Πρόστιμο 120.000 ευρώ για ανεπαρκή μέτρα ασφάλειας σε εκπαιδευτική εφαρμογή (app) στη Νορβηγία.

ndpa

Στις 11 Οκτωβρίου 2019 ανακοινώθηκε, από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα της Νορβηγίας, η επιβολή διοικητικού προστίμου ύψους 120.000 ευρώ, στον Οργανισμό Εκπαίδευσης του Δήμου του Όσλο για παραβίαση των κανόνων ασφάλειας επεξεργασίας δεδομένων προσωπικού χαρακτήρα, από εφαρμογή (mobile app) Skolemelding. Η εφαρμογή χρησιμοποιείται για επικοινωνία μεταξύ των υπαλλήλων του σχολείου, των γονέων και των μαθητών.

Το πρόστιμο επιβλήθηκε επειδή ο Δήμος δεν είχε εφαρμόσει τα κατάλληλα τεχνικά και οργανωτικά μέτρα για να εξασφαλίσει ένα επίπεδο ασφαλείας κατάλληλο για τον κίνδυνο.

Τα ακόλουθα στοιχεία ήταν βασικά στην αξιολόγηση της Νορβηγικής Αρχής Προστασίας Δεδομένων:

1. Μια από τις προβλεπόμενες χρήσεις της εφαρμογής είναι οι γονείς να στέλνουν μηνύματα σχετικά με τα παιδιά τους και την απουσία τους από το σχολείο χρησιμοποιώντας ένα πεδίο ελεύθερου κειμένου. Αυτό επέτρεπε τη διαβίβαση ειδικών κατηγοριών προσωπικών δεδομένων, όπως δεδομένα υγείας σχετικά με τα παιδιά. Δεν υπάρχουν τεχνικά μέτρα για να αποφευχθεί αυτό και δεν υπάρχει καμία πληροφορία εντός της εφαρμογής ότι πρέπει να αποφεύγεται αυτή η μετάδοση. Σύμφωνα με την προστασία των δεδομένων ήδη από το σχεδιασμό και εξ ορισμού, υπάρχουν πιο ενδεδειγμένα εναλλακτικά μέτρα ασφάλειας, όπως οι αναπτυσσόμενοι κατάλογοι (dropdown lists) και κουτάκια (tick boxes).

2. Η ανεπαρκής ασφάλεια σύνδεσης στην εφαρμογή επέτρεψε σε μη εξουσιοδοτημένα άτομα να έχουν πρόσβαση και να αλλάξουν προσωπικές πληροφορίες περισσότερων από 63.000 μαθητών από την πρώτη έως την δέκατη τάξη.

3. Ως αποτέλεσμα ανεπαρκών δοκιμών ασφάλειας πριν από την εκκίνηση της εφαρμογής, η εφαρμογή περιείχε γνωστές ευπάθειες ασφαλείας.

Προηγουμένως, η Αρχή Προστασίας Δεδομένων κοινοποίησε την πρόθεσή της να επιβάλει πρόστιμο ύψους 200.000 ευρώ, βασιζόμενη στα παραπάνω συμπεράσματα.

Ωστόσο, το τελικό ποσό μειώθηκε σε 120.000 ευρώ, καθώς υπήρχαν ελαφρυντικοί παράγοντες στην υπόθεση.

Ειδικότερα, ο Δήμος εφάρμοσε μέτρα για τον περιορισμό των επιπτώσεων μόλις πληροφορήθηκε για τα κενά ασφαλείας και επέδειξε προθυμία να επιλύσει τα προβλήματα, ενώ δεν άσκησε έφεση κατά της απόφασης.

Δείτε εδώ το σχετικό δελτίο τύπου του ΕΣΠΔ