L'Autorité Nationale de Surveillance du Traitement des Données à Caractère Personnel (ANSPDCP) a publié une décision de sanction à l'encontre de PGS SOFA & CO SRL, comprenant le prononcé d'une amende de 8 000 €, pour des manquements en lien avec la sécurité du traitement des données.
Cette affaire débute par la notification d'une violation de données personnelles par l'opérateur lui-même, suite à une cyberattaque.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'opérateur n'a pas mis en œuvre les mesures techniques et organisationnelles appropriées ni procédé à des tests et évaluations réguliers de leur efficacité. Cette défaillance a été mise en évidence suite à une cyberattaque qui a conduit à un accès non autorisé aux données personnelles (données d'identification, salaires, comptes bancaires) d'un nombre significatif d'employés, de clients et de collaborateurs, et a restreint l'accès de l'opérateur à sa propre infrastructure informatique.

En conséquence, l’autorité a imposé une amende de 40 663 lei (soit 8 000 €) à PGS SOFA & CO SRL.
En outre, l’autorité a ordonné à l'opérateur de garantir la conformité de ses traitements avec l'article 32 du RGPD, notamment en mettant en œuvre l'authentification multifacteur pour tous les comptes utilisateurs et administrateurs se connectant à distance et en instaurant une politique de complexité des mots de passe pour ces comptes.