UiPath amendată de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal pentru divulgarea datelor personale a 600.000 de utilizatori ai Platformei Academy

UiPath (simbol bursier PATH), producător de software de automatizare și prima companie românească listată pe Bursa de la New York, a fost amendat cu 70.000 de euro de către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) pentru divulgarea datelor personale a 600.000 de utilizatori, potrivit informațiilor publicate pe site-ul ANSPDCP. Investigația a fost demarată ca urmare a transmiterii de către operator a unei notificări de încălcare a securității datelor cu caracter personal în temeiul Regulamentului General privind Protecția Datelor (GDPR).

„(…) Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a constatat că Uipath SRL nu a pus în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura că, în mod implicit, datele cu caracter personal nu pot fi accesate, fără intervenția persoanei, de un număr nelimitat de persoane,  incluzând capacitatea de a asigura confidențialitatea și rezistența continue ale sistemelor și serviciilor de prelucrare, precum și un proces pentru testarea, evaluarea și aprecierea periodice ale eficacității măsurilor tehnice și organizatorice pentru a garanta securitatea prelucrării. Acest fapt a condus la divulgarea neautorizată și accesul neautorizat la datele cu caracter personal (nume și prenume utilizator, identificatorul unic al fiecărui utilizator, adresa de e-mail, numele companiei la care utilizatorul este angajat, țara și detalii despre nivelul de cunoștințe obținut în cadrul cursurilor UiPath ACADEMY) a circa 600.000 de utilizatori ai Platformei Academy, pentru o perioadă de aproximativ 10 zile”, scrie pe site-ul Autorității Naționale de Supraveghere.

Astfel, Autoritatea Națională de Supraveghere a decis aplicarea unei sancțiuni cu amendă de 346.598 lei, echivalentul sumei de 70.000 euro împotriva Uipath SRL, potrivit sursei citate.

De asemenea, „ANSPDCP a dispus față de UiPath măsura corectivă de a implementa un mecanism procedurat și aplicat la intervale regulate de timp, privind testarea, evaluarea și aprecierea periodică  a eficacității măsurilor adoptate, ținând cont de riscul prezentat de prelucrare, în vederea asigurării unui nivel de securitate corespunzător și evitării pe viitor a unor incidente de securitate similare.”

În anul fiscal 2023, încheiat în ianuarie 2023, UiPath a raportat venituri de 1,06 miliarde de dolari, în creștere cu 19% comparativ cu anul precedent, și o pierdere de 328 mil. dolari, față de 525 mil. dolari în 2022, iar pentru 2024 compania estimează să treacă pe profit de 120 mil. dolari, spunea Rob Enslin, codirector executiv al UiPath în luna martie a acestui an, într-un interviu pentru ZF.

UiPath SRL din București a încheiat anul 2022 cu afaceri de peste 2,2 miliarde de lei (490 mil. dolari), în creștere cu 86% față de anul precedent, și pierderi de peste 249 mil. lei (53,8 mil. dolari), arată informațiile publicate pe site-ul Ministerului de Finanțe. În cadrul companiei lucrau 1.035 de persoane la finalul anului trecut, arată sursa citată anterior.

Răspunsul UiPath referitor la amenda dată de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal:

“La 1 decembrie 2020, UiPath a luat la cunoștință un incident care a dus la dezvăluirea neautorizată a unui fișier care conținea informații personale limitate despre utilizatorii UiPath Academy, portalul său de training online. Fișierul includea următoarele detalii: nume, adresă de e-mail, nume de utilizator, numele companiei, țara, și detaliile certificării UiPath. 

Între timp, incidentul a fost investigat de autoritățile române prin intermediul Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), o autoritate publică centrală autonomă cu competență generală în domeniul protecției datelor cu caracter personal. 

După o investigație care s-a întins pe o perioadă de aproximativ 2 ani și 6 luni de la data notificării, ANSPDCP a informat UiPath, la 1 august 2023, că aplică o amendă de 70.000 de euro. UiPath a decis să conteste amenda și va aștepta decizia finală care va fi emisă de către instanțele competente.”