Френският надзорен орган CNIL се сезира от публикации
Френският орган за защита на данните Commission Nationale de l’Informatique et des Libertés (CNIL) публикува съобщение за глоба на Dedalus Biology от 1,5 милиона евро заради пропуски в сигурността, довели до изтичане на медицински данни на близо 500 000 души.
На 23 февруари 2021 г. в пресата съобщава за масивен пробив в сигурността и изтичане на данни за близо 500 000 души, свързани с компанията Dedalus Biologie.
Данните са имена, социалноосигурителен номер, име на предписващия лекар, дата на прегледа, но също и медицинска информация за състояния и заболявания (ХИВ, рак, генетични заболявания, бременност, лекарствена терапия на пациенти или генетични данни).
Френският надзорен орган CNIL проверява дейността на компанията Dedalus Biologie, която продава софтуерни решения за лаборатории за медицински анализи.
На 4 март 2021 г. съдът блокира достъпа до сайт, в който е публикувана чувствителната информация, за да се ограничат последствията за хората.
Въз основа на елементите, събрани по време на разследванията, ограничената комисия (органът на CNIL, отговарящ за налагането на санкции) установява няколко нарушения.
Първо, нарушение на задължението на обработващия да спазва инструкциите на администратора (член 29 от GDPR).
При миграцията на софтуерен пакет към друг инструмент, поискана от две лаборатории, използващи услугите на Dedalus Biologie, се извлича по-голям обем данни от необходимия.
Следователно компанията е обработвала данни извън инструкциите, дадени от администратора на данни.
Второ, дружеството не е осигурило сигурност на личните данни по смисъла на член 32 GDPR.
При Dedalus Biologie са открити множество технически и организационни пробиви по отношение на сигурността в контекста на миграцията на софтуера към друг: липса на специфична процедура за операции по миграция на данни; липса на криптиране на лични данни, съхранявани на проблемния сървър; няма автоматично изтриване на данни след миграция към другия софтуер; не се изисква удостоверяване от Интернет за достъп до публичната зона на сървъра; използване на потребителски акаунти, споделени от няколко служители в частната зона на сървъра; липса на процедура за наблюдение и докладване на сигнали за сигурност на сървъра.
Тази липса на задоволителни мерки за сигурност е една от причините за пробива, който компрометира медицинските и административните данни на почти 500 000 души.
Установен е и проблем със спазването на задължението за регулиране с формализиран правен акт на обработването, извършено от името на администратора на лични данни (чл. 28 от GDPR), както и с Общите условия за продажба, предлагани от фирма Dedalus Biology и предадените на CNIL договори за поддръжка, които не съдържат изискваната от GDPR информация.
В светлината на горното, френският надзорен орган счита, че компанията не е спазила членове 28, 29 и 32 от GDPR.
Комисията към CNIL решава да наложи на администратора административна глоба от 1,5 милиона евро и да оповести публично решението.
Размерът на тази глоба е определен с оглед на сериозността на констатираните нарушения, но и като се вземе предвид оборотът на компанията Dedalus Biology.