CSDD saņem ap 1400 iesniegumu: cik uzņēmumam var maksāt datu noplūde pēc GDPR?

CSDD kiberincidents vairs nav tikai jautājums par nozagtiem datiem un IT sistēmu drošību — tas kļūst par finansiālās atbildības pārbaudi. Direkcija saņēmusi ap 1400 ar incidentu saistītu iesniegumu, tostarp kompensācijas prasības.

Publiski zināms arī 10 000 eiro prasījums no personas, kuras noplūdušajos datos bijusi precīza dzīvesvietas adrese. Tomēr šī summa ir individuāls pieprasījums, nevis tiesas piespriesta kompensācija vai visiem gadījumiem piemērojams atlīdzības standarts. Arī 1400 iesniegumi nenozīmē 1400 atzītas kompensācijas prasības.

Kad pēc GDPR rodas tiesības uz kompensāciju?

Vispārīgās datu aizsardzības regulas jeb GDPR 82. pants paredz tiesības saņemt atlīdzību par materiālu vai nemateriālu kaitējumu. Lai kompensāciju saņemtu, nepieciešami trīs savstarpēji saistīti elementi:

• GDPR prasību pārkāpums;
• personai faktiski radīts materiāls vai nemateriāls kaitējums;
• cēloņsakarība starp pārkāpumu un konkrēto kaitējumu.

ES Tiesa ir atzinusi, ka nemateriālajam kaitējumam nav jāsasniedz noteikts minimālais smaguma slieksnis. Vienlaikus ar pašu GDPR pārkāpuma faktu nepietiek — personai jāpamato tai radītās sekas. Arī reālas bailes par datu iespējamu ļaunprātīgu izmantošanu var būt nemateriāls kaitējums, ja tās ir pierādāmas un saistītas ar konkrēto incidentu.

Vai kompensāciju piešķirs Datu valsts inspekcija?

Nē. Datu valsts inspekcija var izvērtēt, vai noticis datu aizsardzības pārkāpums, bet tā nenosaka un neizmaksā kompensāciju. LSM vēsta, ka augstas prioritātes lietu pārbaude praksē parasti var ilgt četrus līdz deviņus mēnešus.

Persona vispirms var vērsties pie organizācijas, kura apstrādāja datus. Ja vienošanās par atlīdzību netiek panākta, strīds risināms tiesā, kur katra prasība jāvērtē individuāli.

Vai prasījumi var izmaksāt vairāk nekā pats kiberuzbrukums?

Jā, šāds risks pastāv. Datu noplūdes kopējās izmaksas neveido tikai sistēmu atjaunošana. Finansiālā ekspozīcija var ietvert:

• IT izmeklēšanu, sistēmu atjaunošanu un drošības uzlabojumus;
• juristu, klientu atbalsta un incidenta administrēšanas izmaksas;
• iespējamos regulatora lēmumus un sankcijas;
• vienošanās vai tiesas piespriestas kompensācijas;
• tiesvedības izdevumus un reputācijas radītus zaudējumus.

Vienas personas pieprasītos 10 000 eiro nedrīkst vienkārši reizināt ar 1400 iesniegumiem. Taču arī noraidītu prasījumu izvērtēšana prasa darbinieku laiku, juridisko analīzi, dokumentus un aizstāvību. Masveida prasījumu gadījumā tieši administrēšanas un tiesvedības izmaksas var kļūt par vienu no lielākajām incidenta sekām.

Ko no CSDD gadījuma vajadzētu mācīties uzņēmumiem?

1. Samazināt glabāto datu apjomu: informāciju nevajadzētu uzglabāt ilgāk, nekā nepieciešams noteiktajam mērķim.
2. Saglabāt pierādījumus par drošības pasākumiem: uzņēmumam jāspēj pamatot, kā riski novērtēti un kontroles regulāri pārbaudītas.
3. Iekļaut kompensāciju prasības incidentu plānā: jābūt noteiktai kārtībai iesniegumu saņemšanai, izvērtēšanai un atbildēšanai.
4. Pārbaudīt kiberrisku apdrošināšanu: polisē atsevišķi jāvērtē incidenta izmeklēšana, juridiskā aizstāvība un datu subjektu prasījumi.

Biežākie jautājumi

Vai datu noplūde automātiski dod tiesības uz kompensāciju?

Nē. Jāpierāda pārkāpums, faktiski radīts kaitējums un cēloņsakarība starp tiem.

Vai uztraukums par nozagto datu izmantošanu var būt kaitējums?

Jā, pamatotas un pierādāmas bailes par datu ļaunprātīgu izmantošanu var tikt atzītas par nemateriālu kaitējumu.

Vai 10 000 eiro prasījums nosaka citu kompensāciju apmēru?

Nē. Tā ir vienas personas pieprasītā summa. Katras kompensācijas pamats un apmērs jāvērtē individuāli.

Par nozagto datu izmantošanas un krāpšanas riskiem lasiet arī mūsu iepriekšējā rakstā: CSDD datu noplūde un kiberuzbrukumi Latvijā.

Avoti: LSM, Datu valsts inspekcija un Vispārīgā datu aizsardzības regula.

Rakstam ir informatīvs raksturs, un tas neaizstāj individuālu juridisku konsultāciju.