L'Autorité nationale de surveillance du traitement des données à caractère personnel (ANSPDCP) a publié une décision de sanction à l'encontre de PREMIERE RESTAURANTS ROMANIA SRL, comprenant le prononcé d'une amende de 40 736 lei (équivalent à 8 000 €), pour des manquements en lien avec la sécurité des données et la sélection de ses sous-traitants. Cette affaire débute par une notification de violation de la sécurité des données à caractère personnel transmise par le responsable du traitement lui-même à l'occasion d'un incident de sécurité.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : Le responsable du traitement n'a pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Sans en dire beaucoup plus, l'autorité a relevé une incapacité à assurer la confidentialité, l'intégrité, la disponibilité et la résilience continues des systèmes et services de traitement, ce qui a permis un accès non autorisé aux données personnelles à la suite d'une attaque informatique sur son application.

* Obligation de recourir à des sous-traitants présentant des garanties suffisantes (article 28 du RGPD) : Il a été constaté que le responsable du traitement n'avait pas veillé à ne recourir qu'à des sous-traitants offrant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Cette situation a conduit à l'accès non autorisé aux données personnelles d'un nombre significatif d'employés, incluant le nom, le prénom, la date de naissance, l'adresse de courriel et la fonction.

En conséquence, l’autorité a imposé une amende de 40 736 lei (équivalent à 8 000 €) à PREMIERE RESTAURANTS ROMANIA SRL.