Orange România, amendată cu 100.000 de euro pentru încălcarea GDPR. Ce a descoperit ANSPDCP

Orange România a fost sancționată cu o amendă totală de 100.000 de euro de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), după ce investigațiile au arătat că două incidente de securitate au permis accesul neautorizat la datele personale ale unor clienți. Compania susține că a notificat autoritatea în termenul prevăzut de lege și că a luat măsuri pentru consolidarea securității sistemelor sale.

Orange România, amendată. Date personale ale clienților au fost accesate în urma unor vulnerabilități

Investigația ANSPDCP a început după ce Orange România a notificat autoritatea cu privire la un incident de securitate produs în cursul anului 2025, în conformitate cu obligațiile prevăzute de Regulamentul General privind Protecția Datelor (GDPR).

Potrivit concluziilor autorității, unul dintre incidente s-a produs în aplicația mobilă a operatorului, unde, din cauza unei erori de sincronizare între două aplicații informatice interconectate, contul unui client a fost asociat în mod eronat cu un cont de angajat al companiei.

În urma acestei erori, clientul a putut accesa și descărca facturi care aparțineau altor utilizatori.

Autoritatea a constatat că Orange România nu a implementat suficiente măsuri tehnice și organizatorice pentru protejarea datelor personale încă din faza de proiectare și utilizare a platformelor digitale.

În urma incidentului au fost divulgate fără autorizare informații precum nume, adrese, date din actele de identitate și informații din facturile clienților.

În cadrul aceleiași investigații, ANSPDCP a identificat și alte deficiențe privind securitatea sistemelor informatice utilizate de companie.

Potrivit autorității, vulnerabilitățile existente au permis inclusiv un atac informatic asupra aplicației interne de ticketing.

„Această vulnerabilitate a permis un atac informatic asupra securității accesului în aplicația de ticketing a operatorului, care a condus astfel la accesul neautorizat și la divulgarea neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate. Platforma era expusă public fără măsuri de siguranță, cum ar fi conexiune securizată (VPN), autentificarea în doi pași (MFA) sau restricționarea accesului pe bază de IP”, a transmis ANSPDCP.

Conform autorității, în urma acestui incident a fost accesat un volum foarte mare de informații personale aparținând mai multor persoane.

Printre datele compromise se numără nume, adrese, numere de telefon, adrese de e-mail, coduri numerice personale, informații despre carduri bancare, date de autentificare, coduri de client, coduri IBAN și informații asociate cartelelor SIM.

Două amenzi și obligația de a remedia problemele

În urma verificărilor, ANSPDCP a aplicat companiei două sancțiuni contravenționale, în valoare totală de 523.900 de lei, echivalentul a 100.000 de euro.

Prima amendă, în valoare de 104.780 de lei (20.000 de euro), a fost aplicată pentru neimplementarea unor măsuri tehnice și organizatorice adecvate privind protecția datelor încă din etapa proiectării și utilizării sistemelor informatice.

Cea de-a doua amendă, în valoare de 419.120 de lei (80.000 de euro), vizează lipsa unor măsuri suficiente pentru asigurarea confidențialității și securității datelor personale prelucrate de companie.

Pe lângă sancțiunile financiare, autoritatea a dispus și măsuri obligatorii de remediere. Orange România trebuie să monitorizeze și să testeze periodic aplicațiile informatice pentru identificarea vulnerabilităților și eliminarea riscurilor care ar putea permite accesul neautorizat la datele clienților.

După anunțarea sancțiunii, Orange România a transmis că amenzile vizează două incidente produse în anul 2025 și că operatorul și-a respectat obligațiile legale privind notificarea autorităților.

„Sancțiunile menționate au fost aplicate în legătură cu două incidente produse în cursul anului 2025. În ambele situații, Orange Romania a îndeplinit obligațiile legale privind notificarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, cu respectarea termenelor prevăzute de cadrul legal. Totodată, Orange Romania își reafirmă angajamentul ferm de a respecta legislația în vigoare și va continua să implementeze măsurile tehnice și organizatorice necesare în vederea consolidării securității rețelei și a serviciilor sale, în conformitate cu obligațiile legale și cu cerințele autorităților competente”, a transmis compania.

Sancțiunea aplicată de ANSPDCP reprezintă una dintre cele mai importante amenzi primite de Orange România în baza Regulamentului General privind Protecția Datelor și evidențiază obligația operatorilor de a asigura un nivel ridicat de securitate pentru informațiile personale ale utilizatorilor.