加拿大公司Desjardins以1.55亿美元的代价达成数据泄露案和解- 大数跨境

合规小叨客

2022-06-22

近日，加拿大金融服务企业Desjardins集团与多名原告就数据泄露集体诉讼案达成庭外和解。Desjardins将为此支付2.01亿加元（约合1.55亿美元）。根据法庭文件披露，Desjardins在2019年6月20日对外披露，其一名前雇员在两年多的时间里，窃取了420万名成员和客户的个人和机密信息，包括他们的姓名、出生日期、社会保险号码，以及他们的交易习惯和使用的产品的某些信息，并在暗网市场和其他网络犯罪论坛上出售。

和解协议的细节将在网上公布，并将从7月21日开始在加拿大一些全国性和地方性报纸上公布。

根据双方达成的和解协议，任何受到数据泄露影响的人都已经可以在Equifax注册预付费信用监控服务，该服务从注册之日起为期五年。从下个月开始，任何受到黑客攻击影响的人都可以就处理黑客攻击所浪费的时间提出索赔，索赔费用为每小时18加元，最长不超过5小时。如果他们是身份盗窃的受害者，他们还可以提交最高1000加元的索赔。

据媒体报道，这是加拿大金融服务企业达成的金额最大的数据泄露和解协议。

但是这份和解协议并不能解决Desjardins因违约而提起的所有诉讼。2019年6月在加拿大不列颠哥伦比亚省提起的一项集体诉讼仍在继续。

隐私监管机构调查

2018年12月，Desjardins集团发现了这起数据泄露事件，并于2019年6月首次对披露。当时该集团还向加拿大隐私专员办公室(Office of the Privacy Commissioner of Canada，以下简称OPC)和魁北克省隐私监管机构CAI报告了这起泄露事件。两家监管机构随即展开了联合调查。

Desjardins最初怀疑约300万会员和客户的信息已被泄露。但随着监管机构的调查深入，Desjardins报告称，被曝光的信息实际上涉及420万名客户。

数据泄露是如何发生的

2020年，OPC发布了一份关于Desjardins集团在2017年至2019年期间遵守《个人信息保护与电子文件法》（ Personal Information Protection and Electronic Documents Act，以下简称PIPEDA）合规情况的报告，提到这名涉案前雇员涉嫌窃取客户数据的时间跨度至少为26个月。

OPC发现，被泄露的信息被存储在两个数据库中：一个用于保存信贷数据，另一个用于保存银行业务。虽然用于保存银行业务的数据库对机密信息的访问是受限制的，但是用于保存信贷数据的数据库并没有这样的管控，任何能够访问该数据库的人都可以查看存储的所有内容。

此外，OPC发现，拥有足够访问权限的销售员定期将机密信息从两个数据库复制到共享的销售活动中。OPC报告称，“一旦信息被转移，那些原来没有授权访问数据库中机密信息的员工就可以自由访问这些信息。在2017年3月至2019年5月期间，这名前雇员从共享驱动器中复制了他在银行数据库中无访问权限的信息到他的工作电脑上，然后复制到U盘中”，所有这些“都违反了他在受雇期间签署的保密协议”。