Morele.net ukarane przez UODO z powodu wycieku danych klientów

Morele.net ukarane przez UODO

Morele.net to popularny marketplace, na którym sprzedawana jest głównie elektronika. Niestety – spółka ta już w przeszłości miała problem z wyciekiem danych swoich klientów. Mowa tutaj o końcówce 2018 r., kiedy to dane prawie 2,2 mln osób wyciekły z serwisu.

Wówczas karę na Morele.net nałożyło UODO. Firma jednak odwołała się do sądu. Po orzeczeniu Naczelnego Sądu Administracyjnego (NSA) w lutym 2023 r., który unieważnił wcześniejszą decyzję UODO, organ nadzorczy podjął kolejne działania. Wynika z nich, że spółka Morele.net nie zastosowała odpowiednich środków bezpieczeństwa, co doprowadziło do wycieku danych osobowych 2,2 miliona osób.

Morele.net tym razem zapłacą?

NSA nie zakwestionował wszystkich ustaleń UODO, ale podważył kompetencje organu w ocenie zastosowanych przez administratora środków bezpieczeństwa. W świetle wyroku organ powinien był uprawdopodobnić swoją ocenę poprzez powołanie biegłego lub opracowanie wewnętrznego dokumentu.

Analiza organu nadzorczego wykazała, że spółka Morele.net stosowała niewystarczające cyberzabezpieczenia oraz nie wdrożyła odpowiednich procedur reagowania na nieprawidłowości. Braki te zostały dodatkowo potwierdzone w opracowaniu zatytułowanym „Analiza zastosowanych przez Morele.net sp. o. o.”

W toku postępowania ustalono również, że administrator nie zabezpieczył danych poprzez szyfrowanie, dwuskładnikowe uwierzytelnianie czy analizę ryzyka. Doprowadziło to do aż dwukrotnego nieautoryzowanego dostępu osób z zewnątrz, które weszły w posiadanie danych klientów Morele.net.

Kara dla Morele.net

Prezes UODO uznał, że nałożenie kary pieniężnej jest uzasadnione z powodu wagi naruszeń i ich charakteru. Decyzja ta jest pierwszą, w której zastosowano wytyczne Europejskiej Rady Ochrony Danych Osobowych w sprawie obliczania kar pieniężnych.

Nałożona kara, przekraczająca 3,8 miliona złotych, ma stanowić ostrzeżenie dla innych podmiotów, które lekceważą ochronę danych osobowych.