Milionowe kary za wyciek danych utrzymane. NSA: administrator odpowiada za brak nadzoru nad podmiotem przetwarzającym
Naczelny Sąd Administracyjny wydał istotne rozstrzygnięcie dotyczące podziału obowiązków w zakresie ochrony danych osobowych. Sąd stanął po stronie Prezesa Urzędu Ochrony Danych Osobowych, potwierdzając, że administrator danych ponosi realną odpowiedzialność za brak nadzoru nad podmiotem, któremu powierza przetwarzanie informacji.
Sprawa, która swój początek miała w 2020 roku, dotyczy naruszenia ochrony danych osobowych klientów spółki Fortum Marketing and Sales S.A. To polski oddział fińskiego koncernu energetycznego, zajmujący się sprzedażą energii elektrycznej, gazu oraz ciepła sieciowego. Drugim podmiotem zaangażowanym w spór jest spółka Pika, która profesjonalnie zarządza dokumentacją i archiwizacją cyfrową. Jako podmiot przetwarzający, Pika świadczyła usługi na rzecz Fortum, operując na ogromnych zbiorach danych obejmujących m.in. numery PESEL, adresy zamieszkania oraz szczegóły umów tysięcy odbiorców energii.
Fortum i Pika. Wyciek danych osobowych 95 tysięcy klientów
Naruszenie ochrony danych wystąpiło podczas prac modernizacyjnych środowiska teleinformatycznego, które pełniło funkcję cyfrowego archiwum. W odpowiedzi na zgłaszane przez administratora problemy z wydajnością spółka Pika utworzyła dodatkową bazę danych. Podczas przenoszenia informacji doszło jednak do nieprawidłowej konfiguracji, w wyniku czego baza stała się dostępna dla osób nieuprawnionych. Skala incydentu była znacząca, gdyż dotyczyła danych ponad 95 tysięcy osób fizycznych.
Załóż konto lub zaloguj się
i zyskaj dostęp na 14 dni za darmo.
Załóż konto lub zaloguj się
i zyskaj dostęp na 14 dni za darmo.
Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone.
Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A. Kup licencję.