KOMPAS FORSAFE 2026/51

Podstawa prawna naruszenia

Art. 5 ust. 1 lit. f) RODO.

Niewystarczające środki techniczne i organizacyjne zapewniające bezpieczeństwo informacji.

Przyczyna naruszenia

Naruszenie wynikało z braku wdrożenia przez podmiot przetwarzający środków bezpieczeństwa wymaganych wprost w umowie powierzenia przetwarzania, w tym mechanizmu uwierzytelniania wieloskładnikowego dla dostępu zdalnego do infrastruktury administratora. Braki te zostały zidentyfikowane już w toku audytu przeprowadzonego przez niezależnego audytora ponad rok przed incydentem, jednak deklarowane wdrożenie działań naprawczych nie zostało w praktyce zrealizowane w sposób skuteczny. Dodatkowym czynnikiem sprzyjającym naruszeniu był brak systemów detekcji i monitorowania anomalii, co uniemożliwiło wykrycie nietypowej aktywności przez samego podmiot przetwarzający. Incydent został zidentyfikowany wyłącznie dzięki mechanizmom monitorującym administratora.

Opis wydarzeń

Zgłoszenie naruszenia i pierwsze reklamacje osób dotkniętych: Dwie spółki z tej samej grupy energetycznej zgłosiły hiszpańskiemu organowi nadzorczemu naruszenie ochrony danych osobowych, wskazując na cyberatak przeprowadzony między 5 a 7 maja 2024 r. Do hiszpańskiego organu nadzorczego wpłynęło również kilka reklamacji od klientów, którzy otrzymali od administratorów wiadomości informujące o częściowym dostępie do ich danych w wyniku ataku na jednego z dostawców usług.
Charakter i przebieg incydentu: Naruszenie zakwalifikowano jako naruszenie poufności danych. Do nieautoryzowanego dostępu doszło poprzez wykorzystanie kont dwóch pracowników podmiotu przetwarzającego (oraz jego podwykonawcy z siedzibą w Chile), którzy korzystali z dedykowanego połączenia sieciowego typu LAN-TO-LAN ustanowionego w celu świadczenia usług contact center. Aktywność związana z nietypowo wysoką liczbą zapytań o dane klientów została zidentyfikowana przez centrum operacji bezpieczeństwa administratora, nie przez podmiot przetwarzający.
Zakres danych osobowych objętych naruszeniem: Naruszeniem objęto dane identyfikacyjne (imię, nazwisko, numer dokumentu tożsamości lub paszportu) oraz dane kontaktowe (adres zamieszkania, adres e-mail, numer telefonu) klientów obu spółek. Skala potencjalnej ekspozycji była znacząca. Profile dostępowe pracowników podmiotu przetwarzającego obejmowały łącznie niemal 8,8 mln kont klienckich, a samo naruszenie dotknęło ponad 800 tysięcy osób.
Reakcja administratorów i podmiotu przetwarzającego: Po powiadomieniu przez administratora o podejrzanej aktywności, podmiot przetwarzający zablokował skompromitowane konta oraz cały ruch sieciowy z podejrzanego zakresu adresów. Administratorzy poinformowali osoby dotknięte naruszeniem indywidualnie, zgłosili sprawę właściwym organom, w tym również jednostkom odpowiedzialnym za cyberbezpieczeństwo krytyczne, oraz złożyli zawiadomienie do organów ścigania.
Ustalenia audytów i analiz poincydentalnych: Niezależne analizy powłamaniowe wykazały, że przyczyną główną incydentu było niedopełnienie przez podmiot przetwarzający obowiązków kontraktowych w zakresie bezpieczeństwa, w tym brak wdrożenia uwierzytelniania wieloskładnikowego. Element ten był już wskazywany jako obszar wymagający poprawy w audycie przeprowadzonym przez zewnętrznego audytora w listopadzie 2022 r. Ustalono również brak systemów typu SIEM lub NDR, co skutkowało czasem utrzymywania się nieautoryzowanego dostępu przekraczającym 72 godziny.
Argumentacja obronna podmiotu przetwarzającego i jej ocena: Podmiot przetwarzający argumentował, że ruch sieciowy pochodzący od administratora był z jego perspektywy legalny, a inspekcja tego ruchu wykraczała poza posiadane uprawnienia. Hiszpański organ nadzorczy uznał tę argumentację za niewystarczającą, wskazując, że obowiązek zapewnienia odpowiednich mechanizmów detekcji wynikał bezpośrednio z zawartej umowy powierzenia i nie mógł być uzależniony od charakteru źródła ruchu.
Rozstrzygnięcie organu nadzorczego: Hiszpański organ nadzorczy uznał podmiot przetwarzający, a nie administratorów, – za odpowiedzialnego za naruszenie, powołując się na art. 28 ust. 10 RODO, zgodnie z którym podmiot przetwarzający naruszający zasady ustalone przez administratora w zakresie środków bezpieczeństwa może zostać uznany za odpowiedzialnego z tytułu przetwarzania niezgodnego z instrukcjami. Nałożono karę pieniężną w wysokości 500.000 euro, zredukowaną do 300.000 euro wskutek uznania odpowiedzialności oraz dobrowolnej zapłaty kary przez ukarany podmiot. Dodatkowo nałożono obowiązek wdrożenia i udokumentowania w terminie sześciu miesięcy skutecznych mechanizmów bezpieczeństwa oraz systemów detekcji anomalii.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

Weryfikacja rzeczywistego wdrożenia rekomendacji poaudytowych: Deklaracja podmiotu przetwarzającego o wdrożeniu środków bezpieczeństwa nie powinna być przyjmowana bez dodatkowej weryfikacji. Administratorzy powinni żądać dowodów technicznych potwierdzających skuteczne działanie zabezpieczeń, a nie jedynie korespondencji potwierdzającej deklarację ich wdrożenia.
Wdrożenie uwierzytelniania wieloskładnikowego jako standardu minimalnego: Dostęp zdalny do systemów przetwarzających dane osobowe, w szczególności w modelu outsourcingu usług contact center, powinien być zabezpieczony mechanizmem MFA. Brak takiego rozwiązania stanowi obecnie podstawową i szeroko uznaną w praktyce podatność.
Zapewnienie własnych mechanizmów detekcji i monitorowania przez podmiot przetwarzający: Podmioty przetwarzające powinny dysponować systemami klasy SIEM lub NDR umożliwiającymi identyfikację anomalii w ruchu sieciowym niezależnie od źródła tego ruchu. Brak własnej zdolności detekcyjnej wydłuża czas trwania incydentu i zwiększa jego skutki.
Precyzyjne określenie odpowiedzialności w łańcuchu podwykonawców: Umowy powierzenia przetwarzania powinny wprost przewidywać obowiązek zapewnienia przez podwykonawców środków bezpieczeństwa równoważnych do wymaganych od głównego podmiotu przetwarzającego, niezależnie od tego, czy podwykonawca należy do tej samej grupy kapitałowej.
Zaostrzenie klauzul kontraktowych dotyczących bezpieczeństwa i notyfikacji incydentów: Rekomendowane jest wprowadzenie w umowach z dostawcami zapisów przewidujących sankcje kontraktowe za niewdrożenie wymaganych środków bezpieczeństwa oraz skrócenie terminu wstępnej notyfikacji incydentu.
Dokumentowanie dowodowe wdrożonych środków: Dokumentacja potwierdzająca wdrożenie środków bezpieczeństwa powinna mieć postać kompletnych raportów, a nie fragmentarycznych zrzutów ekranu czy wycinków interfejsu, które w toku postępowania mogą zostać uznane za niewystarczające dowodowo.
Świadomość ryzyka odpowiedzialności bezpośredniej podmiotu przetwarzającego: Podmioty świadczące usługi przetwarzania danych osobowych powinny mieć świadomość, że naruszenie instrukcji administratora w zakresie środków bezpieczeństwa może prowadzić do uznania ich za odpowiedzialnych na podstawie art. 28 ust. 10 RODO, niezależnie od formalnego statusu określonego w umowie.