În luna octombrie 2021 Autoritatea Națională de Supraveghere a finalizat o investigație la operatorul VODAFONE România S.A. și a constatat încălcarea dispozițiilor art. 32 alin. (1) lit. b) și alin. (4) din Regulamentul General privind Protecția Datelor (RGPD), precum și încălcarea dispozițiilor art. 3 alin. (1) și alin. (3) lit. a) și b) din Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal şi protecţia vieţii private în sectorul comunicaţiilor electronice.

Operatorul S.A. a fost sancționat contravențional astfel:

- amendă în cuantum de 7.421,25 lei, echivalentul a 1.500 EURO, pentru încălcarea dispozițiilor art. 32 alin. (1) lit. b) și alin. (2) din RGPD;

- amendă în cuantum de 7.000 lei pentru încălcarea dispozițiilor art. 3 alin. (1) și alin. (3) lit. a) și b) din Legea nr. 506/2004

Investigația a fost demarată ca urmare a transmiterii de către operator a mai multor notificări de încălcare a securității datelor cu caracter personal în temeiul Regulamentul General privind Protecția Datelor sau al Regulamentului (UE) nr. 611/2013.

În ceea ce privește încălcările de securitate notificate în temeiul RGPD, Autoritatea națională de supraveghere a constatat că operatorul nu a implementat măsuri tehnice și organizatorice adecvate pentru a asigura faptul că orice persoană fizică care acționează sub autoritatea operatorului sau a persoanei împuternicite de operator și care are acces la datele cu caracter personal nu le prelucrează decât la cererea operatorului cu excepția cazului în care această obligație îi revine în dreptul Uniunii sau dreptului intern și în vederea asigurării unui nivel de securitate corespunzător riscului prelucrării, incluzând capacitatea de a asigura confidențialitatea datelor.

Această situație a condus la divulgarea neautorizată și/sau accesul neautorizat la datele cu caracter personal ale unui număr de 6 persoane fizice, în perioada 16 noiembrie 2020 – 18 mai 2021 (transmiterea unor contracte de servicii la adrese eronate de e-mail, accesul neautorizat al angajaților operatorului la datele cu caracter personal ale clienților Vodafone fără a exista solicitări din partea acestora).

Cu privire la încălcările de securitate notificate în temeiul Regulamentului (UE) nr. 611/2013, Autoritatea națională de supraveghere a constatat că operatorul nu a implementat măsuri tehnice și organizatorice adecvate în vederea asigurării securității prelucrării datelor cu caracter personal, care să garanteze că datele cu caracter personal pot fi accesate numai de persoane autorizate în scopurile autorizate de lege și să protejeze datele cu caracter personal stocate sau transmise împotriva prelucrării, accesării ori divulgării ilicite.

Astfel, operatorul a prelucrat datele cu caracter personal a 64 persoane fizice prin accesarea neautorizată a datelor acestora de către angajații operatorului în perioada 04 noiembrie 2020 – 22 iunie 2021.

Direcția juridică și comunicare

A.N.S.P.D.C.P