Случаят H&M: Как един дигитален архив донесе глоба от 35 млн. евро (и какво ни учи той)
nacorp
През октомври 2020 г. Хамбургският комисар за защита на личните данни налага рекордна глоба от 35 милиона евро на H&M Hennes & Mauritz - една от най-разпознаваемите търговски марки в света. Причината не е хакерска атака, изтичане на клиентски данни или пробив в киберсигурността, а начинът, по който ръководители са събирали, съхранявали и използвали чувствителна лична информация за собствените си служители в корпоративен дигитален архив.
Случаят остава един от най-значимите примери за прилагане на GDPR в Европа и е ясен знак защо професионалните решения за съхранение, каквито предлагаме от Национални Архиви, са толкова важни за бизнеса днес. Дигитализацията без ясни правила и правилно управление е просто по-бърз път към огромни регулаторни проблеми. Случаят е особено поучителен за всяка организация, която управлява данни за персонала си.
Какво се случи в H&M и защо се стигна до глобата?
Нарушението е документирано в сервизния център на H&M в Нюрнберг и датира поне от 2014 г. Екипните ръководители провеждали т.нар. „Welcome Back Talks" – разговори с връщащи се от отпуск или болнични служители. Събраната по време на тези срещи информация не оставала само в паметта на мениджъра, а се записвала детайлно и се архивирала дигитално в мрежово устройство за съхранение.
Записките включвали конкретни преживявания по време на почивка, симптоми на заболявания и поставени диагнози, семейни обстоятелства, религиозни убеждения и други лични подробности. Информацията понякога обхващала по-дълги периоди от живота на даден служител, проследявайки развитието на лични ситуации.
Основният пропуск в случая е, че до голяма част от тези записи са имали достъп до 50 мениджъри в цялата компания – значително по-широк кръг от тези, на които подобен достъп би бил оправдан. В практиката на Национални Архиви това е сочено като класическа грешка с липса на нива на достъп и одитна следа.
Практиката става публично известна след конфигурационна грешка през октомври 2019 г., при която файловете стават достъпни в цялата компания за няколко часа. Хамбургският комисар бива информиран чрез медиите, след което нарежда „замразяване" на съдържанието на мрежовото устройство и изисква предаването му за проверка. Архивът съдържал около 60 гигабайта данни.
Регулаторът заключва, че H&M е нарушила фундаментални принципи на GDPR – законосъобразност, ограничение на целите, свеждане на данните до минимум и прозрачност. Подробности за случая са публично достъпни в официалното съобщение на Европейския комитет по защита на данните.
Къде беше грешката – в дигиталния архив или в управлението му?
Лесно е да се заключи, че дигитализацията сама по себе си е рискова. Тази интерпретация обаче е погрешна. Проблемът в случая с H&M не е съществуването на дигитален архив, проблемът е липсата на архивна политика (т.нар. data governance).
Правилно изградената дигитализация на документи предполага ясни правила: какво се събира, с каква цел, кой има право на достъп и колко дълго информацията се съхранява. В този случай нито едно от тези условия не е изпълнено. Ето къде се пропука системата им и как ние от Национални Архиви предотвратяваме подобни рискове:
- Прекомерно събиране на данни: Здравословното състояние, религиозните вярвания и семейните обстоятелства на служителите попадат в категорията на специалните лични данни по смисъла на чл. 9 от GDPR. Обработването им изисква изрично законово основание – такова при H&M е липсвало. При одит на документооборота, експертите на Национални Архиви първо идентифицират и изолират тези рискови папки и файлове, за да не се допуска незаконно съхранение.
- Липса на контрол върху достъпа: Когато 50 мениджъри могат да разглеждат деликатна лична информация, системата просто не работи. Ефективната сигурност изисква принципа на „минимално необходимия достъп“. Дигиталните решения, които Национални Архиви внедрява, залагат строги потребителски роли – никой няма достъп до папки, които не са пряко свързани с неговите задължения.
- Отсъствие на политика за задържане: Записките са акумулирани в продължение на години без каквато и да е процедура за преглед, актуализация или унищожаване. Архивирането без срок е нарушение само по себе си. Ние в Национални Архиви автоматизираме този процес – всяка категория документи има ясен жизнен цикъл и се унищожава веднага след изтичане на законовия срок.
Разликата между простото складиране на файлове и професионалното управление на архиви е именно тази: технологията е просто инструмент, а системата от правила определя как се използва той.
Какви уроци могат да извлекат българските компании?
Случаят с H&M не е изолиран прецедент на далечна корпорация. Практиките, довели до глобата, се срещат ежедневно и в българския бизнес, особено когато управлението на документи се е развило органично и без систематична намеса на професионалисти.
- Свеждане до минимум на данните: Преди да съберете каквато и да е информация за служител, клиент или партньор, трябва да зададете въпроса: необходима ли е тя за конкретна, законова цел? Данни, събрани „за всеки случай", са потенциален регулаторен риск.
- Управление на достъпа: Всеки дигитален архив трябва да има строги нива на достъп, за да е абсолютно ясно кой служител какви документи има право да вижда. Национални Архиви помага за изграждането на такива структури, които гарантират, че широкият достъп до чувствителни данни е минало, а вероятността от случайно разкриване е сведена до нула.
- Политика за срокове на съхранение: Съответствието с GDPR изисква всяка категория документи да има предварително определен период на задържане. След изтичането му данните трябва да се унищожат. Национални Архиви предлага услуга за сертифицирано и сигурно унищожаване на документи, което дава на бизнеса пълна юридическа проследимост и доказателство пред регулаторите.
- Документирана отчетност: Регулаторите очакват организациите да могат да докажат спазването на изискванията. Регистрите на дейностите по обработване, оценките на въздействието върху защитата на данните (DPIA) и вътрешните архивни политики са основни елементи, които помагат на компаниите да бъдат защитени при проверка.
- Превенция пред санкции: Инвестицията в правилно управление на архивите е в пъти по-малка от санкциите при нарушение. Глобата за H&M е само финансовото измерение, а репутационните щети често са незаличими.
Ролята на професионалното управление на архиви за защита на бизнеса
Структурираното управление на архиви е инструмент за управление на бизнес риска. Организациите, работещи с голям обем документи, независимо дали са в здравеопазването, публичния сектор или частния бизнес, се нуждаят от систематичен подход към целия жизнен цикъл на информацията.
Ето как решенията на Национални Архиви защитават бизнеса:
- Класификация на документите: Не всички данни носят еднакъв риск. Правилната класификация по категории – обикновени лични данни, специални категории, търговска тайна, публична информация – е основата, върху която се изгражда всяка архивна политика.
- Сигурно съхранение на документи: Физическите и дигиталните хранилища изискват защита, пропорционална на чувствителността на съдържанието. Контролираният достъп, криптирането и одитните следи са стандартни елементи на сигурната среда на Национални Архиви.
- Планове за задържане и унищожаване: Определените срокове за съхранение трябва да се изпълняват последователно. Професионалното управление осигурява проследимост и доказателства за съответствие при одит.
- Дигитализация с ясни правила: Дигитализирането на архиви се прави по точен и предварителен план. Това включва въвеждане на описание за лесно търсене (метаданни), определяне на точни права на достъп и интеграция с общата система на фирмата, а не просто хаотично сканиране.
- Одитна готовност: Добре управляваният архив позволява на организацията да отговори на регулаторна проверка бързо и уверено, като предостави верифицируема документация за всяко решение.
Тест: Крие ли вашият архив подобен риск?
За да ви помогнем да оцените текущото си положение, ние от Национални Архиви съставихме този кратък списък с въпроси. Честният отговор е първата стъпка към превенцията:
Относно събираните данни:
- Имате ли актуален регистър на всички категории лични данни, които организацията ви обработва?
- Събирате ли данни, за които не можете да посочите конкретна законова цел или правно основание?
- Съхранявате ли здравна информация, болнични листи или друга деликатна информация за служители без изрично основание по чл. 9 от GDPR?
Относно достъпа:
- Знаете ли точно кои служители и мениджъри имат достъп до кои папки и документи?
- Прилагате ли принципа на минимален необходим достъп в дигиталната си мрежа?
- Разполагате ли с одитни дневници (логове), показващи кой е отварял чувствителна информация и кога?
Относно сроковете на съхранение:
- Всяка категория документи (напр. досиета на напуснали служители) притежава ли предварително дефиниран срок за съхранение?
- Следва ли организацията ви процедура за редовно и сигурно унищожаване на документи след изтичане на този срок?
Относно готовността за проверка:
- При внезапна регулаторна проверка, бихте ли могли да докажете документирано спазването на GDPR изискванията в рамките на същия ден?
- Провеждали ли сте професионален вътрешен одит на архивните си практики през последните 12 месеца?
Ако на част от тези въпроси сте отговорили с „не“ или „не знам“, това не е повод за паника, а просто ясен знак къде процесите ви имат нужда от по-добра структура.
Заключение
Случаят с H&M изпраща ясно послание: дигиталният архив е безценен бизнес инструмент, но само когато е управляван с ясна политика, технически контрол и доказуема отчетност. Без правила, дори добронамереното архивиране на документи може да се превърне в тежък регулаторен капан. Нарушението в Нюрнберг не се случи, защото са използвали технологии, а защото са ги използвали без ограничения и без контрол.
Национални Архиви подпомага организации от публичния и частния сектор при изграждането на правилно структурирано управление на архиви. С повече от 20 години опит в архивирането, съчетан с дълбоко познаване на нормативната рамка, ние сме надеждният партньор, който ще превърне съответствието с GDPR от тежко административно бреме в едно от вашите сериозни конкурентни предимства.
Не чакайте грешка в конфигурацията да ви изненада – подредете архива си с нас още днес.
Абонирайте се за нашия бюлетин
"*" показва задължителните полета