IP: Globa za vzdrževalca spletne trgovine
Informacijski pooblaščenec je pogodbenemu obdelovalcu izrekel globo, ker ni pravočasno odpravil znane varnostne ranljivosti spletne trgovine, kar je napadalcem omogočilo dostop do osebnih in plačilnih podatkov kupcev.
Novica je bila objavljena 3. 11. 2026.
Informacijski pooblaščenec (IP) je obravnaval primer kibernetskega napada na spletno trgovino, pri katerem so bili ogroženi osebni podatki kupcev, vključno s podatki o plačilnih karticah. Postopek se je začel, ko je upravljavec spletne trgovine prejel opozorilo ponudnika plačilnih storitev o uhajanju podatkov in incident prijavil nadzornemu organu.
Preiskava je pokazala, da so napadalci izkoristili varnostno ranljivost spletne platforme. Pridobili so šifrirni ključ, dostopali do administratorskega računa in na stran za zaključek nakupa namestili dve zlonamerni skripti, ki sta omogočali prestrezanje osebnih podatkov kupcev.
Ranljivost je bila javno znana že približno leto dni pred odkritjem incidenta. Ponudnik spletne platforme je za njeno odpravo predvidel dva ukrepa, in sicer namestitev varnostnega popravka in zamenjavo šifrirnega ključa. Za vzdrževanje spletne trgovine je bil odgovoren zunanji izvajalec, ki se je s pogodbo zavezal k rednemu pregledovanju programske kode in nameščanju varnostnih posodobitev ob predhodni odobritvi upravljavca. Kljub temu ranljivosti ni pravočasno in ustrezno odpravil.
Odločitev nadzornega organa
IP je ugotovil, da pogodbeni obdelovalec med avgustom 2024 in julijem 2025 ni izvajal ustreznih postopkov za redno preverjanje in ocenjevanje učinkovitosti varnostnih ukrepov, s čimer je kršil 32. člen GDPR.
Ta določa, da morajo tako upravljavci kot obdelovalci zagotoviti ustrezno raven varnosti osebnih podatkov glede na tveganja, povezana z njihovo obdelavo. Med njihove obveznosti spada tudi redno preverjanje, ali sprejeti tehnični in organizacijski ukrepi dejansko zagotavljajo ustrezno zaščito podatkov.
Nadzorni organ je zato pogodbenemu obdelovalcu izrekel globo, pri čemer njena višina v objavljeni novici ni navedena.
Po odkritju incidenta je obdelovalec posodobil spletno platformo, odstranil zlonamerno kodo, zamenjal šifrirni ključ in uvedel dodatne omejitve za izvajanje nepooblaščenih skript. Upravljavec je obenem izboljšal postopke odzivanja na varnostne incidente, določil strožje roke za nameščanje kritičnih varnostnih popravkov in uvedel obvezno mesečno poročanje izvajalca o razpoložljivih posodobitvah. O incidentu je obvestil tudi kupce, pri katerih je obstajala možnost odtujitve bančnih podatkov.
Primer opozarja, da obveznosti zagotavljanja varnosti osebnih podatkov ne nosijo zgolj upravljavci, temveč tudi njihovi pogodbeni obdelovalci. Ti morajo poskrbeti, da so informacijski sistemi ustrezno zaščiteni, da se znane ranljivosti pravočasno odpravljajo in da se učinkovitost varnostnih ukrepov redno preverja. Zgolj sklenitev pogodbe o vzdrževanju in formalna določitev odgovornosti namreč ne zadostujeta, če se dogovorjeni ukrepi v praksi ne izvajajo.
Vir in celotna novica Informacijskega pooblaščenca sta na voljo tukaj.
Naslovna fotografija: Ustvarjena z UI
