Morele.net odwoła się od decyzji UODO

Nie zgadzam się z argumentami UODO. Urząd twierdzi, że sklep internetowy powinien mieć wdrożone dwustopniowe uwierzytelnianie, ale nie przeprowadził analizy ryzyka, która by to wykazała. Nie dopuścił też biegłego, który by ocenił standardy stosowane przez spółkę. Dlatego odwołamy się od decyzji do sądu – mówi Marcin Serafin, partner w kancelarii Maruta Wachta, obsługującej spółkę Morele.net.

Zaskoczyła Pana wysokość kary nałożonej przez prezesa Urzędu Ochrony Danych Osobowych nałożył na spółkę Morele.net, którą Państwa kancelaria obsługuje?

Marcin Serafin: Wysokość kary jest nieproporcjonalna do naruszenia. Spółka padła ofiarą ataku hakerskiego, od razu po jego zidentyfikowaniu zgłosiła to na policję oraz do UODO, a następnie współpracowała z urzędem w trakcie postępowania. Dlatego nie rozumiem, skąd tak wysoka kara za wykradzenie danych.

UODO twierdzi, że doszło do dużego naruszenia, bo chodzi o dane wszystkich klientów – to ponad 2,2 miliona osób, w tym  w przypadku 35 tys. klientów chodzi też o dane szczególne obejmujące m.in. numer PESEL.

W decyzji nie padają konkretne liczby określające, do ilu i jakich danych cyberprzestępcy uzyskali dostęp. UODO opiera się na liczbie wszystkich klientów sklepu, w tym wnioskujących o sprzedaż w systemie ratalnym. Proszę pamiętać, że do chwili obecnej nikt nie ustalił, jak doszło do ataku. Prowadząc politykę w zakresie ochrony danych osobowych liczyłbym zaś, że organ dużo bardziej rozważnie będzie stosował argumenty siły i siłę argumentów. Kolejny raz wydaje się, że jednak siła poszła w niewłaściwą stronę i ofiara została ukarana. W dobie myślenia o tym jak wspierać rodzime startupy, żeby osiągnęły sukces, być może warto pomyśleć też i o tych, które w 2000 r. były małą garażową firmą, a w 2019 roku są istotnym graczem rynkowym.

Duża firma powinna się może jednak lepiej przygotować. UODO podkreśla, że utratę danych spowodowały niewystarczające zabezpieczenia organizacyjne i techniczne, w tym brak podwójnego uwierzytelniania i skutecznego monitoringu zagrożeń w sieci.

Nie zgadzam się z argumentami urzędu. UODO twierdzi, że sklep internetowy powinien mieć wdrożone dwustopniowe uwierzytelnianie, ale nie przeprowadził analizy ryzyka, która by to wykazała. Wskazał jedynie wytyczne, m.in. Europejska Agencja ds. Bezpieczeństwa Sieci i Informacji czy Fundacji OWASP, ale nie dokonał oceny, jakie konkretne zabezpieczenia techniczne i organizacyjne powinna zastosować spółka. Co więcej urząd odmówił przeprowadzenia opinii biegłego.

Czytaj również rozmowę z wiceprezesem UODO i poznaj argumenty urzędu >>

Co miałby ustalić biegły?

Biegły z zakresu bezpieczeństwa systemów informatycznych powinien m.in. ustalić standardy techniczne i organizacyjne środków bezpieczeństwa w obszarze e-commerce o skali i charakterze podobnym do działalności spółki w 2018 r. Ponadto powinien ocenić, czy środki stosowane przez spółkę są odpowiednie uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia.

UODO nie przeprowadziło takiej oceny?

Nie, co widać zresztą w decyzji. Tymczasem zdaniem spółki środki, jakie stosowała, m. in. zabezpieczenia dostępu oraz monitoring dostępu do panelu zarządzającego nie odbiegały od standardów, a w wielu obszarach je przewyższały. Dlatego spółka zamierza skorzystać z dostępnych dróg odwoławczych.