Source: https://www.uoou.cz/kontrola-zabezpeceni-osobnich-udaju-pri-provozovani-online-hry-fyzicka-osoba-podnikajici/ds-5723/archiv=0&p1=4754
Timestamp: 2020-05-30 03:01:37+00:00

Document:
Kontrola zabezpečení osobních údajů při provozování online hry (fyzická osoba podnikající): Poskytnutá informace o oznamovací povinnosti: Úřad pro ochranu osobních údajů
Cesta: Titulní stránka > Hlavní menu > Povinně zveřejňované informace > Zákon č. 106/1999 Sb., o svobodném přístupu k informacím > Zveřejnění obsahu informací poskytnutých na žádost dle § 5 odst. 3 zákona č. 106/1999 Sb., o svobodném přístupu k informacím > Archiv informací poskytnutých podle zákona č. 106/1999 Sb. > Rok 2017 > Poskytnutá informace o oznamovací povinnosti
Kontrola zabezpečení osobních údajů při provozování online hry (fyzická osoba podnikající)
Na základě ohlášení porušení zabezpečení osobních údajů a stížnosti provedl Úřad kontrolu, jejímž předmětem bylo zejména zabezpečení osobních údajů zpracovávaných v souvislosti s provozováním online hry. Kontrolovanou osobou byl provozovatel této online hry.
Kontrolující zjistili, že vůči herním serverům byly provedeny DDoS útoky. První útoky byly úspěšné a vyřadily servery z provozu. Provozovatel hry proto provedl opatření pro vylepšení zabezpečení, avšak i další útoky byly úspěšné. Útočník poté nabídl provozovateli, že po zaplacení určité částky ukončí útoky a pomůže mu při zabezpečení serverů. Provozovatel souhlasil a zaplatil požadovanou částku. Útočník mu proto poskytl firewall, který provozovatel po prověření nahrál do zdrojového kódu svého herního serveru.
Takto upravený zdrojový kód byl odolnější vůči DDoS útokům, provozovatel však neodhalil tzv. zadní vrátka do systému (backdoor), konkrétně skript, který byl skrytě umístěn v obrazovém souboru. Pomocí tohoto skriptu byl útočník schopen získat databázi hráčů předmětné online hry. Útočník poté databázi zveřejnil a přesměroval herní web na své internetové stránky. Předmětná databáze byla tvořena více než čtyřmi a půl tisíci účty a byla na internetu dostupná zhruba jednu a půl hodiny. Databáze obsahovala zejména následující druhy osobních údajů: uživatelské jméno, heslo v zašifrované podobě, telefonní číslo, e mailová adresa, IP adresa a informace uvedené v databázi pro platby (aktuální stav platby, počet zakoupené virtuální měny, jméno účtu, ze kterého byla platba vytvořena, čas a způsob platby).
Provozovatel ihned přerušil provoz herního i databázového serveru a následně věc ohlásil Úřadu, oznámil ji dotčeným subjektům údajů a podal trestní oznámení.
V návaznosti na výše uvedené dospěli kontrolující k závěru, že kontrolovaná osoba nezajistila odolnost systému a služeb tím, že přijala ochranné řešení (firewall) od původce DDoS útoků, ve kterém byl inkorporován tzv. backdoor, kterým se útočník dostal k databázi hráčů. Tato databáze byla následně zveřejněna na internetu. Kontrolovaná osoba tak nepřijala dostatečná technická a organizační opatření pro zabezpečení osobních údajů svých uživatelů.
Kontrolující dále zjistili, že kontrolovaná osoba využívala dva zpracovatele osobních údajů, a to poskytovatele hostingu ve formě cloudového úložiště a technika projektu, aniž by s nimi uzavřela příslušnou zpracovatelskou smlouvu ve smyslu čl. 28 odst. 3 nařízení (EU) 2016/679.
Úřad zjistil, že kontrolovaná osoba výše uvedeným jednáním porušila povinnosti stanovené čl. 5 odst. 1 písm. f) (integrita a důvěrnost), čl. 5 odst. 2 (princip odpovědnosti), čl. 28 odst. 3 (zpracovatelská smlouva) a čl. 32 (zabezpečení osobních údajů) nařízení (EU) 2016/679.
Vzhledem k tomu, že kontrolovaná osoba předmětnou online hru aktuálně neprovozuje, Úřad neuložil opatření k odstranění zjištěných nedostatků.
Za toto jednání Úřad uložil kontrolované osobě pokutu ve výši 25 000 Kč.
V případě, že se Váš počítačový systém nebo program stane předmětem útoku, oznamte věc Policii České republiky a v případě, že jsou dotčeny osobní údaje, vyhodnoťte, zda máte povinnost řídit se články 33 a 34 nařízení (EU) 2016/679 (povinnosti při porušení zabezpečení osobních údajů). V žádném případě však útočníkovi nebo jinému neznámému původci neumožňujte se podílet na zvyšování bezpečnosti Vašeho systému tím, že využijete program nebo soubor, který vám dodá.
Umístění: Složky dokumentů > Mapa stránek > Hlavní menu > Dozorová a rozhodovací činnost > Ukončené kontroly > Kontroly za rok 2019 > Kontrolní činnost v oblasti ochrany osobních údajů - 1. pololetí > IT technologie > Kontrola zabezpečení osobních údajů při provozování online hry (fyzická osoba podnikající)
Zveřejnění obsahu informací poskytnutých na žádost dle § 5 odst. 3 zákona č. 106/1999 Sb., o svobodném přístupu k informacím
Poskytnutá informace dne 21. května 2020
Poskytnutí informace dne 18. května 2020
Poskytnutá informace dne 15. května 2020
Poskytnutá informace dne 12. května 2020
Poskytnutá informace dne 11. května 2020
Poskytnutá informace dne 28. dubna 2020
Poskytnutá informace dne 23. dubna 2020
Poskytnutá informace dne 21. dubna 2020
Poskytnutá informace dne 15. dubna 2020
Poskytnutá informace dne 30. března 2020
Poskytnutá informace dne 16. března 2020
Poskytnutá informace dne 5. března 2020
Poskytnutá informace dne 4. března 2020
Poskytnutá informace dne 3. března 2020
Poskytnutá informace dne 2. března 2020
Poskytnutá informace dne 27. února 2020
Poskytnutá informace dne 14. února 2020
Poskytnutá informace dne 12. února 2020
Poskytnutá informace dne 4. února 2020
Poskytnutá informace dne 28. ledna 2020
Poskytnutá informace dne 22. ledna 2020
Poskytnutá informace dne 16. ledna 2020
Poskytnutá informace dne 9. ledna 2020
Poskytnutá informace dne 7. ledna 2020
Poskytnutá informace dne 3. ledna 2020
Archiv informací poskytnutých podle zákona č. 106/1999 Sb.
Poskytnutí rozhodnutí Úřadu
Soudní řízení se sdružením SOLUS
Poskytnutí schválené systematizace Úřadu pro ochranu osobních údajů
Poskytnutá rozhodnutí
Poskytnutá informace o oznamovací povinnosti
Poskytnutá informace o kontrolách
Informace o dosud nejvyšší udělené pokutě
Poskytnutí informace - odpovědi na otázky
Poskytnutí informací vztahující se k činnosti rozkladové komise
Poskytnutí informace o zaregistrovaných "dlužnických registrech"
Poskytnutí informace o správní pokutě subjektu K 213
Poskytnutí informace o kontrole transparentních účtů
Poskytnutí informace o zaměstnancích ve smyslu § 5 odst. 2 písm. f) zákona č. 101/2000 Sb.
Poskytnutí kopie tabulky č. 1 obsažené v části II. přílohy č. 1 vyhlášky č. 416/2004 Sb.
Poskytnutí informace o registracích týkajících se kamer v městě Hodonín
Poskytnutí dokumentu zaslaného obci Míchov
Poskytnutí protokolů o kontrole a rozhodnutí o uložených sankcích BD Šiškova
Poskytnutí informace o podnětu
Poskytnutí rozhodnutí čj. UOOU-01310/13-25
Poskytnutí informací k případu ekolo.cz
Poskytnutí informace k oznamovací povinnosti
Informace o činnosti Úřadu
Přehled přestupků
Povinně zveřejňované údaje dle zákona č. 106/1999 Sb.
Veřejný registr zpracování osobních údajů

References: § 5
 zákona č. 106
 zákona č. 106
 čl. 28
 čl. 5
 čl. 5
 čl. 28
 čl. 32
 § 5
 zákona č. 106
 zákona č. 106
 § 5
 zákona č. 101
 zákona č. 106