Полиция трижды предупредила автошколу об утечке. Штраф 30 тысяч евро

Я открыл решение испанского регулятора по персональным данным ради суммы, а дочитал из-за хронологии. Сеть автошкол Hoy Voy, у которой 38 франшиз по стране, несколько месяцев получала предупреждения, что её база продаётся на хакерском форуме. И каждый раз решала, что это мошенники.

Что сказало ведомство

В мае 2024 года на форуме выставили базу, и тогда же компании написала фирма по кибербезопасности. Письмо сочли рекламой. В августе позвонили уже от Национальной полиции. В компании рассудили, что это жулики, раз звонят в сезон отпусков. Полиция, если верить решению, предупреждала трижды, а в конце сентября два агента в штатском пришли в офис лично.

Всерьёз искать начали в октябре. Сотрудник по защите данных сам зашёл на форум и скачал образец на 15 строк, и там оказались настоящие ученики с номерами документов и телефонами. В итоге Hoy Voy сообщила о 264 435 пострадавших, среди них есть несовершеннолетние.

Ещё одна деталь мне показалась важной. С апреля 2021 года в компании знали, что система устарела, а заменили её только в январе 2025-го. Регулятор назвал это грубой небрежностью и про предупреждения написал так (перевод наш):

Была получена подробная информация, однако достоверность этих предупреждений отвергли.

Штраф назначили в 50 000 евро. Hoy Voy признала вину, заплатила сразу и получила скидку 40%, итог 30 000.

Что это значит для бизнеса

Штраф тут скромный, 30 тысяч евро при выручке Hoy Voy около 3,2 млн. Меня больше задело другое: в решении отдельным пунктом разобрано, как компания реагировала на чужие сигналы. Отмахнуться от письма про утечку, выходит, тоже нарушение.

В России эта история стоила бы заметно дороже. По 152-ФЗ об утечке сообщают в Роскомнадзор в течение суток. А за утечку данных больше чем 100 тысяч человек КоАП даёт компании от 10 до 15 млн рублей.

Если бы у меня была сеть с базой учеников или клиентов, я бы договорился с командой заранее. Пришло письмо про утечку, от кого угодно, значит в тот же день кто-то ищет упоминания базы и записывает, что нашёл.

Кто ещё об этом написал

В нашей ленте пересказов нет. Решение опубликовано на aepd.es, на испанском.