56 מיליון יורו בקנסות - תוצאות השנה עם GDPR

פורסמו נתונים על סך הקנסות בגין הפרות תקנות.

/ תמונה Bankenverband PD

מי פרסם את הדוח על גובה הקנסות

תקנת הגנת המידע הכללית תמלא שנה רק במאי - אבל הרגולטורים האירופים כבר עשו זאת תוצאות. בפברואר 2019 פורסם דו"ח על ממצאי ה-GDPR על ידי המועצה האירופית להגנת מידע (EDPB), הגוף המפקח על הציות לרגולציה.

קנסות ראשונים במסגרת GDPR זה היה נמוך בשל חוסר מוכנות של חברות לכניסת הרגולציה לתוקף. בעצם, מפרי התקנות שילמו לא יותר מכמה מאות אלפי יורו. עם זאת, הסכום הכולל של הקנסות התברר כמרשים למדי - כמעט 56 מיליון אירו. בדו"ח, ה-EDPB סיפק מידע נוסף על "היחסים" של חברות IT ולקוחותיהן.

מה כתוב במסמך ומי כבר שילם את הקנס?

מאז שהרגולציה נכנסה לתוקף, הרגולטורים באירופה פתחו כ-206 אלף מקרים של הפרות אבטחת מידע אישי. כמעט מחציתם (94) התבססו על תלונות של אנשים פרטיים. אזרחי האיחוד האירופי יכולים להגיש תלונה על הפרות בעיבוד ובאחסון הנתונים האישיים שלהם ולפנות לרשויות הרגולטוריות הלאומיות, ולאחר מכן המקרה ייחקר בשטח השיפוט של מדינה מסוימת.

הנושאים העיקריים שבהם היו קשורות תלונות מאירופה היו הפרות של זכויות נושא הנתונים האישיים וזכויות הצרכנים, וכן הדלפות של נתונים אישיים.

עוד 64 תיקים נפתחו בעקבות הודעות על דליפות נתונים מהחברות האחראיות לאירוע. לא ידוע בדיוק כמה מהמקרים הסתיימו בקנסות, אך בסך הכל שילמו המפרים 864 מיליון יורו. על פי מומחי אבטחת מידע, רוב הסכום הזה יצטרך להיות משולם לגוגל. בינואר 2019, הרגולטור הצרפתי CNIL הטיל קנס של 50 מיליון אירו על ענקית ה-IT.

ההליכים בתיק זה נמשכו מהיום הראשון של ה-GDPR - תלונה נגד התאגיד הוגשה על ידי פעיל הגנת המידע האוסטרי מקס שרמס. סיבת חוסר שביעות הרצון של הפעיל פלדה ניסוח לא מספיק מדויק בהסכמה לעיבוד נתונים אישיים, שמשתמשים מקבלים בעת יצירת חשבון ממכשירי אנדרואיד.

לפני המקרה של ענקית ה-IT, הקנסות על אי ציות ל-GDPR היו נמוכים משמעותית. בספטמבר 2018, בית חולים פורטוגלי שילם 400 אלף אירו עבור פגיעות במערכת האחסון הרפואית שלו. רשומות, ו-20 אלף אירו - אפליקציית צ'אט גרמנית (כניסות וסיסמאות של לקוחות נשמרו בצורה לא מוצפנת).

מה אומרים מומחים על התקנות

הרגולטורים מאמינים שאחרי תשעה חודשים, ה-GDPR הוכיח את יעילותו. לדבריהם, הרגולציה סייעה להסב את תשומת לב המשתמשים לנושא אבטחת הנתונים שלהם.

מומחים גם מדגישים כמה חסרונות שהתגלו במהלך השנה הראשונה של התקנה. החשוב שבהם הוא היעדר מערכת מאוחדת לקביעת גובה הקנסות. על ידי על פי עורכי דין, היעדר כללים מקובלים מוביל למספר רב של ערעורים. תלונות צריכות להיות מטופלות על ידי ועדות להגנה על מידע, מה שאומר שהרשויות נאלצות להקדיש פחות זמן לפניות של אזרחי האיחוד האירופי.

כדי לטפל בבעיה זו, רגולטורים מבריטניה, נורבגיה והולנד כבר עשו זאת לְפַתֵחַ כללים לקביעת סכום ההשבה. המסמך יאסוף גורמים המשפיעים על גובה הקנס: משך האירוע, מהירות התגובה של החברה, מספר נפגעי ההדלפה.

/ תמונה Bankenverband CC BY-ND

מה הלאה

מומחים מאמינים שמוקדם מדי לחברות IT להירגע. סביר להניח שהקנסות על אי ציות ל-GDPR יגדלו בעתיד.

הסיבה הראשונה היא דליפות נתונים תכופות. על פי נתונים סטטיסטיים מהולנד, שם דווחו הפרות של אחסון נתונים אישיים עוד לפני ה-GDPR, בשנת 2018 מספר ההודעות על הדלפות גדל פעמיים. על ידי על פי לדברי מומחה הגנת המידע, גיא בונקר, הפרות חדשות של ה-GDPR הופכות ידועות כמעט מדי יום, ולכן, בעתיד הקרוב, הרגולטורים יתחילו להתייחס בצורה קשה יותר לחברות הפוגעות.

הסיבה השנייה היא סופה של הגישה ה"רכה". בשנת 2018, קנסות היו המוצא האחרון - בעיקר הרגולטורים ביקשו לעזור לחברות להגן על נתוני לקוחות. עם זאת, ישנם כבר כמה מקרים שנבחנים באירופה שעלולים להוביל לקנסות גדולים במסגרת ה-GDPR.

בספטמבר 2018, דליפת נתונים בקנה מידה גדול התרחש בבריטיש איירווייס. עקב פגיעות במערכת התשלומים של חברת התעופה, האקרים קיבלו גישה לנתוני כרטיסי האשראי של הלקוחות במשך חמישה עשר יום. לפי הערכות, כ-400 אנשים הושפעו מהפריצה. מומחי אבטחת מידע לְצַפּוֹתשחברת התעופה יכולה לשלם את הקנס המקסימלי הראשון בבריטניה - הוא יהיה 20 מיליון יורו או 4% מהמחזור השנתי של התאגיד (כל הסכום הגדול מביניהם).

מתמודדת נוספת על עונש כספי חמור היא פייסבוק. הנציבות האירית להגנת המידע פתחה עשרה תיקים נגד ענקית ה-IT עקב הפרות שונות של ה-GDPR. הגדול שבהם התרחש בספטמבר האחרון - פגיעות בתשתית הרשת החברתית מוּתָר האקרים להשיג אסימונים לכניסה אוטומטית. הפריצה השפיעה על 50 מיליון משתמשי פייסבוק, 5 מיליון מהם תושבי האיחוד האירופי. לפי מַהֲדוּרָה ZDNet, פרצת המידע הזו לבדה עלולה לעלות לחברה מיליארדי דולרים.

כתוצאה מכך, עליכם להיות מוכנים לעובדה שבשנת 2019 ה-GDPR יראה את כוחו, והרשויות הרגולטוריות לא "יעצימו עין" מהפרות. סביר להניח שיהיו רק מקרים מתוקשרים יותר של הפרות תקנות בעתיד.

פוסטים מהבלוג הראשון על IaaS ארגוני:

• מה שאתה צריך לדעת על PCI DSS: סקירה סטנדרטית
• השפעת ה-GDPR: כיצד הרגולציה החדשה השפיעה על מערכת ה-IT
• רגולציה של עבודה עם נתונים אישיים ברוסיה ובאירופה

על מה אנחנו כותבים? בערוץ הטלגרם שלנו:

• מי תומך בפרויקטים בענן - אנחנו מדברים על ארבע קרנות קוד פתוח
• איך לנהל חומרה במרכז נתונים - שתי טכנולוגיות חדשות
• מדוע כוננים קשיחים הולכים ופוחתים להתקלקל

מקור: www.habr.com