Розвиток технологій та постійно зростаюча важливість даних як ресурсу створюють особливі труднощі з точки зору захисту від витоків даних. Витік даних може спричинити не лише адміністративні наслідки згідно із Загальним регламентом про захист даних (GDPR), але й цивільну відповідальність для підрядників, чиї інтереси були порушені.
Метою цього дослідження є аналіз підстав цивільної відповідальності в ситуації, коли підприємець не запровадив належної політики інформаційної безпеки, а його підрядник зазнав збитків внаслідок витоку даних.
Обсяг обов'язків щодо безпеки персональних даних
Відповідно до статті 24(1) GDPR, контролер зобов'язаний впровадити відповідні технічні та організаційні заходи для забезпечення того, щоб обробка здійснювалася відповідно до цього Регламенту. Ці заходи повинні відповідати характеру, обсягу, контексту та цілям обробки, а також ризику для прав і свобод фізичних осіб.
Тут ключову роль відіграє внутрішня політика інформаційної безпеки, включаючи управління правами доступу, процедури реагування на інциденти, політику паролів, політику зберігання та шифрування даних, а також навчання співробітників.
Цивільна відповідальність – правові підстави та умови
Якщо витік даних відбувається через відсутність належних заходів безпеки, цивільна відповідальність може ґрунтуватися на:
- договірний режим, відповідно до статті 471 Цивільного кодексу (ЦК), коли шкода виникла внаслідок неналежного виконання договірного зобов'язання (наприклад, договору про співпрацю, договору про обробку даних),
- режим деліктної відповідальності, що ґрунтується на статті 415 Цивільного кодексу, у разі порушення загальних принципів сумлінності або правових положень, коли між сторонами немає зобов'язальних відносин,
- Стаття 82 GDPR, яка передбачає можливість фізичної особи, чиї дані були порушені, вимагати компенсації від контролера або обробника.
У контексті ділових відносин ключовим положенням є стаття 471 Цивільного кодексу, яка передбачає, що боржник зобов'язаний відшкодувати шкоду, завдану внаслідок невиконання або неналежного виконання зобов'язання, якщо він не може довести, що невиконання або неналежне виконання було спричинено обставинами, за які він не несе відповідальності. Тому необхідно довести існування зобов'язання, його неналежне виконання, шкоду, завдану підряднику, та причинно-наслідковий зв'язок між порушенням та шкодою.
Значення відсутності політики інформаційної безпеки як порушення належної перевірки
Суд Європейського Союзу неодноразово визнавав обов'язок належної перевіреності у захисті персональних даних. 14 грудня 2023 року Суд ЄС виніс рішення у справі C-340/21, згідно з яким будь-яка особа, яка зазнала матеріальної або нематеріальної шкоди внаслідок порушення цього Регламенту, має право отримати компенсацію від контролера або обробника за понесену шкоду. Важливо, що Суд ЄС встановив, що сам лише страх майбутнього використання персональних даних третіми сторонами відповідає критерію «нематеріальної шкоди».
Аналогічно, у відносинах між підрядниками, невпровадження належних технічних та організаційних заходів (включаючи офіційну політику безпеки) може свідчити про грубу недбалість і, таким чином, бути підставою для відповідальності за збитки, завдані іншій стороні.
Практичні наслідки та претензії
У разі витоку даних постраждалий підрядник може вимагати, серед іншого:
- відшкодування витрат, понесених у зв'язку з порушенням (наприклад, аудит, повідомлення фізичних осіб, послуги зі зв'язків з громадськістю),
- компенсація за пошкодження зображення,
- компенсація за порушення особистих прав (якщо дані стосувалися його співробітників або клієнтів),
- звернення до суду за адміністративними стягненнями (наприклад, згідно з відповідними договірними положеннями).
Кінцевий обсяг відповідальності залежить від обставин конкретного випадку та від того, чи можна продемонструвати причинно-наслідковий зв'язок між недоліками політики безпеки та завданими збитками.
Висновки
Згідно з чинним законодавством, невиконання політики інформаційної безпеки може бути підставою для цивільної відповідальності – як для фізичних осіб, так і для бізнесу. Не менш важливим є той факт, що витік даних може серйозно зашкодити репутації компанії, яка створювалася роками, що може призвести до труднощів із залученням нових клієнтів та відходом існуючих, що зрештою вплине на фінансові показники організації.
Слід визнати, що наявність актуальної та ефективно впровадженої політики інформаційної безпеки має бути стандартною для кожного професійного учасника ділових операцій.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією.
Закон чинний станом на 19 серпня 2025 року.
Автор:
Редактор серії:
