Този път Post Office публикува личните им данни в нередактирана версия на правно споразумение
Проклятието над британски пощенски шефове продължава. Службата на британския комисар по информацията (ICO) e отправила официално предупреждение на Post Office Limited след нарушение на данните, довело до неразрешено разкриване на лична информация, принадлежаща на стотици пощенски служители, замесени в скандала Horizon IT.
Пробивът е станал, когато екипът по комуникациите на пощенската служба погрешно е публикувал нередактирана версия на документ за правно споразумение на корпоративния си уебсайт. Документът е съдържал имената, домашните адреси и статута на началник на пощата на 502 души, които са били част от групов съдебен спор срещу организацията. Той е останал публично достъпен от 25 април до 19 юни 2024 г., преди да бъде премахнат след уведомление от външна адвокатска кантора.
При разследване на обстоятелствата около това нарушение на данните, ICO установява, че при Post Office липсват подходящи технически и организационни мерки за защита на информацията на хората. Установена е липса на документирани политики или процеси за осигуряване на качеството за публикуване на документи на корпоративния уебсайт, както и недостатъчно обучение на персонала, без конкретни насоки относно чувствителността на информацията или практиките за публикуване.
Сали Ан Пул, ръководител на разследванията в ICO, е цитирана да казва: „Хората, засегнати от това нарушение, вече бяха преживели значителни трудности и страдания в резултат на скандала с Horizon IT. Те заслужаваха много по-добро от това.
Пощенските власти за пореден път бяха разочаровани от Post Office. Нашето разследване показа, че това нарушение на данните е било напълно предотвратимо и е произтичало от грешка, която е можело да бъде избегната, ако са били въведени правилните процедури.
Други организации трябва да вземат предвид това предупреждение да приложат поуките от него, за да не се окажат в ситуация, в която допускат същата грешка. Защитата на данните още по проект трябва да бъде вградена в ежедневните операции, така че информацията на хората да се обработва по подходящ начин.“
Първоначално ICO обмисля налагането на глоба до 1,094 млн. британски лири. ICO обаче не счете, че установените нарушения на защитата на данните са достигнали прага на „egregious“ съгласно подхода си в публичния сектор и вместо това е издадено предупреждение.
Подходът на ICO към публичния сектор се фокусира върху повишаване на стандартите за защита на данните в целия публичен сектор на Обединеното кралство. Той дава приоритет на ранното ангажиране и други инструменти за прилагане, като предупреждения и enforcement notices, като същевременно налага глоби само за най-фрапантните нарушения в публичния сектор.
Предприети коригиращи действия
След нарушението, Post Office предприема редица стъпки за смекчаване на въздействието върху засегнатите хора, включително:
- Предлагане на обезщетение на всички лица, посочени в акта и засегнати от публикацията;
- Предоставяне на услуги за защита на самоличността, включително 24 месеца наблюдение на измами и наблюдение на тъмната мрежа;
- Свързване с търсачки и архиви за премахване на кеширани версии на документа;
- Създаване на работна група за спешни случаи, която да прегледа инцидента и да подобри вътрешния контрол;
- Създаване на нова документирана политика за публикуване на информация на корпоративния уебсайт.
Извлечени поуки
Този инцидент подчертава критичната роля, която всеки в една организация играе в защитата на личната информация. Пробивът не е причинен от злонамерено намерение, а от неспазване на основните принципи за защита на данните и несъществуване на правилните процедури.
Ключовите поуки за организациите във всички сектори включват:
- Установете ясни протоколи за публикуване: Чувствителните документи трябва да преминат през официален процес на преглед и одобрение, преди да бъдат публикувани онлайн. Многоетапен процес на одобрение може да помогне за предотвратяване на грешки.
- Разбиране на данните, с които работите: Всеки екип, особено тези, които работят със съдържание, достъпно за обществеността, трябва да бъде обучен да разпознава лична информация и да оценява нейната чувствителност в контекст. Това включва разбиране на репутационното и емоционалното въздействие на разкриването.
- Централизирайте и класифицирайте документи: Използвайте сигурни, споделени хранилища с ясни контроли за достъп и етикети за класификация. Избягвайте да разчитате на лични системи за съхранение като OneDrive и Google Drive.
- Определете роли и отговорности: Уверете се, че всеки, участващ в публикуването на съдържание, разбира своята роля и необходимите проверки преди публикуване.
- Съобразете обучението със задачата: Общото обучение за защита на данните не е достатъчно. Екипите се нуждаят от специфични насоки относно протоколите за публикуване, класификацията на данните и осведомеността за риска.
“ICO насърчава всички организации да преразгледат вътрешните си процеси, особено тези, свързани с публични комуникации, за да гарантират, че те отговарят на стандартите, изисквани съгласно закона за защита на данните. Нашата рамка за одит на защитата на данните предоставя полезна отправна точка за организациите да оценят управлението на поверителността си, пише надзорният орган.