Публикуваха решението на Съда на ЕС по дело C-340/21 за последствията от хакерската атака срещу Националната агенция за приходите
Българската Национална агенция за приходите (НАП) е орган към българския министър на финансите. По-специално тя е натоварена с установяването, обезпечаването и събирането на публичните вземания. В този смисъл тя е администратор на лични данни. На 15 юли 2019 г. медиите съобщават, че е извършен пробив в информационната система на НАП, разкривайки, че в резултат на кибератаката в интернет са публикувани личните данни на милиони хора. Много от тях предявяват искове за обезщетение срещу НАП, за да бъдат компенсирани за неимуществените вреди, които им причинили опасенията, свързани с потенциална злоупотреба с техните данни. Това пише в прессъобщението на съда на ЕС относно решението по дело C-340/21.
Ищцата по главното производство подава касационна жалба до Върховния административен съд (България), който е запитващата юрисдикция по настоящото дело. В подкрепа на касационната си жалба тя поддържа, че първоинстанционният съд е допуснал грешка при прилагане на правото в разпределянето на доказателствената тежест във връзка с предприетите от НАП мерки за сигурност, и че последната не е доказала, че не е бездействала в това отношение. Освен това ищцата по главното производство твърди, че опасенията от възможни бъдещи злоупотреби с личните ѝ данни е не хипотетична, а реална нематериална вреда. В отговор НАП оспорва всеки от тези доводи.
Българският Върховен административен съд отправя до Съда редица преюдициални въпроси за тълкуване на Общия регламент относно защитата на данните (ОРЗД/GDPR)1. Той иска да получи уточнения относно условията за обезщетяване на нематериалната вреда, на която се позовава лице, чиито лични данни, съхранявани от публична агенция, са били предмет на публикуване в интернет след атака на киберпрестъпници.
В решението си Съдът отговаря следното:
- при неразрешено разкриване на лични данни или неразрешен достъп до такива данни съдиите не могат да направят извод единствено въз основа на този факт, че приложените от администратора мерки за защита не са подходящи. Съдиите трябва конкретно да проверят дали тези мерки са подходящи.
- Администраторът на лични данни трябва да докаже, че приложените мерки за защита са подходящи.
- В хипотезата, в която неразрешеното разкриване на лични данни или неразрешеният достъп до такива данни, е извършен от „трета страна“ (каквито са киберпрестъпниците), администраторът на лични данни може да трябва да обезщети лицата, претърпели вреди, освен ако успее да докаже, че тези вреди не могат да му бъдат вменени.
- Опасенията, които дадено лице изпитва след нарушение на ОРЗД, от потенциална злоупотреба с личните му данни от страна трети лица могат сами по себе си да представляват „нематериална вреда“.
„Поради изложените съображения Съдът (трети състав) реши:
1) Членове 24 и 32 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от този регламент сами по себе си не са достатъчни, за да се приеме, че приложените от съответния администратор технически и организационни мерки не са „подходящи“ по смисъла на тези членове 24 и 32.
2) Член 32 от Регламент 2016/679 трябва да се тълкува в смисъл, че преценката дали приложените от администратора технически и организационни мерки по този член са подходящи трябва да бъде направена от националните юрисдикции конкретно, като се вземат предвид рисковете, свързани със съответното обработване, и като се прецени дали естеството, обхватът и прилагането на тези мерки са съобразени с тези рискове.
3) Принципът на отчетност на администратора, закрепен в член 5, параграф 2 и конкретизиран в член 24 от Регламент 2016/679, трябва да се тълкува в смисъл, че в исково производство за обезщетение по член 82 от този регламент разглежданият администратор носи тежестта за доказване на обстоятелството, че приложените от него мерки за сигурност по член 32 от посочения регламент са подходящи.
4) Член 32 от Регламент 2016/679 и принципът на ефективност на правото на Съюза трябва да се тълкуват в смисъл, че за да се прецени дали са подходящи мерките за сигурност, приложени от администратора на основание на този член, назначаването на съдебна експертиза не може да представлява доказателствено средство, което системно е необходимо и достатъчно.
5) Член 82, параграф 3 от Регламент 2016/679 трябва да се тълкува в смисъл, че администраторът не се освобождава от задължението си по член 82, параграфи 1 и 2 от този регламент за обезщетяване на претърпените от дадено лице вреди само поради факта че тези вреди произтичат от неразрешено разкриване на лични данни или неразрешен достъп до такива данни от „трета страна“ по смисъла на член 4, точка 10 от посочения регламент, като посоченият администратор трябва тогава да докаже, че причинилият съответните вреди факт не може по никакъв начин да му бъде вменен.
6) Член 82, параграф 1 от Регламент 2016/679 трябва да се тълкува в смисъл, че опасенията, които субект на данни изпитва, вследствие на нарушение на този регламент, от потенциална злоупотреба с неговите лични данни от трети лица, могат сами по себе си да представляват „нематериална вреда“ по смисъла на тази разпоредба.“
На 28.04.2023 г писах за заключението на генералния адвокат по дело C-340/21 за хакерската атака на Национална агенция за приходите: Неразрешеният достъп до лични данни от трети лица води до отговорност поради предполагаема вина на администратора и може да бъде основание за подлежащи на обезщетение неимуществени вреди
1 Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО.