EU kaznila Twitter sa 450000 evra zbog bezbednosnog incidenta

Društvene mreže, 16.12.2020, 10:00 AM

Irska Komisija za zaštitu podataka kaznila je Twitter sa 450.000 evra jer nije obavestio komisiju o bezbednosnom incidentu u roku od 72 sata koji je propisan Opštom uredbom o zaštiti podataka (GDPR) Evropske unije i nije ga na odgovarajući način dokumentovao.

GDPR je uredba o privatnosti korisnika i podataka koja je u EU stupila na snagu 25. maja 2018. godine, posle čega je vrlo brzo počela njena primena kada su se na udaru našli Google, Facebook, Instagram i WhatsApp zbog korišćenja „ prinudnog pristanka“ korisnika.

Na osnovu GDPR-a, regulatori EU mogu za prekršaje izreći maksimalne novčane kazne u iznosu do 20 miliona evra ili 4% godišnjeg globalnog prihoda kompanije koja krši uredbu.

Istraga DPC-a započela je u januaru 2019. godine nakon što je komisija dobila obaveštenje od Twittera o incidentu, a DPC je utvrdio da je Twitter prekršio član 33(1) i 33(5) GDPR-a jer nije na vreme prijavio komisiji ono što se dogodilo.

A to što je dovelo do toga da Twitter bude kažnjen je bag koji je u aplikaciji Twitter za Android bio prisutan 4 godine a koji je odgovoran za nehotično otkrivanje privatnih tvitova zaštićenih naloga.

„26. decembra 2018., dobili smo izveštaj o grešci putem našeg programa za nagrađivanje grešaka da bi, ako bi korisnik Twittera sa zaštićenim nalogom, koristeći Twitter za Android, promenio e-mail adresu, greška dovela do toga da njegov nalog bude nezaštićen“, navedeno je u obaveštenju koje je Twitter poslao DPC-u u januaru 2019. godine. “Ovo bi učinilo njihove prethodno zaštićene tvitove, koje mogu da vide samo odobreni pratioci naloga, javnim i vidljivim svima. Greška u kodu je praćena unazad do promene koda izvršene 4. novembra 2014.”

Twitter je rekao da ozbiljnost problema nisu shvatili do 3. januara 2019. godine, kada je i aktiviran proces reagovanja na incident.

Međutim, kao što je podsetio nadzorni organ EU, čak i nakon ovoga, Twitter nije na vreme prijavio incident, odnosno, u roku od 72 sata, s obzirom da je obaveštenje komisiji poslato tek 8. januara.

Twitter je nakon odluke DPC-a rekao da je tokom istrage blisko sarađivao sa komisijom, što je verovatno jedan od razloga zašto je ovo regulatorno telo kaznu od 450000 evra smatralo “efikasnom i proporcionalnom”.

„Twitter je blisko sarađivao sa irskom Komisijom za zaštitu podataka kako bi podržao njihovu istragu“, rekla je kompanija. „Zajednički smo posvećeni bezbednosti i privatnosti na internetu i poštujemo njihovu odluku koja se odnosi na neuspeh u našem procesu reagovanja na incidente. Cenimo jasnoću koju ova odluka donosi kompanijama i javnosti oko zahteva za obaveštavanjem o kršenju GDPR-a. Kao i uvek, naš pristup ovakvim incidentima ostaće posvećen transparentnosti i otvorenosti.”

Prošle nedelje, francuska Nacionalna komisija za informatiku i slobode (CNIL) kaznila je Google sa 100 miliona evra zbog kršenja zakona zemlje o reklamnim kolačićima na računarima korisnika pretraživača google.fr, bez pribavljanja prethodne saglasnosti i bez pružanja odgovarajućih informacija. Google je takođe kažnjen sa 57 miliona evra u januaru 2019. godine zbog „nedostatka transparentnosti, neadekvatnih informacija i nedostatka valjane saglasnosti u vezi sa personalizacijom oglasa“.