Britský dozorový úřad Information Commissioner’s Office („ICO“) udělil 7. srpna 2026 formální napomenutí organizaci ACRO Criminal Records Office v souvislosti s nedostatky v oblasti kybernetické bezpečnosti. Incident mohl zasáhnout osobní údaje až 10 920 osob včetně mimořádně citlivých údajů týkajících se trestné činnosti, biometrických údajů a finančních informací. Případ je významný zejména tím, že ICO nepovažoval za problém pouze technické selhání, ale také nedostatek jasně nastavené organizační odpovědnosti.
Co se stalo?
ACRO Criminal Records Office poskytuje policejní služby související mimo jiné s vydáváním potvrzení o bezúhonnosti, mezinárodních certifikátů týkajících se ochrany dětí a vyřizováním žádostí o přístup k osobním údajům.
V období od srpna 2022 do března 2023 získal útočník neoprávněný přístup k webovým stránkám ACRO a jejímu systému pro správu obsahu (CMS). Útočník následně získal možnost připravovat osobní údaje k jejich potenciálnímu odcizení. ACRO však nedokázala s jistotou určit, zda byly tyto údaje ze systému skutečně odcizeny.
Potenciálně mohlo být zasaženo až 10 920 osob.
Mezi údaje, které mohly být vystaveny riziku, patřily například:
jméno, datum narození a adresa,
číslo National Insurance,
údaje z pasu a řidičského průkazu,
bankovní údaje,
biometrické údaje,
údaje týkající se odsouzení a trestných činů,
další zvláštní kategorie osobních údajů.
Jednalo se tedy o kombinaci identifikačních, finančních, biometrických a mimořádně citlivých údajů.
Problém nebyl pouze v útoku
Zajímavé je, že ICO nezaměřil svou pozornost pouze na samotný kybernetický útok. Podstatnou otázkou bylo, zda měla ACRO nastavena přiměřená technická a organizační opatření k jeho prevenci a včasné detekci.
ICO identifikoval několik nedostatků.
ACRO využívala externí dodavatele k poskytování některých bezpečnostních služeb včetně správy bezpečnostních aktualizací. Nebylo však dostatečně jasně určeno, kdo je odpovědný za identifikaci a monitorování kritických aktualizací CMS.
Zároveň nefungoval efektivní proces správy bezpečnostních záplat a ACRO přiměřeně nereagovala na bezpečnostní upozornění, která mohla pomoci identifikovat aktivitu útočníka dříve.
Právě tento aspekt je z pohledu GDPR mimořádně důležitý.
Outsourcing bezpečnostních činností totiž neznamená outsourcing odpovědnosti za ochranu osobních údajů.
Pokud organizace pověří externího dodavatele správou systému, monitorováním bezpečnosti nebo patch managementem, musí mít stále jasno v tom, kdo:
identifikuje bezpečnostní zranitelnosti,
sleduje dostupnost bezpečnostních aktualizací,
rozhoduje o jejich aplikaci,
zajišťuje jejich implementaci,
monitoruje bezpečnostní incidenty a upozornění,
a zajišťuje eskalaci zjištěného problému.
Nestačí tedy mít uzavřenou smlouvu s IT dodavatelem. Organizace musí být schopna prokázat, že bezpečnostní procesy fungují i v praxi.
Porušení článku 32 UK GDPR
ICO konstatoval porušení článku 32 UK GDPR, konkrétně článku 32 odst. 1, 32 odst. 1 písm. b) a 32 odst. 1 písm. d).
Článek 32 vyžaduje, aby správce a zpracovatel s ohledem na stav techniky, náklady na provedení opatření, povahu, rozsah, kontext a účely zpracování, jakož i riziko pro práva a svobody fyzických osob, přijali přiměřená technická a organizační opatření.
Mezi tato opatření patří mimo jiné schopnost zajistit trvalou důvěrnost, integritu, dostupnost a odolnost systémů zpracování osobních údajů a také proces pravidelného testování a hodnocení účinnosti přijatých bezpečnostních opatření.
V případě ACRO proto nešlo pouze o otázku, zda měla organizace určitý bezpečnostní systém. Rozhodující bylo, zda měla nastaven funkční proces, který zajišťoval jeho průběžnou údržbu, monitorování a reakci na identifikované hrozby.
Mimořádně citlivé údaje zvyšují riziko
Údaje o trestných činech a odsouzeních požívají podle UK GDPR zvláštní ochranu. ICO ve své metodice zdůrazňuje, že pravidla se nevztahují pouze na informace o pravomocných odsouzeních, ale také na údaje týkající se podezření nebo obvinění z trestné činnosti.
Při posuzování přiměřenosti bezpečnostních opatření proto nelze ignorovat povahu zpracovávaných údajů. Čím citlivější údaje organizace zpracovává, tím větší riziko může představovat jejich kompromitace a tím vyšší nároky lze očekávat na bezpečnostní opatření.
ICO zároveň uvádí, že při zpracování údajů o trestných činech je třeba věnovat zvláštní pozornost například minimalizaci údajů, bezpečnosti, transparentnosti, dokumentaci a v relevantních případech také posouzení vlivu na ochranu osobních údajů (DPIA).
Proč ICO uložil napomenutí a nikoli pokutu?
ICO ACRO neuložil finanční pokutu, ale vydal formální napomenutí.
Při rozhodování zohlednil také skutečnost, že ACRO po incidentu přijala řadu nápravných opatření. Kompromitovaná infrastruktura byla vyřazena, služby byly přesunuty do jiného prostředí a byla zavedena opatření pro lepší monitorování bezpečnostních hrozeb. ACRO zároveň posílila segmentaci sítě.
Právě síťová segmentace pomohla omezit možnost útočníka proniknout z kompromitovaného webového prostředí do dalších klíčových systémů.
To ukazuje, že při hodnocení porušení článku 32 GDPR není rozhodující pouze to, zda k incidentu došlo, ale také celkový kontext, přijatá opatření, úroveň rizika a následná reakce organizace.
Co by organizace měla mít jasně definováno:
Kdo je odpovědný za bezpečnost? Ne pouze formálně, ale také prakticky.
Kdo sleduje bezpečnostní aktualizace? Pokud není jasné, kdo má sledovat dostupnost kritických patchů, může zranitelnost zůstat neopravená po celé měsíce.
Kdo reaguje na bezpečnostní alerty? Samotný bezpečnostní nástroj nestačí. Organizace musí zajistit, aby byla upozornění monitorována, vyhodnocována a v případě potřeby eskalována.
Jsou pravidla outsourcingu dostatečně jasná? Pokud jsou bezpečnostní služby zajišťovány externím dodavatelem, musí být jasné, jaké povinnosti má dodavatel a jakým způsobem organizace kontroluje jejich plnění.
Jsou bezpečnostní opatření pravidelně testována? Článek 32 GDPR nevyžaduje jednorázové přijetí bezpečnostních opatření. Organizace musí průběžně ověřovat, zda jsou tato opatření s ohledem na aktuální rizika stále přiměřená a účinná.
Závěr
Nejdůležitějším poselstvím rozhodnutí ICO přitom není samotný hackerský útok. Útoky nelze vždy zcela eliminovat. Organizace však musí být schopna prokázat, že má nastaveny přiměřené procesy pro identifikaci zranitelností, aplikaci bezpečnostních aktualizací, monitoring a reakci na incidenty.
Stejně důležitá je jasná odpovědnost. Ani využití externího IT dodavatele nezbavuje organizaci povinnosti zajistit, aby ochrana osobních údajů fungovala v praxi.
ACRO nakonec ukazuje také druhou stránku věci: kvalitní bezpečnostní opatření, jako je síťová segmentace, mohou výrazně omezit rozsah incidentu. GDPR proto nelze chápat pouze jako soubor administrativních povinností. V případě bezpečnosti osobních údajů jde také o schopnost organizace reálně chránit systémy a údaje, které jí byly svěřeny.
