Suma kar nałożonych przez Urząd Ochrony Danych Osobowych z tytułu RODO przekroczyła 2 mln euro; najwyższa do tej pory kara to ponad 600 tys., a średnia to 79 tys. euro - wynika z opublikowanej w piątek analizy. Zgodnie z nią w 35 proc. przypadków przyczyną kary były nieodpowiednie zabezpieczenia.
Według analizy firmy Sprint, od wejścia w życie unijnego rozporządzenia o ochronie danych osobowych (RODO) do UODO zgłoszono ponad 20 tys. skarg (okres od maja 2018 r. do końca 2020 r.). Jak podkreślono, w 2020 r. do urzędu wpływało średnio ponad 530 skarg miesięcznie.
Z analizy wynika, że łączna wartość kar nałożonych przez UODO przekroczyła 2 mln euro. "35 proc. z nich nałożono za brak odpowiedniego zabezpieczenia danych, czego skutkiem w większości przypadków był wyciek. Tak było w przypadku najwyższej do tej pory kary w wysokości ponad 600 tys. euro, nałożonej w związku z atakiem hakerskim na sklep internetowy. Natomiast w przypadku 8 proc. kar przyczyną ich nałożenia było niepoinformowanie UODO o zdarzeniu.
Jakie były naruszenia RODO
Okazuje się też, że często dochodzi do przypadkowego upublicznienia danych. Nie chodzi o świadome zamieszczenie informacji na stronie, jak to uczyniło jedno polskie stowarzyszenie sportowe, ale o o zdarzenia nieumyślne. Powołując się na rodzimy przykład - w trakcie restartu serwerów jednej firmy wystąpił błąd, przez który publiczne stały się dane ich klientów, ponad 140 tys. osób. Niestety zostało to wychwycone przez przestępców, którzy skopiowali dane i usunęli je z firmowej bazy. Potem wystąpili o okup. Kara od UODO przekroczyła równowartość 200 tys. euro.
Kolejnym przykładem sytuacji, która naraża firmę na wyciek danych, są ataki na stronę www i aplikacje webowe. Jak wynika z analizy w Polsce jeszcze nie doszło do takiego zdarzenia. Podano natomiast przykład linii lotniczych British Airways. Ruch z ich oficjalnego serwisu był przekierowywany na fałszywą stronę, która zbierała dane osobowe. Liczba poszkodowanych sięgnęła 500 tys., a kara - 20 mln euro. Z kolei brytyjski Ticketmaster korzystał z "dziurawego" chatbota, co umożliwiało dostęp do danych finansowych klientów. Nie doszło do wycieku danych, ale kara i tak przekroczyła 1 mln euro.
Dochodzi też do niefortunnych wypadków prowadzących do wycieku danych, jak kradzież komputera z danymi (z czym musiała zmierzyć się jedna z polskich uczelni) czy zgubienie przenośnej pamięci USB (co zdarzyło się pracownikowi jednego z sądów okręgowych).
Autorzy analizy tłumaczą, że UODO podchodzi wyjątkowo surowo także do bezpośrednich ataków na firmowe serwery i bazy danych, zwłaszcza jeśli ofiara ataku nie wypełni obowiązku informacyjnego związanego z atakiem.
