Данните на жители на 14 държави са били изложени на риск
На 31 януари 2024 г. френският орган за защита на данните Commission Nationale de l’Informatique et des Libertés (CNIL) е наложил санкция от 100 000 евро на компанията PAP, собственик на сайта pap.fr (De Particulier à Particulier) заради неспазване на задължения за продължителността на съхранение на данни и сигурността на данните.
PAP е компанията зад сайта pap.fr за консултации и публикуване на реклами за недвижими имоти.
През март и април 2022 г. CNIL извършва две проверки на дружеството. Открити са нарушения по отношение на периодите на съхранение на данни, предоставянето на информация на лицата, в отношенията между PAP и обработващ данни, както и сигурността на данните.
В резултат на това органът на CNIL, отговорен за налагането на санкции, определя глоба от 100 000 евро във връзка с нарушения на Общия регламент относно защитата на данните (GDPR). Тази глоба беше наложена в сътрудничество със съответните европейски надзорни органи* в рамките на обслужването на едно гише, като уебсайтът на PAP има посетители в няколко държави-членки на Европейския съюз, както и от Норвегия.
Размерът на тази глоба е определен, като се вземат предвид установените нарушения, съдействието на дружеството и мерките, които е предприело по време на процедурата, за да се съобрази с определени нарушения, в които е обвинено.
Нарушение на задължението за съхраняване на данни за период, ограничен до предвидената цел (член 5, пар.1, б. „д“ от GDPR)
Компанията е определила период на съхранение от десет години за данните на определени клиентски акаунти, използващи платени услуги от сайта, без тази продължителност да може да бъде оправдана от разпоредбите на Кодекса на потребителите, на които се позовава. Това включва съдържанието на рекламите, името и фамилията, телефонния номер и имейл адреса на клиентите. Компанията също така е определил период на съхранение от пет години за данните на потребителите, използващи безплатните услуги на сайта, без обаче да го прилага, тъй като запазва данните за по-дълго.
Нарушение на задължението за информиране на лица (член 13 от GDPR)
На своя уебсайт компанията информира хората чрез непълна и неясна политика за поверителност:
– като не дава обяснения относно посочените правни основания,
– като не посочва категориите или обработващите, с които работи,
– като не посочва правото за подаване на жалба до CNIL,
– и споменаване на неточни периоди на съхранение на данни.
Неспазване на задължението за правна рамка на обработване, извършвано от името на администратор на данни (член 28 от GDPR)
Договор, сключен между дружеството и обработващ, не съдържа изискваната от GDPR информация.
Нарушение на задължението за гарантиране на сигурността на личните данни (член 32 от GDPR)
Правилата за сложността на паролата на потребителския профил на сайта не са достатъчно надеждни. Поверителни идентификационни данни са предадени от компанията на потребители, които не са имали акаунт, за да получат достъп до реклама за недвижими имоти, публикувана в сайта.
Освен това некриптираното съхранение на пароли за потребителски акаунти (свързани с техните идентификатори и имейл адреси) и поверителни справки (свързани с лично пространство) в обикновен текст не гарантират сигурността на данните.
И накрая, всички данни, свързани с неактивни потребителски акаунти, се съхраняват без сортиране.
Тези пропуски в сигурността излагат данните на рискове от компютърни атаки и течове.
* Белгия, Испания, Португалия, Германия, Италия, Холандия, Ирландия, Гърция, Швеция, Австрия, Финландия, Дания, Полша и Норвегия като държава-членка на Европейското икономическо пространство.