Popularne linie lotnicze ukarane za zaniedbania w ochronie danych

Urząd poinformował, że z systemów komputerowych linii lotniczych z Hongkongu wyciekły dane ponad 111,5 tys. mieszkańców Wielkiej Brytanii oraz kolejnych 9,4 miliona osób z innych krajów.

Ujawniono nazwiska, dane paszportowe, daty urodzenia, numery telefonów, adresy oraz historie podróży. Według ICO odpowiednich zabezpieczeń nie było w okresie od października 2014 roku do maja 2018 roku.

Według biura komisarza Cathay Pacific dowiedziały się o problemie w marcu 2018 r., po zgłoszonym do ICO ataku hakerskim na systemy firmy. Dochodzenie urzędu wykazało m.in, że zapasowe pliki danych nie były chronione hasłem, system operacyjny nie był aktualizowany, nie było ochrony antywirusowej, a w przypadku co najmniej jednego ataku na firmowy serwer wykorzystano znaną od ponad 10 lat podatność bezpieczeństwa, która nigdy nie została naprawiona.

Dyrektor ds. Dochodzeń ICO Steve Eckersley, powiedział, że "w systemie Cathay Pacific stwierdzono wiele podstawowych braków w zakresie bezpieczeństwa, które ułatwiały dostęp hakerom". Jak dodał, linia lotnicza naruszyła cztery z pięciu podstawowych wytycznych Narodowego Centrum Cyberbezpieczeństwa Wielkiej Brytanii (NCSC).

500 tys. funtów to maksymalna wysokość grzywny według Ustawy o ochronie danych z 1998 r., zastosowanej w tym przypadku zamiast RODO - ze względu na czas, w którym doszło do nieprawidłowości.

Serwis BBC przypomniał, że w lipcu 2019 r. ICO ukarało British Airways 183 mln funtów grzywny, a sieć hoteli Marriott - 99,2 mln funtów.

Biuro Komisarza ds. Informacji zaznaczyło również, że linie Cathay Pacific podjęły działania natychmiast po wykryciu wycieku, a także skontaktowało się z zainteresowanymi klientami.

W raporcie ICO zauważono też, że dotąd nie potwierdzono przypadków niewłaściwego wykorzystania tych danych osobowych, choć jest prawdopodobne, że dojdzie do tego w przyszłości.

Odnosząc się do kary nałożonej przez ICO Cathay Pacific oświadczyły, że "po raz kolejny wyrażają żal i szczerze przepraszają za ten incydent”. W oświadczeniu podkreślono także, w ciągu ostatnich trzech lat przeznaczono "znaczne środki" na poprawę bezpieczeństwa danych osobowych.