Niebezpiecznik

Twisto – firma z branży płatności odroczonych – poinformowała swoich klientów o przekazaniu do innej spółki “danych, które nie powinny być tam wysłane”. Firma poinformowała klientów i UODO, mimo że w podobnych sytuacjach niejeden podmiot sięgnąłby po miotłę i dywan.

Co poszło nie tak?

Czytelnik Żytomir (imię zmienione) poinformował nas, że otrzymał od firmy Twisto powiadomienie o naruszeniu ochrony danych osobowych. Samo naruszenie miało polegać na wysłaniu informacji o umowie Twisto do innej spółki, którą — szczęście w nieszczęściu — było godne zaufania Biuro Informacji Kredytowej, a nie przypadkowy Januszex.

Zdarzenie zostało wykryte przez pracownika Twisto. Firma skontaktowała się z BIK z prośbą usunięcie nieprawidłowo wpisanych informacji. BIK potwierdziło, że zostanie to zrobione w ciągu 2-3 dni. Dokonano zgłoszenia incydentu do UODO oraz – co bardzo ważne – poinformowano o sprawie Żytomira jako osobę, której dane wyciekły.

Twisto w powiadomieniu o naruszeniu zapewnia, że analizuje przyczyny problemu  i planuje “ponowne przeszkolenie personelu w tym wdrożenie dodatkowych procedur wewnętrznych”. Nie napisano na czym dokładnie polegał incydent, ale miał to być

“niefortunny zbieg okoliczności, z ułomnością ludzką”.

Incydent nie dotyczył tylko Żytomira, ale “większej grupy klientów”. Powiedziała nam o tym Joanna Kasiedczak, Communications Coordinator w Twisto. Pani Joanna potwierdziła też, że jak dotąd nie zauważono negatywnych skutków incydentu i jej zdaniem są one mało prawdopodobne.

Żeby było weselej, wiemy, że niektóre z ofiar tego incydentu o sprawie dowiedziały się nie z e-maila od Twisto, a z alertu BIK-u, bo miały te alerty włączone, a wysłanie ich danych do BIK przez Twisto spowodowało automatycznie rozesłanie alertu. Mimo to, fakt poinformowania wszystkich ofiar przez Twisto należy uznać za bardzo istotny.

Co Twisto zrobiło dobrze, czyli analiza ryzyka

Ten wyciek prawdopodobnie nie będzie miał negatywnych konsekwencji dla klientów Twisto. Przypomnijmy, że dane trafiły tylko do BIK – firmy powołanej przez banki – i zostaną usunięte. Aż się prosi, aby machnąć ręką, bo nic wielkiego się nie stało. Twisto postąpiło jednak bardzo prawidłowo informując o sprawie UODO oraz swojego klienta.

Dlaczego? Ponieważ konieczność dokonania takich zgłoszeń zależy od ryzyka naruszenia praw i wolności osoby, które nie ma nic wspólnego z faktycznymi negatywnymi konsekwencjami. Te dwie rzeczy często są mylone i dlatego niejedna firma dostała dotkliwą karę za stosunkowo niegroźne, ale jednak ryzykowne naruszenia. Dobrym przykładem może być decyzja UODO w sprawie firmy Esselmann, w której doszło do zgubienia dokumentu z akt pracownika. Firma nie zgłosiła sprawy do UODO bo nic się nie stało, a pracownik rzekomo nie miał pretensji. UODO karą w wysokości blisko 16 tys. złotych postanowił przypomnieć firmie, że ryzyko było duże i nie ma znaczenia, czy ktoś ma pretensję i czy ktoś ucierpiał.

Innym dobrym przykładem będzie decyzja w sprawie Enei. Ta firma postanowiła nie zgłaszać udostępnienia danych nieuprawnionemu odbiorcy gdyż ryzyko oceniła jako niskie. Na jakiej podstawie? Odbiorca oświadczył, że dane zostały trwale zniszczone i nic złego z nimi nie zrobił. To było jednak za mało, aby ocenić ryzyko jako niskie.

Podobnych przykładów znamy więcej, nie tylko z decyzji UODO. Kiedy zgłaszaliśmy wycieki różnym podmiotom, co najmniej kilka razy proponowano nam podpisanie oświadczeń, że usunęliśmy dane i nie wykorzystamy ich w złym celu. Mówiono nam wprost, że te oświadczenia mają służyć temu, aby zakwalifikować ryzyko jako niskie i nie zgłaszać sprawy do UODO. To nigdy nie jest dobry pomysł i nigdy też nie podpisaliśmy takich oświadczeń.