Teisinės atsakomybės ribos po duomenų nutekinimo
Neseniai paaiškėjęs masinis Nekilnojamojo turto registro (NTR) ir Juridinių asmenų dalyvių informacinės sistemos (JADIS) duomenų nutekinimas Lietuvoje sukėlė ne tik politinių klausimų, bet ir atvėrė sudėtingą teisinę diskusiją dėl atsakomybės ribų pagal Bendrąjį duomenų apsaugos reglamentą (BDAR). Kaip nurodoma viešuose portaluose, duomenys buvo renkami ne įsilaužus į sistemas, o naudojantis teisėtomis, tačiau kompromituotomis Migracijos departamento darbuotojų paskyromis, duomenis savinantis net kelis mėnesius. Plačiau situaciją komentuoja advokatas ir advokatų bendrijos „Lawcorpus“ vadovaujantysis partneris Rokas Venslauskas.
Kyla klausimas, kuriems subjektams galėtų kilti teisinė atsakomybė pagal BDAR – Teisingumo ministerijai, Registrų centrui ar abiem, priklausomai nuo jų faktinio vaidmens tvarkant duomenis ir užtikrinant jų saugumą. Taip pat svarstytina, ar nukentėjusieji galėtų reikalauti neturtinės žalos atlyginimo remdamiesi tuo, jog jų duomenys hipotetiškai galėtų būti panaudoti ir/ar jais galėtų būti piktnaudžiaujama ateityje. Atsakymų į šiuos klausimus galima ieškoti Europos Sąjungos Teisingumo Teismo (ESTT) praktikoje – 2023 m. gruodžio 14 d. priimtame sprendime dėl Bulgarijos nacionalinės pajamų agentūros patirto kibernetinio incidento (byla C-340/21).
ESTT praktika dėl duomenų saugumo ir neturtinės žalos
Bulgarijos nacionalinė pajamų agentūra, vykdydama užduotis, prie kurių, be kita ko, priskiriamas valstybės reikalavimų nustatymas, užtikrinimas ir išieškojimas, atlieka asmens duomenų valdytojo funkcijas pagal BDAR 4 straipsnio 7 punktą. 2019 m. liepos 15 d. žiniasklaida pranešė, kad buvo be leidimo prisijungta prie agentūros informacinės sistemos, o po šio kibernetinio išpuolio internete paskelbti toje sistemoje saugoti asmens duomenys. Dėl šio incidento nukentėjo daugiau nei šeši milijonai fizinių asmenų – Bulgarijos ir kitų šalių piliečių.
Keli šimtai pareiškėjų pateikė ieškinius dėl neturtinės žalos, kilusios dėl jų asmens duomenų atskleidimo, atlyginimo. Nukentėję asmenys reikalavimus grindė tuo, jog duomenų nutekinimas sukėlė ilgalaikį nesaugumo ir kontrolės praradimo jausmą. Kitaip tariant, neturtinių reikalavimų pagrindas buvo nuogąstavimai, jog paskelbtais asmens duomenimis ateityje gali būti piktnaudžiaujama, o nukentėjusieji dėl šio fakto gali būti šantažuojami.
Bulgarijos Aukščiausiasis administracinis teismas 2021 m. birželio 2 d. kreipėsi į ESTT dėl prejudicinio sprendimo dėl BDAR taikymo. ESTT 2023 m. gruodžio 14 d. sprendime aiškino BDAR 5, 24, 32 ir 82 straipsnius, susijusius su duomenų valdytojo atsakomybe, pareiga užtikrinti tinkamas technines ir organizacines saugumo priemones bei nukentėjusio asmens teise į neturtinės žalos atlyginimą.
Pirma, ESTT pažymėjo, jog vien duomenų saugumo pažeidimo faktas pats savaime nesukuria prezumpcijos, kad duomenų valdytojas ar tvarkytojas pažeidė BDAR arba kad taikytos apsaugos priemonės buvo netinkamos. Duomenų valdytojui turi būti suteikta galimybė įrodyti taikytų saugumo priemonių tinkamumą. ESTT nurodė: „BDAR 24 ir 32 straipsniai negali būti suprantami taip, kad tretiesiems asmenims be leidimo atskleidus asmens duomenis arba be leidimo gavus prie jų prieigą, to pakanka, kad būtų galima daryti išvadą, jog atitinkamo duomenų valdytojo priimtos priemonės buvo netinkamos, kaip tai suprantama pagal šias nuostatas, net jam nesuteikiant galimybės pateikti priešingus įrodymus.“
Antra, ESTT atkreipė dėmesį į tai, jog būtent duomenų valdytojas turi įrodyti, kad jo įdiegtos priemonės buvo pakankamos konkrečiai rizikai suvaldyti. Pagal BDAR 32 straipsnį techninių ir organizacinių priemonių tinkamumas vertinamas atsižvelgiant į duomenų saugumo pažeidimo pavojus, galimas pasekmes asmenų teisėms bei laisvėms, technologijų lygį, sąnaudas ir konkrečias duomenų tvarkymo aplinkybes. Nors duomenų valdytojas turi tam tikrą diskreciją pasirinkti priemones, ESTT sprendime taip pat pažymėjo, kad teismas konkrečiu atveju privalo iš esmės įvertinti jų pobūdį, turinį, įgyvendinimą ir praktinį veiksmingumą. ESTT atkreipė dėmesį ir į tai, kad duomenų valdytojas negali automatiškai išvengti atsakomybės vien todėl, jog duomenis pavogė „hakeriai“ ar kiti tretieji asmenys. Institucija ar įmonė gali būti atleista nuo atsakomybės tik tuomet, jei įrodo, kad jokiu būdu neprisidėjo prie žalos atsiradimo ir ėmėsi visų būtinų apsaugos priemonių.
Trečia, ir svarbiausia, ESTT pripažino, kad tam tikrais atvejais asmens patiriama pagrįsta baimė dėl galimo būsimo piktnaudžiavimo nutekėjusiais duomenimis gali būti laikoma neturtine žala pagal BDAR 82 straipsnį. ESTT išaiškino: „BDAR 82 straipsnio 1 dalis turi būti aiškinama taip, kad duomenų subjekto nuogąstavimai, jog tretieji asmenys gali piktnaudžiauti jo asmens duomenimis dėl šio reglamento pažeidimo, savaime gali reikšti „neturtinę žalą“, kaip ji suprantama pagal šią nuostatą.“ Tai reiškia, kad nukentėjęs asmuo neprivalo įrodyti, jog jo duomenys jau buvo panaudoti sukčiavimui, tapatybės vagystei ar kitai neteisėtai veiklai. Tokiu atveju užtenka tinkamai pagrįsti, kad dėl duomenų nutekinimo jis patyrė realų ir pagrįstą nesaugumo jausmą ar baimę dėl galimo būsimo piktnaudžiavimo.
Galimos pasekmės Lietuvos situacijoje
Nors Bulgarijos ir Lietuvos atvejų faktinės aplinkybės skiriasi, ESTT suformuluoti principai gali būti reikšmingi ir vertinant NTR bei JADIS duomenų nutekinimo aplinkybes. Bulgarijoje buvo kalbama apie išorinę kibernetinę ataką, o Lietuvoje viešai skelbiama apie duomenų rinkimą naudojantis kompromituotomis teisėtomis prieigomis. Vis dėlto abiem atvejais kyla tas pats klausimas – ar buvo įgyvendintos tinkamos techninės ir organizacinės priemonės, užtikrinančios asmens duomenų saugumą BDAR 32 straipsnio aspektu.
Lietuvos situacijoje atviras lieka klausimas, kokia apimtimi už galimą BDAR pažeidimą galėtų atsakyti ne tik duomenų valdytojas, bet ir duomenų tvarkytojas. Kadangi BDAR pareigą užtikrinti tinkamas technines ir organizacines saugumo priemones nustato abiem subjektams, galutinis atsakomybės paskirstymas priklausys nuo to, kuris iš jų faktiškai kontroliavo atitinkamus duomenų saugumo procesus ir priėmė sprendimus dėl rizikų valdymo. Pagal BDAR 82 straipsnio 2 dalį duomenų valdytojas atsako už žalą, padarytą dėl BDAR neatitinkančio duomenų tvarkymo. Tačiau atsakomybė gali tekti ir duomenų tvarkytojui, jeigu jis neįvykdė BDAR nustatytų pareigų, tiesiogiai taikomų duomenų tvarkytojui, arba veikė nesilaikydamas teisėtų duomenų valdytojo nurodymų. Svarbu tai, kad BDAR 32 straipsnyje nustatyta pareiga užtikrinti tinkamas technines ir organizacines saugumo priemones taikoma tiek duomenų valdytojui, tiek duomenų tvarkytojui.
Todėl, jeigu būtų nustatyta, kad Registrų centras buvo atsakingas už sistemos techninę architektūrą, prieigų kontrolę, stebėseną, incidentų prevenciją ar kitus duomenų saugumo sprendimus, o būtent šiose srityse egzistavo trūkumų, atsakomybė galėtų tekti ne tik duomenų valdytojui, bet ir Registrų centrui. Kita vertus, jeigu būtų nustatyta, kad Registrų centras buvo tinkamai įgyvendinęs visas jam pavestas technines ir organizacines saugumo priemones, o pažeidimo priežastys buvo susijusios su duomenų valdytojo nustatytais procesais, prieigų suteikimo politika ar kitais jo sprendimais, atsakomybė galėtų būti siejama pirmiausia su duomenų valdytoju.
Todėl vertinant galimą atsakomybę lemiamą reikšmę turės ne formalūs subjektų pavadinimai ar kompetencijų aprašymai, o faktinis jų vaidmuo valdant rizikas ir užtikrinant asmens duomenų saugumą. Taigi, atsižvelgiant į ESTT praktiką, nors vien duomenų nutekinimo faktas savaime neįrodo BDAR pažeidimo, ginčo atveju duomenų valdytojas privalės įrodyti, kad buvo įgyvendinęs konkrečioms rizikoms adekvačias technines ir organizacines saugumo priemones. Jeigu hipotetiškai būtų nustatyta, kad jos buvo nepakankamos ir dėl to kilo grėsmė asmens duomenims, nukentėjusieji galėtų reikalauti ne tik turtinės, bet ir neturtinės žalos atlyginimo, atitinkamai įrodę nesaugumo jausmą ir baimę dėl galimo piktnaudžiavimo asmens duomenimis ateityje.
