Úrad pre ochranu osobných údajov v Rakúsku dal pokutu pošte vo výške 18 miliónov eur za sledovanie politických preferencií vlastných zákazníkov. Tieto informácie následne predávala politickým stranám, ktoré kandidovali vo voľbách. Niektorí aktivisti prirovnávajú tento škandál s Facebookom, ktorý zdieľal dáta svojich používateľov.

Zdieľala informácie 3 miliónov zákazníkov?

Má ísť o zdieľanie pohlavia, veku, mena a adresy zákazníkov. Taktiež mali spracovávať informácie o politických preferenciách. Tieto údaje by pomohli lepšie cieliť politickú reklamu. Pošta sa chce voči tomuto prípadu odvolať.

Rakúska pošta sa bráni

Vyhlásila, že tieto informácie sa neviažu k určitým zákazníkom. Je možné určiť len preferencie cieľových skupín na základe týchto údajov. Taktiež prehlásila, že informácie neumožňujú určiť politické názory zákazníkov pošty. Rakúsku poštu väčšinovo vlastní štát a oznámila reorganizáciu databáz, kde sú uvedené politické preferencie.

Zisk 200 miliónov eur za databázy

Databázu zahŕňa približne jedna tretina obyvateľov Rakúska. Pošta obchoduje s týmito databázami a tvorí zisk približne 200 miliónov eur. V prípade dát s politickým zameraním tvrdí, že vznikli na základe volebných štatistík v geografických oblastiach a prieskumov verejnej mienky. Pošta sa domnieva, že na základe týchto dát nemožno zistiť volebné správanie.

The post Pošta v Rakúsku dostala pokutu za porušenie ochrany osobných údajov zákazníkov appeared first on Ochrana-online.sk.

Viaceré oznámenia škole o odstránení fotografie

Príslušný orgán poslal škole oznámenie o porušený ochrany osobných údajov v septembri 2018. Škola dostala oznámenie, že môže nakladať s údajmi len v súlade s účelom, pre ktoré boli zhromaždené. Upozornenie od úradu pre školu bolo jasné a to, že musí odstrániť fotografiu zo sociálnej siete Facebook nakoľko nemá žiadny právny titul k bývalému zamestnancovi.

Reakcia školy

Odpoveď školy bola jednoznačná, poslala odkaz na svoju stránku v sociálnej sieti Facebook kde bola fotografia poškodeného z júla 2017. Škola sa bránila. Na facebooku nie je uvedené, že poškodený je stále v pracovnom pomere a nie je možné vychádzať z fotografie, označeného menom a priezviskom.

Reakcia úradu

Print screen použil úrad a zistil, že škola koná neoprávnene a protiprávne, keďže nestiahla fotografiu. Úrad vydal výzvu kde školu žiada o neodkladné napravenie protiprávneho stavu. Bohužial škola tento stav nenapravila.

Úrad vyhlásil, že zverejnenie osobných údajov bývalých zamestnancov je možné iba v prípade, že úćastník dal predchádzajúci súhlas, pričom v tomto prípade ho bývalý zamestnanec nedal.

Uloženie pokuty vo výške 10 000 CZK

Zákon o ochrane osobných údajov v Česku stanovil skutkové podstaty v oblasti ochrany osobných dát a údajov a rozlišuje medzi súkromno – právnymi a verejno – právnymi subjektmi. Maximálna výška môže dosiahnuť rekordných 10 miliónov CZK. Orgánom verejnej moci je možné udeliť pokutu do 15 000 CZK. 

Slovenská republika nerozlišuje subjekty verejnoprávnej alebo súkromnej sféry. Pravidlá platia pre všetkých rovnako. V zákone 18/2018 o ochrane osobných údajov je uvedené výška pokuty do 20 000 000 eur, ale v prípade podniku do 4% celkového svetového ročného obratu za predošlý účtovný rok.

The post Pokuta kvôli bývalému zamestnancovi – môže za to uverejnená fotografia appeared first on Ochrana-online.sk.

Školácka chyba

Ľudia sú zvedavé tvory a to dokonca natoľko, že sú ochotné riskovať bezpečnosť svojich dát. Nájdené USB kľúče nemajú problém zapojiť do svojho počítača, aby zistili, čo ich majiteľ tam ukrýva. V prieskumoch tak urobí až 80 % ľudí. Riskujú tým však nielen poškodenie počítača, ale aj únik citlivých dát z databáz, ktoré podľa nariadenia GDPR musia podliehať dôkladnej ochrane.

Zničenie počítača

Nemáme na mysli len USB kľúč, ktorý obsahuje  trójskeho koňa, ale kľúč z nabitých kondenzátorov, ktoré dokážu elektrickou iskrou zničiť počítač. Pripojenie takéhoto USB kľúča, ktorý je nabitý energiou, znamená automatické zničenie počítača. O takomto prípade by vedeli rozprávať na jednej americkej univerzite, kde škoda dosiahla až 60 000 dolárov.

Únik dát

Ďalším nebezpečným kľúčom je taký, ktorý sa pri pripojení tvári ako klávesnica. Ide o USB kľúč, ktorý vyzerá na prvý pohľad úplne obyčajne, avšak vo svojom vnútri ukrýva miniatúrny počítač s procesorom aj pamäťou. Po jeho pripojení nenaskočí ako ďalší disk v položke “Tento počítač”, ale zobrazí sa ako ďalšia klávesnica, ktorú nepreveruje žiaden antivírusový softvér. Váš počítač ho preto nevyhodnotí ako hrozbu a ľahko dokáže prekonať aj skutočne sofistikovaný bezpečnostný systém. 

Po pripojení tohto zvláštneho typu USB kľúča sa spustí script, ktorý dokáže na pripojenom počítači robiť čokoľvek sa mu zachce. A toto môže slúžiť ako účinný konkurenčný boj, kedy z vášho počítača budú odoslané e-maily, ktoré by ste vy nikdy neposlali, či zaslanie vašich kontaktov konkurencii alebo odcudzenie všetkých citlivých dát z vášho počítača. 

Pozor na GDPR

Keďže v súčasnosti platí európske nariadenie GDPR o ochrane osobných údajov, mali by ste sa vystríhať podobným banálnym pochybeniam. Ak však predsa príde k bezpečnostnému incidentu vo vašej firme či organizácií, majte na pamäti, že musíte informovať Úrad na ochranu osobných údajov i dotknuté osoby. Podľa prešetrenia rozsahu úniku údajov a ostatných okolností vám spomínaný úrad môže udeliť sankcie, medzi ktorými sú aj finančné pokuty.

The post Pozor na USB kľúče, môžu vám vykradnúť databázu i zničiť počítač appeared first on Ochrana-online.sk.

Sankcie nie sú len finančné

Finančné pokuty za nedodržanie súladu s nariadením GDPR sa môžu vyšplhať do astronomických súm. Napriek tomu môžu byť pre spoločnosti likvidačné aj iné dôsledky z porušenia GDPR. Strata dobrého mena alebo ochromenie prevádzky dokážu niekedy spoločnosti ublížiť oveľa viac.

Zneužívanie GDPR

S príchodom GDPR sa otvorili aj nové možnosti ako ho zneužiť, pretože z nariadenia sa stal nástroj počítačovej kriminality.

Podľa GDPR musia organizácie odpovedať na žiadosti o prístup k osobným údajom bez zbytočného odkladu a najneskôr do jedného mesiaca od vašej žiadosti. Útočníci však môžu úmyselne zaplaviť váš systém týmito požiadavkami. Takýto útok kombinovaný s tradičnejšou formou DoS útoku (odopretia služby) by mohol spoločnosti poriadne uškodiť. Ich odstraňovanie v závislosti od rozsahu by mohlo zamestnať poverený personál aj na niekoľko mesiacov.

GDPR DoS útok (odopretie služby) môže byť iniciovaný kýmkoľvek. Hacktivisti, nespokojní zamestnanci či rôzne hnutia tak získali k dispozícii mocný nástroj. Hoci spoločnosti môžu ignorovať jednotlivca, ktorý by predložil tisíc žiadostí o prístup ku svojim údajom, nemôžu ignorovať tisíc jednotlivcov.

Takto postihnutej organizácií potrvá vybavenie všetkých nevyriešených prípadov. Ak by sa takéto incidenty konali vo väčšom merítku, mohli by úplne narušiť každodennú rutinu a prinútiť organizácie sústrediť všetky svoje sily na odstránenie problému.

Z tohto dôvodu je skutočne dôležité, aby boli organizácie pripravené čeliť podobným hrozbám a nepodceňovali situáciu.    

The post GDPR v boji proti kybernetickým zločinom appeared first on Ochrana-online.sk.

Na aké zmeny by ste sa mali pripraviť?

Dôvodov, pre ktoré vám môžu udeliť pokutu je pomerne veľa. Preto neodporúčame zanedbať prípravu na zavedenie GDPR do praxe.

V prvom rade si musíme ujasniť, že po novom budú pod pojem “osobný údaj” spadať nie len osobné údaje ako sú meno, priezvisko, fotografia, odtlačok a podobne, ale aj technické údaje typu IP adresa, či súbory cookies. Nové pravidlá sa tak týkajú každého, kto pracuje aspoň s jedným z týchto údajov, alebo cez neho takéto údaje len prechádzajú.

Do platnosti prichádza aj niekoľko nových povinností ako napríklad: povinnosť nominácie zodpovednej osoby, prísnejšie požiadavky na súhlas pri spracovaní osobných údajov alebo povinnosť oznámiť porušenie ochrany osobných údajov jednotlivcom aj regulátorovi do 72 hodín.

Externí sprostredkovatelia dát budú niesť rovnakú zodpovednosť ako prevádzkovatelia, no zároveň budú povinní viesť zoznamy spracovateľských operácií pre každého klienta a prevádzkovateľa zvlášť. Medzi iným je sprostredkovateľ povinný informovať prevádzkovateľa o tom, že porušil ochranu osobných údajov.

Do akej výšky sa môžu jednotlivé pokuty vyšplhať?

Výška pokuty sa môže vyšplhať až do výšky 20 miliónov eur alebo do 4% celosvetového ročného obratu danej firmy (podľa toho, ktorá suma je vyššia), no všetko záleží najmä od ustanovení, ktoré boli porušené. Tieto priestupky sú rozdelené podľa vážnosti do dvoch kategórií, ktoré majú rozdielne výšky pokút.

Pokutu v maximálnej výške 10 miliónov eur, alebo 2% celosvetového ročného obratu danej firmy (podľa toho, ktorá suma je vyššia) dostanete napríklad za porušenie týchto nariadení:

• súhlas rodiča pri spracovaní osobných údajov dieťaťa,
• implementácia organizačných a technických opatrení ochrany súkromia do návrhu systému,
• spracovatelia a prevádzkovatelia musia implementovať dostatočné opatrenia pre dostatočnú bezpečnosť osobných údajov,
• spracovanie osobných údajov môže prebiehať len v súlade s inštrukciami prevádzkovateľa,
• prevádzkovateľ musí nahlásiť únik osobných údajov kompetentným autoritám do 72 hodín od zistenia úniku.

Pokutu v maximálnej výške 20 miliónov eur, alebo 4% celosvetového ročného obratu danej firmy (podľa toho, ktorá suma je vyššia) dostanete za nedodržanie týchto nariadení:

• spracovanie osobných údajov musí byť v súlade so zákonom,
• prevádzkovateľ musí vedieť preukázať, že užívateľ súhlasil so spracovaním osobných údajov,
• prevádzkovateľ musí vedieť poskytnúť transparentné informácie a dostatočnú komunikáciu pre možnosť uplatnenia práv užívateľov,
• užívateľ musí mať možnosť prehliadať, prípadne vymazať svoje osobné údaje,
• prevádzkovateľ musí užívateľom oznamovať každé schválenie, vymazanie, obmedzenie alebo spracovanie osobných údajov.

Ako sa vyhnúť pokute?

Jediný spôsob ako sa vyhnúť pokute je dôsledná príprava ešte pred zavedením nariadenia do praxe. Veľa problémov vyrieši dôkladné šifrovanie osobných údajov, keďže pri úniku zašifrovaných osobných údajov sa neukladá pokuta a nie ste ani povinný oznámiť tento únik užívateľom. Takýto únik sa netrestá, no stále je dôležité nahlásiť ho kompetentným autoritám.

V prípade, že chcete byť včas pripravený, požiadajte o bezplatnú cenovú ponuku. Ochranu osobných údajov môžeme vziať jednoducho do vlastných rúk.

The post GDPR pokuty môžu zničiť vašu firmu appeared first on Ochrana-online.sk.