UiPath, prins cu GDPR-ul: amendă de 70.000 € pentru divulgarea datelor personale ale 600.000 de utilizatori

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a amendat subsidiara din România a unicornului UiPath (UiPath SRL) cu o amendă în cuantum de 346.598 lei, echivalentul sumei de 70.000 de euro, pentru divulgarea datelor cu caracter personal a 600.000 de utilizatori ai platformei Academy, anunță instituția într-un comunicat de presă.

Investigația a fost finalizată în luna iulie, constatând încălcarea prevederilor art. 25 și art. 32 din Regulamentul (UE) 679/2016. Investigația a fost demarată ca urmare a transmiterii de către operator a unei notificări de încălcare a securității datelor cu caracter personal în temeiul Regulamentului General privind Protecția Datelor, potrivit comunicatului Autorității.

Așadar, însăși compania UiPath SRL a notificat încălcarea confidențialității datelor cu caracter personal, constând în ”publicarea datelor cu caracter personal a unui număr semnificativ de utilizatori ai platformei Academy pe un website accesibil la o adresă URL”.

În cadrul investigației, ANSPDCP a constatat că

”… Uipath SRL nu a pus în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura că, în mod implicit, datele cu caracter personal nu pot fi accesate, fără intervenția persoanei, de un număr nelimitat de persoane, incluzând capacitatea de a asigura confidențialitatea și rezistența continue ale sistemelor și serviciilor de prelucrare, precum și un proces pentru testarea, evaluarea şi aprecierea periodice ale eficacităţii măsurilor tehnice şi organizatorice pentru a garanta securitatea prelucrării.”

Potrivit comunicatului, acest fapt a condus la divulgarea neautorizată și accesul neautorizat la datele cu caracter personal (nume și prenume utilizator, identificatorul unic al fiecărui utilizator, adresa de e-mail, numele companiei la care utilizatorul este angajat, țara și detalii despre nivelul de cunoștințe obținut în cadrul cursurilor UiPath ACADEMY) a circa 600.000 de utilizatori ai Platformei Academy aparținând operatorului UiPath, pentru o perioadă de aproximativ 10 zile.

”Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a considerat că această încălcare a prelucrării datelor cu caracter personal este de natură a aduce persoanelor vizate prejudicii fizice, materiale sau morale, cum ar fi pierderea controlului asupra datelor lor cu caracter personal sau pierderea confidenţialității datelor cu caracter personal”, mai arată instituția.

Autoritatea Națională de Supraveghere a apreciat că circumstanțele descrise prezintă ”un grad de gravitate care impune aplicarea unei sancțiuni cu amendă împotriva operatorului”.

De asemenea, ANSPDCP prezintă în comunicat criteriile de individualizare a încălcării GDPR, în funcție de care a fost stabilită gravitatea faptei și cuantumul amenzii:

• natura, gravitatea și durata încălcării – afectarea a 600.000 de persoane vizate (utilizatori ai Platformei Academy); setările tehnice ale spațiului de stocare permiteau accesul neautorizat la datele cu caracter personal ale utilizatorilor Platformei Academy; incidentul a constat în publicarea datelor cu caracter personal pe un website terț, informație adusă la cunoștința operatorului de o terță persoană;
• caracterul neglijent al vinovăției operatorului în acest caz;
• măsurile de remediere a aspectelor sesizate, adoptate de operator pe parcursul investigației întreprinse de ANSPDCP;
• gradul de cooperare cu autoritatea de supraveghere;
• categoriile de date cu caracter personal prelucrate (nume și prenume utilizator asociat contului Platformei Academy, numele de utilizator, identificatorul unic al fiecărui utilizator, adresa de e-mail, numele companiei la care utilizatorul este angajat, țara și detalii despre nivelul de cunoștințe obținut în cadrul cursurilor UiPath ACADEMY).

În urma investigației efectuate, Autoritatea Naţională de Supraveghere a informat celelalte autorități de supraveghere implicate, în cadrul unei proceduri de consultare informală, bazată pe art. 60 din Regulamentul (UE) 2016/679, cu privire la concluziile rezultate din investigațiile efectuate în acest caz cu impact transfrontalier și măsurile propuse.

”Având în vedere faptul că Uipath SRL a efectuat o prelucrare transfrontalieră, s-au aplicat dispozițiile art. 60 din Regulamentul (UE) 679/2016, precum și cele ale art. 16 alin. (3), (5), (6), (7) din Legea nr. 102/2005, republicată, care prevăd aplicarea sancțiunilor/măsurilor corective prin decizie a președintelui ANSPDCP, care are la bază procesul-verbal de constatare şi raportul de control. Ca atare, Uipath SRL a fost sancționat contravențional cu amendă în cuantum de 346.598 lei, echivalentul sumei de 70.000 EURO”, concluzionează Autoritatea.

UiPath SRL a avut venituri de 3,21 miliarde de lei în anul 2022, în creștere cu aproape 80% față de 2021.

De asemenea, compania a avut cheltuieli de 3,46 miliarde de lei, rezultând pierderi de aproape 250 de milioane de lei în anul 2022. Pierderile UiPath SRL s-au diminuat totuși cu 30% față de anul 2021.

Subsidiara bucureșteană a adus o mare parte din încasările la nivel global al UiPath Inc, companie înregistrată la New York. În anul fiscal care s-a încheiat la 31 ianuarie 2023, UiPath Inc. a raportat venituri totale de 1,058 miliarde de dolari, adică aproximativ 4,8 miliarde de lei.