24 Nisan 2023 tarihinde, veri sorumlusu şirketin genel müdürü, veri sorumlusu adına GDPR Madde 33 uyarınca Otorite’ye e-posta yoluyla bir veri ihlali bildirimi göndermiştir.

Bu bildirim sırasında, veri sorumlusu DPA'ya 6 Mart 2023 tarihinde bilinmeyen kişiler tarafından bir "fidye yazılımı saldırısı" gerçekleştiğini ve bunun sonucunda verilerin şifrelendiğini bildirmiştir. Buna ek olarak, veri sorumlusu bir hırsızlığın meydana gelip gelmediğinin bilinmediğini belirtmiştir. Veri sorumlusu, 55 çalışanın bu saldırıya maruz kaldığını ve maaş belgeleri gibi bilgilerin etkilendiğini açıklamıştır. Ayrıca, veri ihlalini gidermek için önlemler aldığını açıklamıştır: tüm ağın internet bağlantısı kesilmiş ve sistemler yeniden kurulmuş ve güvence altına alınmıştır. Olası olumsuz etkileri azaltmak için alınan tedbirlerle ilgili olarak veri sorumlusu, sistemin şifrelenmiş sabit disklerinin güvenli bir şekilde silindiğini belirtmiştir.

Bu bildirime cevaben, Otorite bir soruşturma başlatmış ve veri sorumlusundan ek bilgi talep etmiş, veri sorumlusu ise net olmayan bir açıklama ile cevap vermiştir. Bu nedenle, DPA ek açıklama talep etmiş, veri sorumlusu da 27 Nisan 2023 tarihinde önceki açıklamalarını doğrudan ekleyerek boş bir e-posta ile cevap vermiştir. Bu cevabın ardından, DPA veri sorumlusuna karşı idari para cezası işlemleri başlatmış ve 5 Haziran 2023 tarihli bir yazı göndererek veri sorumlusunun savunma yapmasını talep etmiştir. Veri sorumlusu herhangi bir savunma sunmamıştır.

Otorite, veri sorumlusu tarafından bildirilen fidye yazılımı saldırısının ve ardından BT altyapısının bilinmeyen bir saldırgan tarafından şifrelenmesinin GDPR Madde 4(12) anlamında bir kişisel veri ihlali oluşturduğunu belirtmiştir.

Bu nedenle, veri sorumlusu söz konusu olayı derhal DPA'ya bildirmek ve ihlalden haberdar olduktan sonra 72 saat içinde GDPR Madde 33(3) uyarınca zorunlu bilgileri sağlamakla yükümlüdür. Bu bağlamda DPA, veri sorumlusunun GDPR Madde 33(1) kapsamındaki yükümlülüğünü yerine getirmediğini, çünkü söz konusu olayı 72 saat içinde GDPR Madde 55 uyarınca yetkili denetim makamı olarak Avusturya DPA'sına bildirmediğini, ancak bir aydan fazla bir süre sonra bildirdiğini kaydetmiştir.

Ayrıca DPA, veri sorumlusunun bildiriminin GDPR Madde 33(3) kapsamında gerekli bilgileri içermediğini belirtmiştir. Bildirim özellikle, kişisel veri ihlalinin niteliğine, ilgili kişilerin işlenen kişisel verilerinin kategorilerine ve yaklaşık sayısına ve ilgili kişisel veri kayıtlarının yaklaşık sayısına ilişkin bir açıklama içermiyordu. Başlangıçta, veri sorumlusu raporunda sadece 55 çalışanın etkilendiğini belirtmiştir. Bununla birlikte DPA, 26 Nisan 2023 tarihli ek beyanında, etkilenen kişi kategorileri olarak "misafirlerden" de bahsedildiğini, ancak DPA tarafından daha sonra yapılan açıklama talebinin cevapsız kaldığını belirtmiştir.

Buna ek olarak, GDPR Madde 33(3)(d) uyarınca olası olumsuz etkilerini hafifletmeye yönelik tedbirlerin yanı sıra ihlali gidermek için veri sorumlusu tarafından alınan veya önerilen tedbirlere ilişkin bir açıklama da bulunmamaktadır. Veri sorumlusu yalnızca tüm ağın yeniden düzenlendiğini ve güvenliğinin sağlandığını belirtmiştir.

Gerçekten de veri sorumlusu, sigorta şirketini tatmin etmek ve zarar için geri ödeme almak için kendisini genel bilgilerle sınırlandırmış ve veri sorumlusunun iddia ettiği gibi, DPA tarafından olayın değerlendirilmesi için eksiksiz bir rapor sunmakla ilgilenmemiştir.

Ayrıca, DPA, veri sorumlusunun GDPR Madde 34 uyarınca bildirimde bulunup bulunmayacağını değerlendirmek için ihlalden etkilenen ilgili kişilerin hak ve özgürlüklerine yönelik bir risk değerlendirmesi yapmadığını belirtmiştir.

Genel olarak DPA, veri sorumlusunun GDPR Madde 33(1) ve (3)'e uymadığının açık olduğu sonucuna varmıştır.

Son olarak, veri sorumlusunun ilk ek bilgi talebine anlaşılmaz bir açıklama ile yanıt vermesi ve ikinci talebe yalnızca bir önceki beyana atıfta bulunması nedeniyle DPA, veri sorumlusunun GDPR Madde 31'i ihlal ederek Otorite ile işbirliği yapmadığını tespit etmiştir.

Bu nedenle, Otorite veri sorumlusuna 5.900 Euro para cezası vermiştir.

İlgili karara buradan ulaşabilirsiniz.

Avusturya Veri Koruma Otoritesi, bir kişisel veri ihlali olayını yaklaşık bir ay geç bildiren, bildirimde gerekli açıklamalara yer vermeyen ve kendisi ile işbirliği yapmayan veri sorumlusuna 5.900 Euro para cezası verdi.