Amenzi GDPR de 716.481 lei în iulie. Ce a lipsit la cele patru companii

Cele patru sancțiuni

Orange România, 523.900 lei (100.000 de euro), pe 17 iulie. Sunt de fapt două amenzi. Prima, de 104.780 lei, pe art. 25 alin. (1) din RGPD: măsuri neadecvate încă din momentul în care s-au ales mijloacele de prelucrare. O eroare de sincronizare între două aplicații interconectate a făcut ca un client să poată descărca facturile altor clienți. A doua, de 419.120 lei, pe art. 32: aplicația de ticketing era expusă public, fără conexiune securizată, fără autentificare în doi pași și fără restricție de acces pe bază de IP. De acolo a fost sustras un volum foarte mare de date, printre care CNP-uri, serii și numere de carte de identitate împreună cu copii ale documentelor, informații despre carduri bancare, IBAN-uri și numere de SIM. HOMELUX, 108.570 lei, pe 31 iulie. 78.570 lei pe art. 32 din RGPD, plus 30.000 lei pe art. 4 alin. (5) din Legea 506/2004, pentru cookie-uri nenecesare tehnic, stocate fără acordul utilizatorilor. La origine, un atac cibernetic asupra platformei site-ului, care nu corespundea tehnic cu versiunea oficială a producătorului, și parole cu complexitate redusă, rămase neschimbate și după incident. Am scris pe larg despre acest caz în analiza sancțiunii HOMELUX. Ascendex Technology, 57.839 lei (11.000 de euro), pe 1 iulie. Aici nu a existat niciun atac și nicio scurgere de date. O cerere de ștergere a fost rezolvată în aproximativ 12 luni, fără un răspuns final către persoana care o depusese și fără vreo justificare a întârzierii. În alte cazuri, soluționarea a durat până la 37 de luni. Sesizarea a venit prin CNIL, autoritatea din Franța, iar ANSPDCP a preluat cazul ca autoritate principală, fiindcă operatorul are singurul sediu în România. Banca Transilvania, 26.172 lei (5.000 de euro), pe 2 iulie. Un angajat a accesat, la cererea unui terț și fără nicio atribuție de serviciu, extrasele de cont ale unui client: IBAN, tip de cont, cod client, tranzacții, sold. Detaliile, în articolul despre accesul neautorizat din interior.

Niciuna dintre amenzi nu a fost dată pentru că s-a întâmplat ceva

La Ascendex nu a fost niciun incident de securitate. Amenda a venit pentru felul în care a fost tratată cererea unei singure persoane. La Banca Transilvania nu a intrat nimeni din afară, a fost un angajat cu drepturi de acces mai mari decât avea nevoie. La Orange și la HOMELUX chiar au fost atacuri. Autoritatea nu a sancționat atacul. A sancționat ce a găsit uitându-se în urma lui. Distincția asta contează pentru orice administrator care crede că e protejat pentru că nu i s-a întâmplat încă nimic. Nu incidentul declanșează amenda, ci ce se vede în organizație atunci când cineva se uită atent.

Cum au ajuns cele patru companii în investigație

Orange și HOMELUX și-au notificat singure breșa, conform art. 33 din RGPD. Ascendex și Banca Transilvania au ajuns acolo în urma unei plângeri. Nicio investigație din iulie nu a pornit dintr-un control planificat. Concluzia pe care o trag unii administratori de aici este că mai bine nu notifici. Este exact pe dos. Deficiențele constatate la Orange și HOMELUX existau înainte de incident, iar investigația doar le-a scos la lumină. Nenotificarea ar fi adăugat o încălcare peste tot ce s-a găsit oricum, iar termenul de 72 de ore este o obligație legală, nu o opțiune strategică.

88% din valoarea amenzilor trimite la aceeași literă din lege

Orange și HOMELUX înseamnă împreună 632.470 lei din cei 716.481 ai lunii. Ambele decizii citează art. 32 alin. (1) lit. d) din RGPD. Textul literei d) cere „un proces pentru testarea, evaluarea și aprecierea periodică a eficacității măsurilor tehnice și organizatorice pentru a garanta securitatea prelucrării". Nu o politică, nu un certificat, ci un proces: ceva care se repetă, are un calendar și un responsabil și lasă urme în urma lui. În decizia privind Orange, autoritatea scrie că operatorul „nu a testat periodic eficacitatea sistemelor de securitate". Măsura corectivă dispusă a fost implementarea unui proces de monitorizare și testare a tuturor aplicațiilor folosite în activitate, care să acopere actualizările, modificările de configurație și interconectările dintre aplicații, cu teste ulterioare pentru identificarea vulnerabilităților. La HOMELUX, aceeași constatare: lipsea procesul de testare, evaluare și apreciere periodică a eficacității măsurilor. Ambele companii aveau măsuri de securitate implementate. Ce nu aveau era mecanismul prin care să afle, la intervale regulate, dacă acele măsuri sunt active si reale.

Cum arată în practică un proces de testare periodică

Începe cu un inventar al aplicațiilor, componentelor, versiunilor și furnizorilor. Fără el nu ai ce testa, fiindcă nu știi ce ai. Urmează un calendar: ce se verifică, la ce interval, cine răspunde. Actualizările se urmăresc lunar, scanările de vulnerabilități trimestrial, un test de securitate mai serios o dată pe an. Intervalele se calibrează la riscul prelucrărilor tale, nu se copiază de la altcineva. Testarea se face și după fiecare modificare, inclusiv după cele făcute de furnizori. Incidentul de la Orange a pornit de la o sincronizare între două aplicații interconectate, adică exact genul de schimbare pe care o companie o consideră tehnică și o lasă în seama altcuiva. Fiecare problemă găsită se remediază documentat: ce s-a găsit, cine a reparat, când, și retestare după. Iar dovezile se păstrează, fiindcă rapoartele, jurnalele și deciziile de remediere sunt exact ce pui pe masă într-un control. Punctul ăsta din urmă e cel pe care îl ratează cele mai multe firme cu care lucrăm. Poți să faci lucrurile corect și, la o investigație, să nu poți dovedi nimic. Pentru autoritate, diferența dintre cele două e mică.

Cinci întrebări de pus în firma ta săptămâna asta

• Când a fost testată ultima dată securitatea aplicațiilor prin care treci date de clienți, și există un raport scris?
• Cine are acces la datele clienților și când s-a uitat ultima dată cineva peste lista aceea?
• Dacă azi primești o cerere de ștergere, cine o preia, în cât timp răspunde și unde rămâne urma răspunsului?
• Bannerul de cookie-uri chiar blochează scripturile până la acord, sau doar arată bine?
• Contractul cu furnizorul IT prevede termene de remediere a vulnerabilităților și dreptul tău de a verifica ce a implementat?

Un „nu știu" la oricare dintre ele nu e o problemă în sine. Devine una în ziua în care întrebarea vine de la ANSPDCP și nu de la tine.

Ce facem noi, concret

Evaluăm măsurile tehnice și organizatorice ale companiei tale față de exact articolele invocate în deciziile din iulie: art. 25 pentru protecția datelor încă din faza de proiectare, art. 32 pentru securitatea prelucrării, art. 12 și 17 pentru termenele de răspuns la cererile persoanelor. Verificăm accesele, mecanismul de consimțământ de pe site și contractele cu furnizorii IT. Rezultatul nu e un raport pe care îl pui în bibliotecă. E o listă de priorități și procesul de testare periodică scris, cu calendar și responsabil, gata de pornit. Adică fix documentul care lipsea la Orange și la HOMELUX. Cea mai mică amendă a lunii iulie a fost 26.172 lei, la o companie care nu suferise niciun atac. Cea mai mare, 523.900 lei. O evaluare făcută înainte costă o fracțiune din oricare dintre ele.

Întrebări frecvente