Данные утекли, и вам начали звонить «из банка» — что можно сделать: от жалобы до иска в суд
В последнее время в Польше произошло несколько громких взломов. Например, сервиса для выставления фактур Fakturownia или системы электронного здравоохранения MyDr.
Компании, которые подверглись кибератаке, извещают об этом клиентов — но можно ли подать на них жалобу за недостаточную защиту пользователей? Это Dzik спросил у радцы правной Марии Роматовской — пани Марьи.
Что можно сделать — разбор от пани Марьи по шагам
— Если данные утекли и попали в сеть, и человек уже пострадал либо ему начали приходить подозрительные сообщения и/или звонки, то можно предпринять следующие шаги:
Жалоба в Управление по защите персональных данных (UODO)
Каждый пострадавший имеет право подать официальную жалобу на администратора персональных данных (то есть на конкретную клинику, которая передала ваши данные сторонней компании, или непосредственно на поставщика ПО, если именно он являлся администратором данных).
Что это даст: UODO проведёт проверку. Если будут выявлены грубые нарушения (например, отсутствие надлежащих мер защиты), то ведомство может наложить на компанию огромный денежный штраф.
Как подать: удобнее всего в электронном виде через Biznes.gov.pl или платформу ePUAP, выбрав отправку письма в Urząd Ochrony Danych Osobowych. Это бесплатно.
Заявление о подозрении в совершении преступления
Утечка данных — это нарушение уголовного законодательства (в частности, незаконное получение доступа к информации или невыполнение обязанностей по обеспечению безопасности данных).
Что это даёт: прокуратура и полиция начнут официальное расследование, чтобы установить виновных, а также выяснить, не совершили ли преступление ответственные сотрудники компании в соответствии со ст. 107 Закона о защите персональных данных (например, не обрабатывали ли они данные без соответствующих полномочий или без мер защиты).
Как подать: можно обратиться в ближайшее отделение полиции или направить письменное заявление непосредственно в районную прокуратуру (Prokuratura Rejonowa) по месту жительства.
В заявлении следует описать ситуацию и приложить распечатку (например, с сайта bezpiecznedane.gov.pl), подтверждающую, что ваши данные оказались среди «утёкших».
Гражданский иск и требование компенсации (тут стоит подать коллективный иск)
В соответствии со ст. 82 GDPR (RODO) каждый человек, которому был причинён материальный или нематериальный ущерб (психологические страдания, страх перед мошенничеством, нарушение права на частную жизнь) в результате нарушения этого регламента, имеет право получить компенсацию от администратора персональных данных.
Что это даёт: можно потребовать конкретную денежную сумму в качестве компенсации за то, что ваши наиболее чувствительные данные (история болезней, фотографии) попали в интернет.
Как подать: тут следует обратиться с иском в гражданский суд. Но, учитывая расходы и сложность процедуры, при масштабных утечках лучше дождаться коллективных исков (которые часто организуют общества защиты прав потребителей или специализированные юридические фирмы) и присоединиться к списку пострадавших.
Все эти дела и так впоследствии должны объединить в одно. Так как, по факту, это один инцидент, который массово коснулся многих.
Сообщение об инциденте информационной безопасности в CERT Polska
Если после утечки вам начали поступать подозрительные SMS или электронные письма (например, попытки выманить деньги под предлогом оплаты рецепта), об этом лучше сообщить государственным специалистам по кибербезопасности.
Как сообщить: перешлите подозрительное SMS на бесплатный номер 8080 или сообщите о фишинговом сайте через форму на incydent.cert.pl.
Ремарка Dzika: Центральное бюро по борьбе с киберпреступностью уже курирует расследование утечки данных компании MyDr. За то, что персональные данные клиентов, в том числе медицинская информация, обрабатывались неуполномоченным лицом, предусмотрено наказание до трёх лет лишения свободы. При этом нарушения безопасности центральных служб электронного здравоохранения не произошло.
Что же касается «Фактуровни», то, по подсчётам компании, «несанкционированный доступ мог включать данные учетных записей всех пользователей Fakturownia, их подрядчиков и счета-фактуры, выставленные через Fakturownia до 2023 года». KSeF не затронуло. Делом тоже занимается Центральное бюро по борьбе с киберпреступностью.
