Утечка данных CSDD может стоить миллионы: придётся ли за произошедшее платить также правлению и сотрудникам? 0
После масштабной кибератаки на CSDD, в ходе которой были получены данные примерно 1,2 миллиона физических лиц и 200 000 юридических лиц, всё более актуальным становится вопрос о последствиях произошедшего и ответственности. Как ранее сообщали мы на LA.LV, совет и правление CSDD после инцидента объявили об отставке, а Государственная инспекция данных начала проверку произошедшего.
Теперь бюро присяжного адвоката Лауриса Клагиша опубликовало юридическое разъяснение о том, насколько большой штраф теоретически может грозить CSDD и могут ли в случае применения крупного денежного штрафа в будущем за него платить члены правления или даже конкретные сотрудники.
“Утечка данных CSDD: штраф по GDPR может достигать 20 миллионов евро — будут ли правление и IT-сотрудники платить из своего кармана?
В связи с недавней утечкой данных CSDD в публичном пространстве звучат обоснованные предположения о последствиях и ответственности. Накопленный нашим бюро опыт в управлении и консультировании клиентов по вопросам защиты данных, налогов и коммерческого права подтверждает, что инциденты информационной безопасности больше не являются лишь вопросом репутации — они часто измеряются реальными финансовыми потерями. Но кто реально заплатит за это в данном случае?
Учитывая чистый оборот CSDD за 2025 год, который составляет 68 228 279 EUR, теоретический верхний предел денежного штрафа по GDPR (Общему регламенту по защите данных) чрезвычайно высок.
Если будут установлены нарушения требований безопасности обработки (статья 32 GDPR) в соответствии с частью четвертой статьи 83 GDPR, максимальный теоретический штраф составит 10 миллионов EUR, поскольку эта сумма больше 2% от оборота компании (1,36 миллиона EUR).
В свою очередь, при установлении нарушений принципов обработки данных и правового основания (часть пятая статьи 83 GDPR) максимальный порог достигает 20 миллионов EUR, что превышает 4% от оборота, то есть 2,73 миллиона EUR.
В то же время сообщение о несанкционированном доступе к данным автоматически не доказывает нарушение статьи 32 GDPR. Государственной инспекции данных (DVI) предстоит оценить соответствие реализованных CSDD технических и организационных мер существующим рискам.
Фактический размер штрафа будет определён после анализа тяжести нарушения, его продолжительности, количества затронутых лиц, а также уровня ответственности оператора и сотрудничества с надзорным органом.
Дополнительный нюанс скрывается в статье 38 Закона об обработке данных физических лиц, которая в случае юридического лица публичного права предусматривает штраф для должностного лица до 200 единиц денежного штрафа, то есть до 1 000 EUR.
Однако конкретный статус CSDD как государственной акционерной компании и квалификация применимого режима санкций ещё должны быть отдельно выяснены в процессе DVI. Этот штраф в 1 000 EUR определённо не является механизмом, с помощью которого CSDD могла бы просто переложить наложенный штраф по GDPR на правление или сотрудника.
Теоретически CSDD могла бы требовать возмещения убытков от конкретного сотрудника, однако автоматически переложить штраф по GDPR нельзя — сначала CSDD должна доказать противоправные и виновные действия сотрудника, причинно-следственную связь со штрафом, а также сам размер убытков.
Часть первая статьи 86 Трудового закона устанавливает, что работник обязан возместить работодателю причинённые убытки. Такая ответственность может наступить, если IT- или сотрудник по информационной безопасности, например, сознательно игнорировал требования безопасности, самовольно отключил обязательную защиту, предоставил необоснованные права доступа или своевременно не устранил существенную уязвимость.
Однако в сфере IT-безопасности и системного администрирования работа сама по себе часто связана с повышенным риском возникновения убытков. В таких условиях работник отвечает только за злой умысел или грубую неосторожность (часть четвертая статьи 86 Трудового закона). Существенно также оценивать и соучастие самого работодателя в соответствии со статьёй 87 Трудового закона.
Если CSDD не обеспечила достаточные средства защиты, персонал, бюджет или чёткие инструкции, ответственность работника может быть исключена или уменьшена. Любые удержания из заработной платы могут производиться только с письменного согласия работника, а если работник это оспаривает, CSDD придётся обращаться в суд (части первая и вторая статьи 79 Трудового закона).
Часть первая статьи 169 Коммерческого закона требует от членов правления и совета действовать как добросовестные и заботливые хозяева, в противном случае предусматривая солидарную ответственность за причинённые обществу убытки.
Теоретически CSDD могла бы обратиться против них, чтобы взыскать наложенный DVI штраф как причинённый имущественный ущерб, если бы доказала, что правление или совет игнорировали риски кибербезопасности, не обеспечили достаточный контроль, необоснованно откладывали инвестиции в защиту или не реагировали на предупреждения об уязвимостях.
Однако одним лишь фактом кибератаки наступление ответственности не доказывается. Член правления или совета не несёт ответственности, если способен доказать, что действовал с требуемой Коммерческим законом степенью заботливости.
Оценивая ситуацию, можно сделать вывод, что у CSDD была бы возможность взыскать штраф или его часть в процессе гражданско-правового возмещения убытков, однако только при строгом доказывании индивидуализированной вины, причинно-следственной связи и размера убытков.
Решение DVI и требуемая частью второй статьи 83 GDPR оценка уровня ответственности оператора могут служить источником доказательств в последующем регрессном иске, однако это не означает автоматической гражданско-правовой ответственности должностных лиц.
Практически наибольшему риску подвергаются те лица, которые принимали — или необоснованно уклонялись от принятия — решения об управлении ресурсами безопасности и устранении выявленных рисков.”
