Kad ste u EU…
Članak 4. stavak 12. Uredbe o zaštiti osobnih podataka definira "povredu osobnih podataka" (poznata i kao "povreda podataka") kao povredu sigurnosti koja dovodi do uništenja, gubitka, izmjene ili neovlaštenog otkrivanja, odnosno neovlaštenog pristupa osobnim podacima, bilo slučajno ili nezakonito.
U svakom slučaju, učitavanje podataka na oblačni račun treće strane spada u ovu kategoriju.
Povjereniku za zaštitu podataka u roku od 72 sata
Čim kontrolor obrade podataka sazna za povredu, mora je bez odgađanja, a gdje je to moguće, u roku od 72 sata prijaviti nadležnom tijelu – u Austriji, DSB-u. Iznimke se primjenjuju u slučajevima kada povreda vjerojatno neće dovesti do rizika za prava i slobode fizičkih osoba, što je gotovo nikada slučaj s podacima korisnika. Razdoblje od 72 sata nije konačni rok. Tko god prijavi povredu kasnije, naravno, mora opravdati kašnjenje.
U praksi se dva detalja redovito zanemaruju.
- Faze obavještavanja: Članak 33. stavak 4. GDPR-a dopušta naknadna obavještenja. Nije potrebno pružiti sve pojedinosti incidenta odjednom – čekanje na dodatne informacije ne može se koristiti kao izgovor za propuštanje roka. Česta je pogreška kasno i u potpunosti izvijestiti umjesto pravovremeno i privremeno. U tom je pogledu operativni izazov: rok od 72 sata ne staje vikendom; teče neprekidno prema kalendaru. Incident potvrđen u petak poslijepodne mora biti prijavljen do ponedjeljka poslijepodne. Nije slučajnost da mnogi napadači svoje napade tempiraju u skladu s tim.
- Ugovor o obradi podataka (DPA): Kao opće pravilo, pružatelj usluga ne obavještava nadzornu vlast, već kontrolora podataka, a rok za kontrolora podataka počinje teći od primitka obavijesti. DPA bi trebao precizirati što se podrazumijeva pod 'bez nepotrebnog odgađanja' u članku 33. stavku 2. GDPR-a. EDSA preporučuje navođenje točnog broja sati i određene kontaktne osobe. Provjerite svoje ugovore!
Informacije za pogođene
Gdje postoji vjerojatno visok rizik za prava i slobode fizičkih osoba – na primjer, jer su procurili podaci o računu, identitetu ili zdravlju – one koji su pogođeni moraju biti odmah obaviješteni jasnim i jednostavnim jezikom. Ovo je trenutak najvećeg rizika za ugled i upravo onaj trenutak kada većina tvrtki predugo oklijeva. Blank Romeu je trebalo pet tjedana; u Austriji bi to izazvalo pitanja.
Članak 34. stavak 3. GDPR-a predviđa iznimke, a jedna od njih je najsnažniji argument u korist bilo kojeg projekta šifriranja koji je trenutačno obustavljen zbog proračunskih ograničenja. Ako su podaci o kojima je riječ učinkovito šifrirani, a ključ nije kompromitiran, ne postoji obveza obavještavanja ispitanika. Ovo ne utječe na obvezu obavještavanja tijela za zaštitu podataka.
Drama, bejbi, drama!
Opseg novčanih kazni za kršenja članaka 33. i 34. GDPR-a proteže se do 10 milijuna eura ili 2 % globalnog godišnjeg prometa (članak 83. stavak 4. GDPR-a). To je i dalje "umjerena" prijetnja. Svatko tko je u istom incidentu također prekršio članke 5. ili 6. GDPR-a – na primjer zato što se procurijeli podaci nisu smjeli obrađivati (više) – suočit će se s gornjom granicom od 20 milijuna eura ili 4 % globalnog godišnjeg prometa.
– Razumljiva – usmjerenost na novčane kazne često zasjenjuje druge regulatorne sankcije koje se mogu izreći i druge posljedice koje povreda podataka može imati. Dalekosežne ovlasti tijela za zaštitu podataka za poduzimanje ispravnih mjera prema članku 58. GDPR-a često se podcjenjuju u analizama rizika. DPA zapravo može učiniti mnogo više od "samo" izricanja novčanih kazni: može naložiti kontrolorima podataka da izmijene svoje operacije obrade ili, kao svoju najsnažniju mjeru, nametnuti privremeno ili trajno ograničenje obrade, pa čak i potpunu zabranu obrade podataka (članak 58. stavak 2. točka (f) GDPR-a). Za svaku tvrtku čiji svakodnevni poslovi ovise o podacima klijenata, takva službena zabrana predstavlja operativni srčani zastoj.
Ove regulatorne intervencije često su popraćene ogromnom štetom za ugled tvrtke (posebno ako se incident ne rješava profesionalno). Trenutak kada morate objasniti kupcima ili poslovnim partnerima da su njihovi osjetljivi podaci – možda iz izbjegljivih razloga – dospjeli u pogrešne ruke predstavlja temeljni prijestup povjerenja. Takvu štetu tržišnoj reputaciji tvrtke ne može popraviti IT sigurnosna kopija i često dovodi do trajnog gubitka kupaca, čiji financijski utjecaj dugoročno može čak i premašiti iznos stvarne novčane kazne.
Naknada štete i kolektivno obeštećenje
Ovdje na scenu stupa slučaj američke odvjetničke tvrtke, i upravo je tu razlika u usporedbi s EU vjerojatno najveća. Prema članku 82. GDPR-a, svaka je osoba ovlaštena na naknadu za svu materijalnu ili nematerijalnu štetu pretrpljenu kao posljedicu povrede. Sudska praksa Suda Europske unije (CJEU) postupno je oblikovala ovu odredbu tijekom vremena, a pojavila se nijansirana slika koju je teško sažeti u naslovima. U načelu ne postoji prag neznatnosti ili materijalnosti (CJEU C-300/21). Čak i negativne emocije poput tjeskobe ili iritacije koje proizlaze iz gubitka kontrole mogu predstavljati nematerijalnu štetu podobnu za naknadu (SUDEU C-655/23, Quirin Privatbank). Čak i utemeljen strah od buduće zlouporabe je dovoljan (SUDEU C-340/21), dok čisto hipotetski rizik nije (SUDEU C-687/21).
Puka povreda nije dovoljna za pokretanje tužbe za naknadu štete. Vrhovni sud je sažeo pravni stav za Austriju (6 Ob 113/24x): Mora postojati povreda, stvarna šteta koja je nastala i uzročna veza između njih, pri čemu se šteta mora konkretno dokazati, a neutemeljene će se odštetne zahtjeve odbaciti. Članak 82. GDPR-a služi isključivo kompenzacijskoj funkciji; ne postoji dodjela kazne odštete prema američkom modelu. Niti stupanj krivnje kontrolora ne utječe na iznos odštetnih zahtjeva. To stavlja u perspektivu pojedinačni iznos koji subjekt podataka može dobiti, ali ne čini povredu podataka bez rizika s gledišta prava na odštetu. U regiji DACH iznosi koji se dodjeljuju obično su na donjoj granici troznamenkastog ili u srednjem četverocifrenom rasponu; međutim, kada se pomnože s desecima tisuća (u uvodnom slučaju: 57.554) ispitanika, to rezultira iznosom koji će interno u početku zahtijevati objašnjenje. U procjeni rizika u ovom kontekstu također je potrebno uzeti u obzir teret dokazivanja. Kontrolor mora na sudu dokazati da su sigurnosne mjere bile primjerene (čl. 5. st. 2., čl. 24., čl. 32. GDPR-a, Suda pravde EU C-340/21).
Od 18. srpnja 2024. postoji poseban instrument diljem EU-a – a time i u Austriji – za objedinjavanje takvih zahtjeva za odštetu: kolektivna tužba za naknadu štete (članci 623. i sl. Zakonika o građanskom postupku (ZPO) u vezi sa Zakonom o kvaliteti električnih proizvoda (QEG)). Kvalificirano tijelo – poput noyb-a, zajedno s AK-om i VKI-jem – može podnijeti objedinjeni tužbeni zahtjev u ime najmanje 50 potrošača pred Trgovačkim sudom u Beču; sudjelovanje je na principu aktivnog pristanka (opt-in), a dopušteno je i financiranje od strane trećih strana. Austrija je stoga još uvijek daleko od situacije u SAD-u. Međutim, infrastruktura za kolektivne tužbe je uspostavljena i s vremenom će zasigurno funkcionirati učinkovitije, čime predstavlja značajniju prijetnju u slučaju povrede podataka.
Uskoro će biti uvedena još jedna serija rokova.
Svatko tko vjeruje da je jednostavno podnošenje obavijesti prema GDPR-u dovoljno za osiguranje dugoročne usklađenosti očito je namjerno zatvarao uši na pitanje kibernetičke sigurnosti posljednjih nekoliko mjeseci. S NISG-om 2026 (BGBl I 94/2025) Austrija provodi često spominjanu Direktivu NIS 2, otprilike dvije godine nakon isteka roka za njezinu provedbu.
Od 1. listopada 2026. godine, približno 4.000 ključnih i važnih organizacija u 18 sektora bit će podložne obveznim zahtjevima za upravljanje rizicima i izvještavanje, koji su još stroži od onih iz GDPR-a:
- Rano upozorenje unutar 24 sata,
- Prijaviti u roku od 72 sata,
- Završno izvješće u roku od mjesec dana (članak 34. NISG-a 2026).
Izvještaji se moraju podnijeti novoosnovanom Saveznom uredu za kibernetičku sigurnost (Vlast za kibernetičku sigurnost). Prilikom primjene NISG-a 2026 važno je ne napraviti pogreške u sljedećim detaljima:
- Od 1. listopada 2026. primjenjivat će se suštinske obveze – naime upravljanje rizicima, upravljanje (više o tome uskoro) i obveze izvještavanja – bez daljnjeg prijelaznog razdoblja.
- Do 31. prosinca 2026. bit će također potrebna registracija pri Agenciji za kibernetičku sigurnost (članak 29.), administrativni korak koji ne govori ništa o stanju provedbe.
- Strukturirana samodeklaracija o poduzetim mjerama upravljanja rizikom mora se potom podnijeti do 30. rujna 2027. (članak 33.). Ovaj konačni rok nije rok za provedbu, već rok za izvještavanje. Svatko tko tek u ljeto 2027. započne raditi mora pisanim putem obavijestiti nadležno tijelo da je jedanaest mjeseci radio nezakonito.
Za generalne direktore i članove upravnog odbora odredbe pod naslovom "Upravljanje" u odjeljku 31. NISG-a 2026 (članak 20. Direktive NIS-2) predstavljaju značajnu promjenu. Upravljačka tijela moraju odobriti mjere upravljanja rizicima, pratiti njihovu provedbu i sama proći obuku. Kibernetička sigurnost stoga više nije isključivo pitanje IT odjela, već dužnost skrbi koja obvezuje više rukovodstvo.
U praksi postoje dva okvira izvještavanja koja djeluju paralelno i nisu identična. GDPR se odnosi na osobne podatke, dok se NISG 2026 odnosi na značajne incidente u kibernetičkoj sigurnosti. Slučaj poput Blank Romea jasno bi predstavljao povredu podataka u smislu GDPR-a, ali vjerojatno ne bi bio incident koji se mora prijaviti prema NISG-u 2026. Suprotno tome, kvar sustava u organizaciji koja podliježe Zakonu može podlijegati obvezi izvještavanja samo prema NISG 2026, čak i bez ikakvog curenja podataka. Svatko tko objedinjuje obje obveze u jedan proces mora provjeriti dva praga i izraditi dva različita izvješća.
To znači da se u slučaju incidenta mora prijaviti dvaput. Oni koji nisu izravno obuhvaćeni često su ugovorno obvezni pridržavati se istih standarda putem obveza u lancu opskrbe svojih klijenata koji podliježu NIS 2.
Zaključak
Izvrsna reputacija ne pruža zaštitu od napadača niti od naknadnih pravnih postupaka. GDPR ne zahtijeva besprijekorne IT sustave; zahtijeva odgovarajuće tehničke i organizacijske mjere te učinkovit sustav upravljanja krizama. Ne treba se oslanjati na argument da je riječ o pomanjkanju samo jednog zaposlenika. Novčane kazne izriču se izravno pravnoj osobi, čak i bez imenovanja određene fizičke osobe. U okviru GDPR-a nema mjesta za članak 11. DSG-a (upozorenja umjesto kazni) ili članak 33a VStG-a, budući da pravo EU ima prednost (BVwG 24. ožujka 2026., W298 2323263-1). Svatko tko se nada nacionalnim ublažavajućim mjerama stoga se uzalud nada.
Svatko tko može dokazati da je uspostavio odgovarajuće mjere, osigurao obuku i ima dokumentirani postupak izvještavanja, bit će u znatno boljoj poziciji nakon incidenta nego netko tko jednostavno tvrdi da je imao niz nesreća. Razlika prije incidenta stoji samo nekoliko dana rada, a nakon incidenta često je red veličine veća.
Često postavljana pitanja (FAQs)
Kada počinju 72 sata?
Od trenutka kada kontrolor sazna za incident. Smatra se da je došlo do saznanja čim se s razumnom sigurnošću utvrdi da je sigurnosni incident doveo do povrede osobnih podataka. Dopuštena je kratka faza provjere, ali se ona ne smije koristiti kao taktika odgađanja. Ako obrađivač podataka postane svjestan incidenta, mora o tome bez odgode obavijestiti kontrolora. Prema Smjernicama EDSA 9/2022, rok za kontrolora počinje teći kada obrađivač podataka dostavi te informacije.
Mora li se svaki proboj podataka prijaviti?
Ne. Nije potrebno prijaviti incident ako povreda vjerojatno neće predstavljati rizik za prava i slobode fizičkih osoba, na primjer u slučaju dokumenta koji ne sadrži osjetljive podatke, a poslan je u pogrešno interno odjeljenje. Incident se ipak mora dokumentirati, zajedno s razlozima zašto nije prijavljen (članak 33. stavak 5. GDPR-a).
Kada također trebamo obavijestiti one na koje to utječe?
Gdje postoji predvidiv visok rizik, osobito u pogledu podataka o identitetu, računu, zdravlju ili pristupu. Informacije se moraju dostaviti bez odgode i jasnim, jednostavnim jezikom. Od toga se može odustati u određenim okolnostima koje ublažavaju rizik (članak 34. stavak 3. GDPR-a).
Je li naša tvrtka obuhvaćena NISG-om 2026?
Odlučujući čimbenici su sektor i veličina. Područje obuhvaća organizacije iz 18 sektora koje, kao pravilo, imaju najmanje 50 zaposlenika ili promet ili ukupnu bilancu veće od 10 milijuna eura; neke su aktivnosti obuhvaćene bez obzira na veličinu organizacije. Organizacije se moraju same klasificirati; ne postoji službeni postupak obavještavanja. Čak i one koje nisu izravno obuhvaćene trebale bi provjeriti prenose li im klijenti podložni NIS 2 zahtjeve putem klauzula u lancu opskrbe.
Na temelju dosadašnjeg iskustva, kakve razine zahtjeva za naknadu štete može se realno očekivati u Austriji u slučaju povrede podataka?
U pojedinačnim slučajevima, to obično iznosi troznamenkaste iznose niskog do srednjeg četverocifrenog ranga, ovisno o kategoriji podataka, težini i trajanju povrede. Zahtjev zaštite podliježe posebnom dokazivanju štete; sama povreda nije dovoljna (OGH 6 Ob 113/24x). Pravi rizik leži u kumulativnom učinku na velik broj pogođenih pojedinaca i u teretu dokazivanja, budući da odgovorna strana mora dokazati da su sigurnosne mjere bile prikladne.
Jeste li spremni za hitan slučaj ili ste već usred svega?
ATB.LAW vam pomaže u usklađivanju s GDPR-om, pregledava vaše ugovore s pružateljima IT usluga i stoji vam na raspolaganju u slučaju incidenta – od prijave nadležnom tijelu za zaštitu podataka do obrane od tužbi za naknadu štete. Kontaktirajte nas prije nego što kucne nevolja. Kontakt Stefan Knotzer i Roman Taudes u bilo kojem trenutku u office@atb.law ili telefonom na 01 39 12345 za besplatne početne konzultacije.
