İspanya Veri Koruma Otoritesi (“AEPD”), bir telekomünikasyon şirketine, 13.000.000 kişiyi etkileyen bir siber saldırının, veri sorumlusunun müşterilerinin, tedarikçilerinin ve çalışanlarının kişisel verilerini korumak için yeterli önlemleri uygulamadığını göstermesi nedeniyle toplam 6.500.000 Euro para cezası vermiştir.

14 Nisan 2021’de İspanya Veri Koruma Otoritesi , bir telekomünikasyon sağlayıcısı olan veri sorumlusu tarafından kaydedilen bir kişisel veri ihlali bildirimi almıştır.

Güvenlik İhlali Değerlendirme Raporu, yaklaşık 13.000.000 kişinin bu veri ihlalinden etkilendiğini göstermiştir. Saldırganlar, veri sorumlusunun müşterilerinin, eski müşterilerinin, tedarikçilerinin ve çalışanlarının kişisel verilerini içeren bir veritabanını indirmiş ve bu bilgileri kamuya açık bir internet sitesinde yayınlamıştır. Yayınlanan kişisel veriler; isimler, kimlik numaraları, posta adresleri, e-posta adresleri, cep telefonu numaraları, milliyet, cinsiyet, doğum tarihleri, banka hesap numaraları ve çalışanların istihdam bilgilerini içermiştir.

Veri sorumlusunun söz konusu kişisel verileri düz metin olarak sakladığı ve hiçbir takma ad (pseudonimizasyon) kullanmadığı ya da anonimleştirme önlemi almadığı tespit edilmiştir.

Veri Sorumlusunun Savunması:

Veri sorumlusu, yeterli önlemlerin mevcut olduğunu ve saldırının siber saldırganların teknik uzmanlığı nedeniyle önlenemediğini iddia etmiştir.
İddia edilen yetersizlik ile veri ihlali arasında bir ilişki bulunmadığını ve daha sağlam önlemlerin saldırıyı önleyemeyeceğini savunmuştur. Bu nedenle, veri sorumlusunun eylemleri ile olay arasında bir nedensel bağ kurulamayacağını belirtmiştir.
Veri sorumlusu kendisini öngörülemeyen bir saldırının kurbanı olarak tanımlamış ve her güvenlik sisteminin iyileştirme alanı olabileceğini ifade etmiştir. GDPR’nin 5(1)(f) maddesinin, belirli bir sonucu garanti etme yükümlülüğü olarak yorumlanamayacağını savunmuştur.

AEPD, güvenlik önlemlerinin eksikliği veya yetersizliği nedeniyle olup olmadığına bakılmaksızın, bir kişisel veri ihlali meydana geldiğinde GDPR’nin 5(1)(f) maddesinin ihlal edildiğini açıklamıştır. Veri sorumlusunun, çok sayıda kişiyi ilgilendiren büyük miktarda kişisel veri işlediği için riskleri öngörmesi ve siber saldırıyı önleyebilecek önlemleri uygulaması gerektiğini belirtmiştir.

AEPD, sızdırılan kişisel verilerin miktarını ve etkilenen kişi sayısını ağırlaştırıcı faktörler arasında değerlendirmiştir. Ayrıca, veri sorumlusu tarafından sunulan 2018 tarihli Veri Koruma Etki Değerlendirmesi, güvenlik sistemindeki ihlale yol açan eksiklikleri açıkça belirlemiştir. Bu eksikliklerin iki yıl boyunca giderilmemesi, veri sorumlusunun ihmalkar davranışını ortaya koymaktadır.

Veri ihlalinden herhangi bir kazanç sağlanmaması ve veri sorumlusunun ihlali AEPD’ye titizlikle bildirmiş olması hafifletici faktörler olarak değerlendirilmiştir.

AEPD, GDPR’nin 5(1)(f) Maddesinin ihlali için €4.000.000 ve GDPR’nin 32. Maddesinin ihlali için €2.500.000 olmak üzere toplamda €6.500.000 para cezası uygulamıştır.

Kararın linkine buradan ulaşabilirsiniz.

İspanya Veri Koruma Otoritesi (“AEPD”), Bir Telekomünikasyon Şirketine 13 Milyon Kişiyi Etkileyen Veri İhlali Nedeniyle 6,5 Milyon Euro Para Cezası Verdi.