KOMPAS FORSAFE 2026/34

Podstawa prawna naruszenia

Art. 5 ust. 1 lit. f), ust. 2, art. 24, art. 32, art. 34 RODO.

Niewystarczające środki techniczne i organizacyjne zapewniające bezpieczeństwo informacji.

Przyczyna naruszenia

Przyczyną naruszenia był wadliwie zaprojektowany model dostępu do danych osobowych w systemach bankowych Intesa Sanpaolo S.p.A., oparty na tzw. „pełnej cyrkulacji” uprawnień. Model ten umożliwiał pracownikom uzyskiwanie dostępu do danych klientów spoza własnego portfela obsługowego bez konieczności wykazania rzeczywistej potrzeby operacyjnej, uzyskania uprzedniej autoryzacji przełożonego ani uruchomienia mechanizmów kontroli kontekstowej.

Opis wydarzeń

Długotrwały nieuprawniony dostęp do danych: W toku postępowania ustalono, że w okresie od 21 lutego 2022 r. do 24 kwietnia 2024 r. pracownik banku uzyskiwał dostęp do danych osobowych i finansowych klientów bez uzasadnienia wynikającego z powierzonych mu obowiązków służbowych. W tym czasie dokonano 6 637 zapytań obejmujących dane 3 573 klientów banku. Dostępy te miały charakter powtarzalny i systematyczny, co wskazywało na utrwalony schemat działania, a nie pojedynczy incydent.
Zakres danych objętych naruszeniem: Nieuprawniony dostęp obejmował szeroki zakres danych, w tym dane identyfikacyjne klientów, informacje o rachunkach bankowych, dane dotyczące kart płatniczych oraz informacje o inwestycjach i produktach finansowych. W części przypadków dostęp dotyczył danych umożliwiających ocenę sytuacji majątkowej klientów, co w ocenie włoskiego organu nadzorczego wiązało się z podwyższonym ryzykiem naruszenia ich praw i wolności.
Dane osób publicznych i politycznie eksponowanych: Wśród klientów, których dane były przedmiotem nieuprawnionych zapytań, znajdowały się osoby pełniące funkcje publiczne, politycy, osoby powszechnie znane, a także pracownicy i kadra kierownicza banku. Włoski organ nadzorczy podkreślił, że przetwarzanie danych takich osób wymaga zastosowania wzmocnionych mechanizmów kontroli, a brak ich wdrożenia istotnie zwiększa ryzyko nadużyć.
Nieskuteczność mechanizmów wykrywających: Pomimo funkcjonowania systemów logowania i alertów, naruszenie nie zostało wykryte w trakcie jego trwania. Zastosowane progi alarmowe oraz mechanizmy monitoringu nie pozwalały na identyfikację dostępu rozłożonego w czasie i formalnie mieszczącego się w zakresie uprawnień pracownika. W ocenie włoskiego organu nadzorczego oznaczało to, że środki techniczne i organizacyjne nie były adekwatne do poziomu ryzyka.
Nieprawidłowa notyfikacja naruszenia: Pierwsza notyfikacja naruszenia skierowana do włoskiego organu nadzorczego obejmowała jedynie 9 osób, mimo że faktyczna skala zdarzenia była znacznie większa. Pełny zakres naruszenia został ujawniony dopiero w toku postępowania wyjaśniającego oraz po publikacjach medialnych. Włoskie organ nadzorczy uznał, że sposób notyfikacji naruszył art. 33 RODO, ponieważ uniemożliwił właściwą ocenę ryzyka oraz opóźnił działania nadzorcze.
Opóźniona komunikacja z osobami, których dane dotyczą: Administrator danych nie poinformował osób, których dane zostały objęte naruszeniem, pomimo istnienia wysokiego ryzyka dla ich praw i wolności. Komunikacja została przeprowadzona dopiero po wydaniu decyzji przez włoski organ nadzorczy. W ocenie organu nadzorczego opóźnienie to ograniczyło możliwość podjęcia przez osoby fizyczne działań ochronnych i stanowiło naruszenie art. 34 RODO.
Ocena organu nadzorczego: Włoski organ nadzorczy, biorąc pod uwagę charakter i długotrwałość naruszenia, liczbę osób, których dane zostały objęte nieuprawnionym dostępem, zakres przetwarzanych danych, w tym dane finansowe oraz dane osób publicznych i politycznie eksponowanych a także systemowy charakter uchybień w modelu kontroli dostępu, nałożył na administratora administracyjną karę pieniężną w wysokości 31 800 000 EUR.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

Odejście od modelu „pełnej cyrkulacji” dostępu do danych: Administratorzy danych powinni projektować dostęp do danych osobowych w oparciu o rzeczywistą potrzebę operacyjną, a nie wyłącznie o formalne role organizacyjne. Dostęp do danych klientów spoza portfela obsługowego powinien być ograniczony i uzależniony od jasno zdefiniowanego celu przetwarzania.
Wdrożenie mechanizmów kontroli ex ante: Systemy informatyczne powinny wymagać uprzedniego uzasadnienia oraz, w uzasadnionych przypadkach, autoryzacji przełożonego przy próbie dostępu do danych szczególnej kategorii lub danych klientów spoza zakresu bieżących obowiązków pracownika. Kontrola następcza nie jest wystarczająca w środowiskach wysokiego ryzyka.
Różnicowanie poziomu zabezpieczeń w zależności od kategorii danych: Dane osób publicznych, politycznie eksponowanych oraz klientów o szczególnej wrażliwości powinny być objęte wzmocnionymi mechanizmami monitoringu, niższymi progami alertów oraz automatyczną eskalacją w przypadku nietypowych zapytań.
Ocena ryzyka oparta na skutkach dla osób fizycznych: Ocena ryzyka naruszenia ochrony danych powinna koncentrować się na potencjalnych skutkach dla praw i wolności osób, których dane dotyczą. Okoliczności organizacyjne, takie jak wewnętrzne źródło incydentu czy brak dowodów eksfiltracji danych, nie powinny prowadzić do arbitralnego obniżania poziomu ryzyka.
Rzetelna i kompletna notyfikacja naruszeń: Zgłoszenia naruszeń do organu nadzorczego powinny obejmować rzeczywisty zakres zdarzenia i być aktualizowane wraz z postępem ustaleń. Minimalizowanie skali naruszenia może zostać uznane za naruszenie obowiązków administratora danych.
Traktowanie komunikacji z osobami jako elementu zarządzania ryzykiem: Informowanie osób, których dane dotyczą, powinno być postrzegane jako środek ograniczający skutki naruszenia, a nie wyłącznie jako obowiązek formalny lub ryzyko reputacyjne. Opóźnianie komunikacji może zwiększać odpowiedzialność administratora.