NGO fordert von Serasa Experian eine Geldstrafe von 200 Millionen R$ wegen Datenlecks
Das brasilianische Institut für den Schutz personenbezogener Daten, die Einhaltung von Vorschriften und die Informationssicherheit (HEIMLICHKEIT) reichte vor einem Bundesgericht Klage gegen Serasa Experian ein, weil Sicherheitsverletzung, die rund 220 Millionen CPFs offenlegte und 40 Millionen brasilianische CNPJs im Januar. Laut der Klage fordert die NGO Sigilo von Serasa eine Geldstrafe von 220 Millionen R$ für das Leck.
Laut Sigilo wäre Serasa Experian für die Fragilität der Daten der brasilianischen Bevölkerung verantwortlich, die zu einer Entschädigung für kollektive moralische und materielle Schäden verpflichtet ist. Die beantragte Geldbuße wird jedoch nicht an den Antragsteller zurückgezahlt, sondern an die Sonderfonds für diffuse Rechte (FID), eine durch die Verfassung von 1989 geschaffene Institution, die als Wiedergutmachung für der Gesellschaft entstandene Schäden fungieren soll.
Laut Sigilo fordert die Klage neben der Geldstrafe auch eine Entschädigung in Höhe von 15 R$ für jede betroffene Person. Zudem wird Serasa verpflichtet, alle betroffenen Personen und juristischen Personen zu identifizieren und zu benachrichtigen. Bei Nichtbefolgung der Benachrichtigungen sieht die Klage zudem eine tägliche Geldstrafe von 10 R$ vor.
48h zur Klärung
Noch wichtiger als die Geldstrafe und die Benachrichtigung der Betroffenen ist die Forderung an Serasa Experian, innerhalb von 48 Stunden offenzulegen, welche Informationssicherheitsvorfälle zum Abfluss der Daten der Bevölkerung geführt haben.
Diese Klarstellung kann über die offiziellen Kanäle des Unternehmens in den sozialen Medien erfolgen. Darüber hinaus muss sich Serasa dazu verpflichten, technische Maßnahmen zu ergreifen, um die aus dem Internet durchgesickerten Daten zu reparieren und so die Verluste zu stoppen.
Verstehen Sie die Falle
In der Woche vom 20. Januar stellten mehrere digitale Sicherheitsunternehmen fest, dass Millionen von CPFs und CNPJs im Internet abgegriffen wurden. Die bisher unbekannte Datenquelle bezog sich Berichten zufolge auf sensible Daten wie Telefonrechnungen, DETRAN-Daten, Kreditauskünfte und Steuerunterlagen.
Die Veröffentlichung dieser Daten erfolgte asynchron in zwei Schritten über das Deep Web. Zunächst wurden Dateien veröffentlicht, die nur die CPFs der Bevölkerung enthielten. Anschließend erschienen weitere Datenbanken mit CNPJs.
Laut Angaben von Personen, die mit dem Material in Berührung gekommen sind, ist die durchgesickerte Datei rund 14 GB groß und enthält rund 220 Millionen Daten zum Geschäftsjahr 2019. Die Stammdatei dieser Daten trägt den Titel „Serasa Experian“.
Trotz der Beweise bestreitet das Kreditanalyse- und Vermittlungsunternehmen jegliche Verbindung zum Leck. Neben dem Sigilo-Institut sind auch andere Unternehmen wie Procon Sie fordern auch eine Position im Unternehmen.
Wie erkenne ich, ob meine Daten durchgesickert sind?
Leider immer noch Es gibt keine 100% sichere Möglichkeit, herauszufinden, ob Ihre Daten durchgesickert sind. Mit dem Leck tauchten viele Websites auf, die Folgendes anboten: Alternativen zur Identifizierung der Integrität Ihrer DatenBislang verfügt keines davon über eine Zertifizierung oder Genehmigung der Regierung und der für diese Art von Kontrollen zuständigen Stellen.
Geben Sie im Zweifelsfall Ihre Daten nicht preis. Und genau deshalb ist Serasas Position so wichtig. Auch wenn das Unternehmen nicht für die Sicherheitslücke verantwortlich ist, die zur Ansteckung der Bevölkerung geführt hat, ist es wichtig sicherzustellen, dass dies nicht erneut passiert.
Die Zahl der durchgesickerten Daten übersteigt die Zahl der aktiven CPFs in Brasilien. Das bedeutet, dass neben einem Großteil der Bevölkerung vermutlich auch bereits verstorbene Menschen betroffen waren.
Auch die Regierung macht Datenfreigabe verantwortlich
Obwohl symbolisch, könnte die Maßnahme, die eine Geldstrafe und Klarstellungen von Serasa Experian für das Leck fordert, lange dauern oder den entstandenen Schaden möglicherweise nicht einmal vollständig beheben. Tatsächlich gibt es in Brasilien eine Reihe von Elementen, die den Datenschutz der Bürger schwächen.
Unter den vielen Strukturelementen, wie das Fehlen einer zuständigen Stelle zur Überwachung der Anwendung des LGPDEines der Systeme, das die Sicherheit unserer Daten am meisten gefährdet, ist das Positive Registration-System.
Das Projekt, das 2003 vom damaligen Bundesabgeordneten Guilherme Afif Domingos vorgeschlagen wurde, Gesetz zur positiven Registrierung beschloss die Einrichtung einer Datenbank zur Analyse der Kreditwürdigkeit der Bevölkerung.
Nach einigem Hin und Her wurde das Projekt 2011 mit einem sehr gravierenden Mangel in Sachen Datensicherheit genehmigt: Es sah vor, dass alle wirtschaftlich aktiven Bürger automatisch in die Bank aufgenommen würden.
Im Gegensatz zu der bisherigen Vorgehensweise, bei der nur die Daten von Bürgern mit negativer Kreditwürdigkeit (Schuldner) erfasst wurden, begann das brasilianische Kreditsystem, eine viel größere Anzahl von Informationen zu speichern.
Erschwerend kommt hinzu, dass das Gesetz es den Bürgern ermöglicht, diese Bank über ein Antragssystem zu verlassen, das nur wenige Brasilianer kennen. In diesem Fall wäre das Gegenteil der Fall: eine Datenbank mit einer positiven Kreditanalyse, in die der Bürger aufgenommen werden möchte.
Wozu dient die Positivregistrierung?
Serasa Experian, SPC und ähnliche Unternehmen arbeiten grundsätzlich nach dem gleichen Prinzip und bieten Kreditanalysen für Unternehmen und Finanzinstitute an. Durch den Zugriff auf Ihre Daten ermitteln diese Unternehmen, ob Sie ein guter oder schlechter Zahler sind, und garantieren Ihnen Vorteile wie mehr Kredit auf dem Markt, niedrigere Zinsen für Finanzierungen usw.
Um mehr zu erfahren oder die Löschung Ihrer Daten aus dem Positivregister zu beantragen, wenden Sie sich am einfachsten an das Serasa Experian Kundenservicecenter unter der Telefonnummer 0800-7766606. Die Löschung muss innerhalb von zwei Werktagen erfolgen.
Bild: Markus Spiske/Unsplash
