Francouzský dozorový úřad CNIL udělil v polovině ledna tohoto roku tamnímu mobilnímu operátorovi
Free Mobile pokutu 27 milionů eur a jeho mateřské společnosti Free dalších 15 milionů eur. Reagoval tak
na kybernetický incident z října 2024, při němž se útočník dostal do informačního systému a získal osobní
údaje související zhruba s 24 miliony zákaznických smluv. U části z nich šlo i o bankovní spojení ve formě
IBAN, tedy údaj, který může výrazně zvýšit riziko podvodů a cílených útoků. Při stanovení výše sankce
CNIL zdůraznil nejen rozsah zásahu a počet dotčených osob, ale také finanční výsledky kontrolované
osoby a vysoce osobní povahu kompromitovaných údajů, včetně rizik spojených právě s únikem IBAN.
Případem se CNIL začal intenzivně zabývat po vlně stížností dotčených osob, kterých bylo přes 2 500.
Kontrola podle úřadu odhalila nedostatky v několika povinnostech podle GDPR. První a nejzásadnější
se týkala zabezpečení podle článku 32 GDPR. V době útoku nebyly nastaveny některé základní ochranné
kroky, které by průnik ztížily. CNIL zmínil zejména nedostatečně robustní ověřování při vzdáleném
přístupu zaměstnanců do interních systémů, často přes firemní VPN, a také neúčinné logování aktivity,
které mělo včas zachytit neobvyklé chování v informačních systémech. Úřad připomněl, že nulové riziko
sice neexistuje, ale přiměřená opatření mají snižovat pravděpodobnost úspěšného útoku a v případě
incidentu omezit jeho dopady. V tomto případě včetně dopadů na příslušného správce osobních údajů
v podobě následně udělené pokuty.
Druhý nedostatek se týkal komunikace s lidmi, jejichž data unikla, tedy článku 34 GDPR. Společnosti sice
rozeslaly informační e-mail a zřídily bezplatnou linku i proces pro vyřizování žádostí u pověřence, ale
samotný e-mail podle CNIL neobsahoval všechny povinné informace. Oznámení tak lidem neumožnilo
snadno porozumět možným následkům a přijmout konkrétní kroky k ochraně, například zvýšenou
obezřetnost vůči podvodným zprávám a pokusům o vylákání dalších údajů.
U Free Mobile úřad navíc vytkl i nadměrnou dobu uchovávání osobních údajů. Firma neměla dostatečně
nastavené třídění dat bývalých zákazníků, takže uchovávala miliony záznamů déle, než bylo odůvodněné.
Což v konečném zvýšilo dopad bezpečnostního incidentu, který se tak týkal většího množství osob.
CNIL oběma firmám uložil dokončit posílení zabezpečení do tří měsíců a Free Mobile zároveň do šesti
měsíců dopracovat třídění a výmaz nepotřebných údajů