Morele.net kontra UODO. Brak opinii biegłego znów kością niezgody

Jak pisaliśmy wczoraj na łamach „Rz”, ostatnią decyzją poprzedni prezes UODO Jan Nowak nałożył na Morele.net karę 3,8 mln zł. To już druga próba ukarania spółki za wyciek danych 2,2 mln klientów, który nastąpił pod koniec 2018 r. Na skutek ataku ujawniono przede wszystkim numery telefonów osób dokonujących zamówień w tym sklepie, w efekcie zaczęły one otrzymywać fałszywe SMSy. W przypadku części osób wyciekły także numery PESEL i numery dowodów osobistych. Początkowo firma zaprzeczała, że doszło do incydentu, finalnie jednak się do niego przyznała.

W czasie kontroli UODO ustalono m.in., że administrator nie stosował szyfrowania w przypadku części danych, dysponował niewystarczającym systemem uwierzytelniania kont, a także zaniechał analizy ryzyka, która powinna uwzględniać np. zagrożenia związane z możliwością logowania się do systemu z sieci publicznej. Zabrakło także rozwiązań technicznych i administracyjnych umożliwiających monitorowanie ruchu w sieci i reagowanie w razie wykrycia nieprawidłowych działań.

Jak informuje UODO, w toku postępowania stwierdzono, że spółka nie miała nawet pewności czy i jakie dane zostały wykradzione. Dopiero po wycieku zaczęła wdrażać odpowiednie rozwiązania. Zdaniem prezesa Urzędu, wcześniejsze ich wprowadzenie pozwoliłoby wykryć próby nieautoryzowanego dostępu i podjąć odpowiednie działania w celu uniemożliwienia kradzieży danych. Także sam administrator przyznał, że brak ich wdrożenia był błędem z jego strony. Zwróciliśmy się do Morele.net z prośbą o stanowisko ws. ponownego ukarania przez urząd, ale nie otrzymaliśmy odpowiedzi.

Czytaj więcej

Konsumenci

Olbrzymia kara za wyciek danych. UODO nie odpuszcza Morele.net

Drogo może zapłacić sklep Morele.net za niedopilnowanie danych klientów. A kary będą rosły.

Liczy się sposób reakcji na incydent

- Naruszenia bezpieczeństwa danych wynikają zwykle z błędów ludzkich. Więc będą się zdarzały tak długo, jak długo będziemy przetwarzać dane. Kluczem jest jednak wykazanie, że administrator potrafi prawidłowo zareagować na kryzys. Aby to zrobić, trzeba najpierw przeprowadzić analizę ryzyka i przygotować organizację na taką sytuację. Organ zawsze bardzo mocno bierze pod uwagę zaangażowanie administratora i to, czy chce on faktycznie minimalizować skutki i przeciwdziałać zagrożeniu, czy raczej chce ukryć ten fakt - wskazuje radca prawny Jakub Wezgraj.

I dodaje, że choć liczba naruszeń będzie rosła, a wraz z nią liczba nakładanych kar, to już wysokość jednostkowej kary zależy od skali danego incydentu – np. ile osób on obejmie, oraz podejścia administratora. Z reguły naruszenia obnażają faktycznie braki organizacji i błędy w podejściu do zarządzania bezpieczeństwem danych osobowych.

- Kara powinna byś skuteczna i odstraszająca, a zatem jej wysokość – oprócz okoliczności samego uchybienia przepisom – będzie też dostosowana do obrotu konkretnego karanego przedsiębiorcy. Im jest on większy, tym wyższa kwota kary, żeby spełniała ona swoje cele - tłumaczy z kolei prof. Grzegorz Sibiga, adwokat, partner w Traple Konarski Podrecki & Wspólnicy. 

Czytaj więcej

Dane osobowe

Morele nie zapłaci gigantycznej kary za wyciek danych. NSA obciążył UODO

Sklep internetowy Morele.net nie zapłaci prawie 3 mln zł kary za wyciek danych, do którego doszło w 2018 r. Naczelny Sąd Administracyjny zobowiązał natomiast Urząd Ochrony Danych Osobowych do zwrócenia portalowi 65 tys. zł za kosztów postępowania.

UODO nie chce powoływać biegłych ws. Morele.net

Jednak 9 lutego 2023 r. NSA uchylił pierwszą karę nałożoną na Morele.net z przyczyn formalnych. Chodziło o zaniedbania Urzędu podczas postępowania dowodowego, w szczególności nie uwzględnianie wniosku spółki i powołanie biegłego. W odpowiedzi na nasze pytanie UODO poinformował, iż z uzasadnienia wyroku NSA wyraźnie wynika, że prezes UODO przy ocenie standardów zastosowanych przez Morele.net. zabezpieczeń zobowiązany był przeprowadzić dowód z opinii biegłego albo wytworzyć wewnętrzny dokument stanowiący wnioski z analizy środków bezpieczeństwa stosowanych przez spółkę, do którego ta mogłaby się odnieść w toku postępowania. Urząd zdecydował się na tę drugą opcję, a analizę przeprowadzili pracownicy UODO, wybrani ze względu na posiadane kwalifikacje i doświadczenie w obszarze zagadnień bezpieczeństwa teleinformatycznego.

Teoretycznie więc wskazania NSA zostały wykazane, jednak eksperci są krytyczni wobec decyzji o rezygnacji z powołania biegłego:

- Na pewno decyzja znów zostanie zaskarżona i z pewnym prawdopodobieństwem ponownie zostanie ona zakwestionowana przez sąd - mówi dr Paweł Litwiński, adwokat, partner w kancelarii Barta Litwiński.