Изтичане на лични данни — кога може да се търси обезщетение
Какви вреди се доказват при нарушение на GDPR и какво следва от решенията на СЕС по дела C-300/21 и C-340/21.
Съобщение, че ваши лични данни са били разкрити, поставя няколко отделни въпроса. Трябва да се установи каква информация е засегната, има ли нарушение при обработването ѝ и какви последици е предизвикало то за вас. Правото на обезщетение по чл. 82 от Общия регламент относно защитата на данните се преценява според доказаните обстоятелства.
Трите елемента на претенцията
В решение от 4 май 2023 г. по дело C-300/21 Съдът на ЕС разглежда необходимостта от нарушение на регламента, претърпени вреди и причинна връзка между тях. Установяването на неправомерно обработване е първата част от тази проверка. Към нея се добавя доказването на конкретното отражение върху засегнатия човек.
Вредите могат да бъдат и неимуществени
Неимуществените вреди могат да включват действително преживени тревога и безпокойство. По C-300/21 СЕС приема, че обезщетяването им не може да се обвързва с предварително определен праг на тежест. Съществуването на вредата обаче трябва да бъде установено. Описанието на последствията следва да се свърже с конкретния инцидент и засегнатите данни.
Какво означава страхът от бъдеща злоупотреба
По българското дело C-340/21 срещу Националната агенция за приходите СЕС постановява решение на 14 декември 2023 г. Според него опасенията от потенциална злоупотреба с личните данни могат сами по себе си да представляват неимуществена вреда. Националният съд проверява обстоятелствата и доказателствата по конкретния спор. Значение могат да имат чувствителността на информацията, обхватът на разкриването и реалното отражение върху ежедневието.
Какво да запазите
Съхранете уведомлението за инцидента, кореспонденцията с администратора и отговорите за засегнатите категории данни. Подредете по дати последващи подозрителни съобщения, опити за представяне от ваше име и разходи, които свързвате с нарушението. При твърдени неимуществени вреди опишете конкретните последици и наличните доказателства за тях. Използвайте документите по начин, който ограничава допълнителното разкриване на данните.
Хакерската атака и отговорността
Решението по C-340/21 разглежда и отговорността при действия на трети лица. Самият факт, че атаката е извършена от външен извършител, не освобождава автоматично администратора. Същевременно от самия пробив не следва автоматично, че мерките за сигурност са били неподходящи. Преценката изисква анализ на приложените мерки, нарушението, вредите и причинната връзка. При подготовка на претенция уточнете срещу кого е насочена, какви вреди се твърдят и с какво ще бъдат доказани.