Miért kapott rekordbírságot a DIGI?

2020. 06. 18., 18:30

A Nemzeti Adatvédelmi és Információszabadság Hatóság („NAIH”) a napokban nyilvánosságra hozott határozatában 100 millió forintos bírságot szabott ki a DIGI-re, amely a GDPR hatályba lépése óta a legnagyobb adatvédelmi bírság Magyarországon.

A NAIH kötelezte továbbá a DIGI-t, hogy vizsgálja felül az általa kezelt valamennyi, személyes adatokat tartalmazó adatbázist abból a szempontból, hogy azokban indokolt-e titkosítás alkalmazása és ennek eredményeiről tájékoztassa a Hatóságot. Az ügy legújabb fejleménye, hogy a DIGI bíróságon fog fellebbezni a döntés ellen, mert azt rendkívül túlzónak és precedens nélkülinek tartja.

  • Milyen tanulságai lehetnek mindennek a jövőre nézve a megfelelni vágyó vállalkozások számára? A CERHA HEMPEL Dezső és Társai Ügyvédi Iroda szakértői (dr. Kerényi Edmond, az adatvédelmi csoport vezetője és dr. Kocsis Márton, a versenyjogi és compliance csoport vezetője) alább röviden bemutatják a DIGI döntést és mindent, amit abból érdemes másoknak is megfontolni.

A NAIH határozatában megállapította, hogy a DIGI megsértette „célhoz kötöttség” és a „korlátozott tárolhatóság” GDPR-ban szabályozott alapelveit azzal, hogy az eredetileg hibaelhárítási célból létrehozott és tényleges ügyfelek személyes adatait tartalmazó tesztadatbázisát a szükséges tesztek lefuttatása és a hibák kijavítása után nem törölte. Ennek következtében az abban tárolt nagy számú ügyféladat (például nevek, lakcímek, személyi igazolványszámok, e-mail címek és telefonszámok) a továbbiakban cél nélkül és azonosításra alkalmas módon került tárolásra, ez a sérülékenység pedig közvetlenül lehetővé tette a személyes adatok hozzáférhetővé válását, vagyis egy adatvédelmi incidens bekövetkezését. Az ügy érdekessége, hogy erre a hibára egy etikus hacker, azaz informatikai támadásokat segítő szándékkal folytató szakember hívta fel a DIGI figyelmét.

A NAIH kifejtette, hogy a DIGI nem alkalmazott az általa kezelt személyes adatok mennyiségéhez és az adatkezelés (webes) jellegéhez mérten arányos biztonsági intézkedéseket. Egyrészről, az adatbázist kezelő szoftver hibája 9 éve ismert volt, javítás is készült hozzá, ám ezt a DIGI nem telepítette. Másrészről az érintett személyes adatok tekintetében nem alkalmazott titkosítást, amit a GDPR hatálybalépése óta az adatvédelmi hatóságok különös súllyal vesznek figyelembe a jogszabályi megfelelés vizsgálatakor, ráadásul a titkosítási követelmény a DIGI a saját adatkezelési belső szabályzataiban is szerepelt.

A bírság kiszabásakor a fentieken túlmenően többek között az alábbi súlyosító körülményeket vette figyelembe a NAIH:

  • a szóban forgó, egyébként bárki által könnyen felfedezhető sérülékenység javítását a DIGI-nek régóta el kellett volna végezni,
  • a hiba következtében a digi.hu honlapon keresztül adminisztrátori jogosultságokhoz is hozzá lehetett férni,
  • a DIGI piaci pozícióját, amely a nagyobb vállalkozás nagyobb felelősség elvét követi és
  • azt, hogy a DIGI – a határozatban foglaltak szerint – saját belső szabályzatának sem felelt meg.

Dr. Kerényi Edmond szerint az ügy egyik fontos tanulsága, hogy ha a konkrét adatkezelés jellegéhez és volumenéhez képest az informatikai rendszer ellenőrizhető módon sérülékenynek minősül, akkor ez a tény önmagában – tehát konkrét adatvesztés vagy -lopás nélkül is –megalapozza a szigorú hatósági szankció alkalmazhatóságát, ezért kiemelt figyelmet szükséges fordítani a személyes adatok biztonságos kezelésére. A cégen belül alkalmazott (korábban elégségesnek tűnő) hozzáférés-korlátozások immáron nem elegendők, a titkosítási protokollnak (különösen a webes környezetben) alapvetőnek kell(ene) lennie. Az informatikai rendszerek működtetése és sérülékenység-vizsgálata folyamatos, szükség esetén heti vagy napi kontrollt igényel az adatkezelők részéről. Emlékezetes, a British Airwaysnek nem volt akkora szerencséje, mint a DIGI-nek: őket ártó szándékú hacker támadás érte, és mivel az internetes bűnözőknek sikerült személyes adatokat is tartalmazó adatbázisokat zsákmányolniuk, a brit adatvédelmi hatóság rekord nagyságú, 182 millió fontos bírságot szabott ki a légitársasággal szemben.

A CERHA HEMPEL szakértői szerint a NAIH határozatából látható, hogy elvárt továbbá a biztonsági rések azonnali javítása akkor is, ha az adott szoftverhez a hivatalos frissítés még nem elérhető vagy az adott javítás kívül esne az IT-rendszer karbantartását végző feladatkörén. Ezen felül a határozatból kiolvasható, hogy a NAIH a nyilvánosan leírt szoftverhibákat és a gyártók által elérhetővé tett javításokat „közismertnek” tekinti, azaz elvárja, hogy az azokból fakadó adatbiztonsági kockázatokat az adatkezelő felmérje és kezelje. Dr. Kerényi Edmond felhívta a figyelmet arra, hogy a belső rendszerek tesztelésére célszerű kerülni a konkrét érintettek beazonosítására alkalmas személyes adatok felhasználását (helyette fiktív vagy személyes adatoknak nem minősülő adatokkal érdemes dolgozni), illetve ha erre nincs mód, akkor a személyes adatokat lehetőség szerint azonosításra alkalmatlan módon használják fel és ebben az esetben is csak a tesztidőszak végéig.

A NAIH határozatának egy másik tanulsága, hogy nem elégséges a belső szabályzatok megfelelő megalkotása és a compliance rendszerek bevezetése, az azokban előírtakat a vállalatoknak maradéktalanul követniük is kell – fejtette ki dr. Kocsis Márton. A jelen döntés figyelmeztető példa arra, hogy a GDPR láznak még közelről sincs vége, hiszen a NAIH egyre szigorúbban bírságol. Érdemes lehet tehát adatvédelmi vagy megfelelési (compliance) szakértőkkel felvenni a kapcsolatot, és a szükséges – akár külső – auditokat is elvégezni a vállalkozásán belül. Dr. Kocsis Márton azt is elmondta, hogy a legjobb compliance rendszer sem sokat ér, ha nem biztosított annak utógondozása, a folyamatos monitoring: egy-egy külső szakértő által (legyen az akár ügyvéd, auditor, vagy informatikai szakértő) elvégzett stressz-teszt felszínre hozhat olyan hiányosságokat is, amelyekkel a hasonló méretű gigabírságok megelőzhetőek.

Ha tetszett a cikk, kövesse az ÜZLETEMET
a Facebookon!

Még több friss hír

2024-06-16 11:00:49
A só fontos. Ismerjük a királylány meséjét, tudjuk milyen, ha nincs az ételben. Azon túl, hogy legyen kéznél, normális esetben nem tulajdonítunk nagy jelentőséget neki. Sima fehér kristályok, belecsippentünk, szórjuk, főzünk vagy eszünk tovább.

  BIZNISZPLUSZ PODCAST

A hazai utasbiztosítási piac egyik legalapvetőbb problémáinak egyike az, hogy az ügyfelek még mindig túl sokat akarnak spórolni rajta, holott a nyaralás költségének csak elhanyagolható töredékét teszi ki – hívta fel a figyelmet a PBA Insura Zrt. vezérigazgatója. Dr. Kozma Gábor jelezte: a legolcsóbb és az 1–2 ezer forinttal többért kötött prémium biztosítás szolgáltatásai között óriási különbség tátong, és erre az utolsó pillanatban – mert bizony akkor kötjük – már nem biztos, hogy felfigyelünk.
Női pék, cukrász, kaviárszakértő is helyet kapott a rendezvény nagyszínpadán, hogy a fő téma, a „női energiák” mentén bemutassák a művészi szintre emelt szakmájukat. Nemes Richárd főszervező elárulja, hogy hogyan lehet még fenntarthatóbban működtetni egy műfajából adódóan sok hulladékkal járó gasztronómiai rendezvényt vagy milyen egyszerű ételekkel tudnak nagyot alkotni a Gourmet Fesztiválon bemutatkozó konyhák mesterei. Ha mindez nem lenne elég, kifejti, hogy a fine dining milyen vonásokkal ruházta fel a magyar vendéglátást az utóbbi pár évben és például hogyan lehet „veganizálni” megszokott fogásokat, amelyek ettől csak még jobbak lesznek! Vigyázat, étvágygerjesztő epizód!
Miközben a világ e-személyautó gyártói egyre élesedő versenyt vívnak a vásárlók kegyeiért, nem szabad elfelejteni, hogy a közlekedés károsanyag-kibocsátásának jelentős részéért a teherfuvarozás felel. Egyre több középtávú áruszállítást és utolsó mérföldes kézbesítést kiszolgáló depó elektrifikálja a járműflottáját és alakít ki hozzá megfelelő infrastruktúrát, ám nagyon nem mindegy, hogy az üzemeltetés mennyire tud hatékony és gazdaságos lenni – mutat rá ebben az epizódban Négyesi Szilárd, a Siemens Zrt. szakértője.

  NÉPSZERŰ HÍREK

  Rovathírek: GUSTO

A só fontos. Ismerjük a királylány meséjét, tudjuk milyen, ha nincs az ételben. Azon túl, hogy legyen kéznél, normális esetben nem tulajdonítunk nagy jelentőséget neki. Sima fehér kristályok, belecsippentünk, szórjuk, főzünk vagy eszünk tovább.

  Rovathírek: ATOMBUSINESS