Административное судопроизводство | Компания I, на которую было наложено денежное взыскание за утечку персональных данных, проиграла дело об отмене административного акта

30 августа 2023 года компания I, обратившаяся с иском в порядке административного судопроизводства, получила от Комиссии по защите персональных данных Республики Корея (далее — ответчик) постановление о наложении денежного взыскания в размере около 70 миллионов южнокорейских вон.

Истец, компания I, является поставщиком информационно-коммуникационных услуг, который управляет сайтом с информацией о вакансиях, а также лицом, обрабатывающим персональные данные.

В период 29–30 сентября 2020 года хакер предпринял атаку методом подстановки учетных данных, вводя в случайном порядке идентификаторы и пароли, незаконно полученные в даркнете и из других источников.

Из более чем 2 миллионов попыток входа около 36 тысяч завершились успешно, в результате чего были просмотрены резюме и иные персональные данные 35 076 лиц.

Компания I обнаружила инцидент в тот же день и уведомила компетентные органы. После проведенного в 2022 году расследования ответчик 30 августа 2023 года наложил денежное взыскание в размере 70 609 000 южнокорейских вон и административный штраф в размере 3 миллионов 600 тысяч южнокорейских вон.

В связи с этим компания I обратилась с административным иском об отмене указанных актов.

Суд, рассмотревший дело в порядке административного судопроизводства, отказал в удовлетворении искового требования компании I.

Суд указал на недостатки в эксплуатации системы, а также на проблемы со сроками и способом принятия компанией I ответных мер и признал, что расчет ответчиком денежного взыскания за нарушение административных норм является обоснованным.

1. Недостатки в эксплуатации системы

Суд указал, что компания I использовала IDS без функции расшифровки HTTPS. Такая IDS не позволяла выявлять хакерские атаки с использованием шифрования.

Некоторые правила обнаружения в IPS были настроены на режим «Allow», поэтому атака методом подстановки учетных данных не была выявлена.

Фактически компания I не выявила не менее 2 миллионов аномальных попыток входа.

Суд указал, что сообщение пользователя поступило раньше, чем было фактически выявлено нарушение безопасности, и подчеркнул, что в эксплуатации системы явно имелись недостатки.

2. Сроки и способ принятия ответных мер

Суд указал, что хакерская атака началась 29-го числа 9-го месяца, а блокировка на межсетевом экране компании I была выполнена утром 30-го числа 9-го месяца.

Последующие дополнительные меры, в том числе блокировка при не менее чем 30 попытках входа в течение 1 часа, внедрение CAPTCHA и применение 2-факторной аутентификации, были реализованы лишь после инцидента.

Суд указал, что перечисленные дополнительные меры были технически осуществимы уже в то время, а расходы на них не являлись значительными, поэтому они могли быть внедрены до инцидента. Суд также подчеркнул, что ответные меры компании I не носили активного характера.

3. Обоснованность расчета денежного взыскания

Суд пришел к выводу, что нарушение компанией I продолжалось с момента ее учреждения, примерно с 2018 года, до инцидента 2020 года, то есть более 2 лет, и являлось длительным нарушением.

Ответчик уменьшил исходную сумму в размере 88 261 000 южнокорейских вон на 20% в связи с добровольным сообщением и содействием, окончательно рассчитав взыскание в размере 70 609 000 южнокорейских вон.

Суд указал, что применение оснований для уменьшения размера взыскания или освобождения от него согласно соответствующему публичному уведомлению носит дискреционный характер и не свидетельствует о выходе за пределы дискреционных полномочий, и признал расчет взыскания ответчиком обоснованным.

По результатам административного судопроизводства суд пришел к выводу, что компания I не приняла в полном объеме предусмотренные законодательством технические и организационные меры и не обеспечила их эффективное применение.

Это дело вновь подтвердило, что формальной установки систем безопасности недостаточно для исполнения правовых обязанностей, а скорость и способ реагирования после инцидента в сфере безопасности, а также наличие предварительных мер учитываются при определении денежного взыскания за нарушение административных норм.

Статья 29 Закона Республики Корея о защите персональных данных предусматривает, что лицо, обрабатывающее персональные данные, обязано принимать необходимые для обеспечения безопасности технические, организационные и физические меры, включая разработку внутреннего плана управления и хранение журналов доступа, чтобы предотвратить утрату, хищение, утечку, подделку, изменение или повреждение персональных данных.

В практике Верховного суда Республики Корея прямо указано, что оценка проводится с учетом уровня развития технологий на момент хакерской атаки, масштаба деятельности компании, расходов на обеспечение безопасности и вероятности причинения ущерба, исходя из того, были ли приняты все меры защиты, которых можно было разумно ожидать согласно общепринятым представлениям.

Поэтому с учетом масштаба своей деятельности и степени чувствительности хранящихся персональных данных компании должны активно внедрять системы безопасности на практически осуществимом уровне, проводить регулярные проверки и принимать дополнительные меры.

Вопрос о достаточности технических мер выходит за рамки обычной проблемы в сфере информационных технологий: необходимо юридически доказать принятие всех мер защиты, которых можно было ожидать согласно общепринятым на тот момент представлениям.

В апреле, 4-м месяце года, у оператора связи S также произошла утечка персональных данных, связанных с SIM-картами. После поступления сообщения об ущербе от хакерской атаки подразделение киберрасследований Управления полиции Сеула приступило к расследованию.

Комиссия по защите персональных данных Республики Корея не применяет меры воздействия лишь на том основании, что произошла утечка персональных данных.

При утечке информации вследствие атаки с использованием вредоносного программного обеспечения ключевым вопросом становится то, были ли надлежащим образом приняты меры безопасности.

Дэрюн сформировала команду юристов, имеющих опыт ведения многочисленных дел, связанных с персональными данными, и предлагает решения на основе комплексного анализа эффективности системы безопасности, порядка ее эксплуатации и надлежащего характера реагирования на инцидент.