Spize didenda S$20,000 selepas data 150 pelanggan dibocorkan

SINGAPURA: Pengendali restoran makanan dan minuman (F&B) Spize didenda S$20,000 selepas data peribadi sekitar 150 pelanggannya didedahkan melalui portal tempahan onlinenya pada 2017.

Berdasarkan keputusan yang bertarikh 4 Julai yang diterbitkan di laman Suruhanjaya Perlindungan Data Peribadi (PDPC), suruhanjaya tersebut mendedahkan bahawa pihaknya menerima aduan daripada orang awam pada 12 Ogos 2017.

"Satu pautan ke laman yang diberi nama Call Center membolehkan orang ramai melihat tiga wadah iaitu Pesanan Pelanggan, Restoran dan 'Dashboard' Pesanan. Pada wadah Dashboard, maklumat peribadi 148 pelanggan, khususnya nama, nombor telefon, alamat emel dan tempat tinggal mereka didedahkan," menurut PDPC.

Insiden tersebut disebabkan oleh seorang pengguna yang log masuk ke dalam akaun pentadbiran pengarah urusan untuk membolehkan pautan tersebut diakses oleh orang ramai meskipun ia sepatutnya untuk kegunaan dalaman sahaja.

Selepas dimaklumkan tentang insiden itu pada 14 Ogos 2017, Spize mendapatkan khidmat syarikat Amerika Syarikat, Novadine, yang dilantiknya sebelum ini untuk turut membangunkan serta menghoskan lamannya dan mempertingkatkan sistem pesanan onlinenya. Spize juga meminta Novadine supaya memperbaiki kelemahan dan memadamkan pautan itu.

Pautan tersebut tidak lagi boleh diakses sejak 16 Ogos 2017.

KELEMAHAN PERLINDUNGAN DATA SPIZE

Siasatan menunjukkan bahawa Spize gagal melaksanakan "langkah-langkah keselamatan yang sewajarnya" untuk mencegah pembocoran data seumpama itu.

Akaun pentadbir bagi sistem tersebut juga didapati tidak dilindungi oleh langkah pengesahan yang sewajarnya. Khususnya, akaun pengarah urusan boleh diakses menggunakan kata laluan asas dengan lapan angka yang dikongsi oleh beberapa kakitangan dan tidak ditukar dengan kerap.

Dengan itu, Spize tidak dapat mengenal pasti kakitangan yang bertanggungjawab ke atas pembocoran data itu.

SPIZE AMBIL LANGKAH SUSULAN LINDUNGI DATA

Beberapa faktor turut diambil kira oleh pihak Suruhanjaya dalam menentukan hukuman terhadap Spize.

Antara lain, Suruhanjaya itu akur bahawa Spize mengambil langkah segera untuk mengarahkan Novadine supaya memadamkan pautan tersebut. Spize juga memberikan kerjasama kepada ssiasatan yang dijalankan.

Menurut dokumen tersebut, Spize mendedahkan bahawa insiden berkenaan "tidak disengajakan dan berlaku akibat kesilapan manusia".

Dalam rayuannya, restoran itu berpendapat bahawa denda yang dikenakan adalah "terlalu berat" dan ia masih menanggung padahnya setelah salah sebuah cawangannya diarahkan supaya ditutup menyusuli penularan salmonela pada tahun lalu. Rayuan Spize untuk mengurangkan denda turut ditolak.