Virgin Mobile ukarane przez Prezesa UODO karą pieniężną w wysokości prawie 2 mln zł
Kategoria: Prawo administracyjne
Tematyka: Virgin Mobile, Prezes UODO, kara pieniężna, wyciek danych osobowych, RODO, środki techniczne, regulacja danych osobowych, bezpieczeństwo danych, procedury bezpieczeństwa, analiza ryzyka
Decyzją z 3.12.2020 r. Prezes UODO nałożył karę pieniężną na Virgin Mobile Polska Sp. z o.o. w związku z wyciekiem danych osobowych abonentów usług przedpłaconych. Prezes stwierdził naruszenia RODO oraz brak odpowiednich środków bezpieczeństwa. Kara wynosi 1.968.524,00 zł.
Decyzją z 3.12.2020 r., sygn. DKN.5112.1.2020, Prezes UODO nałożył na spółkę telekomunikacyjną Virgin Mobile Polska Sp. z o.o. karę pieniężną w kwocie 1.968.524,00 zł w związku z kontrolą wszczętą po wycieku danych osobowych abonentów usług przedpłaconych. Zarzuty wobec Spółki Zakresem kontroli przeprowadzonej przez Prezesa UODO w Spółce, w konsekwencji zgłoszenia przez Spółkę naruszenia ochrony danych osobowych, objęty został sposób przetwarzania danych, w tym sposób ich zabezpieczenia, w ramach świadczenia usług telekomunikacyjnych abonentom usług przedpłaconych. Prezes UODO stwierdził naruszenie przez Virgin Mobile przepisów RODO polegające na niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku przetwarzania danych za pomocą systemów informatycznych służących do rejestracji danych osobowych abonentów usług przedpłaconych, co doprowadziło do uzyskania przez osobę nieuprawnioną dostępu do tych danych. Nieuprawniona osoba uzyskała dostęp do 142 222 rekordów potwierdzeń rejestracji usług przedpłaconych, zawierających dane osobowe 114 963 klientów w zakresie imienia i nazwiska, numeru ewidencyjnego PESEL, serii i numeru dowodu osobistego, numeru telefonu, numeru NIP oraz nazwy podmiotu. Z ustaleń Prezesa UODO wynika, że do wycieku danych osobowych doszło na skutek uzyskania nieuprawnionego dostępu do danych abonentów usług przedpłaconych poprzez wykorzystanie podatności systemu informatycznego, tj. usługi generującej potwierdzenia dokonania rejestracji kart prepaid. Z decyzji usunięte zostały szczegóły techniczne dotyczące systemu, jednak wywnioskować można, że podatność systemu związana była z brakiem odpowiedniej weryfikacji wszystkich wymaganych parametrów przy rejestracji kart przedpłaconych poprzez aplikację, obsługiwaną przez system, do którego dostęp uzyskała nieuprawniona osoba. Prezes UODO zarzucił Spółce, że środki techniczne i organizacyjne, jakie stosowała od maja 2018 r., były poddawane przeglądom oraz uaktualniane jedynie w miarę potrzeb, w sytuacji wystąpienia zmian organizacyjnych lub prawnych. Zdaniem Prezesa UODO, w Spółce nie było przeprowadzane kompleksowe regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania. Dopiero w sytuacjach, gdy pojawiało się podejrzenie zaistnienia podatności, prowadzone były prace mające na celu zabezpieczenie przed daną podatnością. Co więcej, przed wystąpieniem naruszenia ochrony danych osobowych, Spółka nie przeprowadzała testów nastawionych na weryfikację zabezpieczeń aplikacji i obsługującego ją systemu informatycznego, z którego wyciekły dane osobowe. W ocenie Prezesa UODO, Spółka nie wypełniła obowiązków wynikających z RODO, związanych z doborem skutecznych środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzanych danych, w tym zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania Co prawda, Spółka przyjęła określone procedury dotyczące m.in. metodyki analizy ryzyka, procedury klasyfikacji poziomów bezpieczeństwa informacji, polityki bezpieczeństwa informacji, procedury zarządzenia systemem informatycznym. Jednak, Prezes UODO wskazał, że środki te nie były skuteczne, bowiem nie zawierały uregulowań dotyczących regularnego testowania, mierzenia oraz oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo. Prezes UODO za niewystarczające uznał dokonywanie testów jedynie w sytuacjach pojawiającego się zagrożenia. Zdaniem Prezesa UODO, konieczne jest bowiem wprowadzenie takiej procedury, która określać będzie konkretny harmonogram działań zapewniających regularną weryfikację skuteczności wdrożonych środków. Uzasadnienie nałożenia kary Nałożenie na Virgin Mobile kary i jej wysokość Prezes UODO uzasadnił: • naruszeniem przez Spółkę podstawowych zasad wynikających z RODO, tj. zasady poufności danych oraz zasady rozliczalności, • skalą naruszeń i ich wagą, • poważnym charakterem naruszenia, stwarzającym wysokie ryzyko negatywnych skutków ochrony prawnej dla dużej liczby osób (np. ryzyko kradzieży tożsamości), • długotrwałym istnieniem stanu naruszenia (według Prezesa UODO podatność zagrożenia wyciekiem danych istniała od dawna). Jak wynika z komunikatu opublikowanego na stronie urzędu, Prezes UODO uznał, że: „zastosowanie innych środków naprawczych niż administracyjnej kary pieniężnej byłoby nieproporcjonalne. Kara pieniężna ma zaś sprawić, że spółka w przyszłości nie dopuści już do podobnych zaniedbań.” Pomimo usunięcia przez Spółkę uchybień oraz dobrej współpracy Spółki z organem nadzorczym podczas kontroli, jak i podjętej w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków, w ocenie Prezesa UODO, zastosowana administracyjna kara pieniężna była proporcjonalna. Niniejsze okoliczności stanowiły jednak okoliczności łagodzące i mające wpływ na obniżenie wysokości wymierzonej kary. Wskazówki praktyczne wynikające z decyzji Prezes UODO w wydawanych decyzjach konsekwentnie podkreśla wagę weryfikowania przyjętych w danej organizacji procedur i stosowanych środków ochrony danych. Podstawowe wnioski z tym związane, po lekturze omawianej decyzji, sprowadzają się do następujących obowiązków: 1. nieustannej, kompleksowej weryfikacji przyjętych w danym podmiocie środków organizacyjnych i technicznych związanych z ochroną danych osobowych; Jak wskazuje Prezes UODO: „kompleksowość tej weryfikacji powinna być oceniana przez pryzmat adekwatności do ryzyk oraz proporcjonalności w stosunku do stanu wiedzy technicznej, kosztów wdrażania oraz charakteru, zakresu, kontekstu i celów przetwarzania”. 2. regularnego dokonywania przeglądów, niezależnie od sytuacji wystąpienia zmian, czy podejrzenia zaistnienia podatności; Prezes UODO wyjaśnia, że weryfikacja zabezpieczeń przy wprowadzaniu zmian organizacyjnych, prawnych lub w przypadku podejrzenia wystąpienia naruszenia integralności systemu nie stanowi właściwej oceny skuteczności przyjętych środków technicznych i organizacyjnych, tylko analizę ryzyka, która powinna być dokonywana odrębnie od przeglądów. Analiza ryzyka jest bowiem właściwa dla procesów wdrażania zmian. Przeglądy natomiast powinny być wykonywane niezależnie. 3. badania prawdopodobieństwa wystąpienia danego rodzaju zdarzenia / naruszenia na podstawie wszelkich możliwych okoliczności, nie tylko w oparciu o częstotliwość występowania określonych przypadków w danej organizacji; Prezes UODO słusznie podkreśla, iż niewystąpienie określonego zdarzenia w przeszłości nie oznacza, że nie wystąpi ono w przyszłości. To ważna decyzja nie tylko ze względu na zawarte w niej wyjaśnienia i wskazówki, ale także z tego powodu, że zwraca uwagę na jakość zabezpieczeń stosowanych przez firmy telekomunikacyjne, których bazy danych bez wątpienia są jednymi z największych. Z pewnością będzie to miało wpływ na podniesienie świadomości podmiotów danych / użytkowników telefonów w tym zakresie. Należy mieć także nadzieję, że konsekwencją będzie bardziej ostrożne powierzanie swoich danych osobowych nieznanym aplikacjom, czy usługom oferowanych przez operatorów sieci. decyzja Prezesa UODO z 3.12.2020 r., sygn. DKN.5112.1.2020
Nałożenie kary na Virgin Mobile uzasadniono naruszeniem zasad RODO, poważnością incydentu oraz długotrwałym istnieniem zagrożenia. Prezes UODO podkreślił konieczność regularnej weryfikacji środków ochrony danych oraz badania prawdopodobieństwa wystąpienia incydentów.