KOMPAS FORSAFE 2026/43

Podstawa prawna naruszenia

Art. ust. 5 lit. f) RODO.

Niewystarczające środki techniczne i organizacyjne zapewniające bezpieczeństwo informacji.

Przyczyna naruszenia

Naruszenie wynikało z nieadekwatnego poziomu zabezpieczeń w środowisku podmiotu przetwarzającego oraz braku skutecznego nadzoru administratora nad tym podmiotem. Kluczowe znaczenie miał brak wykazania rzeczywistej i aktualnej analizy ryzyka oraz niedostosowanie środków technicznych do znanych podatności, które były publicznie dostępne od lat i posiadały dostępne poprawki. Dodatkowo proces kontroli dostawcy miał charakter formalny, a nie operacyjny, co uniemożliwiło wykrycie i zapobieżenie naruszeniu.

Opis wydarzeń

Funkcjonowanie środowiska przetwarzania u podmiotu zewnętrznego: Sprawa dotyczyła naruszenia bezpieczeństwa danych osobowych przetwarzanych przez administratora przy wykorzystaniu zewnętrznego dostawcy usług IT. Dane znajdowały się w systemach podmiotu przetwarzającego, który odpowiadał za ich techniczne utrzymanie, jednak odpowiedzialność za zgodność z RODO pozostawała po stronie administratora.
Początek incydentu i faza rozpoznania: Zgodnie z ustaleniami hiszpańskiego organu nadzorczego, aktywność atakującego rozpoczęła się już na początku stycznia 2023 r., kiedy to doszło do rozpoznania infrastruktury systemowej. Etap ten nie został wykryty przez organizację ani jej dostawcę, co wskazuje na brak odpowiednich mechanizmów monitorowania i wykrywania zagrożeń.
Wykorzystanie znanych podatności: Atak został przeprowadzony poprzez wykorzystanie dwóch podatności technicznych, które były znane odpowiednio od 2017 i 2019 r., a także posiadały publicznie dostępne poprawki. Brak ich wdrożenia stanowił jeden z głównych czynników umożliwiających uzyskanie nieautoryzowanego dostępu do danych.
Realizacja naruszenia i dostęp do danych: W połowie lutego 2023 r. doszło do nieuprawnionego dostępu oraz pobrania danych osobowych ze środowiska dostawcy. Naruszenie obejmowało różne kategorie danych, w tym dane kontaktowe, informacje dotyczące użytkowników oraz dane związane z obsługą usług.
Wykrycie incydentu: Dopiero 20 lutego 2023 r. podmiot przetwarzający poinformował administratora o incydencie bezpieczeństwa. Oznacza to, że przez pewien czas działania atakującego pozostawały niewykryte, co wskazuje na brak skutecznego monitorowania infrastruktury.
Zgłoszenie naruszenia do organu: Administrator dokonał zgłoszenia naruszenia do hiszpańskiego organu nadzorczego 23 lutego 2023 r. Na tym etapie nie było pełnej wiedzy o zakresie incydentu ani o tym, czy doszło do eksfiltracji danych.
Zmiana ustaleń po analizie: W wyniku dalszych analiz, zakończonych w maju 2023 r., potwierdzono, że doszło do faktycznego dostępu i wyprowadzenia danych osobowych. Był to kluczowy moment, który zmienił ocenę skali naruszenia.
Zakres geograficzny naruszenia: Naruszenie miało charakter transgraniczny i dotyczyło osób z wielu państw Unii Europejskiej, w tym m.in. Niemiec, Francji, Włoch czy Portugalii. Wskazuje to na dużą skalę przetwarzania i podwyższony poziom ryzyka.
Ocena ryzyka przez administratora: Administrator uznał, że mimo incydentu nie wystąpiło wysokie ryzyko dla praw i wolności osób fizycznych, w związku z czym nie poinformował osób, których dane dotyczą. Stanowisko to było oparte na założeniu, że wdrożone działania naprawcze ograniczyły ryzyko.
Stanowisko organu nadzorczego: Hiszpański organ nadzorczy nie zakwestionował samego faktu podjęcia działań naprawczych, ale uznał, że kluczowe naruszenie polegało na braku zapewnienia odpowiedniego poziomu bezpieczeństwa przed incydentem. W szczególności wskazano na brak wykazania adekwatności środków bezpieczeństwa do ryzyka.
Ocena nadzoru nad podmiotem przetwarzającym: Administrator opierał się głównie na umowach, ankietach bezpieczeństwa i certyfikatach dostawcy. Hiszpański organ nadzorczy uznał jednak, że takie działania mają charakter formalny i nie zastępują rzeczywistego nadzoru nad bezpieczeństwem przetwarzania.
Niewystarczająca analiza ryzyka: W toku postępowania nie wykazano, aby administrator przeprowadził szczegółową analizę ryzyka powiązaną z konkretnymi zagrożeniami i środkami bezpieczeństwa. Dokumentacja nie zawierała precyzyjnego opisu ryzyk ani ich powiązania z wdrożonymi zabezpieczeniami.
Rezultat postępowania: Hiszpański organ nadzorczy stwierdził naruszenie zasady integralności i poufności danych, nakładając karę finansową w wysokości 650 000 EUR oraz obowiązek wdrożenia odpowiednich środków bezpieczeństwa.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

Wzmocnienie nadzoru nad podmiotami przetwarzającymi: Administratorzy powinni wdrożyć realne, a nie wyłącznie formalne mechanizmy kontrolne wobec dostawców. Ocenie powinna podlegać faktyczna skuteczność zabezpieczeń, a nie jedynie dokumentacja deklaratywna.
Budowa dojrzałego procesu analizy ryzyka: Analiza ryzyka musi zawierać konkretne scenariusze zagrożeń, ocenę ich prawdopodobieństwa oraz przypisanie adekwatnych środków zabezpieczeń. Dokumentacja powinna jednoznacznie wskazywać zależność między ryzykiem a zastosowanym środkiem bezpieczeństwa.
Zarządzanie podatnościami i aktualizacjami: Należy wdrożyć proces identyfikacji i szybkiego usuwania podatności, szczególnie tych publicznie znanych. Ignorowanie dostępnych poprawek stanowi istotne naruszenie standardów bezpieczeństwa.
Weryfikacja skuteczności zabezpieczeń dostawców: Oprócz certyfikatów i ankiet należy stosować dodatkowe metody weryfikacji, takie jak audyty, testy czy przeglądy bezpieczeństwa. Certyfikaty nie zastępują oceny zgodności z RODO.
Wdrożenie monitoringu i detekcji incydentów: Systemy powinny umożliwiać szybkie wykrycie nieautoryzowanych działań. Brak monitorowania znacząco zwiększa skalę naruszenia i czas jego trwania.
Uwzględnienie specyfiki przetwarzania w modelu SaaS: W środowiskach zewnętrznych należy jasno określić podział odpowiedzialności za bezpieczeństwo i zapewnić dostęp do informacji wymaganych do oceny ryzyka.
Rzetelna ocena obowiązku notyfikacji naruszenia: Decyzja o nieinformowaniu osób powinna być podejmowana ostrożnie i oparta na udokumentowanej analizie ryzyka, uwzględniającej możliwość dalszego wykorzystania danych przez osoby nieuprawnione.
Rozwój współpracy między IT a zespołem privacy: Skuteczne zarządzanie incydentami wymaga współpracy specjalistów technicznych i prawnych, zwłaszcza przy ocenie skutków naruszenia.
Regularne audyty i aktualizacja środków bezpieczeństwa: Środki ochrony powinny być stale dostosowywane do zmieniającego się poziomu ryzyka oraz aktualnego stanu wiedzy technicznej.