Gigantyczna kara dla polskiego serwisu. Poszło o wyciek danych
Urząd Ochrony Danych Osobowych poinformował o ponownym ukaraniu spółki Morele.net. Po tym, jak decyzję o wcześniejszej grzywnie uchylił Naczelny Sąd Administracyjny, UODO zdecydował, że za wyciek danych, jaki miał miejsce w 2018 roku, władze serwisu zapłacą 3,8 mln złotych.
Wyciek danych z Morele.net w 2018 r.
Przypomnijmy, że w listopadzie 2018 roku ujawniono, że z serwerów Morele.net wykradziono 2,2 mln rekordów danych użytkowników. Z początku administracja zaprzeczała, jednak po czasie i pod presją samych użytkowników, którzy zgłaszali m.in., że masowo zaczęły do nich trafiać SMS-y stanowiące próbę oszustwa, Morele.net potwierdziło wyciek.
We wrześniu 2019 roku Urząd Ochrony Danych Osobowych wydał decyzję, aby ukarać Morele.net karą w wysokości 2,8 mln zł w związku z poważnymi zaniedbaniami w zakresie ochrony danych. Naczelny Sąd Administracyjny w lutym minionego roku wydał jednak wyrok, w którym podważył kompetencje UODO w zakresie oceny wdrożonych przez Morele.net środków bezpieczeństwa. Teraz sprawa znalazła dalszy ciąg.
Adam Niedzielski, były minister zdrowia, ukarany przez UODO. Grzywnę opłaci podatnikUODO nakłada 3,8 mln złotych kary
Na stronie Urzędu Ochrony Danych Osobowych opublikowano komunikat obwieszczający nałożenie na Morele.net kary w wysokości 3,8 mln zł, a zatem o milion złotych więcej niż uprzednio. UODO przeprowadził całe postępowanie ponownie, jednak nie uwzględnił zarzutu co do rzekomych braku kompetencji w ocenie bezpieczeństwa czy stronniczości.
Analiza ponownie wykazała krytyczne uchybienia w praktykach Morele.net, takie jak brak szyfrowania części danych, brak wdrożonego uwierzytelniania wieloskładnikowego, analizy ryzyka i zagrożeń wynikających z możliwości logowania się do infrastruktury sklepu z publicznej sieci. UODO nie ma wątpliwości, że gdyby te narzędzia wdrożono, możliwe byłoby podjęcie działań uniemożliwiających kradzież danych.
Kara jeszcze wyższa niż za pierwszym razem
W postępowaniu potwierdził to zresztą sam administrator. Po incydencie spółka nie miała pewności, czy dane zostały w ogóle wykradzione, a część miar bezpieczeństwa została wprowadzona dopiero po tym, jak włamano się na serwery i skradziono dane ponad 2 mln osób. Ze względu na charakter i zakres naruszeń po stronie administratora UODO zdecydowało się ukarać Morele.net jeszcze surowiej niż za pierwszym razem.
