Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a finalizat în luna decembrie 2024 o investigație la V&M Contab&Management SRL și a constatat încălcarea dispozițiilor art. 58 alin. (1) lit. a) și e) și art. 32 alin. (4) coroborat cu art. 32 alin. (1) lit. b) și alin. (2) din Regulamentul (UE) 2016/679.

Ca atare, operatorul a fost sancționat contravențional:

1. cu amendă în cuantum de 9.954,00 lei (echivalentul sumei de 2 000 EURO), pentru încălcarea dispozițiilor art. 58 alin. (1) lit. a) și e) din Regulamentul (UE) 2016/679 coroborat cu art. 83 alin. (5) lit. e) din Regulamentul (UE) 2016/679;

2. cu amendă în cuantum de 39.816,00 lei (echivalentul sumei de 8 000 EURO), pentru încălcarea dispozițiilor art. 32 alin. (4) coroborat cu art. 32 alin. (1) lit. b) și alin. (2) din Regulamentul (UE) 2016/679.

Investigația a fost demarată ca urmare a unei sesizări prin care s-a reclamat o posibilă încălcare a dispozițiilor Regulamentului (UE) 2016/679.

În cadrul investigației s-a constatat că operatorul nu a răspuns solicitărilor de informații ale Autorității Naționale de Supraveghere, deși avea obligația de a permite accesul instituției noastre la datele cu caracter personal și la toate informațiile necesare în vederea îndeplinirii atribuțiilor legale, fiind astfel încălcate prevederile art. 58 alin. (1) lit. a) și e) din Regulamentul (UE) 2016/679.

De asemenea, în cursul investigației, s-a constatat că operatorul a transmis prin Whatsapp către o persoană terță un tabel cu parole de acces în platforma Revisal pentru mai multe entități juridice, prin intermediul cărora se puteau accesa datele personale ale angajaților sau foștilor angajați ai acestor societăți. Acest incident a condus la accesul neautorizat și la divulgarea neautorizată a datelor cu caracter personal (precum, numele, prenumele, cetățenia, codul numeric personal, domiciliul) prelucrate. Prin urmare, operatorul nu a luat măsuri pentru a se asigura că orice persoană fizică care acționează sub autoritatea sa și are acces la date cu caracter personal nu le prelucrează decât la cererea operatorului. Totodată, operatorul nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului prelucrării, incluzând capacitatea de a asigura confidențialitatea și integritatea sistemelor și serviciilor de prelucrare. Astfel, au fost încălcate prevederile art. 32 alin. (1) lit. b) și alin. (2) și alin. (4) din Regulamentul (UE) 2016/679.

În același timp, față de operator s-a dispus măsura corectivă de schimbare a tuturor credențialelor de acces în platforma Revisal disponibilă pe site-ul https://reges.inspectiamuncii.ro/ pentru toate entitățile juridice afectate de incident.

Direcția juridică și comunicare

A.N.S.P.D.C.P.