萬(wàn)豪三億客人信息泄露終被罰1.6億 仍面臨多項(xiàng)集體訴訟
摘要：萬(wàn)豪國(guó)際酒店集團(tuán)旗下喜達(dá)屋酒店3.39億客人個(gè)人信息泄露事件
時(shí)隔兩年，萬(wàn)豪國(guó)際酒店集團(tuán)旗下喜達(dá)屋酒店3.39億客人個(gè)人信息泄露事件暫時(shí)告一段落。
當(dāng)?shù)貢r(shí)間10月30日，英國(guó)信息專員辦公室（Information Commissioner’s Office, ICO）發(fā)布聲明稱，因未能保護(hù)客戶個(gè)人數(shù)據(jù)安全，對(duì)萬(wàn)豪處以1840萬(wàn)英鎊（約合人民幣1.6億元）罰款。
隱私護(hù)衛(wèi)隊(duì)注意到，這一金額遠(yuǎn)低于ICO在罰款意向通知中提出的9920萬(wàn)英鎊（約合人民幣8.5億元）。ICO稱，本次處罰只針對(duì)萬(wàn)豪在歐盟《通用數(shù)據(jù)保護(hù)條例》（GDPR）生效后的違規(guī)行為。
因采取補(bǔ)救措施和疫情影響，罰款金額大幅減少
信息泄露事件曝光于2018年11月30日。彼時(shí)萬(wàn)豪稱，旗下喜達(dá)屋酒店預(yù)訂數(shù)據(jù)庫(kù)中約5億客人信息或泄露。
根據(jù)萬(wàn)豪的聲明，泄露的客人信息包括姓名、郵寄地址、電話號(hào)碼、電子郵件地址、護(hù)照號(hào)碼、出生日期、性別、入住與退房時(shí)間、預(yù)訂日期和通信偏好等信息，還有部分客人的支付卡卡號(hào)和有效期。
經(jīng)過(guò)調(diào)查，ICO最終將受影響的客人數(shù)量確認(rèn)為3.39億。其中3000萬(wàn)來(lái)自歐洲經(jīng)濟(jì)區(qū)（EEA）覆蓋的31個(gè)國(guó)家，受到影響的英國(guó)居民約有700萬(wàn)。
盡管事件曝光于GDPR生效之后，但I(xiàn)CO指出，事件起因是喜達(dá)屋酒店在2014年遭受的網(wǎng)絡(luò)攻擊，而萬(wàn)豪是2016年收購(gòu)喜達(dá)屋酒店之后，才于2018年9月發(fā)現(xiàn)這一漏洞。
攻擊者通過(guò)向喜達(dá)屋酒店的系統(tǒng)設(shè)備植入惡意代碼、安裝惡意軟件，可以特權(quán)用戶的身份遠(yuǎn)程訪問(wèn)系統(tǒng)，導(dǎo)出喜達(dá)屋酒店預(yù)訂數(shù)據(jù)庫(kù)中的數(shù)據(jù)。
2019年7月，ICO曾發(fā)布公告，稱萬(wàn)豪在收購(gòu)喜達(dá)屋酒店時(shí)未進(jìn)行充分調(diào)查，它本應(yīng)采取更多措施來(lái)保護(hù)其系統(tǒng)。“GDPR明確要求數(shù)據(jù)持有者對(duì)其掌握的個(gè)人數(shù)據(jù)負(fù)責(zé)，這就包括了在收購(gòu)時(shí)進(jìn)行充分調(diào)查，不僅是對(duì)個(gè)人數(shù)據(jù)本身，也要評(píng)估它的相應(yīng)保護(hù)措施。”信息專員Elizabeth Denham說(shuō)。
因此，ICO對(duì)萬(wàn)豪發(fā)出了金額高達(dá)9920萬(wàn)英鎊的罰款意向通知——這一數(shù)額約占萬(wàn)豪2018年全球營(yíng)收的3%。不過(guò)這并非最終決定，萬(wàn)豪仍有機(jī)會(huì)就ICO提出的調(diào)查結(jié)果和制裁進(jìn)行陳述。
隨后，萬(wàn)豪在提交給美國(guó)證券交易委員會(huì)的一份文件中表示，對(duì)ICO的決定“非常失望”，并稱將“發(fā)起抗辯”。萬(wàn)豪強(qiáng)調(diào)，在此次數(shù)據(jù)泄露事件中遭到入侵的喜達(dá)屋預(yù)訂系統(tǒng)已經(jīng)不再在商業(yè)運(yùn)營(yíng)中使用。
收到萬(wàn)豪的反饋后，ICO在10月30日的聲明中認(rèn)可了萬(wàn)豪在發(fā)現(xiàn)問(wèn)題后立即聯(lián)系客戶和ICO，采取快速行動(dòng)減輕客戶遭受損害的風(fēng)險(xiǎn)，實(shí)施了多項(xiàng)措施提高其系統(tǒng)安全性等行為，并綜合考慮了萬(wàn)豪為減輕事件影響所采取的措施，以及疫情對(duì)其業(yè)務(wù)的經(jīng)濟(jì)影響等多重因素，最終決定對(duì)其處以1840萬(wàn)英鎊的罰款。
“個(gè)人數(shù)據(jù)非常寶貴，企業(yè)必須照顧好它。”Denham說(shuō)，“當(dāng)一家企業(yè)無(wú)法保護(hù)客戶數(shù)據(jù)時(shí)，其影響不僅僅是可能被罰款。最重要的是，企業(yè)應(yīng)該負(fù)起保護(hù)公眾數(shù)據(jù)的責(zé)任。”
ICO還提到，由于這起事件發(fā)生在英國(guó)脫歐之前，ICO是作為主要監(jiān)管機(jī)構(gòu)代表所有歐盟當(dāng)局進(jìn)行調(diào)查，其處罰和行動(dòng)均符合GDPR的程序要求，并已得到各歐盟國(guó)家數(shù)據(jù)保護(hù)機(jī)構(gòu)批準(zhǔn)。
除了罰款，萬(wàn)豪還面臨多個(gè)集體訴訟
隱私護(hù)衛(wèi)隊(duì)梳理發(fā)現(xiàn)，ICO罰款大幅“縮水”并非首例。
就在10月16日，ICO剛剛宣布了GDPR生效后最高金額的一筆罰款——英國(guó)航空42萬(wàn)名客戶和員工的姓名、地址、銀行卡號(hào)、CVV碼等個(gè)人信息泄露。ICO認(rèn)為，英航脆弱的安全防護(hù)措施是造成這起事件的重要原因，對(duì)其處以2000萬(wàn)英鎊罰款。
與萬(wàn)豪類似，在ICO原本發(fā)出的罰款意向通知中，罰款金額為1.83億英鎊，約占英航2018年收入的1.5%。針對(duì)這一變化，ICO表示，是考慮到英航因疫情面臨的經(jīng)濟(jì)影響，以及英航為解決這一問(wèn)題所做的工作等因素，降低了罰款。
對(duì)此，有觀點(diǎn)認(rèn)為，這一舉措突顯了新冠疫情對(duì)監(jiān)管的影響。就英航的罰款而言，在相關(guān)公司已經(jīng)陷入困境的情況下，監(jiān)管機(jī)構(gòu)選擇在財(cái)務(wù)處罰方面采取不那么強(qiáng)硬的態(tài)度。
不過(guò)，對(duì)于波及人數(shù)更多、產(chǎn)業(yè)鏈遍布全球的萬(wàn)豪來(lái)說(shuō)，它面臨的麻煩可能遠(yuǎn)不止ICO的罰款。
公開(kāi)資料顯示，事件發(fā)生后，美國(guó)聯(lián)邦調(diào)查局表示密切關(guān)注，紐約、馬薩諸塞、馬里蘭和伊利諾伊等各州的總檢察長(zhǎng)也紛紛開(kāi)始著手調(diào)查此事。此外，僅2018年，就有個(gè)人和律所對(duì)萬(wàn)豪提起了至少兩起集體訴訟，索賠超百億美元。
據(jù)不完全統(tǒng)計(jì)，截至目前，萬(wàn)豪因此次信息泄露事件，在美國(guó)、加拿大等地均面臨訴訟。2019年上半年，美國(guó)一名法官將11個(gè)集體訴訟合并為一個(gè)。今年二月，一名法官裁定，應(yīng)繼續(xù)對(duì)萬(wàn)豪發(fā)起訴訟。
不過(guò)，據(jù)隱私護(hù)衛(wèi)隊(duì)了解，在歷史案例中，這類集體訴訟通常需要數(shù)年時(shí)間才能進(jìn)入審判階段，并且大多數(shù)情況下會(huì)達(dá)成和解。
來(lái)源：隱私護(hù)衛(wèi)隊(duì)
發(fā)布者：吳芳 點(diǎn)擊數(shù)：2993 發(fā)布時(shí)間：2020-11-06 17:20:58 更新時(shí)間：2020-12-14 14:12:27
