英國GDPR重罰再出手，萬豪國際因資料外洩遭罰9900萬英鎊

繼昨天對英國航空（British Airways）祭出將近2億英鎊的處分後，英國資料保護主管機關再對2018年外洩5億客戶資料的全球最大飯店連鎖萬豪國際（Marriott International），重罰9,900萬英鎊（38.4億台幣）。

去年12月萬豪國際公佈旗下連鎖之一的喜達屋（Starwood）客戶訂房資料庫遭入侵，波及W Hotels、喜來登、威斯汀、艾美等知名飯店的住客資料。英國資訊專員辦公室（Information Commissioner's Office，ICO）周二以違反GDPR法為由，計畫判罰萬豪99,200,396英鎊。

ICO去年11月接獲萬豪通報後啟動調查，報告顯示全球近3.4億名住客資料外洩，其中包括31個歐洲經濟區國家的3千萬居民以及7百萬英國居民。

這起事件的主角喜達屋飯店集團2014年即已被駭，而後該集團於2016年被萬豪國際收購，直到2018年問題才爆發。ICO認為萬豪在收購喜達屋前並未做充份的盡職調查，以致未能投入更多以確保系統安全。

ICO主席Elizabeth Denham指出，GDPR法規清楚規定企業有責任保障其持有的個資，包括在進行企業收購時，應做適當的盡職調查（due diligence）及具備適當的權責措施，以評估收購了何種個資、及要如何保障。她並指出個資有其價值，一如其他資產，企業有確保其安全性的法律責任。如果企業失職，ICO必要時不惜採取強制手段保護公眾權利。

不過ICO表示萬豪集團在調查過程中展現配合，也在事發後改善安全管理，因此一如英航得以提出抗辯。而本事件影響到的其他歐盟國家也可以表達意見，以作為最終判決的參考。

萬豪周一透過向美國證管會遞交的文件對英國ICO的處分表達失望，將提出抗辯。該公司總裁暨執行長Arne Sorenson說，此事件源於喜達屋住客訂房資料庫遭犯罪攻擊，而且萬豪也積極配合ICO的調查。對於ICO的處份，萬豪將全力捍衛自己的立場。

此外，喜達屋遭駭的住客訂房資料已不再用於業務營運。該公司表示極為重視客戶資訊的隱私和安全性，將持續致力於滿足客戶的期望標準。

英國航空本周因去年9月的資料外洩事件遭英國主管機關重罰1.83億英鎊，創下GDPR上路以來ICO祭出最嚴厲的處份。

高高舉起，輕輕放下！萬豪國際資料外洩只被英國判罰1,840萬英鎊

負責資料保護的英國資訊專員辦公室（Information Commissioner's Office，ICO），上周針對全球最大連鎖飯店萬豪國際（Marriott International）的資料外洩事件作出正式裁決，判罰1,840萬英鎊（約7億元新台幣），一如外界預期，真正的裁罰不到最初判罰9,900萬英鎊的1/5，與英國航空資料外洩案如出一轍。

根據ICO的調查，喜達屋酒店及度假酒店國際集團（Starwood Hotels & Resorts Worldwide, Inc.）是在2014年遭到網路攻擊，而此一攻擊卻是到2018年9月才被發現，至於萬豪國際則是在2016年才買下喜達屋。

調查顯示，駭客先是在喜達屋的系統中植入了Web Shell，進而安裝惡意程式以讓駭客取得系統的存取特權，以及蒐集其它使用者的登入憑證。

相關的攻擊釀成喜達屋酒店及度假酒店國際集團的3.39億名房客的資料外洩，包括姓名、電子郵件帳號、電話號碼、未加密的護照號碼、航班資訊、VIP狀態與會員卡號碼等，當中有700萬名房客為英國人。

ICO說明，雖然攻擊始於2014年，但計算罰款的時間點則是自GDPR生效的2018年5月25日起，在去年7月宣布將開罰之後，萬豪國際已採取諸多措施來改善系統的安全性並減輕資料外洩所造成的影響，再加上考量飯店業因疫情所帶來的經濟衝擊，酌情作出最終處分。