Morele.net musi zapłacić rekordową karę za ogromny wyciek danych. Odwołanie od decyzji UODO oddalone

Koniec końców, Morele.net musi zapłacić karę w wysokości ponad 2 milionów złotych za ogromny wyciek danych klientów, który miał miejsce niespełna rok temu.

Około rok temu miejsce miał ogromny wyciek danych klientów, którzy robili kiedykolwiek zakupy w internetowym sklepie Morele.net. Specjalizuje się on w sprzedaży podzespołów komputerowych, akcesoriów do konsol i blaszkaów, jak i wszelakich gier wideo. We wrześniu 2019r., z powodu słabych zabezpieczeń, w ręce osób trzecich trafiły dane osobowe ponad 2,2 mln osób.

Większość z nich dostała SMS-a, z którego wynikało, iż muszą dopłacić złotówkę w celu realizacji zamówienia. Link zawarty w wiadomości był jednak fałszywy i przekierowywał na stronę, na której haker zdobywał login oraz hasło do konta bankowego (o ile klient Morele.net do zalogował się do witryny). Urząd Ochrony Danych Osobowych niespełna rok temu nałożyć na portal karę finansową w wysokości 2,8 miliona złotych, co było największą w historii nałożoną karą przez UODO.

Z decyzją nie zgadzał się Radosław Stasiak, wiceprezes ds. IT, który koniec końców przegrał trwający prawie rok spór, bowiem, jak możemy dzisiaj przeczytać, Wojewódzki Sąd Administracyjny w Warszawie utrzymał karę w wysokości ponad 2,8 mln zł nałożoną na spółkę Morele.net.  

Morele.net, mając na uwadze, że przetwarza dane osobowe 2,2 mln osób, a także zakres tych danych i kontekst powinno skutecznie oceniać związane z tym ryzyko i zagrożenia – podkreśliła w ustnych motywach wyroku sędzia sprawozdawca Joanna Kube.

Bronić grupę morele.net próbował Sławomir Kowalki, partner z kancelarii Maruta Wachta, która reprezentowała internetowy sklep. Podczas rozprawy oznajmił:

Postępowanie było prowadzone według nieakceptowalnych standardów. Cały czas, tak naprawdę nie wiemy, za co nałożona kara. W decyzji mówi się o tym, że jedynie częściowo spełniliśmy wymogi wobec środki bezpieczeństwa, ale nie wiadomo, co to znaczy.

Przez całe postępowanie postępowanie nie wiedzieliśmy do jakich zarzutów mamy się odnosić. Pierwsza ich konkretyzacja nastąpiła dopiero w uzasadnieniu decyzji i sprowadzała się do stwierdzenia, że powinniśmy zastosować dwuetapowe uwierzytelnianie. Dlaczego? Tego już nie wiadomo. Pozbawiono nas prawa do obrony.