Министерство и его подрядчик в Греции заплатят 350 тысяч евро

Меня в этой истории зацепило, что штраф получил не только тот, кого взломали. Греческое министерство социальной сплочённости и семьи отдало свои программы подрядчику, агентству E.E.T.A.A. У подрядчика случилась крупная утечка. Платить будут оба.

Что сказало ведомство

Решение греческий регулятор принял 28 июля, а 8 октября его пересказал Европейский совет по защите данных. В базах подрядчика лежали имена, контакты, финансовые сведения и данные о здоровье. Сколько людей пострадало, в пересказе не сказано, там написано «большое число».

Причину регулятор назвал прямо. Подрядчик продолжал работать на устаревших системах и знал о рисках. Атака удалась, по словам ведомства, потому что E.E.T.A.A. продолжало использовать устаревшие информационные системы (перевод наш).

Министерство получило 200 тысяч евро штрафа, подрядчик 150 тысяч. Ещё у сторон не было нормального договора об обработке данных по статье 28 GDPR. Теперь его велели заключить и довести до конца защиту систем. Уведомить людей и регулятора министерство успело вовремя, к этой части претензий нет.

Что это значит для бизнеса

Я бы прочитал этот случай как напоминание о подрядчиках. Интернет-магазин отдаёт базу в службу доставки, клиника отдаёт записи в колл-центр, салон держит клиентов в облачной CRM. Если утечка случится у них, отвечать придётся и вам.

В России похожее правило есть в 152-ФЗ. Оператор, который поручает обработку другому лицу, должен оформить это поручение и прописать в нём меры защиты. За утечку отвечает перед человеком оператор, а не подрядчик.

На вашем месте я бы открыл договоры со всеми, кто видит базу клиентов. Если поручения на обработку там нет, я бы его дописал. Ещё я бы спросил подрядчика, когда он последний раз обновлял свои системы, и попросил ответ письмом.

Кто ещё об этом написал

Русскоязычных пересказов в нашей ленте нет. Первоисточник на сайте EDPB, полное решение только на греческом.