ANSPDCP a sancționat OTP Leasing pentru accesul neautorizat în sistemul MyLeasing

Vineri, 25 noiembrie 2022, Autoritatea Națională de Supraveghere a anunțat că a finalizat o investigație la operatorul OTP LEASING ROMANIA IFN SA, în cadrul căreia a constatat încălcarea dispozițiilor art. 25 alin. (1), art. 32 alin. (1) lit. b) și d) și precum și art. 32 alin. (2) din Regulamentul General privind Protecția Datelor, potrivit unui comunicat.

Operatorul a fost sancționat contravențional cu amendă în cuantum de 14.675,7 lei (echivalentul sumei de 3.000 EURO).

Investigația a fost demarată ca urmare a transmiterii de către operator a unei notificări privind încălcarea securității datelor cu caracter personal în temeiul art. 33 din Regulamentul General privind Protecția Datelor.

În notificarea transmisă, operatorul a susținut că a fost informat de către o persoană fizică că aceasta a putut accesa în mod neautorizat platforma informatică My Leasing, prin alterarea adresei de URL și crearea unui cont de administrator. Astfel, a putut accesa datele clienților operatorului, persoane juridice, care și-au creat cont pe platformă în vederea urmăririi informațiilor legate de contractele de leasing.

În cadrul investigației s-a constatat că unii dintre clienții operatorului, persoane juridice, și-au înrolat în platformă, ca date de contact, adrese de email care conțineau nume, prenume, adresă de email și număr de telefon ale reprezentanților (persoane fizice) acestor persoane juridice, iar respectivele date au putut fi datele accesate în mod neautorizat pe platformă (MyLeasing).

Accesul neautorizat în sistemul MyLeasing a fost determinat de lipsa unui nivel adecvat de securitate, corespunzător riscurilor prelucrării, care ar fi trebuit să fie asigurat de OTP LEASING. Astfel, s-a încălcat confidențialitatea datelor cu caracter personal prelucrate prin intermediul platformei MyLeasing pentru persoanele fizice vizate, înregistrate ca persoane de contact pentru persoanele juridice din platformă.

Operatorul nu a informat persoanele vizate cu privire la producerea incidentului de securitate a datelor cu caracter personal, deși datele divulgate în mod neautorizat pot conduce la prejudicii aduse acestor persoane fizice, reprezentanți ai persoanelor juridice.