O firmă românească de servicii de consultanță în inginerie, Blue Projects SRL, a fost sancționată de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) cu o amendă de 12.734 lei, echivalentul a aproximativ 2.500 de euro, după ce a fost victima unui atac informatic care a compromis datele personale ale angajaților și colaboratorilor săi.
ANSPDCP a anunțat joi rezultatele unei investigații încheiate în martie 2026, în urma unui incident de securitate cibernetică. În cadrul acesteia, autoritatea a constatat că firma nu a respectat anumite obligații prevăzute de Regulamentul UE privind protecția datelor personale (Regulamentului (UE) 2016/679), mai ales în ceea ce privește măsurile de securitate tehnice și organizatorice.
Atacul informatic și încălcările constatate
Potrivit comunicatului ANSPDCP, firma Blue Projects SRL a raportat recent o încălcare a securității datelor cu caracter personal. În urma unui atac cibernetic asupra sistemelor IT, datele personale ale unui număr semnificativ de persoane au fost accesate fără autorizare. Informațiile vizate includ nume, prenume, cod numeric personal, adrese, date de contact, email, funcție și CV-ul angajaților și colaboratorilor.
Autoritatea subliniază că, în ciuda notificării, firma nu a implementat măsurile tehnice și organizatorice adecvate pentru a preveni astfel de incidente. În plus, nu ar fi dispus de un sistem eficient de monitorizare a fluxurilor de date, ceea ce a măririt riscul de compromitere a informațiilor.
Obligațiile nerespectate și recomandările ANSPDCP
ANSPDCP afirmă că Blue Projects SRL nu a respectat art. 32 alin. (1) lit. b) și d) și alin. (2) din Regulamentul (UE) 2016/679, referitoare la măsurile de securitate în prelucrarea datelor. Autoritatea a precizat faptul că operatorul nu a asigurat confidențialitatea sistemelor și serviciilor sale de prelucrare și nu a efectuat evaluări periodice pentru a testa eficacitatea măsurilor de protecție.
Firma trebuie să implementeze urgent măsuri tehnice și procedurale pentru a remedia aceste deficiențe. În plus, trebuie să dezvolte un sistem de monitorizare continuă a fluxurilor de date și să adapteze măsurile de securitate la riscurile identificate. Autoritatea recomandă, de asemenea, ca operatorul să eleveze nivelul de cunoștințe și să organizeze periodic teste de securitate.
