Data sem, data tam

Zákazníci jednoho z největších českých e-shopů Mall.cz zažili před pár lety hodně nepříjemnou věc. Kdosi z databází zmíněného internetového obchodníka ukradl osobní data 700 tisíc klientů a pověsil je na internet. Společnost za to dostala v roce 2018 od Úřadu pro ochranu osobních údajů (ÚOOÚ) pokutu ve výši 1,5 milionu korun. Nejvyšší správní soud však předminulý čtvrtek Mallu vyhověl a pokutu zrušil. Jde o mimořádně důležitý rozsudek, z něhož budou soudy v příštích letech vycházet a který má potenciál změnit zaběhlou praxi.

Otázka zní, jestli je to dobře, nebo špatně. Internetovým obchodníkům, jako je Mall – ale třeba také nemocnicím, které hackerům v poslední době opakovaně čelily –, rozsudek nepochybně pomůže vyhnout se postihu v případě, že se stanou obětí profesionálně vedeného kybernetického útoku. Pro jejich zákazníky to ale úplně dobrá zpráva není: potrestat někoho za únik citlivých dat bude nejspíš v budoucnu podstatně složitější než dnes.

Hlavně mít náležitá opatření

Nejdřív co se vlastně stalo. Kdy přesně a za jakých okolností zmizela zmíněná osobní data – jméno, e-mail, heslo k účtu a případně telefonní číslo – skoro 736 tisíc zákazníků, není jasné. Z rozsudků každopádně plyne, že se tak stalo někdy před koncem roku 2014. Následně tyto údaje někdo rozšifroval a 27. července 2017 je pověsil na server Ulozto.cz. Dodejme, že až do okamžiku zveřejnění o úniku nikdo – včetně Mallu – nevěděl. Pokuta, kterou za to Mall dostal, byla vysoká, ovšem ÚOOÚ to zdůvodnil skutečností, že firma je v oboru profesionálem a zpracovává velké množství osobních dat. Mall si to každopádně nenechal líbit a podal k Městskému soudu v Praze žalobu, ve které tvrdil, že nijak nepochybil. Městský soud ji však letos v létě zamítl.