Prasiet 10 000 eiro? Jurists skaidro, cik “vienkārši” pēc CSDD datu noplūdes varētu būt saņemt šādu kompensāciju 0
Ceļu satiksmes un drošības direkcija (CSDD) piedzīvoja kiberuzbrukumu tās pārziņā esošajam Reģistra modulim, un incidents skāris aptuveni 1,2 miljonus iedzīvotāju. Pēc notikušā sociālajos tīklos un dažādās interneta vietnēs izplatās aicinājumi nekavējoties prasīt no CSDD pat 10 000 eiro lielu kompensāciju, radot iespaidu, ka šāda atlīdzība pienākas teju automātiski ikvienam, kura dati nonākuši trešo personu rīcībā.
Taču vai tiešām viss ir tik vienkārši? LA.LV lūdza jurista Edija Liepiņa skaidrojumu, kurā viņš, atsaucoties uz Eiropas Savienības Tiesas praksi un Vispārīgo datu aizsardzības regulu, skaidro, kādos gadījumos kompensāciju patiešām var prasīt, kas cietušajam būtu jāpierāda un kāpēc pats datu noplūdes fakts vēl automātiski nenozīmē tiesības saņemt 10 000 eiro.
Turpinājumā jurista skaidrojums!
Arī es (jurists Edijs Liepiņš, www.mansjurists.lv) esmu saņēmis no saviem klientiem, draugiem neskaitāmus jautājumus saistībā ar veikto kiberuzbrukumu CSDD pārziņā esošajam Reģistra modulim. Tā kā šis jautājums attiecas uz aptuveni uz 1,2 miljoniem iedzīvotāju, tad atbildes varētu interesēt ne tikai manus klientu un draugus.
Interneta tīmekļa vietnēs un aplikācijās ir sastopami ļoti daudz cilvēku, kuri aicina rīkoties un bez vilcināšanās pieprasīt no CSDD EUR 10 000.
Šo rakstu, videomateriālu autori apgalvo, ka jebkuram pienākas šī kompensācija, jo personas dati ir noplūduši. Autentificējoties e-CSDD portālā katrs pats var aplūkot to vai un kādi dati ir nonākuši trešo personu rīcībā.
Lai precīzāk izprastu CSDD gadījumu, aplūkosim Eiropas Savienības Tiesas 2023.gada 14.decembra lietu Nr.C-340/21 (prejudiciālais nolēmums). Natsionalna agentsia za prihodite (NAP) ir Bulgārijas finanšu ministra padotībā esoša iestāde, kuras uzdevumos ietilpst publisko līdzekļu uzskaite, glabāšana un iekasēšana. Vispārīgā datu aizsardzības regulas (turpmāk tekstā – VDAR) 4.panta 7.punkta izpratnē NAP ir personas datu apstrādes pārzinis.
2019.gada 15.jūlijā plašsaziņas līdzekļi atklāja, ka ir notikusi neatļauta piekļuve NAP IT sistēmai un, ka pēc šī kiberuzbrukuma tīmeklī ir publicēti vairāk nekā 6 miljoni fizisko personu dati. Tika iesniegta prasība tiesā pret NAP ar lūgumu atlīdzināt nemateriālo kaitējumu, kas esot radies izpaužot šos personu datus. Nodarītais morālais kaitējums ir izpaudies kā bažas, ka personas dati, kas publicēti bez piekrišanas, nākotnē varētu tikt ļaunprātīgi izmantoti vai, ka pret viņu varētu tikt vērsta šantāža, uzbrukums vai pat nolaupīšana.
Minētajā lietā Eiropas Savienības tiesa norādīja uz sekojošo.
VDAR 24. un 32.pantu nevar interpretēt tā, ka pati datu noplūde vai trešo personu piekļuve datiem automātiski pierāda pārziņa drošības pasākumu neatbilstību. Pārzinim vienmēr ir jādod iespēja pierādīt pretējo. Turklāt no VDAR 82.panta 2. un 3.punkta izriet, ka, lai gan pārzinis ir atbildīgs par kaitējumu, ko radījusi apstrāde, kas ir šīs regulas pārkāpums, tas tomēr ir atbrīvots no atbildības, ja tas pierāda, ka par notikumu, kas izraisījis kaitējumu, tas nekādi nav vainojams.
Līdz ar minēto, pati personas datu noplūde vai trešo personu neatļauta piekļuve datiem vēl nenozīmē, ka pārziņa ieviestie tehniskie un organizatoriskie drošības pasākumi ir bijuši neatbilstoši.
Lai gan datu pārzinim ir noteikta rīcības brīvība drošības pasākumu izvēlē, atbilstoši VDAR 32.pantam, tiesai ir pienākums tos rūpīgi pārbaudīt pēc būtības, novērtējot, vai šo pasākumu raksturs, saturs un faktiskā īstenošana patiesībā atbilst pastāvošajiem riskiem. Saskaņā ar VDAR 24. un 32.pantu pārzinim ir nepārprotams pienākums ne tikai ieviest atbilstošus tehniskos un organizatoriskos pasākumus, bet arī spēt pierādīt, ka datu apstrāde notiek pilnībā saskaņā ar VDAR prasībām.
Ja datu aizsardzības pārkāpumu izraisījuši kibernoziedznieki (trešās personas), pārzinis par to nav atbildīgs, izņemot gadījumus, kad tas nav ievērojis VDAR noteiktās drošības prasības (piemēram, 5. panta 1.punkta f) apakšpunktu, 24. un 32.pantu) un tādējādi pats veicinājis šo pārkāpumu. Līdz ar to
trešās personas izraisītas noplūdes gadījumā pārzinis var tikt atbrīvots no atbildības
saskaņā ar VDAR 82.panta 3.punktu, ja tas pierāda, ka starp tā iespējamajiem drošības pārkāpumiem un cietušajam nodarīto kaitējumu nepastāv cēloņsakarība.
Eiropas Savienības Tiesa ir atzinusi, ka saskaņā ar VDAR 82.panta 1. punktu datu subjekta bažas un uztraukums par to, ka viņa dati regulas pārkāpuma dēļ varētu tikt izmantoti ļaunprātīgi, jau paši par sevi ir uzskatāmi par „nemateriālo kaitējumu”. Tajā pašā laikā Tiesa lietā Nr.C-300/21 ir norādījusi: “Tomēr jāuzsver, ka personai, kuru skāris VDAR pārkāpums un kurai no tā ir radušās negatīvas sekas, ir jāpierāda, ka šīs sekas rada nemateriālo kaitējumu šīs regulas 82.panta izpratnē.”. Minētajā lietā UI iesniedza prasību, lai saņemtu atlīdzinājumu par nemateriālo kaitējumu. Österreichische Post AG apstrādāja datus par Austrijā dzīvojošo personu, konkrēti arī viņa paša, politiskajām simpātijām, lai gan viņš nebija piekritis šādai apstrādei.
Minētā sabiedrība, sākot no 2017.gada apkopoja informāciju par Austrijas iedzīvotāju politiskajām simpātijām. Izmantojot īpašu algoritmu un sociāldemogrāfiskos rādītājus, uzņēmums veidoja „mērķgrupu adreses” un pārdeva šos datus dažādām organizācijām mērķtiecīgu reklāmas kampaņu rīkošanai.
Minētajā lietā Eiropas Savienības Tiesa secināja, ka jebkurš VDAR pārkāpums automātiski nedod tiesības uz kompensāciju. Saskaņā ar VDAR 82.panta 2.punktu tiesības uz kompensāciju rodas tikai tad, ja vienlaikus izpildās trīs nosacījumi: ir pieļauts regulas pārkāpums, datu subjektam ir nodarīts kaitējums, un starp šo nelikumīgo apstrādi un radīto kaitējumu pastāv tieša cēloņsakarība.
Eiropas Savienības Tiesa norādīja “[…] VDAR 82.panta 1.punkts ir jāinterpretē tādējādi, ka ar vienkāršu šīs regulas tiesību normu pārkāpumu vien nepietiek, lai varētu piešķirt tiesības uz kompensāciju.”.
Papildus ir jāuzsver, ka ņemot vērā to, cik strauji attīstās mākslīgais intelekts, automatizētās uzbrukumu sistēmas un dažādi digitālie rīki, var secināt, ka šāda veida sarežģīti kiberuzbrukumi un mēģinājumi iegūt datus nākotnē notiks arvien biežāk, tāpēc datu aizsardzības un drošības jautājumi prasīs pastiprinātu uzmanību gan valsts iestādēm, gan komersantiem. Papildus jāņem vērā arī tas, ka liela daļa pamatinformācijas par personām jau tāpat ir likumīgi un publiski atrodama valsts uzturētajos reģistros, piemēram, Uzņēmumu reģistra publiskajā datubāzē, ko ir lietderīgi apzināties, ja gatavojaties iesniegt prasību par šo gadījumu tiesā.
Kopsavilkums
Rezumējot CSDD reģistra moduļa datu incidentu un Eiropas Savienības Tiesas nostāju, secināms, ka pati personas datu noplūde vai trešo personu (kibernoziedznieku) īstenots uzbrukums automātiski nenozīmē to, ka datu pārzinis ir rīkojies prettiesiski, ne arī to, ka katram iedzīvotājam pienākas automātiska kompensācija, piemēram, EUR 10000,00 apmērā.
Saskaņā ar EST atziņām (lietas Nr.C-340/21 un Nr.C-300/21), lai celtu prasību par kompensāciju,
ir jāpastāv trim kumulatīviem priekšnosacījumiem: VDAR pārkāpumam, reālam kaitējumam un tiešai cēloņsakarībai starp tiem. Lai gan personas bažas par datu iespējamu ļaunprātīgu izmantošanu nākotnē var tikt atzītas par nemateriālu kaitējumu, tām ir jābūt pamatotām konkrētajos apstākļos, un cietušajam ir pienākums šīs sekas pierādīt.
Savukārt pārzinis var tikt pilnībā atbrīvots no atbildības, ja tas pierāda, ka tā ieviestie tehniskie un organizatoriskie drošības pasākumi bija atbilstoši un tas nav nekādā veidā vainojams notikušajā.
