Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a aplicat o sancțiune financiară de 523.900 lei, echivalentul a aproximativ 100.000 de euro, companiei Orange România, ca urmare a încălcării prevederilor Regulamentului general privind protecția datelor (GDPR).
Investigația a fost declanșată după ce Orange România a notificat autoritatea cu privire la două incidente de securitate care au afectat datele personale ale clienților săi. Ancheta finalizată în iunie 2026 a relevat probleme grave în modul de gestionare a datelor.
Acces neautorizat la facturile altor clienți prin aplicația mobilă
ANSPDCP a constatat că, în aplicația mobilă Orange, un client a reușit să acceseze și să descarce facturile altor utilizatori. Problema a fost generată de o eroare de sincronizare între două aplicații interconectate, care a făcut posibilă identificarea greșită a contului acestui client cu cel al unui angajat Orange.
Astfel, au fost divulgate date personale sensibile, printre care nume, prenume, adrese de domiciliu și livrare, seriile și numerele cărților de identitate, precum și informații financiare legate de facturi.
Atac informatic asupra aplicației de ticketing și expunerea unui volum vast de date
Pe parcursul investigației, autoritatea a identificat vulnerabilități serioase în securitatea aplicației de ticketing a companiei. Aceasta era accesibilă public fără măsuri fundamentale de protecție, cum ar fi conexiunea VPN, autentificarea în doi pași (MFA) sau restricționarea accesului pe bază de IP.
Aceste lacune au permis un atac informatic, ce a condus la accesul neautorizat și divulgarea masivă a datelor personale. Au fost compromise nume, adrese, numere de telefon, adrese de e-mail, coduri numerice personale, copii ale cărților de identitate, informații bancare (carduri, coduri IBAN), numere SIM, dar și alte date tehnice folosite în sistemele operatorului.
Detaliile sancțiunilor aplicate Orange România
Autoritatea a aplicat două amenzi distincte:
- 104.780 lei (aproximativ 20.000 euro) pentru lipsa măsurilor tehnice și organizatorice adecvate privind protecția datelor.
- 419.120 lei (circa 80.000 euro) pentru deficiențe în securitatea sistemelor informatice și protecția datelor.
Pe lângă aceste amenzi, ANSPDCP a dispus implementarea unor măsuri suplimentare de securitate. Orange trebuie să dezvolte un proces continuu de monitorizare și testare a tuturor aplicațiilor informatice, care să includă controlul modificărilor software și identificarea vulnerabilităților înainte ca acestea să permită accesul neautorizat la datele personale.
Contextul incidentelor de securitate
În debutul anului 2025, Orange România raporta un atac cibernetic asupra uneia dintre aplicațiile sale dedicate gestionării cererilor clienților. Atunci, hackerii au accesat și extras aproape 7 GB de date, conform informează Direcția Națională de Securitate Cibernetică. Aceste incidente evidențiază probleme persistente în protejarea informațiilor utilizatorilor în cadrul companiei.
