Producent inteligentnych zabawek zapłaci karę po wycieku danych dzieci

Federalna Komisja Handlu w Stanach Zjednoczonych (Federal Trade Commission, FTC - PAP)orzekła, że firma VTech naruszyła przepisy stanowione przez akt ochrony prywatności dzieci w internecie (Children's Online Privacy Protection Act, COPPA - PAP). Zdaniem FTC, firma dopuściła się też "niepodjęcia należytych kroków celem zabezpieczenia przetwarzanych przez nią danych".

W 2015 roku pojawiły się informacje o wielkim wycieku danych z produktów VTech. Ujawniono, że hakerzy uzyskali dostęp do serwerów firmy, tym samym zaś - do danych niemal pięciu milionów rodziców oraz sześciu milionów korzystających z zabawek dzieci. Informacje, jakie wyciekły w wyniku ataku, to imiona i nazwiska, adresy e-mail, hasła dostępu oraz historię pobranych plików, a także adresy miejsc zamieszkania rodziców i dzieci. Odnośnie najmłodszych wyciekły takie informacje jak: daty urodzenia, płeć, a także imiona i nazwiska. Włamanie na serwery VTech umożliwiło hakerom również dostęp do około 190 GB zdjęć z aplikacji Kid Connect należącej do firmy. Fotografie - według udostępnionych przez media informacji - to głównie obrazy twarzy należących do dzieci.

FTC w swoim orzeczeniu zwróciło szczególną uwagę na fakt, że firma VTech nie była świadoma włamania na jej serwery, dopóki nie poinformowali jej o tym dziennikarze. Jak wynika z orzeczenia FTC, VTech nie wdrożyła wystarczających środków mających na celu zagwarantowanie prywatności i bezpieczeństwa danym, które przetwarzała aplikacja Kid Connect, nie dysponowała również odpowiednim systemem wykrywania incydentów bezpieczeństwa. Co więcej - firma miała wprowadzać w błąd swoich klientów, informując ich że przetwarzane przez jej produkty dane są szyfrowane - w istocie jednak tak nie było.

"Połączone z internetem zabawki stają się coraz bardziej popularne. Rzeczą ważniejszą niż kiedykolwiek wcześniej jest informowanie rodziców o tym, jakie dane ich dzieci są zbierane i jak są przetwarzane, a także co można zrobić, by sensownie je zabezpieczyć" - powiedziała Maureen K. Ohlhausen, dyrektor wykonawcza FTC.

Oprócz zapłacenia nałożonej na VTech grzywny, firma musi wdrożyć kompleksowy program mający na celu zwiększenie bezpieczeństwa danych, który przez 20 kolejnych lat będzie poddawany szczegółowym, zewnętrznym audytom. Na firmę nałożono również wieczysty zakaz łamania prawa ochrony prywatności dzieci, a także fałszowania informacji o swoich praktykach bezpieczeństwa informacyjnego.