UODO напомня за оценката на риска и спазването на установените процедури, за да се предотврати загубата на данни
Администратор уведомява полския надзорен орган за защита на данните (UODO) за нарушение на сигурността. То е настъпило в резултат на влизане с взлом в апартамента на служител и кражба на лаптоп, който съдържа файл с лични данни. В резултат на това е настъпила загуба на поверителността на личните данни.
При производството се установява, че откраднатият компютър е защитен от неоторизиран достъп само с парола, като към това устройство не са приложени мерките за сигурност, приети в процедурите.
Администраторът е водил адекватна документация от началото на прилагането на GDPR и е извършил оценка на риска. Администраторът е бил наясно с необходимостта от прилагане на подходящи организационни и технически мерки за гарантиране сигурността на обработката чрез използване на преносими компютърни устройства. В резултат на нарушението на личните данни администраторът предприема стъпки за избягване на подобни инциденти в бъдеще чрез криптиране на твърдите дискове на лаптопи. По този начин, едва след като е настъпило нарушението на данните, администраторът се е съобразил с резултатите от собствената си оценка на риска и управлението на риска, посочено в нея.
Полската Служба за защита на личните данни налага административна глоба от 8 000 PLN на кмета на общината за това, че не е приложил подходящи технически и организационни мерки за осигуряване на ниво на сигурност, съответстващи на риска.
Обработването на личните данни от обработващ трябва да бъде документирано
Полският надзорен орган е уведомен за нарушение на сигурността на личните данни в Културен център. В хода на производството е установено, че администраторът без писмен договор е използвал обработващ, на който е възложил поддържането на счетоводни книги, записи и изготвяне на отчети (в областта на финансите, данъчното облагане и социалното осигуряване).
Освен това администраторът не е успял да провери дали обработващият предоставя достатъчно гаранции за прилагането на подходящи технически и организационни мерки, за да гарантира, че обработването на лични данни е в съответствие с GDPR.
Липсата на проверка на обработващия и неговите гаранции за обработка в съответствие с разпоредбите за защита на данните може да доведе до последствия за лицата, чиито лични данни са били поверени на обработващия, като загуба на лични данни. Едва след проверка на компетентността и адекватността на избрания обработващ, администраторът може да пристъпи към сключване на подходящ договор, смята UODO.
Надзорният орган установява, че администраторът не разполага с документи, потвърждаващи проверката на условията на обработващия.
UODO налага административна глоба от 2500 PLN на културния център. Причината за решението е използването от страна на администратора на обработващ без писмен договор и липсата на проверка дали той предоставя достатъчно гаранции за прилагане на подходящи технически мерки.
UODO налага глоба на телекомуникационен оператор за неуведомяване за нарушение на сигурността на личните данни
Полският надзорен орган е информиран с имейл от лице, което е неоторизиран получател на набор от документи, свързани със сключването на телекомуникационен договор. UODO иска от съответната компания да предостави информация за споменатото нарушение на сигурността на личните данни и да предостави оценка по отношение на задължението да уведоми надзорния орган за нарушението на сигурността на личните данни и да го съобщи на субекта на данните.
От фирмата отговарят, че в хода на сключване на договора на посочения от клиента имейл е изпратено копие от договора с приложенията към него. Имейл адресът се оказва неверен, което самият клиент посочва и иска премахването му. Според компанията не е имало основания за разглеждане на въпросния инцидент като нарушение на личните данни и поради това компанията не е уведомила UODO за горепосоченото нарушение и не го е съобщила на клиента.
Едва след като дружеството получи известие от UODO за започване на административно производство, администраторът изпраща уведомление за нарушение на сигурността на личните данни до надзорния орган, заедно с писмото за съобщение до абоната относно нарушението на сигурността на личните данни.
Във въпросния случай администраторът е получил двойно повече информация, която би му позволила да узнае за нарушението на сигурността на личните данни. Първият път е когато клиентът се е обърнал към администратора с информация, че посоченият имейл адрес е неправилен и е поискал премахването му, което е отбелязано от дружеството в съответното уведомление. И вторият път, когато администраторът получава писмо от UODO с искане за предоставяне на информация относно нарушението на сигурността на личните данни, което включва разрешаване на неупълномощена трета страна да се запознае с договор.
Според UODO получаването още на първата информация е било достатъчно, за да се разбере за нарушението на личните данни. Междувременно дружеството е уведомило надзорния орган за нарушението на сигурността на личните данни и е съобщило на абоната едва след образуване на административното производство по случая и след преглед на преписката.
Поради това UODO констатира нарушение на Закона за телекомуникациите, състоящо се в неуведомяване на надзорния орган за нарушението на сигурността на личните данни в рамките на 24 часа, след като е узнал за него, и неуведомяване на нарушението на сигурността на личните данни на абоната без неоправдано забавяне и налага глоба от 250 000 PLN.
UODO отново разследва нарушението на личните данни на Virgin Mobile
Полската SA получи уведомление за нарушение на личните данни през декември 2019 г., в което администраторът уведоми за нарушение на личните данни на абонатите, което се състои в това, че неупълномощено лице получава достъп до данните и получава потвърждения за регистрация, съдържащи лични данни.
След съдебно решение UODO преразгледа доказателствата и отново издаде административно решение за налагане на глоба. Органът отбеляза, че член 5 от GDPR посочва принципите относно обработката на лични данни, които трябва да се спазват от всички администратори.
Според UODO Virgin Mobile е нарушила принципа на поверителност, чието правилно прилагане гарантира, че данните няма да бъдат предоставени на неоторизирани лица в случай на нарушение на сигурността на личните данни.
Пробивът в личните данни на абонатите е възникнал в резултат на използване на уязвимост в ИТ системата. В този момент си струва да се отбележи, че мерките, приети от Virgin Mobile, биха могли да бъдат ефективни, ако като част от приложените процедури включваха разпоредби за систематично тестване, оценка и оценка на ефективността на техническите и организационни мерки, приети за гарантиране сигурността на обработката на лични данни. Така на практика администраторът изобщо не е предприемал такива мерки.
UODO, установявайки нарушение на GDPR, реши да наложи административна глоба от 340 717,27 EUR на правоприемник на Virgin Mobile Polska.
На 17.02.2021 г. писах за глобата от 1,9 милиона PLN (460 000 EUR) на Virgin Mobile Polska със заглавие Полски глоби и предупреждения за нарушаване на GDPR.