GDPR: Αντιμέτωπη με πρόστιμο 110 εκατ. ευρώ η Marriott International για παραβίαση δεδομένων
Μετά από εκτεταμένη έρευνα, η Αρχή Προστασίας Δεδομένων του Ηνωμένου Βασιλείου (ICO) αανακοίνωσε την πρόθεσή της να επιβάλει πρόστιμο ύψους 99 εκατομμυρίων βρετανικών λιρών (περίπου 110 εκατ. ευρώ) στη Marriott International για παραβάσεις του Κανονισμού Γενικής Προστασίας Δεδομένων (GDPR) .
Συγκεκριμένα, το προτεινόμενο πρόστιμο αφορά σε περιστατικό παραβίασης δεδομένων στον κυβερνοχώρο, το οποίο κοινοποιήθηκε στην ICO από τη Marriott τον Νοέμβριο του 2018.
Από το περιστατικό διέρρευσε ένα ευρύ φάσμα προσωπικών δεδομένων που περιλαμβανόταν σε περίπου 339 εκατομμύρια αρχεία φιλοξενούμενων σε ξενοδοχεία παγκοσμίως, εκ των οποίων περίπου 30 εκατομμύρια ήταν κατοίκοι χωρών του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ), ενώ επτά εκατομμύρια αφορούσαν κατοίκους του Ηνωμένου Βασιλείου.
Διαβάστε επίσης: GDPR: Αντιμέτωπη με πρόστιμο 205 εκατομμυρίων ευρώ η British Airways για παραβίαση δεδομένων
Πιστεύεται ότι η ευπάθεια εμφανίστηκε στα συστήματα του ομίλου ξενοδοχείων Starwood το 2014.
Στη συνέχεια, η Marriott απέκτησε τη Starwood το 2016, αλλά η ευπάθεια δεν ανακαλύφθηκε μέχρι το 2018.
Η έρευνα της ICO διαπίστωσε ότι η εταιρεία Marriott δεν κατάφερε να προβεί σε επαρκή δέουσα επιμέλεια (due dilligence) όταν αγόρασε το Starwood και όφειλε να κάνει περισσότερα για να διασφαλίσει τα συστήματά του.
Η Επίτροπος Πληροφοριών Elizabeth Denham δήλωσε:
Η Marriott συνεργάστηκε με την έρευνα της ICO και έχει βελτιώσει τα μέτρα ασφαλείας της, καθώς αυτά τα γεγονότα ήρθαν στο φως.
Η εταιρεία θα έχει τώρα τη δυνατότητα να υποβάλλει τις παρατηρήσεις της προς την ICO σε σχέση με τα προτεινόμενα συμπεράσματα και τις κυρώσεις.
Η ICO ερευνά την υπόθεση αυτή ως επικεφαλής εποπτική αρχή, εξ ονόματος άλλων αρχών προστασίας δεδομένων κρατών μελών της ΕΕ.
Σύμφωνα με τις διατάξεις του GDPR σχετικά με το «one stop shop», οι αρχές προστασίας δεδομένων στην ΕΕ, των οποίων οι κάτοικοι έχουν επηρεαστεί, θα έχουν επίσης την ευκαιρία να σχολιάσουν τα πορίσματα της ICO.
Η Αρχή θα εξετάσει προσεκτικά τις παρατηρήσεις της εταιρείας και των άλλων ενδιαφερόμενων αρχών προστασίας δεδομένων, προτού λάβει την τελική της απόφαση.
