Auchan, amendată cu 41.908 lei în 2026 după un atac care a expus parolele unor utilizatori interni

Printre datele expuse se află numele de utilizator, numele și prenumele, adresa de e-mail și parola. ANSPDCP arată că datele aparțineau unui număr semnificativ de utilizatori interni, fără să precizeze numărul exact al persoanelor. Amenda este aplicată companiei, nu persoanelor ale căror date au fost afectate.

De ce a fost amendată compania

Ținta atacului a fost contul de administrator pentru unul dintre sistemele de securitate ale Auchan. Autoritatea a constatat că firma nu avea măsuri de protecție potrivite pentru riscul la care erau expuse datele. ANSPDCP a constatat că Auchan nu implementase măsuri tehnice și organizatorice adecvate pentru un nivel de securitate corespunzător riscului și pentru confidențialitatea sistemelor, încălcând art. 32 alin. (1) lit. b) și alin. (2) RGPD. Investigația a început după ce Auchan a anunțat autoritatea despre incident. Potrivit ANSPDCP, investigația a fost declanșată de notificarea transmisă de Auchan privind încălcarea securității datelor, în temeiul art. 33 RGPD.

Auchan trebuie să limiteze accesul la echipamentele sale informatice la rețeaua internă. Dacă este necesar accesul din exterior, firma trebuie să folosească atât o legătură protejată către rețeaua sa, numită VPN, cât și o verificare suplimentară a identității, nu doar parola. ANSPDCP a dispus implementarea acestei măsuri corective privind accesul intern, VPN și verificarea suplimentară a identității (MFA).

Ce pot face utilizatorii afectați

Potrivit politicii Auchan privind protecția datelor personale și confidențialitatea, persoanele afectate pot solicita companiei informații și își pot exercita drepturile. Dacă nu primesc răspuns sau sunt nemulțumite de acesta, pot sesiza ANSPDCP.

• Persoana a cărei parolă a fost expusă o poate schimba imediat, inclusiv la alte conturi unde a folosit aceeași parolă. Aceasta este o măsură de siguranță practică, nu o dispoziție individuală din comunicatul ANSPDCP.
• Pentru a afla dacă datele sale au fost afectate și ce măsuri au fost luate, poate scrie responsabilului cu protecția datelor de la Auchan la [email protected] sau la București, strada Brașov nr. 25, etaj 4, camera 1, Sector 6. Poate cere explicit confirmarea afectării și accesul la date. Compania trebuie să răspundă în cel mult o lună de la primirea cererii. În cazuri complexe, termenul poate fi prelungit cu două luni.
• Dacă nu primește răspuns la timp sau este nemulțumită de răspuns, persoana poate depune o plângere la autoritatea pentru protecția datelor, însoțită de dovezi. Autoritatea comunică în cel mult 45 de zile de la înregistrare dacă plângerea poate fi primită spre soluționare.