📖
スペインデータ保護庁 (AEPD) が課した史上最大の罰金の 1 つが現在、国内法廷で審議されています。スペインでは前例のないケースで、テクノロジーと電話の販売店チェーン、ザ・フォン・ハウスは、昨年スペインデータ保護庁（AEPD）から課せられた650万ユーロの罰金を支払うか支払わないかの危機に瀕している。
理由？最大1,300万人の顧客、元顧客、従業員、サプライヤーの約100GBの個人データが漏洩および誘拐された。
盗まれた情報には、氏名、ID、住所、電子メール、電話番号、国籍、生年月日、銀行口座情報、さらには保険や携帯電話のIMEIコードなど、契約したデバイスや商品の詳細などのデータが含まれていた。
サイバー攻撃: データハイジャックと大規模漏洩
論争の発端は2021年4月に遡る。当時、ザ・フォン・ハウスは、 「深層ウェブ」上で企業情報を誘拐することで知られるバブク・グループによる壊滅的なランサムウェア攻撃の被害者だった。ハッカーは会社のシステムを制御し、ファイルを暗号化し、情報を外部サーバーに移動しました。
サイバー犯罪者は、深層ウェブ上での機密情報の公開を防ぐために、未公開の身代金の支払いを要求しました。同社が脅迫に屈しないことを受けて、バブクは盗んだ情報を公開し、何百万人もの人々を詐欺や個人情報盗難のリスクにさらしました。
AEPD によるセキュリティ上の欠陥と過失
AEPDは、企業のセキュリティ対策における重大な欠陥によって情報盗難が促進されたと判断した。同庁の報告書によると、ザ・フォン・ハウスがユーザーの個人データの管理を怠ったことが、流出規模の決定要因となったという。
したがって、AEPD の罰金は 2 つの部分に分かれています。
- 個人データのセキュリティの保証を義務付ける一般データ保護規則 (GDPR) の第 5.1.f) 条に違反した場合は350 万ユーロ。
- リスクに適切なレベルのセキュリティを確保するための適切な技術的および組織的対策の実施に関する GDPR 第 32 条の遵守を怠った場合、 300 万ユーロ。
最も重要な点は次のとおりです。
- 匿名化または暗号化されていないデータ:保存された情報は匿名化または暗号化メカニズムによって保護されていないため、機密性の高い個人データへの直接アクセスが容易になりました。
- 管理者アクセス用の認証の欠如:同社には管理者アカウント用の 2 要素認証システムがなかったため、アクセスが脆弱になり、攻撃者に簡単に悪用されてしまいました。
- 不適切なファイアウォール構成: AEPD は、ファイアウォールの構成が不十分で、ブルガリアやモルドバなどの国にある IP や TOR ネットワークからのアクセスを許可しており、ハッカーが侵入しやすくなっていることも指摘しました。
AEPDは、被害の大きさと侵害されたデータの量を考慮すると、大企業として、高いリスクに見合ったセキュリティ対策を講じるべきであるとして、ザ・フォン・ハウスの行為を「重大な過失」であると述べた。彼らの活動に。同社は膨大な顧客データと従業員データを処理および処理し、プロファイリング分析も実行しているため、データ保護に関する責任は特に高くなります。
国内裁判所での紛争
AEPDが課した罰金としては過去最高額の650万ユーロで、現在国家法廷で係争中であり、ザ・フォン・ハウスは行政上異議申し立てを通じてこの措置を差し止めようとしている。同社は、この巨額の支払いにより他の重要な財務上および事業上の義務の遵守が妨げられるとして、罰金の支払いの予防的停止を要請した。
さらに同社は、監査報告書や事業体の管理団体からの同意証明書など、特定の文書の機密保持を要求した。しかし、裁判所は、これらの文書を国民の監視や州弁護士から保留する十分な正当性がないと考え、問題の文書には特に機密情報が含まれていないことを強調し、この要請を却下した。
Phone Houseは取り消しに自信があると主張している
同社は財務諸表で、同社の法律アドバイザーが上級司法裁判所で判決が覆される十分な根拠があると確信しているため、決算書に制裁に関する規定は何も設けていないことを示した。解釈によっては、最近の他の企業の訴訟のように、制裁は行き過ぎとみなされ、最終的には取り消されるか減額される可能性がある。
AEPDに対するザ・フォン・ハウスの主張の多くは「客観的責任」を中心に展開していた。同社は、法律は「結果の義務」（つまり、外部攻撃に対する確実な保護を保証するものではない）を要求しているのではなく、「義務」を要求していると主張している。 「手段」（これには、リスクを軽減するための合理的な措置を講じることが含まれます）。
Phone House は、この義務を遵守したことを保証し、明らかな過失がない限り、裁判所がサイバー攻撃の被害者である企業の直接の責任を拒否する判例を引用しています。一方で、同社のシステムに対して使用されたランサムウェアは当時新しかったため、対抗するのが困難だったと主張している。