Kad ste u EU…
Članak 4. stavak 12. Uredbe o zaštiti podataka (GDPR) definira "povredu ličnih podataka" (također poznata kao 'povreda podataka') kao povredu sigurnosti koja dovodi do uništenja, gubitka, izmjene ili neovlaštenog otkrivanja ličnih podataka, ili neovlaštenog pristupa takvim podacima, bilo slučajno ili nezakonito.
U svakom slučaju, učitavanje podataka na cloud račun treće strane spada u ovu kategoriju.
Autoritetu za zaštitu podataka u roku od 72 sata
Čim kontrolor sazna za povredu, mora je bez odlaganja, a gdje je to moguće, u roku od 72 sata, prijaviti nadležnom tijelu – u Austriji, DSB-u. Izuzeci se primjenjuju u slučajevima kada povreda vjerovatno neće dovesti do rizika po prava i slobode fizičkih lica, što je gotovo nikada slučaj s podacima o klijentima. Razdoblje od 72 sata nije konačni rok. Svako ko prijavi povredu kasnije mora, naravno, opravdati kašnjenje.
U praksi se dva detalja redovno previđaju.
- Faze obavještavanja: Član 33. stavak 4. GDPR-a dopušta naknadna obavještenja. Nije potrebno odmah pružiti sve detalje o incidentu – čekanje na dodatne informacije ne može se koristiti kao izgovor za propuštanje roka. Česta greška je kasno i u potpunosti izvještavati umjesto brzo i privremeno. U tom pogledu postoji operativni izazov: rok od 72 sata ne uzima u obzir vikende; teče neprekidno prema kalendaru. Incident potvrđen u petak poslijepodne mora biti prijavljen do ponedjeljka poslijepodne. Nije slučajnost da mnogi napadači svoje napade tempiraju u skladu s tim.
- Ugovor o obradi podataka (DPA): Kao opće pravilo, pružatelj usluga ne obavještava nadzornu vlast, već kontrolora podataka, a rok za kontrolora podataka počinje teći od prijema obavijesti. DPA bi trebao precizirati što se podrazumijeva pod 'bez nepotrebnog odgađanja' u članku 33. stavku 2. GDPR-a. EDSA preporučuje preciziranje određenog broja sati i imenovanog kontakt-osobe. Provjerite svoje ugovore!
Informacije za pogođene
Gdje postoji vjerojatno visok rizik za prava i slobode fizičkih osoba – na primjer, zbog curenja podataka o računu, identitetu ili zdravlju – one na koje se to odnosi moraju biti odmah obaviještene jasnim i jednostavnim jezikom. Ovo je trenutak najvećeg rizika po ugled i upravo onaj trenutak kada većina kompanija predugo oklijeva. Blank Romeu je trebalo pet sedmica; u Austriji bi to izazvalo pitanja.
Članak 34. stavak 3. GDPR-a predviđa izuzetke, a jedan od njih je najsnažniji argument u korist bilo kojeg projekta šifriranja koji je trenutno obustavljen zbog budžetskih ograničenja. Ako su podaci o kojima je riječ učinkovito šifrirani, a ključ nije kompromitiran, nema potrebe obavještavati subjekte podataka. Ovo ne utječe na obavezu prijave incidenta nadležnom tijelu za zaštitu podataka.
Drama, bejbi, drama!
Opseg novčanih kazni za kršenja članaka 33. i 34. GDPR-a iznosi do 10 miliona eura ili 2 posto globalnog godišnjeg prometa (članak 83. stavak 4. GDPR-a). To je i dalje "umjerena" kazna. Svako ko je u istom incidentu također prekršio članove 5. ili 6. GDPR-a – na primjer zato što se procurijeli podaci nisu smjeli obrađivati (više) – suočit će se s gornjom granicom od 20 miliona eura ili 4 % globalnog godišnjeg prometa.
– Razumljivi – fokus na novčane kazne često zasjenjuje druge regulatorne sankcije koje se mogu izreći i druge posljedice koje povreda podataka može imati. Dalekosežne ovlasti za otklanjanje povrede koje ima tijelo za zaštitu podataka prema članu 58 GDPR-a često se podcjenjuju u analizama rizika. DPA zapravo može učiniti mnogo više od 'samo' izricanja novčanih kazni: može naložiti kontrolorima da prilagode svoje operacije obrade ili, kao svoju najsnažniju mjeru, nametnuti privremeno ili trajno ograničenje obrade, pa čak i potpunu zabranu obrade podataka (član 58. stavak 2. tačka f) GDPR-a). Za svaku kompaniju čije svakodnevno poslovanje ovisi o podacima korisnika, takva službena zabrana predstavlja operativni srčani zastoj.
Ove regulatorne intervencije često su praćene ogromnom štetom po ugled kompanije (posebno ako se incident ne riješi profesionalno). Trenutak kada morate objasniti kupcima ili poslovnim partnerima da su njihovi osjetljivi podaci – možda iz izbjegljivih razloga – dospjeli u pogrešne ruke predstavlja temeljno kršenje povjerenja. Takva šteta na tržišnoj reputaciji kompanije ne može se popraviti IT rezervnom kopijom i često dovodi do trajnog gubitka klijenata, čiji finansijski trošak može, dugoročno, čak i premašiti iznos stvarne novčane kazne.
Naknada štete i kolektivno obeštećenje
Ovdje na scenu stupa slučaj američke advokatske kancelarije, i upravo je ovdje razlika u odnosu na EU vjerojatno najveća. Prema članku 82. GDPR-a, svaka osoba ima pravo na naknadu za svu materijalnu ili nematerijalnu štetu pretrpljenu uslijed povrede. Sudska praksa Suda Evropske unije (CJEU) je tokom vremena postepeno oblikovala ovu odredbu, te se pojavila nijansirana slika koju je teško sažeti u naslovima. U principu, ne postoji prag de minimis ili materijalnosti (CJEU C-300/21). Čak i negativne emocije poput anksioznosti ili iritacije koje proizlaze iz gubitka kontrole mogu predstavljati nematerijalnu štetu koja podliježe naknadi (ECJ C-655/23, Quirin Privatbank). Čak i utemeljen strah od buduće zloupotrebe je dovoljan (SUDEU C-340/21), dok čisto hipotetički rizik nije (SUDEU C-687/21).
Puka povreda nije dovoljna da bi se pokrenuo zahtjev za naknadu štete. Vrhovni sud je sažeo pravni stav za Austriju (6 Ob 113/24x): Mora postojati povreda, stvarna šteta koja je nastala i uzročna veza između njih, pri čemu se šteta mora konkretno dokazati, a neutemeljene tužbe neće biti usvojene. Član 82 GDPR-a ima isključivo kompenzacijsku funkciju; ne postoje kaznene odštete kao što je to slučaj u američkom modelu. Ni stepen krivice kontrolora ne utječe na iznos potraživanja. To stavlja u perspektivu pojedinačni iznos koji subjekt podataka može dobiti, ali ne čini povredu podataka bez rizika iz perspektive delikta. U DACH regiji, dodijeljeni iznosi obično su na donjoj granici trocifrenog ili na srednjoj granici četverocifrenog raspona; međutim, kada se pomnože s desecima hiljada (u uvodnom slučaju: 57.554) subjekata podataka, to rezultira cifrom koja će interno u početku zahtijevati objašnjenje. U procjenu rizika u ovom kontekstu također se mora uključiti teret dokaza. Kontrolor je taj koji mora dokazati na sudu da su sigurnosne mjere bile adekvatne (član 5. st. 2, član 24, član 32 GDPR-a, presuda Suda pravde EU u predmetu C-340/21).
Od 18. jula 2024. godine postoji poseban instrument širom EU – a time i u Austriji – za objedinjavanje takvih potraživanja za odštetu: kolektivna tužba za obeštećenje (čl. 623 i sl. Zakonika o građanskom postupku (ZPO) u vezi sa Zakonom o kvalitetu električnih proizvoda (QEG)). Kvalificirano tijelo – kao što je noyb, zajedno s AK-om i VKI-jem – može podnijeti objedinjeni tužbeni zahtjev u ime najmanje 50 potrošača pred Trgovačkim sudom u Beču; učešće je na principu dobrovoljnog pristupanja (opt-in), a dozvoljeno je i finansiranje od strane trećih lica. Austrija je stoga još uvijek daleko od situacije u SAD-u. Međutim, infrastruktura za kolektivne tužbe je uspostavljena i s vremenom će zasigurno funkcionirati efikasnije, čime predstavlja značajniju prijetnju u slučaju povrede podataka.
Uskoro će biti uvedena još jedna serija rokova.
Svako ko vjeruje da je jednostavno podnošenje obavještenja o GDPR-u dovoljno da se osigura dugoročna usklađenost, očigledno je namjerno zatvarao oči pred pitanjem cyber sigurnosti u proteklih nekoliko mjeseci. Sa NISG 2026 (Savezni zakon I 94/2025), Austrija provodi mnogo raspravljanu NIS 2 Direktivu, otprilike dvije godine nakon isteka roka za implementaciju.
Od 1. oktobra 2026. godine, približno 4.000 kritičnih i važnih organizacija u 18 sektora bit će podložne obaveznim zahtjevima za upravljanje rizicima i izvještavanje, koji su još stroži od onih propisanih GDPR-om:
- Rano upozorenje u roku od 24 sata,
- Prijaviti u roku od 72 sata,
- Konačni izvještaj u roku od mjesec dana (član 34. NISG 2026).
Izvještaji se moraju podnijeti novoosnovanom Saveznom uredu za kibernetičku sigurnost (Vlast za kibernetičku sigurnost). Prilikom primjene NISG-a 2026 važno je ne praviti greške u sljedećim detaljima:
- Od 1. oktobra 2026. godine primjenjivat će se suštinske obaveze – naime upravljanje rizicima, upravljanje (više o tome uskoro) i obaveze izvještavanja – bez daljnjeg prijelaznog roka.
- Do 31. decembra 2026. godine također je potrebna registracija pri Agenciji za kibernetičku sigurnost (član 29), administrativni korak koji ne govori ništa o stanju implementacije.
- Strukturirana samodeklaracija o poduzetim mjerama upravljanja rizikom mora se potom dostaviti do 30. septembra 2027. (član 33). Ovaj konačni rok nije rok za implementaciju, već rok za izvještavanje. Svako ko tek u ljeto 2027. godine počne raditi mora pismeno obavijestiti nadležni organ da je jedanaest mjeseci radio nezakonito.
Za generalne direktore i članove upravnog odbora odredbe pod naslovom "Upravljanje" u odjeljku 31 NISG-a 2026 (član 20 Direktive NIS-2) predstavljaju značajnu promjenu. Organi upravljanja moraju odobriti mjere upravljanja rizikom, pratiti njihovu provedbu i sami proći obuku. Stoga kibernetička sigurnost više nije isključivo pitanje IT odjela, već obaveza pažnje koja leži na višem menadžmentu.
U praksi postoje dva okvira izvještavanja koja djeluju paralelno i nisu identična. GDPR se odnosi na lične podatke, dok se NISG 2026 odnosi na značajne incidente u oblasti kibernetičke sigurnosti. Slučaj poput Blank Rome jasno bi predstavljao povredu podataka u smislu GDPR-a, ali vjerovatno ne bi bio incident koji se mora prijaviti prema NISG 2026. Suprotno tome, kvar sistema u kompaniji koja podliježe zakonu može podlijegati obavezi izvještavanja samo prema NISG 2026, čak i bez ikakvog curenja podataka. Svako ko objedinjuje oba zahtjeva u jedan proces mora provjeriti dva praga i izraditi dva odvojena izvještaja.
To znači da se u slučaju incidenta mora prijaviti dvaput. Oni koji nisu izravno obuhvaćeni često su ugovorno obvezani pridržavati se istih standarda putem obveza lanca opskrbe svojih klijenata koji su podložni NIS 2.
Zaključak
Izvrsna reputacija ne pruža zaštitu od napadača niti od naknadnih pravnih postupaka. GDPR ne zahtijeva besprijekorne IT sisteme; zahtijeva odgovarajuće tehničke i organizacijske mjere te učinkovit sustav upravljanja krizama. Stoga se ne bi trebalo oslanjati na argument da je to bio samo jedan zaposlenik koji nije postupio ispravno. Novčane kazne se izriču direktno pravnom subjektu, čak i bez imenovanja konkretne fizičke osobe. U okviru primjene GDPR-a nema mjesta za članak 11 DSG-a (upozorenja umjesto kazni) ili članak 33a VStG-a, jer pravo EU ima prednost (BVwG 24. mart 2026, W298 2323263-1). Svako ko se nada nacionalnim ublažavajućim mehanizmima stoga se uzalud nada.
Svako ko može dokazati da je uspostavio mjere, obezbijedio obuku i uspostavio dokumentovani proces izvještavanja, biće u mnogo boljoj poziciji nakon incidenta nego neko ko jednostavno tvrdi da je imao niz nesreće. Razlika košta nekoliko dana posla unaprijed, a često i red veličine više nakon incidenta.
Često postavljana pitanja (FAQs)
Kada počinju 72 sata?
Od trenutka kada kontrolor sazna za incident. Smatra se da je postojala svijest čim se s razumnom sigurnošću utvrdi da je sigurnosni incident doveo do povrede ličnih podataka. Kratka faza provjere je dozvoljena, ali se ne smije koristiti kao taktika odgađanja. Ako obrađivač podataka postane svjestan incidenta, mora bez odlaganja obavijestiti kontrolora podataka. Prema Smjernicama EDSA 9/2022, rok za kontrolora podataka počinje teći kada obrađivač podataka dostavi te informacije.
Da li se svaki proboj podataka mora prijaviti?
Ne. Ne postoji obaveza prijave incidenta ako povreda vjerovatno neće predstavljati rizik za prava i slobode fizičkih lica, na primjer u slučaju dokumenta koji ne sadrži osjetljive informacije, a koji je poslan pogrešnom internom odjelu. Incident se ipak mora dokumentovati, zajedno s razlozima zašto nije prijavljen (članak 33. stavak 5. GDPR-a).
Kada također trebamo obavijestiti one koji su pogođeni?
Gdje postoji vjerojatno visok rizik, posebno u pogledu podataka o identitetu, računu, zdravlju ili pristupu. Informacije se moraju dostaviti bez odlaganja i jasnim, jednostavnim jezikom. Mogu se izostaviti u određenim okolnostima koje ublažavaju rizik (članak 34. stavak 3. GDPR-a).
Da li je naša kompanija pokrivena NISG-om 2026?
Odlučujući faktori su sektor i veličina. Opseg obuhvata organizacije iz 18 sektora koje, kao pravilo, imaju najmanje 50 zaposlenih ili promet ili ukupnu bilansnu vrijednost veću od 10 miliona eura; nekoliko aktivnosti je obuhvaćeno bez obzira na veličinu organizacije. Organizacije moraju same sebe klasificirati; ne postoji službeni proces obavještavanja. Čak i one koje nisu direktno obuhvaćene trebaju provjeriti da li klijenti podložni NIS 2 prenose zahtjeve putem klauzula u lancu snabdijevanja.
Na osnovu prethodnog iskustva, kakav nivo potraživanja odštete se realno može očekivati u Austriji u slučaju povrede podataka?
U pojedinačnim slučajevima, to obično uključuje iznose u rasponu od niskih trocifrenih do srednjih četverocifrenih, ovisno o kategoriji podataka, težini i trajanju povrede. Zahtjev za naknadu štete zahtijeva posebno dokazanu štetu; sama povreda nije dovoljna (OGH 6 Ob 113/24x). Pravi rizik leži u kumulativnom učinku na velikom broju pogođenih pojedinaca i u teretu dokazivanja, budući da odgovorna strana mora dokazati da su sigurnosne mjere bile prikladne.
Jeste li spremni za hitnu situaciju ili ste već usred nje?
ATB.LAW vam pomaže u usklađivanju s GDPR-om, pregledava vaše ugovore s pružateljima IT usluga i stoji vam na raspolaganju u slučaju incidenta – od prijave nadležnom tijelu za zaštitu podataka do obrane od tužbi za naknadu štete. Kontaktirajte nas prije nego što vam se pojave problemi. Kontakt Stefan Knotzer i Roman Taudes u bilo koje vrijeme na office@atb.law ili telefonom na 01 39 12345 za besplatnu početnu konsultaciju.
