ING Bank şi TAROM, amendate pentru încălcarea Regulamentulului General privind Protecţia Datelor

Astfel, operatorul SC CNTAR TAROM SA a fost sancționat contravențional cu amendă în cuantum de 95.194 lei, echivalentul a 20.000 euro.

Şi asta ca urmare a faptului că „nu a implementat măsuri tehnice și organizatorice adecvate pentru a se asigura că orice persoană fizică care acționează sub autoritatea acestuia și care are acces la date cu caracter personal, nu le prelucrează decât la cererea sa. Corelat cu acest aspect, operatorul nu a luat nici măsuri adecvate pentru a asigura un nivel de securitate corespunzător riscului generat de divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate într-un alt mod”, se arată într-un comunicat al Autorităţii Naţionale de Supraveghere.

În cazul TAROM,  un angajat al companiei a accesat neautorizat aplicația de rezervări și a fotografiat o listă ce conținea date cu caracter personal a 22 pasageri/clienți TAROM și le-a divulgat neautorizat în mediul on-line.

Investigația a fost efectuată ca urmare a notificării autorității de supraveghere de către SC CNTAR TAROM SA din data de 13.09.2019 cu privire la încălcarea securității datelor cu caracter personal.

În cazul ING Bank N.V. Amsterdam – Sucursala București, amenda a fost aplicată pentru că operatorul nu a asigurat respectarea protecției datelor începând cu momentul conceperii și cel al protecției implicite a datelor, întrucât nu a procedat la adoptarea de măsuri tehnice și organizatorice corespunzătoare, privind integrarea de garanții adecvate în sistemul automatizat de prelucrare a datelor în cadrul procesului de decontare al tranzacțiilor cu cardul. Astfe, au fost afectate un număr de 225.525 de clienți ale căror operațiuni de plată au fost dublate în perioada 8-10.10.2018.

În acelaşi timp, reprezentanţii ING Bank România susţin că incidentul operațional nu a condus la o afectare a datelor cu caracter personal.

„Urmare a acestui incident, clienţii afectaţi au fost informaţi imediat, tranzacţiile dublate au fost stornate în cursul aceleiaşi zile, fiind totodată revizuite și actualizate unele reguli operaționale interne, în sensul întăririi acestora. Incidentul operațional nu a condus la o afectare a datelor cu caracter personal”.

„Având în vedere stadiul actual al tehnologiei, costurile implementării, și natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscurile cu grade diferite de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice pe care le prezintă prelucrarea, operatorul, atât în momentul stabilirii mijloacelor de prelucrare, cât și în cel al prelucrării în sine, pune în aplicare măsuri tehnice și organizatorice adecvate, cum ar fi pseudonimizarea, care sunt destinate să pună în aplicare în mod eficient principiile de protecție a datelor, precum reducerea la minimum a datelor, și să integreze garanțiile necesare în cadrul prelucrării, pentru a îndeplini cerințele prezentului regulament și a proteja drepturile persoanelor vizate”, se arată în comunicatul Autorităţii.