L'Autorité nationale de surveillance du traitement des données à caractère personnel (ANSPDCP) a publié une décision de sanction à l'encontre du responsable du traitement MEDCENTER SRL, comprenant une amende de 149 319 lei (environ 30 000 €) et un avertissement, pour des manquements liés à la sécurité des données et à la communication d'une violation de données. Cette affaire débute par une notification de violation de données à caractère personnel.

L’enquête menée par l’autorité a permis de constater :
* Obligation de sécurité du traitement (article 32 du RGPD) : Des personnes non autorisées ont accédé illégalement à un large éventail de données personnelles de clients, incluant des informations d'identité, des données d'assurance médicale, des coordonnées, des identifiants et mots de passe, ainsi que des résultats d'analyses médicales. L'autorité a conclu que le responsable du traitement n'avait pas mis en œuvre de mesures techniques et organisationnelles appropriées, telles que la pseudonymisation ou le chiffrement, pour assurer la confidentialité, l'intégrité, la disponibilité et la résilience de ses systèmes. De plus, il n'avait pas de processus pour tester et évaluer régulièrement l'efficacité de ses mesures de sécurité.

* Obligation de communication d'une violation de données aux personnes concernées (article 34 du RGPD) : Il a été établi que le responsable du traitement n'a pas informé les personnes physiques affectées par la violation de la sécurité de leurs données.

En conséquence, l’autorité a imposé une amende de 149 319 lei (environ 30 000 €) à MEDCENTER SRL, complétée par un avertissement.
En outre, l’autorité a ordonné au responsable du traitement d'implémenter un système de journalisation des accès à ses serveurs avec sauvegarde, et d'informer les personnes concernées de la violation en utilisant un langage clair et simple.