Polonya Veri Koruma Otoritesi (“UODO” veya “Otorite”), yetersiz güvenlik önlemlerinin yaklaşık 200 müşteri ve çalışanın verilerinin şifrelenmesine neden olan bir fidye yazılımı saldırısına izin vermesi nedeniyle bir veri sorumlusuna 353.589 PLN (€82.000) para cezası vermiştir. Ayrıca, olayda yer alan bir veri işleyen 9.822 PLN (€2.200) para cezasına çarptırılmıştır.

Tek başına girişimci olan bir kişi (“veri sorumlusu”), fidye yazılımı saldırısına maruz kalmıştır. Saldırganlar, veri sorumlusunun yaklaşık 200 müşteri ve çalışanına ait kişisel verileri şifrelemiştir. Şifrelenen veriler arasında özellikle ulusal kimlik numarası (“PESEL”), ad ve soyad, adres, cari hesap numarası, e-posta ve telefon numarası yer almaktadır. Saldırıdan kısa bir süre sonra veri sorumlusu, verilere erişimi yeniden sağlamıştır. Saldırganların kimliği bilinmemektedir.

Veri sorumlusu, ihlalin bir insan hatası nedeniyle gerçekleştiğini belirtmiştir. İddialara göre, veri sorumlusunun bir çalışanı antivirüs yazılımını kapatmıştır. Ayrıca saldırganlar, işletim sisteminin bir güvenlik açığını kullanmıştır. Veri sorumlusu, veri merkezi ve BT destek hizmetlerinden sorumlu üçüncü tarafın (“veri işleyen”) işletim sistemi belirli bir süre güncellemediğini ve bu durumun veri ihlali gerçekleştiğinde güvenlik açığının mevcut olmasına neden olduğunu açıklamıştır.

Veri sorumlusu, veri ihlali hakkında Polonya Veri Koruma Otoritesi’ni bilgilendirmiştir. Verilere erişimin hızlı bir şekilde yeniden sağlanması yani olayın kısa sürmesi nedeniyle veri sorumlusu, ihlalin ilgili kişilerinin hak ve özgürlükleri için yüksek risk oluşturmadığını değerlendirmiştir. İddialara göre saldırganların tek amacı, verilere erişim karşılığında veri sorumlusundan fidye talep etmekti; verilere erişim sağlama ve paylaşma amacı yoktu. Veri sorumlusu, başlangıçta GDPR’nin 34. Maddesi uyarınca ilgili kişileri bilgilendirmemiştir çünkü ihlale yanıt olarak teknik ve organizasyonel önlemler uygulanmıştır. Sonunda Otorite’ye bildirimden bir ay sonra, veri sorumlusu kendi tesislerinde bir duyuru yayımlayarak ilgili kişileri bilgilendirmiştir.

Otorite, ihlal nedeniyle verilerin gizliliğinin etkilenmediğine dair bir kanıt bulunmadığını değerlendirmiştir. Bu nedenle Otorite, veri sorumlusunun ilgili kişileri yeniden bilgilendirmesini emretmiştir. Otorite ilk bildirimin eksik olduğunu, örneğin Veri Koruma Görevlisi’nin (DPO) iletişim bilgilerinin veya ihlalden sonra veri sorumlusu tarafından uygulanan önlemlerin açıklamasının eksik olduğunu belirtmiştir.

Ayrıca Otorite, veri sorumlusuna karşı re’sen bir soruşturma başlatmaya karar vermiştir.

Soruşturma sırasında veri sorumlusu, tüm çalışanların ihlalden önce veri koruma görevleri konusunda eğitim aldığını belirtmiştir. Ayrıca veri sorumlusu, işlenen verilerin düzenli yedeklerini aldığını ifade etmiştir.

Otorite, veri sorumlusunun GDPR’ı ihlal ettiğini tespit etmiştir.

Veri sorumlusunun işlediği veri kategorileri, artırılmış veri güvenliği gerektiriyordu. Özellikle veri sorumlusu, BT varlıklarının fidye yazılımı ile enfekte olmasını önleyecek önlemleri uygulamamıştır. Otorite’ye göre bu tür önleyici bir önlem, yazılımın güncel tutulmasıdır.

Veri sorumlusu, işletim sistemini yaklaşık iki yıl boyunca güncellememiştir. Ayrıca veri sorumlusu, gerçekleştirilen veri işleme faaliyetlerinin oluşturduğu riski düzenli olarak test etmemiş ve iyileştirmemiştir. Otorite, özellikle fidye yazılımı saldırısını kapsayan bir risk değerlendirmesi yapılmadığını vurgulamıştır.

Otorite, veri sorumlusunun ihlalden sonra uyguladığı güvenlik önlemleri konusunda şüphelerini dile getirmiştir. Otorite’ye göre, ihlalden sonra veri sorumlusunun BT varlıklarına yönelik bir güvenlik denetimi gerçekleştirildiğine dair herhangi bir kanıt bulunmamaktadır. Ayrıca, yeni güvenlik önlemlerinin uygulanmasının veri sorumlusu tarafından denetlenip denetlenmediği konusunda da belirsizlikler vardır. Aynı zamanda, bir yedekleme yönetim prosedürünün eksik olduğu belirtilmiştir. Sonuç olarak veri sorumlusu, verilere makul bir gecikme olmaksızın erişimi yeniden sağlayamamıştır.

Otorite’ye göre veri sorumlusu, ihlalden önce veya sonra GDPR’ın 32. Maddesi uyarınca bir risk değerlendirmesi gerçekleştirmemiştir. Yetersiz güvenlik önlemleri, veri ihlaline ve ardından veri gizliliği ve bütünlüğü ilkelerinin ihlaline yol açmıştır.

Ek olarak veri sorumlusu, veri işleyenin GDPR’dan kaynaklanan veri güvenliği ve diğer görevlerini nasıl yerine getirdiğini doğrulamamış veya denetlememiştir. Otorite’ye göre bu tür bir ihmal, GDPR’ın 28(1) Maddesinin ihlali anlamına gelmektedir. Ayrıca veri sorumlusu, veri işleyenin GDPR’ın 32-36 Maddeleri uyarınca veri güvenliğini sağlama konusunda nasıl destek sağladığını gösterememiştir. Bu nedenle veri işleyen, GDPR’ın 28(3)(f) Maddesi ve 32(2) Maddesini ihlal etmiştir.

Ayrıca, veri sorumlusu GDPR’nin 34(2) Maddesini ihlal etmiştir. Veri sorumlusu, etkilenen ilgili kişilere ihlalin sonuçları ve mevcut çözüm yolları hakkında yeterli bilgi sağlamamıştır.

Sonuç olarak Otorite, şu GDPR maddelerinin ihlal edildiğini tespit etmiştir: 5(1)(f), 5(2), 24(1), 25(1), 28(1), 28(3), 32(1), 32(2), 33(3) ve 34(2).

Veri sorumlusuna 353.589 PLN (yaklaşık €82.000) para cezası verilmiştir. Ayrı olarak, veri işleyene 9.822 PLN (yaklaşık €2.200) para cezası uygulanmıştır.

Kararın linkine buradan ulaşabilirsiniz.

Polonya Veri Koruma Otoritesi, veri merkezi ve BT destek hizmeti sağlayan bir veri işleyenin yazılım güncellemelerini ihmal etmesi sonucu yaşanan fidye yazılımı saldırısında, veri sorumlusuna veri işleyenden yaklaşık 40 kat daha yüksek para cezası verdi.