Юрист: компенсация в 10 000 евро после утечки данных CSDD не полагается автоматически

После кибератаки на модуль Регистра, находящийся в ведении Дирекции безопасности дорожного движения (CSDD), которая затронула около 1,2 миллиона жителей, в социальных сетях распространились призывы немедленно требовать от учреждения компенсацию в размере 10 000 евро — создавалось впечатление, что она полагается едва ли не автоматически каждому, чьи данные попали в руки третьих лиц. Юрист Эдийс Лиепиньш в комментарии LA.LV поясняет, что такое предположение не соответствует практике Суда Европейского союза и Общему регламенту о защите данных (GDPR).

Что говорит практика суда ЕС

Ссылаясь на решение Суда ЕС от 14 декабря 2023 года по делу Национального агентства по доходам Болгарии, после кибератаки на которое в сети оказались данные более 6 миллионов человек, Лиепиньш отмечает: сама по себе утечка данных или несанкционированный доступ третьих лиц автоматически не доказывает, что оператор данных не соблюдал требования безопасности. У оператора всегда есть право доказать обратное, и он может быть освобождён от ответственности, если докажет, что не виновен в произошедшем.

В другом деле, касавшемся австрийской почтовой компании, которая без согласия обрабатывала данные о политических симпатиях людей, Суд ЕС постановил, что само по себе нарушение GDPR ещё не даёт права на компенсацию.

Три условия для компенсации

По словам юриста, чтобы подать иск о компенсации, должны одновременно выполняться три условия: должно быть допущено нарушение GDPR, субъекту данных должен быть причинён реальный ущерб, и между ними должна существовать прямая причинно-следственная связь. Опасения по поводу возможного злоупотребления данными в будущем могут быть признаны нематериальным ущербом, но их нужно обосновать конкретными обстоятельствами, а бремя доказывания лежит на пострадавшем.

Лиепиньш также напоминает, что значительная часть базовой информации о людях уже законно и публично доступна в государственных реестрах, например в публичной базе данных Регистра предприятий — это стоит учитывать перед подачей иска в суд. Он прогнозирует, что с развитием искусственного интеллекта подобные сложные кибератаки в будущем будут происходить чаще, поэтому вопросам защиты данных нужно уделять повышенное внимание как государственным учреждениям, так и коммерсантам.