența măsurilor de securitate.

Concluzii și recomandări

• Securitatea IT trebuie să fie prioritară, indiferent de domeniul de activitate. Multe dintre incidentele investigate au fost rezultatul lipsei testării periodice, a vulnerabilităților neacoperite sau a lipsei de control intern.
• Drepturile persoanelor vizate (acces, ștergere, opoziție) trebuie tratate cu maximă seriozitate. Ignorarea sau întârzierea răspunsurilor poate atrage sancțiuni chiar și fără o breșă de securitate.
• Consimțământul pentru marketing trebuie să fie clar, documentat și ușor de retras. Fără el, orice mesaj comercial devine un risc.

Recomandările noastre:

1. Evaluați periodic măsurile de securitate IT – inclusiv aplicațiile web, serverele și sistemele de backup.
2. Revizuiți procedurile de răspuns la cererile persoanelor vizate – și testați-le cu exerciții interne.
3. Instruirea angajaților rămâne un pilon esențial în prevenirea erorilor umane și respectarea termenelor legale.
4. Lucrați cu un DPO sau specialist GDPR pentru a vă asigura că toate aspectele din lanțul de prelucrare sunt conforme.

Pe final, un gând important:

GDPR nu este doar despre evitarea amenzilor – este despre construirea încrederii. Fiecare client care știe că datele sale sunt în siguranță este un client care revine.

Vă mulțumim pentru încrederea acordată și vă mulțumim pentru că rămâneți informați și angajați în protejarea datelor personale!

Pentru orice nelămuriri referitoare la protecția datelor cu caracter personal, în calitate de Responsabil cu Protecția Datelor ori de consultant, vă stăm la dispoziție la adresa: contact[at]gdprcomplet.ro sau prin persoana de legătură la adresa: privacy_cb[at]cursuribursa.ro

Echipa GDPR Complet

Citește și: Bune practici GDPR: Evită reclamațiile în campaniile de marketing