ANSPDCP a spus că lipsa măsurilor tehnice în testare a fost determinată!
Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a aplicat o amendă operatorului care administrează platforma MyConnector, serviciu folosit pentru organizarea de evenimente virtuale, hibride și fizice. Decizia a fost făcută publică vineri, după ce autoritatea a încheiat o verificare privind un incident de securitate raportat de aceeași companie.
Culture picks
OpenAI anunță patru incidente cu agenți AI: plată neautorizată în criptomonede și acces la date interne
Quartz Matrix și CCD Iași deschid o academie IA cu formare internațională HP
Dragoș Damian, CEO Terapia: Luca Nicolescu, ai văzut lansarea de joi a noului Tesla Roadster? Epic!
Startup clujean .lumen câștigă competiția Glovo din BarcelonaConform constatărilor, hackerul a exploatat o vulnerabilitate mediului de testare al infrastructurii tehnice. Operatorul nu a respectat standardele minime de protecție în fază de dezvoltare și evaluare, lucru care a permis accesul neautorizat la un mediu sensibil.
În rezultat, datele identifice ale unui număr apreciabil de utilizatori au fost expuse: numele complet, adresele de e-mail, numerele de telefon, CNP-urile, seria și numărul documentelor de identitate.
ANSPDCP a subliniat că lipsa măsurilor tehnice și procedurale potrivite în faza de testare a fost determinantă. Operatorul nu a izolat adecvat mediul de experimentare, ceea ce a permis unei persoane externe să acceseze informații protejate de lege. Mai grav, a fost constatată utilizarea efectivă a datelor personale reale în loc de seturi sintetice sau anonimizate în timpul testării și dezvoltării.
Incidentul a venit din lipsă de protecție la operator!
Această practică a transformat un exercițiu intern într-un risc real pentru numeroase persoane. Autoritatea a explicat că substituirea datelor reale cu variante fictive ar fi reducut semnificativ potențialul de prejudiciu, iar neglijarea acestui principiu a contribuit direct la extinderea impactului.
În rezultat, conform Regulamentului (UE) 2016/679, operatorul a fost obligat să plătească o amendă de 31.451 lei, echivalentul exact al 6.000 euro. Pe lângă sancțiunea pecuniara, autoritatea a impus și o măsură correctivă obligatorie: implementarea unei politici interne stricte care interzice utilizarea oricărui tip de date personale reale în mediile de dezvoltare, stagiu sau testare, mandând în schimb exclusiv recoursul la seturi de date artificiale, generate sintetic sau adecvat anonimizate.
Această prevedere are scopul de a preveni replicarea unor scenarii similare în viitor și de a asigura că procesele interne respectă standardele ridicate de protecție a vieții private în mediul digital.