Platformă online, amendată după un atac informatic. Hackerii au avut acces la CNP-uri și date din actele de identitate

Compania MyConnector Platform SRL, care administrează o platformă pentru organizarea evenimentelor virtuale, hibride și fizice, a fost amendată cu 6.000 de euro pentru încălcarea Regulamentului GDPR. Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a anunțat vineri, 16 octombrie, că un atac informatic a permis accesarea neautorizată a datelor personale ale utilizatorilor. Printre informațiile expuse s-au aflat CNP-uri, numere de telefon, adrese de e-mail și date din actele de identitate.

GDPR: MyConnector, amendată după ce un atac informatic a expus datele personale ale utilizatorilor

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a aplicat o sancțiune companiei MyConnector Platform SRL, după ce a identificat deficiențe în protejarea informațiilor personale prelucrate prin intermediul platformei. Investigația a fost inițiată în urma unei notificări transmise chiar de operator, prin care acesta a informat instituția despre producerea unui incident de securitate.

Potrivit rezultatelor anchetei, atacul informatic a afectat serverul utilizat pentru testarea aplicației MyConnector Platform. Verificările au arătat că societatea nu instituise măsuri de protecție corespunzătoare pentru acest mediu, ceea ce a făcut posibil accesul unei persoane neautorizate la informațiile utilizatorilor.

Datele compromise au inclus numele și prenumele persoanelor înregistrate pe platformă, adresele de e-mail, numerele de telefon, codurile numerice personale, precum și seriile și numerele documentelor de identitate.

„Operatorul nu a implementat măsuri corespunzătoare pentru testarea aplicației MyConnector Platform, ceea ce a condus la obținerea de către un terț a accesului la anumite date cu caracter personal, precum: adresele de e-mail, numerele de telefon, numele și prenumele utilizatorilor, codurile numerice personale, seriile și numerele actelor de identitate”, precizează ANSPDCP.

Compania a folosit datele reale ale utilizatorilor pentru testarea aplicației

Inspectorii ANSPDCP au descoperit și o altă deficiență în modul de administrare a platformei MyConnector, respectiv utilizarea informațiilor personale autentice în etapa de testare a aplicației. În locul unor date fictive, compania a folosit date aparținând utilizatorilor, ceea ce a contribuit la extinderea consecințelor atacului informatic.

Această practică a determinat expunerea informațiilor personale ale unui număr semnificativ de persoane, amplificând impactul incidentului de securitate.

„Operatorul a utilizat pentru testarea aplicației sale date cu caracter personal reale (în loc de date fictive), ceea ce a condus la expunerea datelor personale ale unui număr semnificativ de persoane vizate, având ca efect agravarea impactului incidentului”, conform ANSPDCP.

ANSPDCP a stabilit o amendă de 31.451 de lei pentru încălcarea GDPR

În urma investigației, autoritatea de supraveghere a stabilit că incidentul informatic a fost favorizat de absența unor măsuri tehnice și organizatorice adaptate riscurilor asociate prelucrării datelor personale. Deficiențele constatate au vizat inclusiv capacitatea operatorului de a garanta confidențialitatea și integritatea sistemelor și serviciilor prin care erau gestionate informațiile utilizatorilor.

Pentru nerespectarea obligațiilor privind securitatea datelor, MyConnector Platform SRL a primit o amendă de 31.451 de lei, echivalentul a 6.000 de euro. Sancțiunea a fost aplicată în temeiul Regulamentului general privind protecția datelor, GDPR (UE) 2016/679.

MyConnector trebuie să introducă o procedură internă pentru testarea aplicației

Pe lângă sancțiunea financiară, ANSPDCP a impus companiei MyConnector Platform SRL adoptarea unei proceduri interne privind utilizarea datelor în procesul de dezvoltare și testare a aplicației.

Potrivit măsurii dispuse de autoritate, societatea va trebui să folosească exclusiv date fictive în mediile destinate dezvoltării și testării, fără a mai utiliza în aceste operațiuni informațiile personale reale ale utilizatorilor.