A Autoridade de Proteção de Dados da Dinamarca (DPA) propôs uma multa de aproximadamente €2 milhões contra a Netcompany por não implementar medidas de segurança adequadas no desenvolvimento do mit.dk, um serviço de caixa postal digital lançado em março de 2022. Esta plataforma permite que cidadãos e empresas dinamarquesas acessem, entre outros, correio digital de autoridades públicas, realizem agendamentos médicos ou odontológicos, paguem contas de eletricidade, compartilhem documentos com hospitais ou clínicos gerais, gerenciem finanças e mais.
Apesar de a Netcompany ter realizado testes como revisão de código, análise de código estático e testes de desempenho antes do lançamento, falhou em descobrir um "código inadequado" no componente de autenticação dos usuários. Isso resultou em um erro que permitiu aos usuários acessar o correio digital de outros usuários e obter acesso a informações confidenciais e sensíveis, aumentando desnecessariamente o risco para todos os usuários do mit.dk.
A Netcompany tomou conhecimento do código inadequado logo após o lançamento do mit.dk, quando vários usuários contataram a empresa relatando serem capazes de acessar informações de outros usuários. A solução foi desativar o sistema até que o código inadequado fosse corrigido, e o incidente foi reportado à DPA dinamarquesa.
A DPA dinamarquesa decidiu que a Netcompany não implementou medidas de segurança apropriadas no desenvolvimento do mit.dk, incluindo não garantir que medidas de segurança apropriadas fossem incorporadas ao design da solução (privacidade desde a concepção) e por não ter preparado uma avaliação de impacto em conexão com o desenvolvimento do mit.dk.
Primeiro, porque o mit.dk continha código inadequado, foi claro para a DPA que o princípio da privacidade desde a concepção, sob o Artigo 25(1) do GDPR, não foi considerado. Testes melhores da plataforma antes do lançamento deveriam ter descoberto o erro.
Segundo, considerando o propósito do mit.dk, um dos riscos mais críticos e óbvios era que outros usuários pudessem ganhar acesso ao correio digital ao qual não estavam autorizados. A DPA dinamarquesa afirmou que preparar uma análise de impacto não é uma formalidade. A análise é uma garantia importante da certeza jurídica dos direitos dos cidadãos quando o processamento de suas informações apresenta um alto risco inerente. Essas avaliações de impacto devem ser feitas antes que o controlador comece o processamento de dados.
Em seu comunicado de imprensa, a DPA dinamarquesa declarou: "A sociedade dinamarquesa é altamente digitalizada, e, portanto, é crucial que os cidadãos possam confiar que a segurança da infraestrutura crítica nacional está em ordem. Um caso como este pode colocar essa confiança em risco, e, por essa razão, também, a Autoridade de Proteção de Dados da Dinamarca precisa agir com rigor. Soluções como o mit.dk precisam gerenciar os dados dos cidadãos de forma responsável, segura e com respeito à privacidade individual."
Com informações GDPRHub.
