Уважаеми клиенти,
С настоящото на основание чл. 34, §1 от Регламент (ЕС) 2016/679 Ви уведомяваме относно нарушение на сигурността на личните данни, обработвани от Ай енд Джи Иншурънс Брокерс ЕООД.
1. Описание на нарушението
Ай енд Джи Иншурънс Брокерс ЕООД е застрахователен брокер, вписан в публичния регистър на Комисията за финансов надзор. С цел информационно управление на своята дейност дружеството обработва лични данни свързани със сключването на застрахователни договори. Дружеството е било обект на злонамерена хакерска атака, при която вероятно е засегната сигурността на част от личните данни, обработвани в информационната система за клиенти и нерегламентирано е получен достъп до информация съдържаща лични данни по смисъла на ОРЗД. Според обработващия лични данни нарушението се изразява в нарушение на поверителността на данните, настъпило в резултат на нерегламентирания достъп до информационната система за служители на дружеството, в която се въвеждат данни за клиенти и информация за вид застраховка. Според твърденията вероятно са компрометирани потребителско име и парола на един или няколко служители с ограничени права на достъп в информационната система за служители на дружеството. За докладвания от нас инцидент узнахме на 19.08.2023 г.
2. Категории и приблизителен брой на засегнатите субекти на данни. Категории и приблизително количество на засегнатите записи на лични данни.
2.1. От нарушението са засегнати следните категории субекти на данни: клиенти.
2.2. Засегнатите записи на лични данни на клиенти могат да включват: три имена, ЕГН, адрес, телефонен номер.
2.3. Данните за точния брой на засегнатите от нарушението лица и приблизителният брой засегнати записи на лични данни към момента на публикуване на настоящето уведомление не е известен.
3. Лице за контакт
И. Павлова – длъжностно лице за защита на данните
тел. за контакт:02 813 88 13
Електронна поща:dpo@iandgbrokers.com
4. Описание на евентуалните последици от нарушението на сигурността на личните данни
Евентуалните последици от нарушението на сигурността на личните данни следва да бъдат установени. Те могат да се изразяват в риск от нарушаване на правата и свободите на субектите на данни, който би могъл да доведе до материални или нематериални вреди за тях (напр. нарушаване на поверителността на личните данни и тяхното публично оповестяване или предоставяне на трети недобросъвестни лица и др.).
5. Описание на предприетите мерки за справяне с нарушението на сигурността на личните данни, включително по целесъобразност мерки за намаляване на евентуалните неблагоприятни последици
Към настоящия момент са предприети следните технически и организационни мерки:
· За инцидента е подаден сигнал в Главна дирекция „Борба с организираната престъпност“, която предстои да извършва разследване по случая;
· Дружеството е инициирало вътрешна проверка по случая;
· Уведомена е Комисията за защита на личните данни за нарушението;
· Променени са паролите на всички служители на дружеството в уеб приложението;
· Взети са допълнителни технически мерки за повишаване сигурността на обработваните лични данни от служителите на Ай енд Джи.
Съгласно предварителното ни заключение, нивото на риска за правата и свободите на засегнатите лица от предполагаемото нарушение на сигурността на личните данни е ограничено. Оценката е извършена на база естеството, обхвата, контекста, целите на обработването, както и множество други фактори в съответствие с Насоките относно оценката на въздействието върху защитата на данни (ОВЗД) и определяне дали съществува вероятност обработването „да породи висок риск“ за целите на Регламент 2016/679.
Публикуваме настоящото уведомление за Ваше сведение и оставаме в готовност своевременно да Ви информираме за свързаните с предполагаемото нарушение обстоятелства.