Надзорният орган публикува историите зад двете най-големи суми
Хърватската Агенция за защита на личните данни (AZOP) наложи осем нови административни глоби на обща стойност 350 500,00 евро за нарушения на разпоредбите на Общия регламент относно защитата на данните (GDPR). AZOP на 2 юли публикува двете най-високи административни глоби:
Хърватското застрахователно бюро беше глобено със 101 000 евро
След анонимен сигнал за „изтичане“ на лични данни на повече от милион собственици на превозни средства от Регистъра на регистрираните превозни средства в Република Хърватия, Агенцията за защита на личните данни проведе надзорни процедури при няколко обработващи лични данни – Хърватското застрахователно бюро, Хърватския център за превозни средства, Министерството на вътрешните работи на Република Хърватия, както и при други юридически лица, свързани с инцидента.
Установено е, че структурата на данните, предоставена на Агенцията на USB паметта – данни за собственика на превозното средство (име и фамилия, дата на раждане, OIB, JMBG, адрес на пребиваване), данни за превозното средство (тип превозно средство, регистрационни номера, номер на шаси) и данни за застраховката (име на застрахователната полица, номер на полицата и дата на валидност) и данни за намаление на застраховката (бонуси/минимуми), съответства на базата данни на Хърватската застрахователна служба и че администраторът на лични данни е един и същ.
При това Агенцията установява, че HUO, като администратор, не е предприел подходящи организационни и технически мерки за защита на личните данни на респондентите, което противоречи на разпоредбите на чл. 32, пар. 2 и пар. 4 от Общия регламент относно защитата на данните. Поради непредприемането на подходящи мерки за защита, сигурността на системата за сигурност с личните данни на респондентите е била компрометирана, което е позволило по-лесен достъп до личните данни на респондентите от неупълномощени лица. Установено е също, че HUO не е предписал отделно максимални срокове за съхранение на личните данни на респондентите, съдържащи се в Регистъра на данните на Информационния център, което противоречи на разпоредбите на чл. 5, ал. 1, буква (д) от Общия регламент относно защитата на данните.
Гореспоменатите нарушения впоследствие са допринесли за възможността лични данни да бъдат премахнати от базата данни на HUO, а обстоятелствата около това събитие също се разследват от Министерството на вътрешните работи.
Като се има предвид, че HUO е юридическо лице с публични правомощия, се прилага чл. 44 от Закона за прилагане на Общия регламент относно защитата на данните, който постановява, че ако бъде наложена административна глоба срещу юридическо лице с публични правомощия или срещу юридическо лице, извършващо обществена услуга, наложената административна глоба не трябва да застрашава изпълнението на това публично правомощие или обществена услуга, поради което е наложена глоба в размер на 101 000 евро.
Компания за спортни залози е глобена със 175 000 евро
Поради невземане на технически мерки за защита на личните данни и неправилно съхранение на личните данни на потребителите, администраторът на данни (компания за спортни залози), е глобен със 175 000 евро.
AZOP получава сигнал, че букмейкър за проверка на потребителските акаунти в интернет изисква от потребителите да изпратят копие от личната си карта по имейл, което не е сигурен начин за изпращане на документи за проверка. Затова надзорният орган започва процедурата служебно, поради високия риск за правата и свободите на ответниците (играчи, потребители на услугата).
Установено е, че администраторът е обработвал личните данни на своите потребители (име и фамилия, дата на раждане, OIB, място на издаване на личната карта, адрес или местоживеене, дата на издаване и валидност на личната карта, номер на личната карта и кога потребителят е поискал първото си теглене с цел лична идентификация и копие от личната карта), без да е предприел подходящи мерки за техническа защита, отчитайки рисковете. Наред с други неща, някои служители на администратора използват пароли, които не са достатъчно силни, или пароли, които имат само 3 знака, което не е достатъчна мярка за защита, като се има предвид, че компютрите на определени служители могат да имат достъп до имейл адрес, който съдържа имейли с лични данни и копия на лични карти на голям брой потребители. Установено е също, че служителите се свързват с административната част на програмата на платформата за залагания чрез несигурна HTTP връзка.[*]
Освен това, администраторът не е осигурил изтриването на личните данни на субектите на данни след изтичане на срока на съхранение. По-специално, администраторът е бил длъжен да гарантира, че събраните лични данни се съхраняват във форма, която позволява идентифицирането на субектите на данни само толкова дълго, колкото е необходимо за целите, за които личните данни се обработват, и е действал в нарушение на член 5, пар. 1,б. (д) от GDPR.
Установено е също, че администраторът съзнателно не е архивирал данните, позовавайки се на прекомерните разходи за установяване на подобна мярка за сигурност за защита на личните данни. Като се има предвид обаче, че към момента на проверката администраторът е обработвал личните данни на 70 259 потребители на онлайн услугата за залагания, той е бил длъжен да осигури архивирането на личните данни.
AZOP наложила още шест административни глоби на администратори на лични данни за нарушаване на GDPR и Закона за прилагане на Общия регламент относно защитата на данните, в размери от 2500 до 35 000 евро.
[*] Основната разлика между HTTP и HTTPS е в начина, по който се предават данните. Докато HTTP изпраща данните като обикновен текст, без никаква защита, HTTPS ги изпраща криптирани, което ги прави сигурни и трудни за достъп от неупълномощени лица.