30 августа 2021

Судебная практика по GDPR: дела, в рамках которых были проведены проверки со стороны уполномоченных регуляторов

Ticketmaster UK Limited, Великобритания

Уполномоченный регулятор по соблюдению GDPR — Information Commissioner’s Office (ICO).

10 февраля 2018 года неизвестный злоумышленник внедрил вредоносный код на страницу оплаты Ticketmaster. Вредоносный код извлекал клиентские данные на странице оплаты, включая данные платежных карт.

Начиная с апреля 2018 года клиенты многих банков и платежных систем стали сообщать о мошеннических транзакциях на их счетах. В ходе внутренних проверок банки и платежные системы выявили, что почти все обратившееся клиенты ранее совершали покупки в Ticketmaster. Далее последовало огромное количество писем от банков и платежных систем о мошеннических транзакциях со стороны Ticketmaster (по примерным расчетам пострадало около 2 000 клиентов). В данных обстоятельствах 26 июня 2018 года Ticketmaster сообщил об утечке личных данных (personal data breach, «PDB») в ICO.

Проведенное расследование ICO выявило, что у Ticketmaster имелись недостаточные технические и организационные меры по обеспечению информационной безопасности и наложил штраф в размере 1 405 000 €.

Tusla Child and Family Agency, Ирландия

Уполномоченный регулятор по соблюдению GDPR — Data Protection Commission (DPC).

Проверка началась в отношении трех нарушений против личных данных, о которых само Tusla уведомило DPC. Все три нарушения произошли в связи с тем, что Tusla не скрыла личные данные при предоставлении документов третьим лицам. Два правонарушения с утечкой личных данных связаны с предоставлением кровным родителям адрес и контактные данные приемных родителей детей. Третье нарушение связано с предоставлением лицу, обвиняемому в сексуальном насилии над детьми, адрес ребенка, подавшего жалобу, и номер телефона его матери.

Тем не менее Tusla проинформировала DPC только о двух правонарушениях, что в итоге привело к большим убыткам. По результатам проведенного расследования было установлено, что Tusla нарушила статью 32 (1) и 33 (1) GDPR, не приняв надлежащих организационных мер для обеспечения уровня безопасности, соответствующего риску, связанному с обработкой персональных данных в отношении обмена документами с третьими сторонами, в том числе за неуведомление о третьем нарушении без неоправданной задержки.

Таким образом, DPC наложил на Tusla административный штраф в размере 75 000 € и обязал привести свои методы обработки в соответствие с GDPR путем принятия соответствующих организационных мер для обеспечения уровня безопасности, соответствующего риску.