Психотерапевтичният център Вастаамо трябва да плати 608 000 евро, а туристическа агенция – 6 500 евро
Службата на омбудсмана по защита на личните данни наложи административна финансова санкция на психотерапевтичния център Вастаамо поради нарушение на разпоредбата на GDPR. Причините са пренебрегнати задължения, свързани с безопасната обработка на лични данни, както и докладването за нарушение на сигурността на личните данни. Констатирани са и недостатъци при съставянето на документацията, свързана с отчетността.
Психотерапевтичният център уведомява омбудсмана за защита на данните за атака срещу неговата база данни за пациенти през септември 2020 г. През октомври 2020 г. заместник-омбудсманът по защита на данните нарежда на администратора да уведоми лично клиентите, които са станали жертви на нарушение на сигурността на личните данни. Освен това Службата на омбудсмана по защита на данните започна разследване на законността на операциите на Вастаамо.
Вастаамо е обявен в несъстоятелност с решение на окръжния съд в Хелзинки през февруари 2021 г. и вече не извършва бизнес дейности, но продължава да обработва лични данни. Като администратор Вастаамо отговаря за обработката на данните за пациентите в съответствие със закона и спазването на сроковете за съхранение.
Въз основа на техническо разследване на компанията за сигурност на данните Nixu през октомври 2020 г. е установено проникване в базата данни за пациенти без оторизация поне два пъти, през декември 2018 г. и март 2019 г. Не е определен точният час на изтичането на базата данни със сигурност.
Вастаамо е трябвало незабавно да докладва за нарушението както на надзорния орган, така и на неговите клиенти, тъй като нарушенията са довели до висок риск за субектите на данни.
Вероятно базата данни на пациентите е била унищожена и възстановена в рамките на един ден през март 2019 г. Техническото разследване показа, че съобщение за изнудване, в което се твърди, че нападателят е изтеглил базата данни, е оставено на сървъра на информационната система за пациенти.
Най-вероятната причина за изтичане на базата данни за пациенти е незащитен MySQL порт в базата данни, в който акаунтът на root потребител на базата данни не е бил защитен с парола. На потребителския акаунт също беше предоставено правото да влиза в базата данни от всеки IP адрес. Сървърът на базата данни за пациенти е отворен за интернет без защита на защитна стена поне от 26 ноември 2017 г. до 13 март 2019 г.
Заместник-омбудсманът по защита на данните констатира, че личните данни не са били надлежно защитени срещу неразрешено и незаконно обработване или случайно изтриване, унищожаване или повреждане, а Вастаамо не е приложил основни мерки за гарантиране на безопасното обработване на лични данни. Поради недостатъчна документация администраторът не успява да докаже, че спазва изискванията за безопасност.
Съветът по санкциите към Службата на омбудсмана по защита на данните налага административна финансова санкция от 608 000 евро на Вастаамо.
Съветът по санкциите счита деянията на небрежност за изключително сериозни, а действията на Вастаамо при пренебрегване на задължението за уведомяване са умишлени. Действията на Вастаамо за намаляване на вредите за субектите на данни са взети предвид като смекчаващи мерки по отношение на санкцията. Като утежняващи обстоятелства съветът по санкциите взема предвид чувствителността на обработваните данни, както и недостатъците в документацията за нарушение на сигурността на личните данни през декември 2018 г.
Във Финландия административната глоба е иск с най-нисък приоритет при несъстоятелност. Следователно финансовата санкция няма да намали наличните средства за други искове в несъстоятелност, като евентуално обезщетение за щети.
Туристическа агенция е другият глобен администратор. Недостатъците в дейността на дружеството са свързани по-специално със сигурната обработка на данните и упражняването на правата на субекта на данните. Освен всичко друго, туристическата агенция е използвала некриптирана мрежова връзка във формуляра за кандидатстване за виза и е съхранявала формулярите, съдържащи лични данни, на отворен уеб сървър.
Клиентът на туристическата агенция казва, че се съмнява, че компанията няма да обработи данните във формуляра за електронна поръчка за виза в съответствие с разпоредбите за защита на данните. Клиентът също е поискал от туристическата агенция да изтрие данните му от системата, но компанията не е изпълнила искането на клиента.
Уебсайтът на компанията и електронният формуляр за кандидатстване за виза са били зад некриптирана мрежова връзка. В допълнение, информацията, въведена във формуляра, е запазена като PDF файл във файлова папка на уеб сървъра, който е отворен към мрежата.
Информацията, въведена във формуляра, включва, наред с други неща, име, информация за контакт и номер на паспорт.
Туристическата агенция не е изпълнила задълженията си за надлежна защита на данните. Компанията също така е нарушила задължението си да изпълни искането на субекта на данните за изтриване на личните му данни.
През декември 2021 г. е наложена глоба от 6500 евро на група в туристическия сектор, за част от която се счита и туристическата агенция.