Zinātkāres augstā cena: kāpēc Itālija sodīja Intesa Sanpaolo ar 31,8 miljoniem eiro

31,8 miljonu eiro naudas sods reti kad ir vienas kļūdas rezultāts. Tā vietā tas parasti ir sistēmisku plaisu kulminācija, kas beidzot padevās regulatīvā spiediena ietekmē. Pirmdien Itālijas datu aizsardzības iestāde "Garante" nosūtīja skaidru vēstījumu finanšu sektoram, piemērojot šo ievērojamo sodu valsts lielākajai bankai Intesa Sanpaolo. Lieta, kas saistīta ar neautorizētu piekļuvi aptuveni 3500 klientu datiem divu gadu garumā, kalpo kā skarbs atgādinājums, ka dati nav tikai korporatīvais aktīvs; tie ir saistības, kas prasa pastāvīgu un rūpīgu uzraudzību.

Kā digitālais detektīvs, kurš dienas pavada, analizējot privātuma politikas un audita žurnālus, esmu redzējis daudzas organizācijas, kas pret datiem izturas kā pret zeltu — kaut ko tādu, kas jākrauj kaudzēs un jānospodrina. Taču regulatīvajā kontekstā dati bieži vien ir līdzīgāki urānam. Tie ir neticami spēcīgi un vērtīgi, ja ar tiem rīkojas pareizi, taču bez robustas ierobežošanas un stingras uzraudzības tie kļūst par toksisku aktīvu, kas var noplūst, izraisot vides katastrofu uzņēmuma reputācijai.

Pārkāpuma anatomija

Incidents, kas ir šī naudas soda pamatā, nebija sarežģīta ārēja uzlaušana vai izspiedējvīrusa uzbrukums no attāla servera. Interesanti, ka draudi nāca no iekšienes. Tiek ziņots, ka vairāk nekā divus gadus kāds darbinieks piekļuva tūkstošiem personu bankas kontiem un personiskajai informācijai, tostarp augsta ranga politiskajām figūrām un privātpersonām.

No atbilstības viedokļa problēma nebija tikai negodīgā darbinieka rīcība, bet gan bankas nespēja pamanīt šo tendenci. Ja 3500 ierakstiem tiek piekļūts bez skaidra biznesa pamatojuma, tas liecina par detalizētas uzraudzības trūkumu. Datu aizsardzības pasaulē mēs runājam par "datu pārzini" — tā ir organizācija, kas izlemj, kāpēc un kā tiek izmantota jūsu personiskā informācija. Kā datu pārzinim Intesa Sanpaolo bija likumā noteikts pienākums nodrošināt, ka tikai pareizajiem cilvēkiem ir "atslēga" uz šo informāciju un, kas vēl svarīgāk, ka katru reizi, kad šī atslēga tika pagriezta, tika reģistrēts un analizēts digitālais nospiedums.

Atbildība ārpus "viena vainīgā"

Mana pieredze, izmeklējot banku pārkāpumus, rāda, ka uzņēmumi bieži mēģina pasniegt šos incidentus kā viena "sliktā darbinieka" rīcību. Tomēr regulatori, piemēram, "Garante", reti pieņem šādu naratīvu. Viņi pārbauda mājas pamatus. Ja viens darbinieks divus gadus var pārlūkot tūkstošiem failu, neizraisot trauksmi, pamati ir nedroši.

Saskaņā ar Vispārīgās datu aizsardzības regulas (VDAR) visaptverošo ietvaru "atbildības" princips ir noteicošais. Tas nozīmē, ka nepietiek ar atbilstību tikai uz papīra; uzņēmumam jāspēj pierādīt, ka tas rīkojas proaktīvi. De facto bankas iekšējā kontrole tika atzīta par neatbilstošu, jo tā nespēja reāllaikā konstatēt anomālu uzvedību. Citiem vārdiem sakot, bankai durvis bija aizslēgtas, taču neviens nepārbaudīja drošības kameras.

Integrēta privātuma aizsardzība kā dzīvs princips

Kad saņemu rakstu vai informāciju par pārkāpumu, pirmais, ko meklēju, ir tas, vai "integrēta privātuma aizsardzība" (Privacy by Design) tiešām tika ieviesta. Tas nav tikai tehnisks ķeksītis; tā ir filozofija, kurā privātums tiek iestrādāts produktā jau no pirmās koda rindiņas.

Šajā gadījumā privātumu saudzējoša sistēma būtu izmantojusi automatizētus brīdinājumus. Piemēram, ja darbinieks, kura amats neprasa augsta līmeņa piekļuvi, pēkšņi sāk meklēt valsts amatpersonu vārdus, sistēmai automātiski vajadzētu atzīmēt šo darbību. Tā ir atšķirība starp reaktīvu organizāciju un sarežģītu, noturīgu organizāciju. Galu galā "Garante" naudas sods atspoguļo kļūdas sistēmisko raksturu. Sods ir samērīgs ne tikai ar ietekmēto cilvēku skaitu, bet arī ar laika posmu, kurā ievainojamība palika atklāta.

"Naftas noplūdes" viļņveida efekts

Šāda mēroga datu aizsardzības pārkāpums ir kā naftas noplūde neskartā ostā. Pat pēc tam, kad noplūde ir novērsta, nogulsnes paliek. Iesaistītajiem 3500 klientiem pārkāpums ir uzbāzīgs viņu privātās dzīves aizskārums. Bankai 31,8 miljonu eiro (36,4 miljonu dolāru) sods ir tikai aisberga redzamā daļa. Reālās izmaksas slēpjas uzticības zaudēšanā un potenciālā ekstrateritoriālā pārbaudē, ja kāds no šiem klientiem dzīvo ārpus Itālijas.

Neatkarīgi no finansiālā trieciena bankai tagad ir milzīgs uzdevums — revidēt visu savu iekšējo kultūru. Viņiem ir jāpāriet no nepārredzamas uzticības sistēmas uz caurskatāmu pārbaudes sistēmu. Regulatīvajā kontekstā "mēs uzticamies saviem darbiniekiem" vairs nav derīga drošības stratēģija.

Mācības mūsdienu uzņēmumam

Ko citi uzņēmumi var mācīties no šīs 31,8 miljonu eiro vērtās mācībstundas? Neatkarīgi no tā, vai esat daudznacionāla banka vai augošs tehnoloģiju jaunuzņēmums, digitālās higiēnas principi paliek nemainīgi.

Turpmākā rīcība: Jūsu privātuma kontrolsaraksts

Kā lasītājs un patērētājs jūs neesat bezspēcīgs. Lai gan jūs nevarat kontrolēt, kā banka nodrošina savus serverus, jūs varat izmantot savas tiesības, lai nodrošinātu, ka ar jūsu datiem rīkojas rūpīgi.

1. Pieprasiet piekļuves ziņojumu: Saskaņā ar VDAR jums ir tiesības lūgt uzņēmumam kopiju par datiem, ko tie glabā par jums, un to, kas tiem ir piekļuvis.
2. Pārbaudiet savus izrakstus: Iekšējas izsekošanas gadījumos pirmās pazīmes bieži ir nemanāmas. Sekojiet līdzi jebkādām neautorizētām izmaiņām savā profilā vai iestatījumos.
3. Pieprasiet caurskatāmību: Ja uzņēmums, kuru izmantojat, cieš no datu aizsardzības pārkāpuma, jautājiet pēc konkrētām detaļām. Neapmierinieties ar frāzi "mēs nopietni uztveram jūsu privātumu". Jautājiet, kādi tieši tehniskie pasākumi neizdevās un kā tie ir novērsti.

Galu galā privātums ir cilvēka pamattiesības, nevis luksuss vai atbilstības šķērslis. Navigējot šajā sarežģītajā regulatīvajā vidē, atcerieties, ka labākais veids, kā aizsargāt informāciju, ir izturēties pret to ar pelnīto cieņu — pirms pie durvīm klauvē regulators.

Avoti:

• General Data Protection Regulation (GDPR), Article 5 (Principles relating to processing of personal data).
• General Data Protection Regulation (GDPR), Article 32 (Security of processing).
• Italian Data Protection Authority (Garante per la protezione dei dati personali) Enforcement Guidelines.
• European Data Protection Board (EDPB) Guidelines on Administrative Fines.

Atruna: Šis raksts ir paredzēts tikai informatīviem un žurnālistikas mērķiem. Tas seko regulatīvajām tendencēm un ziņu notikumiem, lai sniegtu vispārīgu ieskatu, un nav uzskatāms par oficiālu juridisku vai finanšu konsultāciju. Konkrētu juridisku jautājumu gadījumā, lūdzu, konsultējieties ar kvalificētu datu aizsardzības speciālistu.