През 2021 г. КЗЛД отговаря на 32 запитвания, постъпили от други органи за защита на данните, следвайки заложената процедура по чл. 61 от GDPR
Комисията за защита на личните данни публикува отчета за дейността ѝ през 2021 г. Ето няколко интересни случая, свързани с предложения да бъде конституирана като водещ надзорен орган (ВНО) и засегнат надзорен орган (ЗНО).
На 1 април 2021 г. писах, че Комисията за защита на личните данни в девет случая действа като засегнат надзорен орган според отчета на ведомството за 2020 г. В документа се посочва, че за отчетния период КЗЛД e сезирана с три искания за конституиране като водещ надзорен орган (ВНО).
През 2021 г. КЗЛД e сезиранa с общо седем предложения да бъде конституирана като водещ надзорен орган (ВНО). След извършен анализ на представената документация по случаите, в това число фактите и събраните от проверки доказателства, Комисията е взела решение по четири случая да не се конституира като ВНО поради липсата на място на установяване на посочените дружества на територията на България, а в останалите три случая проверките за наличие на териториална компетентност все още текат. Най-честата хипотеза за невъзможността на КЗЛД да се конституира като ВНО е посочването като АЛД на фиктивно дружество с български адрес, за което след извършване от Комисията на предварителна проверка се установява, че не съществува или не може да бъде установено.
През отчетния период КЗЛД, като се е припознала в качеството си на ВНО, открива процедура по чл. 56 във връзка със случай, касаещ нарушение на сигурността на данните по чл. 33 от ОРЗД, изразяващ се в неоторизиран достъп до Customer Relationship Manager (CRM) акаунт на дружество. Засегнати са лични данни на граждани от Естония, Финландия, Литва, Латвия, Италия, Франция, Белгия, Австрия, Испания. След извършването на цялостна преценка на фактите и обстоятелства по случая и спазването на утвърдената в ИСВП процедура (публикуване на проект на решение, по което конституиралите се като ЗНО могат да правят коментари и предложения), КЗЛД налага имуществена санкция и официално предупреждение на съответния администратор на лични данни.
През 2020 г. КЗЛД се е конституирала като засегнат надзорен орган (ЗНО) по общо девет случая, тъй като е възникнало обосновано предположение, че могат да бъдат засегнати правата на български граждани.
През 2021 г. КЗЛД се е конституирала като ЗНО по общо 16 случая, тъй като е възникнало обосновано предположение, че могат да бъдат засегнати правата на български граждани. Пет от тях са били инициирани от българския надзорен орган.
Някои от по-интересните случаи са следните:
- Компания, предлагаща фармацевтични и продукти за орална хигиена, в това число и дермокозметика, депозира уведомление за нарушение на сигурността на данните при дружеството-майка, ситуирано във Франция. На глобално ниво корпорацията е станала жертва на кибератака, осъществена чрез ransomware „sodinokibi“, принадлежащ на групата Revil. Нарушението е възникнало в мрежата на дружеството в САЩ. Софтуерът е криптирал част от файловете в IT инфраструктурата на компанията, посредством използването на phishing. Получени са легитимен достъп и повишени права върху системата, което води до улесненото вкарване на вируса. След това антивирусната програма на съответния компютър бива деинсталирана и той е криптиран. Самият вирус е разпространен чрез домейн контролър, използващ SCCM Microsoft, като така е достигнато и до засегнатия в България потребител. Очаква се произнасянето на ВНО.
- Български гражданин сезира КЗЛД с жалба срещу компания, ситуирана в Кипър, предлагаща хостинг услуги на клиенти в различни държави от ЕС. Лицето упражнява правото си по чл. 17 от Регламента („правото да бъдеш забравен“) съгласно утвърдената процедура. Според него има няколко нарушения на приложимото законодателство: отговорът на администратора е изпратен след законоустановения срок; не е ясно кой точно го е изпратил; не е получен конкретен отговор на зададените въпроси; конкретната информация не му била предоставена, защото е конфиденциална и ирелевантна към искането му, както и се твърди от АЛД, че искането е изпълнено, а всяко последващо такова ще се счита за повтарящо се и прекомерно съгласно разпоредбата на чл. 12, пар. 5 от ОРЗД.
Становището на кипърския надзорен орган е, че администраторът е изпълнил искането на лицето във времевите рамки, предвидени в чл. 12 от Регламента. В допълнение субектът на данните е депозирал няколко последователни искания към АЛД, на които са били предоставени конкретни отговори. Надзорният орган смята, че администраторът не е длъжен да дава информация, която е извън обхвата на чл. 15 от ОРЗД, като например предприети от него технически и организационни мерки за защита.
- Българският надзорен орган се конституира като ЗНО по случай, открит от естонския надзорен орган, по повод на нарушение на сигурността на данните от страна на Admiral Markets AS, чиято основната дейност е свързана с предлагането на обучения и инвестиционни услуги на клиенти. Те съобщават за обаждания от трети лица, които уж предлагали услуги и инвестиционни възможности и работели за големи инвестиционни компании. Администраторът провежда разследване, с което установява, че един от компонентите на CRM на дружеството е компрометиран и е получен достъп до данни на клиенти на дружеството, които са били предадени на трети лица. Дружеството установява, че е бил използван автоматичен скрипт, който прави заявки за данни в системата. Предприети са адекватни мерки за смекчаване на последиците от нарушението на сигурността.
Надзорният орган на Естония се произнася с проект на решение, с което налага мярка „официално предупреждение“ по чл. 58, пар. 2, б. „б“ от Регламента. Изразените съображения са, че личните данни следва да се обработват по начин, осигуряващ подходяща сигурност на обработването, в това число защита от неоторизирано или незаконосъобразно обработване, като се имплементират подходящите технически и организационни мерки. От особена важност е администраторът да гарантира редовно сигурността на информационните системи (в това число техния постоянен мониторинг и ъпдейт). Прието е и окончателно решение със същия диспозитив, тъй като няма обосновани възражения от другите ЗНО.
През 2021 г. КЗЛД отговаря на 32 запитвания, постъпили от други органи за защита на данните, следвайки заложената процедура в ИСВП по чл. 61 от ОРЗД. Някои от поставените по-интересни въпроси са свързани с обработването на лични данни при управление на безпилотни самолети; нерегламентираният достъп до централизирани информационни системи, съдържащи лични данни; видеонаблюдението, извършвано от физическите лица чрез шпионката на външната врата; прилагането на правата на физическите лица и принципите за обработване на данните съгласно ОРЗД; операциите по обработване на лични данни за целите на националната сигурност; тълкуването на правото на физическото лице да подава жалба до надзорния орган за защита на данните при трансгранични случаи; ограничаването на достъпа на пациенти до техните здравни данни; извършването на видеонаблюдение на работното място с цел оценка на изпълнението на задълженията; тълкуването на изключението, свързано с обработването на данни за лични или семейни нужди по отношение на онлайн съдържание; въвеждането на система, която да осъществява връзки между превозни средства с цел постигане на по-голяма пътна безопасност; разпореждането за предоставяне на информация по съдебно дело; обработването на лични данни на участниците в спортни събития; публикуването на съобщения, съдържащи лични данни в онлайн форуми; използването на биометрични данни за целите на идентификацията и тяхното съхраняване; обработването на информацията относно резултатите от тестването за КОВИД-19 на служителите от техните работодатели и използването на система за автоматично разпознаване на регистрационни номера.