Още по време на разследването компанията се сдобива с нужните документи
На 10 ноември 2022 г. френският орган за защита на данните Commission Nationale de l’Informatique et des Libertés CNIL глоби DISCORD INC с 800 000 евро за неспазване на няколко задължения на GDPR, по-специално по отношение на периодите на съхранение на данни и сигурността на личните данни.
DISCORD е услуга за voice over IP (технология, която позволява на потребителите да чатят през своя микрофон и/или уеб камера през интернет) и незабавни съобщения, в които потребителите могат да създават текстови, гласови и видео стаи. Услугата се публикува от DISCORD INC, компания, базирана в Съединените щати.
Въз основа на констатациите от разследванията органът на CNIL, отговорен за налагането на санкции, счете, че компанията не е спазила няколко задължения съгласно Общия регламент относно защитата на данните (GDPR). Той наложи глоба от 800 000 евро на DISCORD INC. като размерът на санкцията беше определен според установените нарушения, броя на засегнатите лица, но също така като се взеха предвид усилията, положени от компанията по време на цялата процедура за постигане на съответствие и факта, че нейният бизнес модел не се основава на експлоатация на лични данни.
По време на разследването компанията признала, че няма писмена политика за запазване на данни. CNIL открива, че в базата данни DISCORD има 2 474 000 френски потребителски профила, които не са били използвани повече от три години, и 58 000 акаунта, които не са били използвани повече от пет години.
По време на процедурата компанията създава писмена политика за запазване на данни, която включва изтриване на акаунти след две години липса на активност на потребителя. Но нарушението е на член 5, пар. 1, буква „д“ от GDPR – „ограничение на съхранението“.
Когато потребител, влязъл в гласова стая, затвори прозореца на приложението DISCORD, като щракне върху знака „X“ в горния десен ъгъл на прозореца в Microsoft Windows, той всъщност просто поставя приложението на заден план и остава влязъл в гласовата стая. В Microsoft Windows обаче щракването върху „X“ в горния десен ъгъл на последния видим прозорец на приложението за по-голямата част от приложенията означава напускане. При DISCORD е възможно потребителите да бъдат чути от други членове в гласовата стая, когато смятат, че са напуснали. Препоръчано е на DISCORD да информира потребителите, че техните думи все още се предават и чуват от други.
По време на наказателната процедура DISCORD INC. създава изскачащ прозорец, за да предупреди хората, свързани с гласова стая, когато прозорецът се затвори за първи път, че приложението DISCORD все още работи и че тази настройка може да бъде променя директно от потребителя.
Нарушението е за липса на защита на данните по подразбиране.
По време на разследването става ясно, че при създаване на профил в DISCORD, паролата може да е от шест знака, включително букви и цифри.
Проверяващите преценяват, че политиката за управление на паролите на DISCORD не е достатъчно силна и ограничителна, за да гарантира сигурността на акаунтите на потребителите.
Компанията предприема стъпки по време на процедурата: потребителите трябва да зададат парола от поне осем знака, с поне три от четирите типа знаци (малки букви, главни букви, цифри и специални символи) и след десет неуспешни опита за влизане, компанията изисква captcha (въпрос и отговор, напр. чрез квадратче за отметка или избор на изображение).
При проверката откриват, че според DISCORD INC.не е необходимо да се извършва оценка на въздействието върху защитата на данните.
Проверяващите обаче считат, че компанията е трябвало да извърши такава оценка на въздействието предвид обема на данните, обработвани от компанията и използването на нейните услуги от непълнолетни.
Дружеството е предприело действия по време на процедурата, като е извършило две оценки на въздействието на обработката, свързана с услугата DISCORD и нейните основни услуги, които са заключили, че няма вероятност обработката да доведе до висок риск за правата и свободите на физическите лица.