W Stuttgarcie komisarz ds. Ochrony danych osobowych dla Niemieckiego kraju związkowego Badenia-Wirtembergia Stefan Brink poinformował o nałożeniu na sieć społecznościową Knuddels.grzywnę w wysokości 20 000 euro. Powodem nałożenia kary było nieprawidłowe przechowywanie haseł użytkowników, a dokładniej brak mechanizmów szyfrowania danych.
Niemiecki urząd uznał, że firma z Karlsruhe naruszyła obowiązek zapewnienia bezpieczeństwa danych osobowych.
Sprawa pewnie nie wyszłaby na światło dzienne, gdyby nie atak na tą platformę. Firma zgodnie z GDPR / RODO poinformowała Niemiecki odpowiednik naszego Urzędu Ochrony Danych Osobowych oraz osoby posiadające konta w tej sieci społecznościowej o ataku i wycieku danych.
Według firmy około 808 000 adresów e-mail i 1 872 000 pseudonimów i haseł zostało ukradzionych przez sprawców włamania i upublicznione w Internecie.
Dane które wyciekły, składały się z nazwy pokoju, hasła, adresu e-mail oraz informacji o prawdziwym nazwisku lub miejscu zamieszkania.
Komisarz Brink ocenił działania firmy za wzorcowe, zarówno w aspekcie kontaktu z urzędem jak i informacyjne, skierowane do użytkowników których dane "wypłynęły", oraz za działania po ataku zwiększające bezpieczeństwo i policzalność danych.
Holger Kujath - dyrektor zarządzający spółką prowadząca Knuddels, po ataku powiedział: "Atak hakerski był prawdziwym strestestem dla Knuddels." Od razu było jasne, że zaufanie użytkowników można odzyskać tylko dzięki przejrzystej komunikacji i natychmiastowej zauważalnej poprawie bezpieczeństwa IT. "Knuddels jest bezpieczniejszy niż kiedykolwiek."
Dlaczego ta platforma czaterska otrzymała karę w wysokości 20 tyś. euro. Przecież ich polityka związana z wyciekiem danych została pochwalona i wskazana jako wzorcowa.
Powód jest jeden. Od maja 2018 roku w całej Unii Europejskiej obowiązują jednolite przepisy o ochronie danych osobowych w Polsce znane szerzej jako RODO a w Unii jako GDPR przewidują kary w wysokości do 20 mln EUR lub grzywnę w wysokości do czterech procent rocznego obrotu osiągniętego na całym świecie.
Te przepisy wyraźnie mówią, że dane użytkowników danej platformy maja być chronione już na etapie samego planowania architektury danej aplikacji IT. I zarówno dotyczy to małych systemów IT gromadzących dane 100 osób, wielkich firmowych systemów CRM jak i portali społecznościowych.
Brak szyfrowania haseł użytkowników było głównym powodem nałożenia grzywny.
