Wyciek danych osobowych klientów firmy ubezpieczeniowej
Szwedzki organ nadzorczy ukarał ubezpieczyciela za doprowadzenie do wycieku danych osobowych około 650 tys. klientów. Wyciek był efektem braków w środkach bezpieczeństwach danych stosowanych przez firmę ubezpieczeniową. Te z kolei wynikały z nieprawidłowości, które zgodnie z regułą privacy by design można było usunąć jeszcze na etapie projektowania systemu informatycznego.
Łatwy dostęp do danych osobowych klientów firmy ubezpieczeniowej
Wyciek polegał na tym, że dość łatwo można było uzyskać dostęp do danych osobowych klientów firmy ubezpieczeniowej. Klient firmy otrzymywał e-maila z linkami do ofert ubezpieczeniowych. Wystarczyło lekko zmodyfikować adres WWW, wpisując inny ciąg cyfr na końcu adresu i wtedy otrzymywało się dostęp do danych osobowych innych klientów ubezpieczyciela. Dostęp ten nie wymagał wówczas logowania.
Niestety wyciek objął również dane osobowe szczególnej kategorii a mianowicie o zdrowiu. Poza tym można było uzyskać dostęp do informacji finansowych, danych kontaktowych czy numerów ubezpieczenia.
Tak szerokie spektrum danych pozwalało nie tylko zidentyfikować osobę, której dotyczą, ale wręcz odczytanie jej sytuacji życiowej.
Nieprawidłowości należało usunąć w fazie projektowania
W ocenie szwedzkiego organu nadzorczego firma ubezpieczeniowa nie przestrzegała zasady privacy by design. Niedociągnięcia, które doprowadziły do wycieku danych, mogły być bowiem usunięte na etapie projektowania. Tym samym należało je zlikwidować jeszcze przed wprowadzeniem nowego systemu IT albo przynajmniej w długim okresie jego używania.
Tak się jednak nie zdało, dlatego szwedzki organ nałożył na ubezpieczyciela karę w wysokości 35 mln koron szwedzkich (ok. 2,8 mln euro).
- Pracownik w delegacji – jak wygląda przekazywanie jego danych osobowych do państwa trzeciego
- Mechanizmy dochodzenia roszczeń w związku z wdrożeniem ram ochrony danych UE - USA
- Upoważnienie do przetwarzania danych osobowych czy oświadczenie o poufności
- TSUE: Identyfikator personalizacji reklam zaliczany do danych osobowych według RODO
- Kara za przetwarzanie danych osobowych w rozmowach telefonicznych bez podstawy prawnej
- Zgoda marketingowa – czy także od firmy lub instytucji
Wideo: Przegląd orzecznictwa (sierpień – listopad 2022 r.) – cz. III – decyzje zagranicznych organów nadzorczych
Poznaj najważniejsze orzeczenia zagranicznych organów nadzorczych. W podsumowaniu poruszamy zagadnienia związane m.in. z geolokalizacją, prawem dostępem do danych, cyberatakiem na gminę czy rozpoznawaniem twarzy.
