GDPR спира изпращането на снимки на пътни нарушители, ще се получават само при поискване
Бюлетинът на италианският надзорен орган за защита на личните данни (Garante per la protezione dei dati personali) от март разбуни духовете с две новини – глобата от 2,800 млн. евро за UniCredit bank и забраната да се изпращат снимки от нарушенията по пътищата автоматично.
Банките трябва да предприемат всички необходими технически и организационни и мерки за сигурност, за да предотвратят незаконното кражба на данните на клиентите им. Garante налага санкция наUniCredit bank за нарушение на данните, станало през 2018 г., когато са засегнати хиляди клиенти и бивши клиенти, пише в бюлетина.
Проверките, извършени от Garante – след получаване на уведомлението за нарушение на данните от банката – разкриват, че нарушението е станало поради масивна кибератака, извършено от киберпрестъпници, на портала за мобилно банкиране. Атаката е причинила незаконното придобиване на име, фамилия, данъчен код и идентификационен код на около 778 хиляди клиенти и бивши клиенти, а за над 6800 от „атакуваните“ клиенти е довело също до идентифицирането на ПИН кода за достъп до портала. Данните са били предоставени в HTTP отговора, предоставен от системите на банката на браузъра на всеки, който се е опитал да влезе, дори неуспешно, в портала за мобилно банкиране.
По време на сложното предварително разследване Garante открива няколко нарушения на законодателството за неприкосновеност на личния живот. По-специално, Garante установява, че банката не е приела технически мерки и мерки за сигурност, способни ефективно да противодействат на всякакви кибератаки и да попречат на клиентите си да използват слаб ПИН код (като например. тези, състоящи се от последователности от числа или съвпадащи с датата на раждане). При определяне на размера на глобата от 2,800 млн. евро Garante отчита големия брой субекти, пострадали от нарушението на личните данни, сериозността му и икономическия капацитет на банката. Навременното приемане на коригиращи мерки, инициативите за информиране и подкрепа, предприети спрямо клиентите, и фактът, че нарушението не засяга банкови данни, се считат за смекчаващи фактори.
Garante санкционира и NTT Data Italia с глоба от 800 хиляди евро. Оказва се, че NTT Data Italia е съобщила на UniCredit за нарушаването на личните данни на клиентите след крайния срок, определен от GDPR и едва след като банката е узнала за това чрез собствените си системи за вътрешен мониторинг.
Освен това NTT Data Italia е възложила на подизпълнители изпълнението на дейностите по оценка на уязвимостта и тестване за проникване на друга компания, без предварително разрешение от банката като администратор на данни, и при положение, че изрично е забранила възлагането на трети страни на тези дейности.
Garante съгласува и промени в норми, свързани с използването на камери за измерване на скоростта по пътищата.
По искане на Garante изображенията, които представляват източник на доказателства за нарушения на правилата за движение по пътищата, не трябва да се изпращат до дома на собственика на превозното средство с протокола за нарушение. Фотографската или видеодокументацията всъщност трябва да бъде предоставена на получателя на доклада само при поискване от негова страна, като във всеки случай се гарантира, че трети лица и регистрационни табели на всички други записани превозни средства са подходящо закрити или направени неузнаваеми.
От гледна точка на неприкосновеността на личния живот на шофьорите, използването на системи за засичане на скоростта, които записват предната част на превозното средство, също е разрешено, но само ако са оборудвани с функция, която автоматично закрива образите на хората вътре.
Освен това устройствата и записващите системи, въпреки че могат да наблюдават непрекъснато трафика, ще съхраняват изображенията само в случай на нарушение.
Определени са сроковете за съхранение на изображенията и видеоклиповете, събрани от органите на пътната полиция, компетентни да налагат санкции. Те ще се съхраняват за периода от време, който е строго необходим за налагането на глоби и уреждането на всякакви спорове, в съответствие с разпоредбите на Кодекса за движение по пътищата.