Auchan România, amendată pentru încălcarea Regulamentului GDPR, în urma unui atac informatic

Compania Auchan România, care operează rețeaua de magazine cu același nume, a fost amendată cu 8000 de euro de către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) întrucât, în urma unui atac informatic, au fost compromise datele personale ale unor utilizatori interni, informează Autoritatea printr-un comunicat de presă.

Investigația a fost demarată după ce chiar compania a trimis o notificare cu privire la încălcarea securității datelor cu caracter personal.

În cadrul investigației efectuate s-a constatat faptul că încălcarea securității prelucrării datelor s-a produs ca urmare a unui atac informatic asupra unui cont de administrator al unuia dintre sistemele de securitate ale operatorului.

Acesta a condus la accesul și divulgarea nelegale la datele cu caracter personal ale unui număr semnificativ de persoane vizate (utilizatori interni), precum: user-ul, numele, prenumele, adresa de e-mail și parola, notează Autoritatea în comunicatul citat.

În urma investigației, a rezultat că operatorul nu avea implementate, la momentul atacului informatic, măsuri de securitate cu cerințe specifice privind accesul securizat la echipamentul de stocare de rețea care să diminueze riscul unui acces neautorizat la datele personale menționate.

Prin urmare, ANSPDCP a constatat că Auchan România nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prelucrării, incluzând capacitatea de a asigura confidențialitatea sistemelor și serviciilor de prelucrare.

Pe lângă amendă, ANSPDCP a dispus și o măsură corectivă pentru Auchan România.

Compania trebuie să implementeze reguli tehnice și organizatorice prin care accesul la toate echipamentele IT să se realizeze exclusiv din rețeaua sa internă.

”Implementarea tehnică și organizatorică a regulilor de acces în toate echipamentele IT ale operatorului să se efectueze exclusiv din rețeaua internă a societății, iar în situația în care se considera necesar accesul din exterior, acesta să poată fi făcut cel puțin prin utilizarea concomitentă a unei rețele VPN și a autentificării multifactor – MFA”,

mai arată ANSPDCP, în comunicat.