Zadbaj o dane swoich klientów!

RODO to bzdura? Nie bardzo, bo jeśli firma nie zabezpieczy pobierania skanów dokumentów swoich klientów z ostatnich kilku lat to będzie duży problem...

Opisana sytuacja jest niestety prawdziwa i choć nie dotyczy strony www polskiej firmy, a strony firmy wietnamskiej świadczącej m.in. usługi wizowe dla Polaków, to niewiele to dla klientów zmienia. Mowa tu o stronie wietnamwiza.com, na której w formularzu niezbędnym do wystawienia wizy pobierany był skan paszportu.

Niestety strona wietnamwiza.com nie szyfrowała połączeń przesyłających dane klientów i trzymała na swoim serwerze w zwykłych plikach graficznych obrazy paszportów klientów w ilości prawie 3,5 tysiąca. Najstarsze skany były datowane na kwiecień 2015. Szczęśliwie problem odkrył klient, który miał problem techniczny i zawiadomił o nim wyspecjalizowany serwis internetowy niebezpiecznik.pl, który dochowuje standardów bezpieczeństwa (daje czas na usunięcie usterki przed publikacją). Szczegóły techniczne choć w nieco dramatycznej nucie opisuje serwis niebezpiecznik.pl

O tematyce RODO i zabezpieczania danych osobowych mówi się już od dłuższego czasu. Każdy też powinien sobie już zdawać sprawę, że skan aktualnego dokumentu i to kogoś "niebiednego", którego stać na wyjazd do egzotycznego kraju, to cenna rzecz, więc skala problemu z jakim musi się zmierzyć firma jest spora. Pytaliśmy przedstawicieli firmy o ich komentarz - dla samego niebezpiecznika napisali już, że Zgłosiliśmy wyciek do wietnamskiej policji (to dla nas lokalny organ nadzorczy), Ambasady i zgłoszono [firma potwierdziła] do UODO. Wszystkie osoby są powiadamiane na bieżąco o tym problemie. Sadzimy ze dane nie zostały pobrane masowo, sadzimy po działaniach tutaj na miejscu ze chodziło o zrobienie nam czegoś w rodzaju "czarnego PR". Pozostałe sprawy będziemy realizować zgodnie we współpracy z polskimi instytucjami odpowiedzialnymi do których się zgłosiliśmy.. Jak podkreślał w kontakcie z nami przedstawiciel firmy, choć problem zaistniał to dotyczył tylko możliwości naruszenia poufności, a nie potwierdzonego skopiowania tych danych. Dodatkowo niestety każdy z naszych turystów musi się i tak liczyć, że jego dokument będzie kopiowany/fotografowany w wielu miejscach - od lotnisk, przez hotele do banków i kantorów. Dlatego też paszport dla wszelkich firm działających na odległość (np. pożyczki/usługi przez internet) powinien być traktowany z dużą ostrożnością.

Niech ta sprawa będzie przestrogą dla innych - jeśli firma potrzebuje skanów dokumentów, warto jeszcze raz sprawdzić jak są one zabezpieczone. Procedury RODO, choć uciążliwe, mają w założeniach wyeliminować takie przypadki. Pamiętajmy o tym i nie dając się zwariować wykorzystajmy rozsądne możliwości, które pomogą nam ograniczyć ewentualne problemy.

Skupiając się na kwestii skanów dokumentów najważniejszą sprawą wydaje się kasowanie zbędnych danych, szczególnie z komputerów stale podpiętych do internetu. W przypadku usuwania danych z maszyn biurowych ważne jest skuteczne wykasowanie, tak aby w razie włamania/kradzieży nie dało się ich odzyskać - tutaj kłania się sprawa choćby kosza, ochrony plików w systemie lub ochrony na dyskach sieciowych, które pozwalają odkasować usunięte pliki!

Drugą rzeczą, którą nam może pomóc w zabezpieczeniu dokumentów jest ich znakowanie - jeśli każdy skan dokumentu opatrzymy znakiem wodnym firmy, choć dokument ten może stanowić dalej źródło danych klienta, traci na atrakcyjności dla przestępców. Oczywiście musimy się upewnić, że takie skany zostaną przyjęte przez instytucje dla których je pobieramy. Procedurę znakowania plików przy ich zapisie na serwerze można wdrożyć na większości hostingów, choć wymaga to dodatkowego oprogramowania/skryptu do naszej strony www.

Niestety rozwiązanie, aby dokumenty przesyłać e-mailem, jak to proponuje obecnie strona wietnamwiza.com także nie jest idealne, bo wprawdzie dzieli odpowiedzialność za wysłanie danych na klienta i odbiorcę, jednak zmusza firmę do zabezpieczenia konta pocztowego i jego serwera w sposób bardzo dokładny, co więcej klient też powinien być pewny bezpieczeństwa swojego konta/serwera pocztowego. Firma, takiego konta przeznaczonego na maile z danymi wrażliwymi, nie powinna używać poza bezpieczną siecią i nie należy mieć go aktywnego np. w komórce. Bowiem jedną z podatności jest włamanie się na konto pocztowe i odczytanie e-maili (również tych w koszu), ale także np. ustawienie przekierowania kopii całej przychodzącej poczty na adres włamywacza - można wtedy nieświadomie dzielić się pocztą z hakerem przez długi czas po odzyskaniu hasła/konta. Pamiętajmy zatem, że jeśli mieliśmy problem z kontem i np. hasłem, koniecznie sprawdźmy filtry i przekierowania dla naszego konta po odzyskaniu dostępu.