Pozadina incidenta
U ožujku 2022. godine, zbog pogreške u konfiguraciji, osobni podaci 33.000 stanovnika grada Badena bili su javno dostupni četiri dana. Podaci su uključivali imena, datume rođenja, adrese i telefonske brojeve, ali ne i osjetljive informacije poput podataka o kreditnim karticama. Grad je tvrdio da su ti podaci već bili dostupni u javnim registrima, čime je nastojao umanjiti ozbiljnost incidenta.
Sudska presuda i pravni aspekti
Viši regionalni sud potvrdio je presudu Okružnog suda Wiener Neustadt i naglasio da je, čak i u nedostatku konkretnih dokaza o zlouporabi, nematerijalna šteta, poput psihološkog stresa, dovoljan razlog za naknadu. Ova odluka slijedi sudsku praksu Europskog suda pravde (ECJ), prema kojoj je povreda prava na zaštitu podataka podobna za naknadu bez obzira na to je li nastala bilo kakva izravna šteta (SUDEU, presuda od 4. srpnja 2023., predmet C-300/21).
Odgovornosti javnih institucija
Presuda pokazuje da javna tijela imaju posebnu odgovornost za zaštitu osobnih podataka. U ovom je slučaju grad pokušao prebaciti odgovornost na pružatelja IT usluga, no sud je to odbio. Grad je učinio Baden-Card dostupnom na internetu prije nego što su mjere informacijske sigurnosti bile u potpunosti provedene, što je dovelo do sigurnosnog propusta. Takvi su propusti podložni GDPR-u, a javna tijela ne mogu se oslanjati na vanjske pružatelje usluga kako bi izbjegla vlastitu odgovornost.
Reakcije i stvaranje presedana
Ova presuda jača položaj građana u slučajevima povreda podataka i mogla bi dovesti do vala tužbi za naknadu štete. Odluka Suda Europske unije o nematerijalnoj šteti nastaloj uslijed povreda podataka daje pogođenim građanima šire pravo na naknadu. Očekuje se da će ova sudska praksa utjecati na buduće presude diljem Europe i podići svijest o zaštiti osobnih podataka. Za javne institucije to znači povećanu odgovornost, osobito pri odabiru i nadzoru pružatelja IT usluga.
Preventivne mjere i preporuke
Kako bi se spriječili slični incidenti, javne vlasti trebaju:
- Provjere sigurnosti i revizijeRedovita provjera IT sustava i sigurnosnih protokola.
- Obuka osoblja: Tečajevi osposobljavanja za podizanje svijesti o politikama zaštite podataka.
- Dosljedna primjena GDPR-a: Osiguravanje da su sve tehničke i organizacijske mjere na snazi prije puštanja novih sustava u rad.
Često postavljana pitanja
- Koja prava imaju subjekti podataka nakon povrede podataka?
Subjekti podataka imaju pravo na pristup, ispravak, brisanje i naknadu, čak i bez izravnih dokaza o zlouporabi. - Mogu li ostale pogođene strane tražiti naknadu?
Da, zastarni rok je tri godine, a ostali članovi javnosti i dalje mogu podnijeti tužbe. - Kako javne institucije mogu bolje zaštititi svoje podatke?
Implementacijom sigurnih IT sustava, redovitim revizijama i poštivanjem zahtjeva GDPR-a.
Zaključak
Presuda protiv Grada Badena ima dalekosežne posljedice za zaštitu podataka u Austriji. Budući da je zastarni rok za takve tužbe za naknadu štete tri godine, vjerojatno će se grad Baden suočiti s daljnjim tužbama pogođenih građana. Ova presuda naglašava potrebu da javna tijela podignu svoje standarde zaštite podataka kako bi izbjegla pravne posljedice.
Pogođeni mogu nas kontaktirati na sljedeći telefonski broj 01 3912345 ili putem e-pošte pfefferkorn@atb.law na Matija Pfefferkorn i Roman Taudes Registrirajte se kako bi se njihovi zahtjevi procijenili i, gdje je to primjereno, zatražili odštetu.
