Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a sancționat Orange România cu amenzi în valoare totală de 523.900 de lei, echivalentul a 100.000 de euro, după ce a constatat încălcarea Regulamentului general privind protecția datelor (GDPR).
Investigația, finalizată în luna iunie 2026, a fost declanșată după ce compania a notificat autoritatea cu privire la două incidente de securitate care au afectat datele personale ale clienților.
Un client a putut descărca facturile altor utilizatori
Potrivit ANSPDCP, unul dintre incidente a avut loc în aplicația mobilă Orange, unde un client a reușit să acceseze și să descarce facturile altor persoane.
„Operatorul a notificat faptul că incidentul de securitate a apărut în aplicația mobilă deținută de acesta, unde un client a putut accesa și descărca facturile de echipamente aparținând altor clienți.”, precizează instituția.
Autoritatea precizează că problema a fost provocată de o eroare de sincronizare între două aplicații interconectate ale companiei, ceea ce a dus la identificarea greșită a unui cont de client cu cel al unui angajat.
În urma incidentului au fost divulgate fără autorizare date personale precum numele, prenumele, adresa de domiciliu, adresa de livrare, seria și numărul cărții de identitate, precum și informații despre facturi.
Atac informatic și acces la un volum mare de date personale
În timpul investigației, ANSPDCP a descoperit și deficiențe privind securitatea unei aplicații de ticketing administrate de Orange România.
„Această vulnerabilitate a permis un atac informatic asupra securității accesului în aplicația de ticketing a operatorului, care a condus astfel la accesul neautorizat și la divulgarea neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate.”
Potrivit autorității, platforma era expusă public fără măsuri esențiale de protecție, precum conexiune VPN, autentificare în doi pași (MFA) sau restricționarea accesului pe bază de IP.
„Ca urmare, a fost sustras neautorizat un volum foarte mare de date personale ale persoanelor vizate.”
Printre datele compromise se numără nume, adrese, numere de telefon, adrese de e-mail, coduri numerice personale, copii ale cărților de identitate, informații despre carduri bancare, coduri IBAN, numere SIM și alte informații tehnice utilizate în sistemele companiei.
Două amenzi pentru Orange România
În urma investigației, Orange România a primit:
- o amendă de 104.780 lei (20.000 de euro) pentru lipsa unor măsuri tehnice și organizatorice adecvate privind protecția datelor;
- o amendă de 419.120 lei (80.000 de euro) pentru deficiențe privind securitatea sistemelor informatice și protejarea datelor personale.
În total, compania Orange România a fost sancționată cu 523.900 de lei, echivalentul a 100.000 de euro.
Pe lângă sancțiunile financiare, ANSPDCP a dispus și implementarea unor măsuri suplimentare de securitate.
„În temeiul art. 58 alin. (2) lit. d) din Regulamentul (UE) 2016/679, s-a dispus față de operator și măsura corectivă de implementare tehnică și organizatorică a unui proces de monitorizare și testare a tuturor aplicațiilor informatice utilizate în activitatea operatorului, prin care să existe controlul tuturor modificărilor la nivelul soft-urilor utilizate în cadrul acestora (update-uri, modificări de configurații, procese de interconectare etc.) și care să includă teste ulterioare în vederea identificării vulnerabilităților ce pot conduce la accesul neautorizat la datele cu caracter personal.”
Compania trebuie să introducă un proces permanent de monitorizare și testare a tuturor aplicațiilor informatice utilizate, astfel încât modificările de software și vulnerabilitățile să fie identificate înainte de a permite accesul neautorizat la datele personale ale utilizatorilor.
La începutul anului 2025, Orange România a anunțat că una dintre aplicațiile folosite pentru a gestiona cererile clienților a fost atacată cibernetic. Potrivit DNSC, hackerii au extras atunci aproape 7 GB de date.
Sursa: libertatea.ro