Welche Verantwortung trägt ein Unternehmen bei der Weitergabe von Kundendaten?

Millionen von Kundendaten durchgesickert

Das Ministerium für Öffentliche Sicherheit hat mehrere Technologieunternehmen angeprangert, die Kundendaten weitergegeben haben, sowie Taxiunternehmen, die diese Daten für SMS-Werbung genutzt haben. Das Ministerium erklärte außerdem, dass die Weitergabe und der Verkauf personenbezogener Daten weit verbreitet, öffentlich und zunehmend komplex seien. Besonders besorgniserregend sei, dass viele Daten seit Langem in großen Mengen im Internet öffentlich gehandelt würden. Der Handel finde nicht nur zwischen Einzelpersonen statt, sondern beziehe auch Unternehmen und Organisationen mit ein.

Im Jahr 2018 berichteten Technologieforen über einen Datenverlust bei Thegioididong.com . Hacker sollen wichtige Informationen wie E-Mail-Adressen, Transaktionsverläufe und sogar Kartennummern erbeutet haben, was Millionen von Kunden verunsicherte. Gioi Di Dong veröffentlichte umgehend eine Pressemitteilung, in der bestätigt wurde, dass es sich um Falschmeldungen handelte und das System weiterhin sicher und funktionsfähig sei. Danach kehrte allmählich Ruhe ein.

Persönliche Daten werden offen online weitergegeben, geleakt und verkauft.

Im April 2018 gab VNG bekannt, dass 160 Millionen Zing-ID-Konten gefährdet waren und ein Teil der Kundendaten aus dem Gaming-Bereich des Unternehmens betroffen sein könnte. Das Unternehmen erklärte, umgehend Maßnahmen ergriffen zu haben, um den Vorfall zu beheben, ein Eindringen zu verhindern und die Anzahl der betroffenen Nutzer durch technische Maßnahmen zu begrenzen. VNG räumte jedoch ein, dass die Daten einiger Nutzer tatsächlich offengelegt wurden, betonte aber, dass „der Kreis der tatsächlich Betroffenen nicht groß ist, sich auf Gaming-Kunden konzentriert und keine anderen VNG-Produkte beeinträchtigt“. VNG versicherte, die Rechte und die Sicherheit seiner Kunden stets zu gewährleisten und alle auftretenden Probleme gründlich zu lösen.

Laut Herrn Vo Do Thang vom Athena Cyber ​​Security Center muss in Fällen wie dem vom Ministerium für öffentliche Sicherheit genannten untersucht werden, ob das System des Unternehmens angegriffen wurde oder ob Mitarbeiter die Daten gestohlen und veröffentlicht haben. Unabhängig vom Grund bedeutet ein Datenleck, dass das System des Unternehmens eine Schwachstelle aufweist. Diese Schwachstelle kann technischer oder menschlicher Natur sein. Daher muss die Netzwerksicherheit im Allgemeinen und der Schutz personenbezogener Kundendaten rund um die Uhr an 365 Tagen im Jahr ohne Nachlässigkeit überwacht und umgesetzt werden. Denn niemand kann behaupten, sein System sei immer sicher, da Hackerangriffe jederzeit möglich sind. Ganz zu schweigen von Fällen, in denen Mitarbeiter des Unternehmens Kundendaten stehlen, um sie an Dritte zu verkaufen.

Die Welt kennt harte Strafen, Vietnam hingegen nur wenige.

In letzter Zeit häuften sich Fälle von Datenlecks, doch die verantwortlichen Unternehmen wurden kaum bestraft oder sanktioniert. Weltweit hingegen verhängten Länder hohe Strafen für dieses Verhalten. So verhängte die US-amerikanische Federal Trade Commission (FTC) im Juli 2019 eine Geldstrafe von 5 Milliarden US-Dollar gegen Facebook, nachdem Cambridge Analytica illegal auf die persönlichen Daten von 87 Millionen Nutzern des sozialen Netzwerks zugegriffen und diese verwendet hatte. Laut den Ermittlungen ermöglichte Facebook Cambridge Analytica den illegalen Zugriff auf die Daten von 50 Millionen US-Nutzern während des Präsidentschaftswahlkampfs 2016 sowie des Brexit-Referendums im Vereinigten Königreich im selben Jahr. Dies ist die weltweit höchste jemals verhängte Geldstrafe für einen Skandal um das Leck von Nutzerdaten.

In Vietnam gibt es zahlreiche Vorschriften zu Strafen für Informationslecks und -weitergabe. Derzeit befindet sich der Entwurf eines Dekrets über Strafen für Ordnungswidrigkeiten im Bereich der Netzwerksicherheit (derzeit in der Konsultationsphase und wartet auf die Veröffentlichung durch die Regierung) in der Festlegung, dass die Höchststrafe für Organisationen, die gegen die Vorschriften zum Schutz personenbezogener Daten verstoßen, bei einem zweiten oder weiteren Verstoß eine Geldbuße von bis zu 5 % des Gesamtumsatzes des vorangegangenen Geschäftsjahres in Vietnam beträgt. Zusätzlich kann die Geschäftslizenz für die Branche, die die Erhebung personenbezogener Daten erfordert, für ein bis drei Monate entzogen werden.

In Vietnam gibt es keine Skala, um die Auswirkungen jedes einzelnen Falls von Datenschutzverletzungen zu bewerten. Daher ist es nur angemessen, eine umsatzbasierte Geldstrafe vorzuschlagen. Ich denke, dies wird ein wichtiger Schritt zur Kontrolle und zum Schutz personenbezogener Daten sein.

Herr Vu Ngoc Son, Technischer Direktor der VN Cyber ​​Security Technology Company

Herr Vu Ngoc Son, Technischer Direktor des Unternehmens VN Cyber ​​Security Technology, erklärte, dass Unternehmen und Organisationen, die gegen Datenschutzbestimmungen verstoßen, bisher aufgrund fehlender detaillierter Regelungen lediglich mit Verwaltungsstrafen belegt werden. Daher sei die im kommenden Entwurf vorgeschlagene Höchststrafe von bis zu 5 % des Gesamtumsatzes für Vietnam angemessen und habe eine abschreckende Wirkung, um die Verantwortung der Unternehmen für den Schutz von Kundendaten zu stärken. Laut Herrn Son ist diese Strafe im internationalen Vergleich jedoch noch nicht hoch. Denn in vielen Ländern würden die meisten Strafen anhand der Auswirkungen des jeweiligen Verstoßes berechnet. Beispielsweise könne eine von einem kleinen Unternehmen begangene Verletzung, die aber eine große Anzahl von Nutzern schwerwiegend betreffe, dennoch eine sehr hohe Strafe nach sich ziehen. „In Vietnam gibt es noch keine Grundlage für die Bewertung der Auswirkungen einzelner Fälle von Datenlecks, daher ist es nur vernünftig, eine umsatzbasierte Strafe vorzuschlagen. Ich denke, dies ist ein wichtiger Schritt zur Kontrolle und zum Schutz personenbezogener Daten“, so Herr Vu Ngoc Son.

Herr Vo Do Thang stimmte dem zu und erklärte, dass detailliertere Regelungen zu konkreten und öffentlichen Verwaltungsstrafen für Verstöße gegen den Schutz personenbezogener Kundendaten Unternehmen dazu zwingen würden, ihre Netzwerksicherheitssysteme zu überprüfen. Es gebe einen Prozess der regelmäßigen Bewertung und Überwachung der technischen und personellen Ressourcen, um die Vertraulichkeit von Kundendaten zu gewährleisten. Dies sei vergleichbar mit den Vorschriften zur Gewährleistung des Brandschutzes in Bürogebäuden und stark frequentierten Orten. Staatliche Verwaltungsbehörden müssten zudem die Inspektion, Überwachung und die konsequente Ahndung von Verstößen verstärken. Der erste Verstoß könne in den Massenmedien veröffentlicht werden; der zweite Verstoß ziehe entsprechende Verwaltungsstrafen nach sich und könne die Dienstleistung für einen bestimmten Zeitraum aussetzen, damit das Unternehmen sein Netzwerksicherheitssystem verbessern könne.

Unabhängig von der Unternehmensgröße müssen alle Unternehmen bei Betriebsaufnahme die Vorschriften zur Netzwerksicherheit einhalten. Dies schützt nicht nur die personenbezogenen Daten der Nutzer, sondern trägt auch zur Verbesserung der Kreditwürdigkeit Vietnams im digitalen Wirtschaftsumfeld bei. Davon profitieren wiederum der internationale Handel und die digitale Wirtschaft des Landes wird weiterentwickelt.

Herr Vo Do Thang , Athena Cybersicherheitszentrum

Quellenlink: https://thanhnien.vn/doanh-nghiep-chiu-trach-nhiem-gi-khi-de-lo-thong-tin-khach-hang-185240303234421668.htm