Harju Mahkemesi Allium'un para cezası davasını reddetti

Estonya'da Harju Bölge Mahkemesi, Allium UPI OÜ'nün veri koruma denetiminin (Andmekaitse Inspektsioon) kararına karşı yaptığı itirazı reddetti. Şirkete, kişisel verilerin korunması yükümlülüklerini ihlal ettiği gerekçesiyle üç milyon euro para cezası verilmişti.

Mahkeme, Allium'un Apotheka müşteri sadakat programının veri sorumlusu olduğuna ve çok sayıda müşterinin sağlık verileri de dahil olmak üzere kişisel verilerinin işlenmesinde risklere uygun bir güvenlik seviyesi sağlamaktan sorumlu olduğuna hükmetti.

Mahkeme, ihlalin yalnızca yaşanan siber saldırıdan kaynaklanmadığını, şirketin teknik ve organizasyonel önlemlerinin veri hacmi ve hassasiyetiyle uyumlu olmadığını belirtti. Özellikle yönetici hesaplarının korunmasında yeterli ek kimlik doğrulama yöntemlerinin kullanılmadığını, sistemin aktif güvenlik izlemesinin yetersiz olduğunu ve veritabanı yedeklerinin makul olmayan süre boyunca ve şifrelenmemiş şekilde saklandığını vurguladı.

Öte yandan mahkeme, Allium UPI'nin sözleşmelere, iç kurallara, eğitimlere ve denetimlere sahip olduğunu ancak bunların tespit edilen eksiklikleri gidermediğini kaydetti. Mahkeme, veri koruma denetiminin verdiği para cezasının haklı ve orantılı olduğuna karar vererek yargılama masraflarını da Allium UPI'ye yükledi.

İlk yargı süreci

Bu dava, 1 Kasım 2023'te yapılan ceza kanunu değişikliklerinden sonra tüzel kişilerin sorumluluğunu ve para cezalarını önemli ölçüde artıran ilk yargı süreci olma özelliğini taşıyor. Allium UPI, kararı inceleyeceklerini ve Yüksek Mahkemeye (Riigikohus) taşıyacaklarını açıkladı.

Şirket, 2024 yılında bir siber suç kurbanı olarak yetkilileri olay hakkında kendisinin bilgilendirdiğini ve tüm süreç boyunca müşteri verilerine karşı sorumlu davrandığını savundu. Allium UPI yönetim kurulu üyesi Marika Pensa, “Mağdurun suçlu yerine konulması bizim için çok yanlış. Bir suçun kurbanı olmak, otomatik olarak şirketin yükümlülüklerini ihlal ettiği anlamına gelmemeli” dedi. Ayrıca çalınan verilerin herhangi bir suç amaçlı kullanılmadığı veya karanlık ağda satışa sunulmadığı bilgisini aldıklarını belirtti.

Veri Koruma Denetimi (Andmekaitse Inspektsioon) Başmüfettişi Pille Lehis, mahkemenin denetimin kararını desteklediğini ancak kararın henüz kesinleşmediğini hatırlattı. Lehis, “Karar, başta büyük miktarda hassas verinin işlendiği durumlarda güvenlik önlemlerinin yeterliliği olmak üzere birçok önemli veri koruma konusunu ele alan kapsamlı bir karar. Bu, gelecekteki uygulamalar için önemli olabilir” ifadelerini kullandı.

Denetim, geçen yıl eylül ayında Apotheka sadakat programını yöneten Allium UPI'ye, müşteri verilerini korumadığı ve yetersiz güvenlik önlemleri kullandığı için 3 milyon euro ceza vermişti. Denetim, şirketin 750 binden fazla kişinin (çocuklar ve diğer hassas gruplar dahil) verilerini riske attığını değerlendirmişti.

Güvenlik olayı 2024 yılının başında Apotheka sadakat programı bilgi sisteminde yaşandı. Denetimin soruşturması, Allium UPI'nin temel siber hijyen ve veri koruma önlemlerini uygulamadığını ortaya çıkardı. Yetkisiz kişiler sisteme ve veritabanı yedeklerine tekrar tekrar erişerek büyük miktarda hassas müşteri verisini indirdi.