AZOP pokrenuo nadzor nad HZMO-om

Agencija za zaštitu osobnih podataka pokrenula je po službenoj dužnosti nadzorno postupanje nad Hrvatskim zavodom za mirovinsko osiguranje nakon medijskih objava i informacija koje su se pojavile na internetu o mogućem hakerskom napadu i javnoj objavi osobnih podataka hrvatskih građana. Kako za ICTbusiness Media – ICTbusiness.info potvrđuju iz AZOP-a, cilj postupka je utvrditi sve relevantne činjenice povezane s navodnim incidentom i mogućom kompromitacijom osobnih podataka koja se povezuje s HZMO-om kao voditeljem obrade.

„Agencija za zaštitu osobnih podataka pokrenula je nadzorno postupanje po službenoj dužnosti nad HZMO-om, kako bi se utvrdile sve relevantne informacije glede iskazanog u medijima i Internet prostoru o navodnom hakerskom napadu i posljedičnoj javnoj objavi osobnih podataka hrvatskih građana, a koje se povezuje s HZMO-om kao voditeljem obrade“, navode iz AZOP-a u odgovoru na upit ICTbusiness Media – ICTbusiness.info.

Postupanje Agencije dolazi nakon što je skupina koja se predstavlja kao INF Grupa objavila tvrdnju da je došla do baze sa 105.000 zapisa hrvatskih građana koji navodno potječu iz sustava HZMO-a. Prema tvrdnjama napadača, među objavljenim podacima nalaze se imena i prezimena, OIB-i, telefonski brojevi i adrese elektroničke pošte.

Međutim, objava baze na hakerskom forumu ili drugom internetskom kanalu sama po sebi ne predstavlja dokaz da su podaci doista preuzeti iz informacijskog sustava HZMO-a. Tek tehnička i forenzička analiza može utvrditi jesu li zapisi autentični, iz kojeg sustava potječu, kada su nastali ili preuzeti te postoji li dokaz neovlaštenog pristupa informacijskim sustavima Zavoda.

HZMO je nakon prvih medijskih objava naveo da u tom trenutku nema informacija koje bi potvrđivale sigurnosni upad. Službena potvrda da je baza podataka HZMO-a doista kompromitirana zasad nije objavljena. Za pitanje zaštite osobnih podataka posebno je važna informacija da AZOP do sada nije zaprimio prijavu predmetne povrede od HZMO-a niti od nekog drugog tijela.

„Agencija do sada nije zaprimila Izvješće o predmetnoj povredi od strane HZMO ili drugog tijela“, navode iz AZOP-a. To, međutim, samo po sebi ne znači da je HZMO prekršio obvezu prijavljivanja jer rok predviđen Općom uredbom o zaštiti podataka ne računa se od trenutka kada se neka tvrdnja o incidentu pojavila u javnosti, nego od trenutka kada voditelj obrade sazna da je došlo do povrede osobnih podataka. AZOP pritom podsjeća da članak 33. GDPR-a propisuje jasne obveze voditelja obrade ako se povreda potvrdi.

„U slučaju povrede osobnih podataka, a sukladno članku 33. Opće uredbe o zaštiti podataka, voditelj obrade bez nepotrebnog odgađanja, najkasnije 72 sata nakon saznanja o incidentu, izvješćuje nadzorno tijelo, osim ako nije vjerojatno da će povreda osobnih podataka prouzročiti rizik za prava i slobode pojedinaca“, ističu iz Agencije.

Ključno će zato biti utvrditi ne samo je li došlo do neovlaštenog pristupa podacima nego i kada je HZMO eventualno saznao za povredu. Upravo je trenutak saznanja važan za početak računanja roka od 72 sata za prijavu nadzornom tijelu. Ako se potvrdi da su kompromitirani podaci poput imena i prezimena, OIB-a, telefonskog broja i adrese elektroničke pošte, mora se procijeniti i razina rizika za građane. Takva kombinacija podataka ne znači automatski da napadač može pristupiti bankovnom računu, sustavu e-Građani ili drugim zaštićenim servisima, ali može značajno povećati mogućnost ciljanog phishinga, vishinga, krađe identiteta i drugih oblika socijalnog inženjeringa.

GDPR pritom razlikuje obvezu prijave nadzornom tijelu od obveze izravnog obavještavanja građana. Kada postoji vjerojatnost da će povreda osobnih podataka izazvati visok rizik za prava i slobode pojedinaca, članak 34. GDPR-a predviđa i obvezu da voditelj obrade bez nepotrebnog odgađanja o povredi obavijesti osobe na koje se podaci odnose, osim u propisanim iznimnim okolnostima.

U konkretnom slučaju zato je prije donošenja konačnih zaključaka potrebno odgovoriti na nekoliko temeljnih pitanja: jesu li objavljeni podaci autentični, potječu li doista iz HZMO-a, kada su eventualno preuzeti, kada je Zavod doznao za moguću kompromitaciju, postoji li još uvijek neovlašten pristup sustavima te jesu li napadači mogli doći i do podataka koji zasad nisu javno objavljeni.

Tvrdnje INF Grupe posebno su ozbiljne zbog količine navodno kompromitiranih podataka. Ako se potvrdi da 105.000 zapisa doista potječe iz sustava HZMO-a, slučaj će iz pitanja mogućeg kibernetičkog incidenta prerasti i u ozbiljno pitanje zaštite osobnih podataka te primjene obveza propisanih GDPR-om.

AZOP-ovo pokretanje nadzornog postupanja stoga je prvi službeni korak prema utvrđivanju regulatornog dijela odgovornosti. Konačna ocjena o tome je li došlo do povrede osobnih podataka, jesu li obveze prijavljivanja izvršene pravodobno i jesu li poduzete odgovarajuće tehničke i organizacijske mjere može se donijeti tek nakon što Agencija prikupi i analizira podatke u okviru nadzora.