Praha - Komerční banka odhalila o svých klientech víc, než smí, a teď má větší problém, než jak ho sama prezentuje. Únik dat, který již prošetřuje Úřad pro ochranu hospodářské soutěže, představuje podle právníků oslovených online deníkem Aktuálně.cz zásadní pochybení. Výmluvy na dodavatelskou firmu jsou podle nich irelevantní.

Připomeňme, že v internetovém bankovnictví Komerční banky byla minimálně několik dnů na začátku tohoto týdne dostupná data lidí včetně kontaktních údajů a rodného čísla, které KB Penzijní společnost oslovovala s nabídkou spoření na penzi. Data bylo navíc možné editovat.

Pokud jde o osobní údaje, je to v podstatě stejné, jako kdyby banka svlékla své klienty do naha. Tak citlivá jsou uniklá data, pokud se dostanou do nepovolaných rukou.

"Nesporně jde o zásadní pochybení banky, neboť jako správce osobních údajů je povinna přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům klientů, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů," říká Lukáš Zelený, vedoucí právní poradny časopisu dTest.

Rodná čísla, vstupenka do databází

Jak se dají konkrétně zneužít data lidí, která byla po přihlášení do internetového bankovnictví Komerční banky volně dostupná? "Když znáte rodné číslo, tak můžete propojovat různé databáze, ve kterých se to rodné číslo vyskytuje a zároveň riziko roste s tím, že to můžete propojit s identitou konkrétního člověka," říká Jan Vobořil z organizace Iuridicum Remedium. Může přitom podle něj jít o databáze veřejné, soukromé i třeba státní, ke kterým má případný podvodník z nějakého důvodu přístup, nebo zná někoho, kdo takový přístup má.

"Přiřazením identity k databázím jen s rodným číslem získáváte násobně více informací o tom člověku. Zneužití pak může být hodně variabilní. Od krádeže imunity, kdy podvodník může podepisovat různé smlouvy až po zneužití v marketingu přes využití kontaktních údajů, které byly také dostupné," dodává Vobořil.

„Třetí osoba může zneužít zjištěné osobní údaje například jejich využitím při sjednávání smluv o úvěru, kdy zaváže nositele osobních údajů, zatímco sama čerpá úvěr, nebo naopak může obtěžujícím způsobem uzavírat smlouvy přes internet a nechat zasílat nositeli osobních údajů neobjednané zboží," pokračuje Zelený.

Chyba dodavatele? Irelevantní

Komerční banka už v úterý reagovala tak, že v žádném případě nebyla narušena bezpečnost internetového bankovnictví Komerční banky a že nedošlo k žádnému ohrožení bezpečnosti či k úniku informací o bankovních účtech klientů banky. Problém se měl týkat jen části internetového bankovnictví, kde mají klienti skupiny KB přístup ke svým produktům od penzijní společnosti.

"Chyba v informačním systému, jehož vývoj pro Penzijní společnost KB zabezpečuje externí dodavatel, jímž je firma Softip, umožnila neoprávněný přístup do kontaktní databáze," vysvětlil v úterý Pavel Jirák, předseda představenstva Penzijní společnosti KB. "V žádném případě nedošlo k úniku informací o již uzavřených smlouvách o penzijním spoření nebo o stavu prostředků na účtech klientů," dodal Pavel Jirák.

"Komerční banka je nepochybně se svou penzijní společností propojena, takže je to určitě problém banky. Pochybení je to tak jako tak, ať už podle zákona o bankách, nebo podle zákona o ochraně osobních údajů," reaguje na argumentaci banky Vobořil.

"A co se týče té obrany, že to způsobila dodavatelská firma, tak to považuji za zcela irelevantní. Vždy za to odpovídá ten, kdo údaje zpracovává a to je v tomto případě tedy buď Komerční banka, nebo její penzijní společnost," pokračuje právník.

Rekordní KB

Data byla v internetovém bankovnictví dostupná minimálně od pondělí do úterního rána, kdy banka přístup zablokovala. Jak dlouho byla databáze „otevřená", než na chybu upozornil jeden z klientů banky? Jaká data a o jakých lidech byla k dispozici? Bude KB lidi, jejichž osobní údaje neochránila nějak odškodňovat? „Nezlobte se, prosím, ale žádné další informace v tuto chvíli poskytovat nebudeme," odpovídá online deníku Aktuálně.cz mluvčí banky Monika Klucová.

Komerční banka ale každopádně bude muset únik dat vysvětlovat Úřadu pro ochranu osobních údajů, ten v úterý v bance zahájil okamžitou kontrolu, na jejímž konci může být správní řízení a pokuta v řádech jednotek milionů korun.

"Vypadá to, že jde o vážné pochybení, kontrola dostala zásadní prioritu a byla zahájena okamžitě," řekla online deníku Aktuálně.cz mluvčí úřadu Hana Štěpánková. Jak dlouho šetření bude trvat, Štěpánková odhadovat nechce. „Já myslím, že tohle asi bude velmi jednoznačný případ, takže bych si tipnul tak dva tři měsíce," říká Jan Vobořil.

Zajímavé je, že nejvyšší pokuta, kterou kdy Úřad pro ochranu osobních údajů udělil, šla také za společností ze skupiny KB. V roce 2006 musela Komerční pojišťovna platit pokutu ve výši tří milionů korun, když neuhlídala data více jak půl milionu klientů (čtěte více).