Booking.com, veri sızıntısı nedeniyle 475.000 euro'luk devasa bir para cezasına çarptırıldı

Booking.com, veri ihlalini Hollanda Veri Koruma Kurumu'na yasal 72 saat içinde bildirmemesi nedeniyle 475.000 € para cezasına çarptırıldı. Buradan çıkarılacak ders: Veri ihlali, Avrupa dışında gerçekleşse bile, keşfedildikten sonra 72 saat içinde bildirilmelidir; sonuçta Booking'in merkezi Hollanda'dadır. Dahası, hızlı hareket etmek mağdurlar için zararı sınırlandırır.

Veri ihlali Birleşik Arap Emirlikleri'nde gerçekleşmiş ve Booking, Amerikan Booking Holdings Inc.'in bir yan kuruluşu olmasına rağmen, resmi olarak Hollanda merkezlidir ve ihlali zamanında AP'ye bildirmesi gerekirdi.

Ne oldu?

Aralık 2018'de, suçlular Birleşik Arap Emirlikleri'nde otel odası rezervasyonu yapan kişilerin verilerine erişim sağladı. Sorun, konaklama yerlerinin kullanıcı adı, şifre ve 2FA PIN kodu kullanarak erişebildiği çevrimiçi bir kontrol paneli olan extranet'ten kaynaklanıyordu. Suçlular, yerel otel personelinden giriş bilgilerini elde etmişti; bu nedenle sızıntı, Booking'in kodlar veya veritabanlarıyla ilgili kendi güvenliğiyle ilgili değildi.

Suçlular 4.109 kişinin adını, telefon numarasını, rezervasyon bilgilerini ve adresini, ayrıca bunlardan 283'ünün kredi kartı bilgilerini ve 97 vakada güvenlik kodunu ele geçirdi. Daha sonra müşterileri arayarak otelden olduklarını iddia ettiler (tüm rezervasyon bilgilerine sahip oldukları için inandırıcıydılar) ve ikinci bir ödeme isteyerek dolandırıcılık yaptılar.

Hata: geç bildirim

13 Ocak 2019'da Booking, oteller tarafından bilgilendirildi. Her Hollandalı şirket gibi Booking de, veri ihlalini tespit ettikten sonra 72 saat içinde bildirmekle yükümlüdür; örneğin, BT şirketi RDC de otomobil şirketlerindeki veri ihlalinde. Ancak Booking, 7 Şubat'a kadar bekledi: 22 gün geç kaldı. Bu hızlı bildirim zorunluluğunun bir nedeni var: mağdurların daha erken uyarılmasını ve suçluların binlerce müşteriyi dolandırmak için haftalarca zaman bulamamalarını sağlıyor.

475.000 euro para cezası

Denetim kurulu, geç bildirim nedeniyle para cezası kesti. Ancak, düzenleyici kurum zararı azaltıcı önlemleri de dikkate aldı: Booking tazminat sözü verdi, platformda uyarılar yayınladı ve etkilenen konaklama yerlerini bilgilendirdi. Bu nedenle, denetim kurulu para cezasını 50.000 euro azaltarak nihai 475.000 euro'ya indirdi. Ceza sadece geç bildirimle ilgili olup, güvenlik önlemleriyle ilgili değildir. Booking hatayı kabul etti, cezayı ödedi, etkilenen müşterilere tam olarak geri ödeme yaptı ve itiraz etmedi.

Bu olay, AP'nin güvenlik açığı olmasa bile ağır para cezaları uygulayabileceğini gösteriyor. Veri ihlali bildirimlerinin sayısı bir süredir artış gösteriyor; 2020'de 2019'a kıyasla yaklaşık %30'luk bir artış yaşandı.

Sıkça Sorulan Sorular

Veri ihlalini ne kadar süre içinde bildirmeliyim?

Prensip olarak, tespit edildikten sonra 72 saat içinde Hollanda Veri Koruma Kurumu'na bildirilmelidir. Yüksek risk söz konusu olduğunda, veri sahipleri de gecikmeksizin bilgilendirilmelidir.

Bildirim yükümlülüğü Avrupa dışındaki sızıntılar için de geçerli midir?

Evet, şirketiniz GDPR kapsamına giriyorsa (örneğin, Hollanda'da kurulmuş olması nedeniyle), bildirim yükümlülüğü başka yerlerde meydana gelen ihlaller için de geçerlidir.

Güvenlik hatası yapmadıysam ceza alır mıyım?

Bu mümkün. Booking'e kesilen ceza tamamen geç bildirimle ilgiliydi, güvenlikle değil. Geç bildirimde bulunmak başlı başına para cezasıyla cezalandırılır.

Veri ihlaliyle mücadele sürecinizin düzgün işlediğinden emin olun

Geç bildirim, yüksek bir para cezasına yol açabilir. MKB Juristen'in gizlilik uzmanları, kusursuz bir veri ihlali süreci oluşturmanıza yardımcı olur. Gizlilik ve veri koruma alanındaki uzmanlığımızı veya ücretsiz bir ön görüşme randevusu alın .