What changed

## 2) utasítja az Ügyfelet, hogy a jelen határozat véglegessé válásától számított 15 napon belül tájékoztassa az érintetteket a bekövetkezett incidens tényéről és körülményeiről, az érintett

A közérdekű bejelentés nyomán megismert adatok, valamint a hatósági ellenőrzés és később a hatósági eljárás során, az Ügyfél nyilatkozatai és adatszolgáltatásai alapján a Hatóság az alábbiakat tárta fel. A sérülékenység a https://bejelentkezes.hungariamed.hu/doc/, illetve a https://fogleu.hungariamed.hu/doc/ URL-eket érintette, ahol a betegek leleteit tartalmazó .pdf kiterjesztésű dokumentumokat tárolták. A webszerver a fenti speciális, /doc/ végződésű URL-ek meghívásával a kért időpontfoglaló felület megjelenítése helyett, a webszerveren található összes tartalmat kilistázta a képernyőre. Ez lehetővé tette, hogy a fenti linkek ismeretében bárki, bejelentkezés, vagyis az oldalon történő regisztráció nélkül hozzáférjen az online felületen tárolt személyes adatokat tartalmazó dokumentumokhoz. A Hatóság IT biztonsági munkatársa megállapította, hogy az adatvédelmi incidenssel érintett rendszerben fennálló sérülékenység abból adódóan valósulhatott meg, hogy az Ügyfél a szerverén nem megfelelő konfigurációs beállításokat alkalmazott. Megfelelő beállítások esetén egy /doc/ végződésű URL beírásakor a szerver egy hibaüzenetet jelenít meg, mely szerint az URL a szerveren nem található. Az említett konfigurációs hiba következtében azonban az érintett URL-ek meghívásával a szerver megjelenítette a weboldalon található könyvtárszerkezetet, így az ott tárolt személyes adatokat tartalmazó dokumentumokhoz hozzá lehetett férni. (lásd: az ügyben készült NAIH/2019/5606/2. ügyiratszámú információbiztonsági szakértői vélemény). Az adatvédelmi incidenssel érintett rendszerben az Ügyfél körülbelül 15 000 személyes adatot kezel: az Ügyféllel szerződéses jogviszonyban álló partnerek munkavállalóinak neve, születési helye- és ideje, anyja neve, TAJ száma, e-mail címe, telefonszáma, lakcíme, munkaköre, és egészségügyi adatai. Az érintettek személyes adatait az időpontfoglaló rendszerben először nyilvántartásba veszik, majd a vizsgálatokat követően leleteik is feltöltésre kerülnek, melyek a laborvizsgálati-, szakorvosi-, illetve foglalkozás-egészségügyi vizsgálataik eredményeit – ezen belül családi anamnézis adataikat is – tartalmazzák. Az Ügyfél a Hatóságnak adott válaszában úgy nyilatkozott, hogy a weboldalán fennálló sérülékenységről csak a Hatóság 2019. július 19. napján kézhez vett végzéséből értesült. Az Ügyfél elmondása szerint korábban csak egy marketing jellegű, szolgáltatásértékesítő célú, riogató hangvételű levelet kapott, amelynek konkrét adatvédelmi incidensre utaló tartalma nem volt. Az Ügyfél ez alapján az általa használt informatikai rendszerek tekintetében miniauditot folytatott le, ez azonban informatikai kockázatot nem állapított meg. A Hatóság végzésében megjelölt sérülékenység feltárása érdekében ezt követően haladéktalanul belső IT biztonsági auditot indított, mely 2019. július 19-én egyetlen sérülékenységi pontot tárt fel informatikai rendszerében. Az Ügyfél megállapította, hogy az online felület leletlekérdező URL-jében az azonosítót át lehet írni, és ily módon esetleg dokumentumokat is le lehet kérni a rendszerből. Az Ügyfél által folytatott vizsgálat során az informatikai rendszer naplófájljai is elemzésre kerültek. Ezek rendelkezésre álló állományai nem tartalmaztak olyan adatlekérdezést, amely a vizsgált tartományban ténylegesen jogosulatlan hozzáférésre utalt volna, és az Ügyfél egyéb módon sem szerzett tudomást az adatokhoz való jogosulatlan hozzáférésről. A fennálló sérülékenységre tekintettel megállapításra került az adatvédelmi incidens bekövetkezése. Az adatvédelmi incidenssel kapcsolatban elvégzett kockázatelemzés során az Ügyfél az állapította meg, hogy az valószínűsíthetően nem jár kockázattal az érintettek jogaira és szabadságaira nézve, tekintettel arra, hogy az adatokhoz való jogosulatlan hozzáférés nem állapítható meg, illetve a hiba az észlelést követően azonnal kijavításra került, így az incidens Hatóságnak történő bejelentését és az érintettek tájékoztatását az Ügyfél nem tartotta indokoltnak. Az Ügyfél a Hatóság kérésére bemutatta hatályos Informatikai Biztonsági Szabályzatának (a továbbiakban: IBSZ) naplózásra vonatkozó előírásait. Eszerint „az elszámoltathatóság és auditálhatóság biztosítása érdekében olyan regisztrálási és naplózási rendszert (biztonsági napló) kell kialakítani, mellyel utólag nyomon követhetők a tárgyidőszakot megelőző 14 napon belül az informatikai rendszerben bekövetkezett fontosabb események – különös tekintettel azokra, amelyek a rendszer biztonságát érintik – és ezáltal lehetséges a hozzáférések jogosultságának ellenőrzése, illetéktelen hozzáférés megtörténtének, és amennyiben lehetséges a hozzáférő személyének megállapítása.” Az IBSZ a naplózásra vonatkozó előírások között felsorolja a minimálisan regisztrálandó események listáját, melyben többek között a be- és kijelentkezések is szerepelnek. A Hatóság ezzel kapcsolatban megállapította, hogy a feltárt sérülékenységből fakadó esetleges jogosulatlan hozzáférések nem sorolhatók a be- és kijelentkezések naplózási körébe, mivel az érintett személyes adatok az oldalra mutató link ismeretében regisztráció nélkül is bárki számára hozzáférhetők voltak. Az Ügyfél a közérdekű bejelentő által, valamint a Hatóság IT biztonsági munkatársa által, a hatósági ellenőrzés során végrehajtott adatlekérdezést sem észlelte, annak ellenére, hogy arra az IBSZ-ben foglalt naplózási időintervallumon belül került sor. A naplófájlok ebből adódóan nem voltak alkalmasak annak megállapítására, hogy történt-e jogosulatlan hozzáférés a rendszerhez. Az Ügyfél nem tudta pontosan meghatározni, hogy maga a sérülékenység mióta állt fent a rendszerében. Az incidensről való tudomásszerzést követően az észlelt hiányosság viszont általa azonnal elhárításra került. A webszerveren nem csak az azonosító, hanem a bejelentkezett felhasználó is ellenőrzésre kerül, így az azonosító átírásával már kizárólag az adott felhasználó dokumentumainak lekérdezésére van lehetőség. Az Ügyfél tájékoztatta arról a Hatóságot, hogy az incidenst milyen tartalommal vette az általános adatvédelmi rendelet 33. cikk (5) bekezdése szerinti nyilvántartásba. Eszerint az Ügyfél által működtetett időpontfoglaló rendszerben tárolt adatok az Ügyfél által nem ismert biztonsági rés eredményeként, a rendszer megkerülésével, jogosultsággal nem rendelkező személyek számára is hozzáférhetővé váltak, tényleges adathozzáférés ugyanakkor nem állapítható meg. Az Ügyfél megítélése szerint erre tekintettel az incidens valószínűsíthetően nem jár kockázattal az érintettek alapvető jogaira és szabadságaira nézve, ezért a Hatóságnak részére történő bejelentési kötelezettsége nem áll fenn, és az érintettek incidensről való tájékoztatása sem indokolt. A Hatóság az eljárás során többször megpróbálta felhívni a közérdekű bejelentőt arra, hogy juttassa el a Hatóságnak azokat a megkereséseket, amelyekben a sérülékenységet jelezte az Ügyfél felé. Ezekre a bejelentő a hatósági eljárás lezárásáig nem reagált. A Hatóság 2020. március 6-án, NAIH/2020/952/2 számú végzésével értesítette az Ügyfelet, hogy az ügyben bizonyítási eljárást folytatott le, és tájékoztatta, hogy a bizonyítási eljárás során keletkezett információbiztonsági szakértői véleményt – az iratokba való betekintés szabályai figyelembevételével – megismerheti, és további bizonyításra irányuló indítványt terjeszthet elő; valamint felhívta, hogy nyilatkozzon 2019. évi bevételéről. A végzésre az Ügyfél az előírt határidőben válaszolt és iratbetekintési kérelmet terjesztett elő, melynek a Hatóság 2020. március

2. Az adatbiztonsági intézkedésekkel kapcsolatos megállapítások Az incidens által jelentett kockázat megítélése céljából a Hatóság megvizsgálta azt is, hogy az Ügyfél mennyiben tett eleget az incidens bekövetkezésével közvetlenül összefüggő adatbiztonsági követelményeknek. Az általános adatvédelmi rendelet 32. cikk (1) bekezdésében foglaltak alapján az adatkezelőnek a kockázat mértékének megfelelő szintű adatbiztonság garantálása érdekében a tudomány és technológia állásának megfelelő technikai és szervezési intézkedéseket kell végrehajtania, ide értve a rendelet a 32. cikk (1) bekezdés b) pontja alapján a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítását, integritását, rendelkezésre állását és ellenálló képességét. A fentieken túl az általános adatvédelmi rendelet 24. cikk (1) bekezdése is kimondja a megfelelő technikai és szervezési intézkedések végrehajtásának kötelezettségét az adatkezeléssel kapcsolatban. E cikk az adott adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével kívánja meg az ilyen intézkedések alkalmazását. A kezelt adatokhoz való hozzáférések tekintetében az Ügyfél nem tudta kimutatni, hogy azokhoz vajon kívülről hányan férhettek hozzá jogosulatlanul. Nyilatkozata szerint naplózási rendszere nem mutatott ki ilyen hozzáféréseket, valamint az általa alkalmazott egyéb eszközök (hardveres és szoftveres tűzfalak, hálózatbiztonsági program) sem jeleztek. Az Ügyfél az eljárás során úgy nyilatkozott, hogy ugyan minden pdf letöltést naplóznak (regisztrációhoz kötöttet és regisztráció nélkülit is), de mégsem tudnak a releváns időszakban külső hozzáférést kimutatni. Ehhez képest a kezelt adatokhoz mind a Hatóság IT biztonsági munkatársa, mind a közérdekű bejelentő hozzáfért kívülről az adott időszakban. Az Ügyfél a bizonyítási eljárás során készült információbiztonsági szakértői vélemény megismerését követően sem tudott olyan újabb információt a Hatóság rendelkezésére bocsátani, mely ezt az ellentmondást feloldotta volna. Az Ügyfél továbbá azt sem tudta megállapítani, hogy a sérülékenység mióta áll fent informatikai rendszerében. A csupán egy egyszerű internetes link birtokában a kezelt egészségügyi adatokhoz való illetéktelen hozzáférések megakadályozásán túl, a konkrét hozzáférések (tkp. ebben az ügyben külső dokumentumletöltések), akár külső rosszindulatú támadások naplózására való képesség, továbbá az illetéktelen hozzáférő személyét kimutatni tudó hálózatbiztonsági eszközök megfelelő beállítások melletti, naprakész alkalmazása az Ügyfél IBSZ-ében is meghatározása került, mint belső szabály. A Hatóság megjegyzi, hogy véleménye szerint ezek a belső szabályok egyébként az általános adatvédelmi rendelet 32. cikkében foglaltaknak megfelelően – a tudomány és technológia jelen állása szerint is elvárható biztonsági intézkedések nagyszámú egészségügyi adat kezelése kapcsán. Ez főleg igaz az olyan piaci szereplőkre, amelyek anyagi hasznot is realizálnak az ilyen adatok kezelésével összefüggő főtevékenységükkel. Az Ügyfél az illetéktelen hozzáférések kimutatásának elégtelenségével ezért nem csupán saját belső szabályzatának, hanem a kockázatokkal arányos, általánosan elvárható védelmi szintnek sem felelt meg. A külső hozzáférések, letöltések kimutatására való képtelensége miatt az Ügyfél megsértette az általános adatvédelmi rendelet 32. cikk (1) bekezdésének b) pontját. Az egészségügyi adatok – mint az általános adatvédelmi rendelet 9. cikk (1) bekezdése szerinti különleges adatok –, kezelése az előző pontokban kifejtetteknek megfelelően önmagában is magas kockázatú adatkezelést eredményez. Az ilyen adatok kezelése során ezért az adatkezelők részéről fokozottan elvárható, hogy a magas kockázattal arányos technikai és szervezési intézkedéseket tegyenek az adatbiztonság garantálása érdekében. Ezt az általános adatvédelmi rendelet 32. cikk (2) bekezdése is megerősíti, amikor kimondja, hogy a biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek. Tekintettel arra, hogy az adatvédelmi incidenssel érintett rendszerben fennálló sérülékenység abból adódóan valósulhatott meg, hogy az Ügyfél a személyes adatok kezelése során nem megfelelő biztonsági beállításokat alkalmazott az érintett rendszerében, – amely lehetővé tette, hogy az oldalra mutató link ismeretében bárki, az oldalon történő regisztráció nélkül hozzáférjen az online felületen tárolt személyes adatokat tartalmazó dokumentumokhoz, – az Ügyfél szintén megsértette az általános adatvédelmi rendelet 32. cikk (1) bekezdésének b) pontját.