Προσωπικά δεδομένα: Πρόστιμο 120.000 ευρώ για ανεπαρκή μέτρα ασφάλειας σε εκπαιδευτική εφαρμογή (app) στη Νορβηγία

Διοικητικό πρόστιμο ύψους 120.000 ευρώ επέβαλε στον Οργανισμό Εκπαίδευσης του Δήμου του Όσλο η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα της Νορβηγίας, για παραβίαση των κανόνων ασφάλειας επεξεργασίας προσωπικών δεδομένων στην εφαρμογή (mobile app) Skolemelding.

Η εφαρμογή χρησιμοποιείται για επικοινωνία μεταξύ υπαλλήλων σχολείου, γονέων και μαθητών.

Διαβάστε επίσης: Προσωπικά δεδομένα: Πρόστιμο 587.000 ευρώ σε εταιρεία πώλησης ηλεκτρονικών ειδών για ανεπαρκή μέτρα ασφαλείας

Το πρόστιμο επιβλήθηκε επειδή ο δήμος δεν είχε εφαρμόσει τα κατάλληλα τεχνικά και οργανωτικά μέτρα για να εξασφαλίσει ένα επίπεδο ασφάλειας κατάλληλο για τον κίνδυνο.

Τα ακόλουθα στοιχεία ήταν βασικά στοιχεία στην αξιολόγηση της Αρχής Προστασίας Δεδομένων:

1. Μια από τις προβλεπόμενες χρήσεις της εφαρμογής είναι οι γονείς να στέλνουν μηνύματα σχετικά με τα παιδιά τους και την απουσία τους από το σχολείο χρησιμοποιώντας ένα πεδίο ελεύθερου κειμένου. Αυτό επέτρεπε τη διαβίβαση ειδικών κατηγοριών προσωπικών δεδομένων, όπως δεδομένα υγείας σχετικά με τα παιδιά. Δεν υπάρχουν τεχνικά μέτρα για να αποφευχθεί αυτό και δεν υπάρχει καμία πληροφορία εντός της εφαρμογής ότι πρέπει να αποφεύγεται αυτή η μετάδοση. Σύμφωνα με την προστασία των δεδομένων ήδη από το σχεδιασμό και εξ ορισμού, υπάρχουν πιο ενδεδειγμένα εναλλακτικά μέτρα ασφάλειας, όπως οι αναπτυσσόμενοι κατάλογοι (dropdown lists) και κουτάκια (tick boxes).

2. Η ανεπαρκής ασφάλεια σύνδεσης στην εφαρμογή επέτρεψε σε μη εξουσιοδοτημένα άτομα να έχουν πρόσβαση και να αλλάξουν προσωπικές πληροφορίες περισσότερων από 63.000 μαθητών από την πρώτη έως την δέκατη τάξη.

3. Ως αποτέλεσμα ανεπαρκών δοκιμών ασφάλειας πριν από την εκκίνηση της εφαρμογής, η εφαρμογή περιείχε γνωστές ευπάθειες ασφαλείας.

Προηγουμένως, η Αρχή Προστασίας Δεδομένων κοινοποίησε την πρόθεσή της να επιβάλει πρόστιμο ύψους 200.000 ευρώ, βασιζόμενη στα παραπάνω συμπεράσματα.

Ωστόσο, το τελικό ποσό μειώθηκε σε 120.000 ευρώ, καθώς υπήρχαν ελαφρυντικοί παράγοντες στην υπόθεση.

Ειδιότερα, ο Δήμος εφάρμοσε μέτρα για τον περιορισμό των επιπτώσεων μόλις πληροφορήθηκε για τα κενά ασφαλείας και επέδειξε προθυμία να επιλύσει τα προβλήματα, ,ενώ δεν άσκησε έφεση κατά της απόφασης.