Britský dozorový úřad (ICO) tak udělil již druhou velkou pokutu v krátké době. V minulém newsletteru jsme Vás informovali o pokutě ve výši 183 milionů liber pro společnost British Airways, teď ICO udělilo Marriottu sankci ,,pouze‘‘ 99 miliónů liber (2,7 miliardy ko-run).
Během vyšetřování bylo zjištěno, že hackerským útokem bylo postiženo téměř 400 miliónů hotelových zákazníků z celého světa. Odcizena byla jejich jména spolu s čísly pasů, telefonními čísly a e-mailovými adresami. Dále se hackerům podařilo ukrást i údaje o platebních kartách, včetně historie platebních transakcí u Marriottu.
Dle vyjádření šéfky ICO se úřad nebojí přikročit k takto tvrdým sankcím, neboť v dnešní době mají osobní údaje reálnou peněžní hodnotu. Společnosti pak mají povinnost se o tyto data starat jako o jakákoliv jiná aktiva, s kterými nakládají. Výši pokuty velmi ovlivnil i fakt, že Marriott se o kyberútoku dozvěděl až v minulém roce, přestože proběhl již před pěti lety.
Marriott vydal prohlášení, kde pouze sdělil, že se proti pokutě odvolá.
Pro Marriott to navíc není jediná pokuta, kterou v posledních týdnech dostal. Turecký dozorový úřad mu udělil pokutu ve výši 235 tisíc euro taktéž za únik informací. Výše pokuty byla odůvodněna dvěma důvody. Tím prvním byla nedostatečná bezpečnostní opatření, tím druhým pak opožděné informování dotčených subjektů údajů. Tyto pokuty navíc nemusí být poslední. Marriott čelí hromadným žalobám i v USA, přičemž v jedné z nich se požaduje odškodnění ve výši 12,5 miliardy dolarů.
Jaké pro Vás z pokut plyne ponaučení?
- Přijímejte maximální možná bezpečnostní opatření.
- Starejte se o osobní údaje jako o aktivum s reálnou peněžní hodnotou.
- V případě bezpečnostního incidentu buďte otevření a komunikujte s pověřencem a ÚOOÚ.
Proti pokutám z GDPR se v Evropě pojistit nedá. Až na výjimky.
Tato informace vychází ze zajímavé zprávy mezinárodní právní kanceláře DLA Piper. Právní řády většiny států EU spolu znemožňují pojistit se proti pokutám správních orgánů. Výjimkou je Norsko (nečlen EU přistoupivší ke GDPR) a Slovensko. Zatímco v Norsku je možné se proti pokutám z občanskoprávních a správních řízení dlouhodobě pojistit, na Slovensku tento právní názor konstatovala Slovenská národní banka. Je otázkou, jak se k němu ovšem postaví soudy. V ostatních zemích zákon finanční záruky zakazuje, nebo se o nich vůbec nezmiňuje. Zpráva DLA Piper dále řeší, zda je možné v pojistné smlouvě určit jako rozhodný právní řád Slovenska či Norska. Z legislativ a rozhodnutí národních soudů v rámci EU a Švýcarska ovšem vychází, že tato praxe by u případného soudního řízení neměla velkou šanci na úspěch, neboť soudy si zajišťují právo na neuznání takového nároku, který by vyústil v porušení právního řádu jiné země (tedy kdekoliv mimo Norsko a Slovensko). Toto pravidlo by se pak vztahovalo i na soudní výlohy v právních sporech týkajících se Nařízení GDPR. V případě, že bude možné se proti pokutám z GDPR pojistit, budeme Vás samozřejmě informovat.
Věděli jste, že…
…pokud se jako správce nebo zpracovatel rozhodnete zpracovat závazná podniková pravidla týkající se předávání osobních údajů do třetích zemí v rámci stejné skupiny, musíte postupovat podle předem daných evropských pravidel a zásad, které musí být v pravidlech obsaženy? Odkaz naleznete zde a zde.
Otestujte, zda heslo do Vaší e-mailové schránky nebylo ukradeno
Česká společnost Avast Antivirus přišla se zajímavou možností, jak si otestovat, zda heslo do Vaší e-mailové schránky nebylo odcizeno. Stačí si otevřít stránku v odkazu, uvést na ní svoji e-mailovou adresu a účet bude porovnán s širokou databází napadených webových stránek a e-mailových adres. Společnost Avast na svých stránkách rovněž uvádí, že dosud detekovala 29 011 604 143 ukradených hesel.
Ty jsou následně ukládány na „dark web“, nebo prodávány na černém trhu. Podvodníci se s Vašimi daty např. mohou vydávat za Vás, komunikovat s Vašimi kontakty, mít přístup do Vašeho cloudu, ukrást Vaše peníze, nebo získat přístupy k dalším účtům. Proto Vám Avast rovněž nabízí dlouhodobý dohled nad Vaší stránkou.
Pokud si nevíte s problematikou GDPR rady, neváhejte se obrátit na naši obchodní společnost.