👹💵💰Польского энергетического гиганта Enea наказали за попытку скрыть утечку данных

Президент Управления по защите персональных данных (UODO) оштрафовал на 136 000 злотых энергетическую компанию Enea SA., которая не сообщила об утечке данных в феврале 2024 года.

* Enea S.A. — один из крупнейших государственных энергетических концернов Польши. Компания занимается производством, дистрибуцией и продажей электроэнергии, а также добычей угля (владеет шахтой Bogdanka), обслуживая около 2,7 млн клиентов преимущественно в западной и северо-западной Польше (с центром управления в Познани).

🟡 Что произошло

Сотрудник Enea SA по ошибке отправил письмо с вложением, где были незашифрованные персональные данные нескольких сотен человек. Передача файла постороннему лицу — нарушение конфиденциальности и безопасности персональных данных, о котором компания обязана была сообщить в UODO. Но компания не сообщила, а регулятор узнал о случившемся из жалобы того самого «несанкционированного» получателя, который обнаружил в письме свои и чужие данные.

Когда UODO затребовало у компании разъяснения, Enea заявила, что инцидент не требует вмешательства регулятора, так как получатель письма пообещал, что безвозвратно уничтожит файл.

Компания отказалась уведомлять регулятор даже в процессе начатого административного разбирательства, посчитав свои меры «достаточными».

🟡 Позиция UODO: попытка скрыть факт утечки

UODO признало позицию компании неправомерной, так как согласно закону о GDPR (RODO), контролер данных обязан заявить об инциденте не позднее чем через 72 часа после его обнаружения. Любая задержка требует официальных объяснений. То, что получатель поклялся удалить файл, не отменяет самого факта пробоя системы безопасности.

В Enea SA заявили, что категорически не согласны с решением PUODO и готовят апелляцию. В компании настаивают: нанесенный ущерб был нулевым, данные не позволяли идентифицировать людей, а значит, требование об обязательном уведомлении в данном случае было избыточным.

#утечкаданных