След оплакването вече е въведена двустепенна идентификация
Белгийският надзорен орган (SA) съобщи, че администратор на лични данни е глобен с 2500 евро заради една фактура за вода. Разработчикът на дигитална платформа за административни услуги и плащания не е успял да приложи необходимите мерки за сигурност, като вземе предвид рисковете, които представлява обработването на данни, от случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп към лични данни, предавани, съхранявани или обработвани по друг начин, и по този начин е нарушил член 5, ал. 1, буква „г“, член 5, ал.2, член 24, ал. 1, член 32,ал. 1 и член 32, ал. 2 от GDPR.
Санкционната камара на SA признава факта, че администраторът предприема бързо необходимите мерки за защита. Въпреки това, отчита, че споделянето на (финансови, медицински и други) данни представлява основната дейност на администратора, налага глоба от 2500 евро.
Администраторът на лични данни е компания, разработила платформа за дигитално администриране. И доставчиците, и клиентите могат да се свързват помежду си на тази платформа и след това да качват документи, да извършват плащания помежду си и т.н.
Жалбоподателят не е потребител на тази платформа, но живее съвместно с приятел, трета страна в спора и потребител на тази платформа.
В контекста на съвместно им съжителство жалбоподателят и неговият съквартирант се съгласяват съквартирантът да качи сметката за вода на техния общ дом в личния акаунт на съквартиранта в платформата, въпреки че сметката е на името на жалбоподателя.
След качване на сметката за вода, платформата автоматично идентифицира името на жалбоподателя в сметката за вода.
Вследствие на това платформата автоматично кани съквартиранта да се свърже с няколко други бизнеса, активни в платформата, на които жалбоподателят е бил клиент.
Въпреки че съквартирантът не е приел тези покани, се отбелязва, че поради липсата на недостатъчни мерки за сигурност съквартирантът лесно би могъл да има достъп до различни финансови и медицински данни на жалбоподателя.
В своите писмени изявления пред камарата на надзорния орган ответникът признава, че тези покани без никаква проверка на самоличността на потребителя наистина представляват нарушение на член 32 от GDPR.
Тези проблеми със сигурността обаче са разрешени за по-малко от 48 часа, след като ответникът е уведомен от жалбоподателя.
Преди изслушването ответникът вече е въвел необходимите мерки за сигурност, които inter alia вече не позволяват тези автоматични покани или друг вид предложени връзки.
Самоличността на субекта на данните вече се потвърждава чрез двустепенна идентификация при влизане в платформата. Въведена е допълнителна валидация чрез двуфакторна проверка на банковата сметка, за да се гарантира самоличността на субекта на данните.