Френският регулатор за защита на личните данни CNIL наложи глоба от 1,7 милиона евро на софтуерната компания Nexpublica France заради сериозни пропуски в киберсигурността, довели до нерегламентиран достъп до чувствителна информация. Санкцията е сред по-значимите примери за засилен контрол върху прилагането на Общия регламент за защита на данните (GDPR) във Франция и Европейския съюз като цяло.

Какво се е случило

През ноември 2022 г. потребители на онлайн платформа, управлявана от Nexpublica, сигнализират, че могат да получат достъп до документи, принадлежащи на трети лица. Става дума за чувствителна информация, която по закон следва да бъде защитена чрез адекватни технически и организационни мерки.

След подадените сигнали френската комисия CNIL започва разследване, което разкрива сериозни пропуски в архитектурата за сигурност и управлението на достъпа. Според регулатора проблемите не са били инцидентни или трудно откриваеми, а са произтичали от елементарни слабости в сигурността.

Нарушенията и отговорността на компанията

CNIL подчертава, че Nexpublica е била наясно с част от уязвимостите още преди реалното изтичане на данни, но не е предприела своевременни действия за тяхното отстраняване. Това обстоятелство е изиграло ключова роля при определянето на размера на санкцията.

Според регулатора компанията е нарушила основни принципи на GDPR, включително:

• задължението за прилагане на адекватни мерки за сигурност;

• принципа за защита на данните още на етап проектиране;

• отговорността на администратора да предотвратява неоторизиран достъп до лични данни.

CNIL изрично отбелязва, че санкцията е съобразена с финансовия капацитет на компанията, броя на засегнатите лица и чувствителността на обработваните данни.

Послание към европейския софтуерен сектор

Случаят с Nexpublica изпраща ясен сигнал към всички доставчици на дигитални услуги в ЕС. Регулаторите вече не приемат аргументи от типа „техническа сложност“ или „ограничени ресурси“, когато става въпрос за защита на лични данни.

Особено показателно е, че санкцията е наложена не за активна злоупотреба, а за недостатъчна превенция – фактор, който все по-често се разглежда като равностоен на пряко нарушение.

Изводи за бизнеса и публичния сектор

Случаят подчертава няколко ключови урока:

• Киберсигурността вече е управленска, а не само техническа отговорност.

• Идентифицираните уязвимости трябва да се адресират незабавно, а не „когато има ресурс“.

• Документирането и поддържането на процеси за сигурност са също толкова важни, колкото и самите технологии.

• Регулаторите в ЕС все по-активно използват максималните си правомощия.

За организации, които работят с чувствителни данни – включително публични администрации, здравни структури и SaaS доставчици – подобни случаи са ясен сигнал, че формалното съответствие вече не е достатъчно.

Глобата срещу Nexpublica е пореден пример за засилващия се контрол върху киберсигурността в Европа. Тя показва, че пропуските в защитата, дори когато не са резултат от злонамерени действия, могат да доведат до сериозни финансови и репутационни щети. За бизнеса това означава едно: инвестициите в сигурност вече не са избор, а необходимост.