Olbrzymia kara za wyciek danych. Sklep nie chce płacić

W 2018 roku sklep Morele.net dopuścił się do wycieku danych 2,2 mln klientów. Urząd Ochrony Danych Osobowych (UODO) nałożył na niego ponad 3 mln zł kary. Sklep od swojej decyzji się odwołał i w 2023 roku złożył skargę kasacyjnej do NSA (Naczelny Sąd Administracyjny).

Teraz UODO ponownie rozpatrzył wszystkie okoliczności i nałożył na Morele.net jeszcze wyższą karę niż wcześniej. 8 lutego 2024 roku zadecydowano, że kara będzie wynosić 3,8 mln złotych.

Czytaj także: Donald Trump bez immunitetu. Były prezydent może być sądzony

Karę podwyższono, ponieważ zauważono kolejne uchybienia. UODO wykazał, że sklep nie zastosował wystarczających zabezpieczeń, ani też nie miał odpowiednich procedur, które mogłyby pomóc w szybkiej reakcji na atak hakerski.

Analiza wykazała, że administrator nie szyfrował części danych (do czego zresztą się przyznał), nie dysponował dwuskładnikowym uwierzytelnianiem, nie przeprowadził analizy ryzyka, która uwzględniałaby m.in. zagrożenia związane z możliwością logowania się do systemu z sieci publicznej. W efekcie dwukrotnie doszło do nieautoryzowanego dostępu z zewnątrz, na skutek którego osoba niepowołana weszła w posiadanie danych klientów spółki Morele.net — przekazano w oświadczeniu.

Czytaj także: Wybory prezydenckie w USA. Świetne informacje dla Trumpa

Spółka Morele.net nie zamierza kary płacić i już wydała oświadczenie o złożeniu kolejnej skargi. Decyzję UODO zaskarży do Wojewódzkiego Sądu Administracyjnego, jak poprzednim razem. Jak tym razem zakończy się postępowanie?

Czytaj także: Potężna wpadka Bidena. To już druga w tym tygodniu

Spółka Morele.net potwierdza, że otrzymała decyzję prezesa Urzędu Ochrony Danych Osobowych dotyczącą ataku hakerskiego z 2018 r. Nie zgadza się jednak z decyzją Prezesa UODO i zamierza zaskarżyć ją do Wojewódzkiego Sądu Administracyjnego. Prezes UODO nie naprawił kluczowej nieprawidłowości wskazanej przez NSA w wyroku uchylającym pierwotną decyzję urzędu i nie powołał biegłego, który przygotowałby obiektywną ocenę prawidłowości zabezpieczeń danych osobowych stosowanych w 2018 r. przez spółkę — przekazano.