Portal da Privacidade e IA - Falha de Segurança motiva sanção de 400mil Euros por Autoridade de Proteção de Dados francesa contra site de locação. Como a LGPD enxergaria o caso?
Falha de Segurança motiva sanção de 400mil Euros por Autoridade de Proteção de Dados francesa contra site de locação. Como a LGPD enxergaria o caso?
Rony Vainzof via Linkedin
Autoridade de Proteção de Dados Pessoais da França (CNIL) sancionou em 400.000€ a empresa SERGIC, especializada no desenvolvimento, compra, venda, aluguel e administração de imóveis, por ausência de segurança proporcional aos dados de seus usuários e não conformidade com período de retenção.
A empresa, detentora do site www.sergic.com, permite aos possíveis locatários aplicar os documentos necessários para concorrer a locação de uma propriedade.
Em 12/08/18, a CNIL recebeu denúncia de um usuário do site, afirmando que uma mudança na URL permitia o acesso aos documentos não só por ele aplicados, mas também disponibilizados por outros candidatos, fornecendo vários exemplos de URLs dos quais ele conseguiu acessar dados de terceiros.
A CNIL apurou, por meio de verificação on-line, a veracidade das alegações, baixando 9446 documentos usando um script, incluindo cópias de documentos de identidade, autos de infração, certidão de divórcio, certificados para a segurança social, pensão de invalidez, extratos de contas, extratos bancários, identidade de recibos de aluguel, entre outros.
A empresa confirmou que sabia do ocorrido desde março de 2018 e que procedeu a uma primeira fase de análise da falha de segurança, que deu origem a um plano de ação implementado a partir de junho de 2018, com prazo de encerramento em setembro de 2018.
A CNIL considerou que a empresa denunciada:
Falhou em sua obrigação de preservar a segurança dos dados pessoais dos usuários do seu site, conforme previsto no art. 32, do GDPR, pois não contava com um procedimento de autenticação, o que permitiu o download de documentos por terceiros não autorizados. Tal questão foi agravada pela falta de diligência da empresa na correção da falha, pois a vulnerabilidade não foi corrigida em até 6 meses da ciência.
Mantinha, sem limitação de duração na base ativa, todos os documentos transmitidos pelos candidatos, mesmo os que não conseguiram êxito no seu objetivo de locação. Por uma questão de princípio, o período de retenção dos dados pessoais deveria ser determinado de acordo com a finalidade do processamento. Quando esta finalidade é atingida e nenhuma outra finalidade justificar a conservação dos dados na base ativa, os dados deveriam ser suprimidos ou segregados em outra base se a retenção fosse necessária para o cumprimento dos requisitos legais ou para exercício regular de direitos.
O valor de 400 mil euros e publicação da sanção se deve ao fato da gravidade da violação, a falta de diligência em lidar com a vulnerabilidade e o fato de que os documentos acessíveis revelavam aspectos muito íntimos da vida das pessoas. Porém, a CNIL também levou em consideração o tamanho da empresa e o seu faturamento.