İspanya Veri Koruma Otoritesi (“AEPD”) tarafından, veri sorumlusu sıfatıyla faaliyet gösteren iletişim ağı sağlayıcısı Xfera Móviles'e, yetersiz güvenlik önlemleri nedeniyle bir siber saldırıya ve kişisel verilere hukuka aykırı erişime olanak tanıdığı gerekçesiyle 4.000.000 Euro tutarında idari para cezası uygulanmasına karar verilmiştir.
Somut olayda, veri sorumlusu Mart 2023'te müşteri hesaplarına erişmek için kullanılan dahili bir sistemde (VFR) güvenlik ihlali yaşamıştır. Veri sorumlusunun alan adı sistemi (DNS) yapılandırmasında yaptığı geçici bir değişiklik, sistemin iki faktörlü kimlik doğrulamayı (2FA) uygulamamasına neden olmuştur. Bir saldırgan, yetkili bir kullanıcının geçerli giriş bilgilerini kullanarak sisteme erişim sağlamış; müşteri adları, kimlik numaraları, iletişim bilgileri, hizmet bilgileri ve IBAN'lar gibi kişisel verileri görüntülemiştir. Durumu tespit eden veri sorumlusu, ihlali AEPD'ye bildirmiş ve ilgili kişileri e-posta ile SMS yoluyla bilgilendirmiştir. İhlalin ardından çok sayıda ilgili kişi, verilerinin ifşa edildiği ve kimlik avı mesajları aldıkları gerekçesiyle AEPD'ye şikayette bulunmuştur.
AEPD tarafından yürütülen soruşturmada; veri sorumlusunun izleme araçlarını anormal erişimleri hızlıca tespit edecek şekilde yapılandırmadığı, geçici alan adı sistemi değişikliğinin kimlik doğrulamasını zayıflattığı ve şifreleme eksikliği sebebiyle saldırganın verileri açık metin olarak görüntüleyebildiği tespit edilmiştir. Veri sorumlusu savunmasında, siber saldırı mağduru olduğunu, olayın ceza mahkemesinde soruşturulduğunu, idari prosedürün askıya alınması gerektiğini ve halihazırda güvenlik sertifikalarına sahip olduğunu ileri sürmüştür. Ayrıca, iki ayrı para cezası verilmesinin "non bis in idem" (aynı suçtan iki kez yargılanmama) ilkesini ihlal edeceğini iddia etmiştir.
AEPD, veri sorumlusunun savunmalarını reddederek cezai davanın saldırganın davranışıyla, idari davanın ise veri sorumlusunun güvenlik önlemleriyle ilgili olduğunu belirtmiştir. Ayrıca, GDPR'nin 5(1)(f) maddesindeki gizlilik ilkesi ile 32. maddesindeki güvenlik önlemleri yükümlülüğünün farklı hukuki menfaatleri koruduğunu ve ayrı ayrı cezalandırılabileceğini vurgulamıştır. Sonuç itibarıyla, kişisel verilerin gizliliğinin ve bütünlüğünün sağlanmaması nedeniyle GDPR’nin 5(1)(f) maddesinin ihlali için 2.500.000 Euro, riske uygun güvenlik seviyesinin sağlanamaması nedeniyle GDPR'nin 32. maddesinin ihlali için 1.500.000 Euro olmak üzere veri sorumlusuna toplam 4.000.000 Euro idari para cezası verilmiştir.
İlgili habere buradan ulaşabilirsiniz.