Datatilsynet установява общо 12 нарушения на GDPR
Норвежкият орган за защита на данните, Datatilsynet, съобщи, че очаква обяснения от Норвежката агенция по труда и социалните грижи (NAV) във връзка с проекта на решение за налагане на глоба от 20 милиона норвежки крони.
Уведомлението идва след проверка по-рано тази есен, при която бяха установени няколко сериозни отклонения по отношение на информационната сигурност в техните IT системи.
Норвежкият орган за защита на данните приема този случай много сериозно, коментира директорът на надзорния орган Лине Кол. NAV е в специална позиция от гледна точка на поверителността и задачите, които са й възложени, включват обработка на лични данни в голям мащаб. Включително много чувствителна информация. Предупреждаваме за висока глоба, тъй като нашите разследвания показват груб пропуск при обработката на такава информация за дълъг период от време.
Според Datatilsynet системите за управление на NAV не са задоволителни, за да осигурят съответствие с разпоредбите за поверителност и че защитата на поверителността в IT системите също не е задоволителна. NAV има възможност да направи всякакви коментари по известието.
Сред основните констатации е, че организацията в NAV позволява голям брой служители да работят по казуси от цялата страна, в рамките на няколко зони на обслужване и съответно да имат широк достъп. В същото време не е установен системен контрол върху използването на IT системите от служителите. Резултатът от това според Datatilsynet е, че използването на IT системи до голяма степен се основава на доверие. Липсата на рутина и управление означава, че служителите нямат инструментите, от които се нуждаят, за да управляват доверието и отговорността, които са им дадени.
Директор Кол отбелязва, че повечето норвежки граждани получават обезщетения от NAV през целия си живот. Следователно има вграден висок риск за поверителност в операциите на NAV и строги изисквания за сигурност на личните данни.
При оценката на размера на глобата Datatilsynet подчертава, че NAV не е изпълнила предишни подобни заповеди.
Санкциите за нарушение трябва да са ефективни, да са в разумна връзка с нарушението и да действат като възпиращ фактор, а в този случай сме се спрели на висока глоба за нарушение, казва директор Кол.
Datatilsynet установява общо 12 нарушения на GDPR, сред които са липса на система за управление, която да предоставя подходящи технически и организационни мерки, за да гарантира, че обработката на лични данни се извършва в съответствие с GDPR.
В ръководната документация на NAV за управление на достъпа също липсват подходящи технически и организационни мерки, за да гарантират съответствие с GDPR.
Документацията на NAV за управление на достъпа не подлежи на редовен одит съгласно изискванията и NAV не е установила задоволителни организационни мерки, за да гарантира, че оценките на риска се извършват в съответствие със съответната нормативна уредба.
Наличието на метаданни за документи в Joark е твърде общо и широко и не е съвместимо с принципа за поверителност в GDPR.
NAV не е установила задоволителни организационни мерки за обучение, това е отклонение от изискванията на чл. 32 т. 1 и т. 4 на GDPR.
Процедурите за предоставяне на достъп са остарели и не предоставят никакви насоки, това трябва да се счита за отклонение от изискванията за подходящи организационни мерки.
Разкриването на лични данни, които се обработват само с цел архивиране, е твърде общо и широко и не е съвместимо с принципа на поверителност в член 5, пар. 1, буква „е“ от GDPR и изискванията за сигурност на личните данни в чл. 32, пар. 1.
Организацията в NAV изисква значителна част от потребителите да имат широк достъп. В комбинация с недостатъчна система за контрол на регистрационните файлове, това не е съвместимо с принципа за поверителност в член 5, параграф 1, буква „е“ от Регламента и изискванията за сигурност на личните данни в член 32, параграф 1.
Липсата на NAV на технически и организационни мерки за защита въз основа на индивидуалните нужди е отклонение от изискването мерките за сигурност да са адаптирани към риска от обработката по чл. 32, пар. 1 и 2 от GDPR.
NAV не е въвела задоволителни процедури за годишния одит на достъпа на мениджърите на звена. Това е отклонение от изискването в регламента за защита на личните данни член 32, точка 1, буква „г“.
NAV не е установила системна проверка на логовете. В комбинация с факта, че значителна част от служителите на NAV имат широк достъп, това трябва да се счита за отклонение от изискването за въвеждане на подходящи технически и организационни мерки, за да се гарантира и демонстрира, че обработването на лични данни се извършва в съответствие с регламента за защита на данните, по чл. 32, пар. 1 и 2, също чл. 5, пар. 2 и чл. 24, пар.1 и 2, и от изискванията за редовен контрол по чл. 32, пар. 1, б. „г“.