Andmeleke, GDPR ja vastutus: mida küberkindlustus katab

Lühidalt. Andmeleke on küberintsident, mille õiguslikud tagajärjed kestavad kõige kauem. Vastutav töötleja peab rikkumisest teavitama järelevalveasutust põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul, välja arvatud juhul, kui rikkumine ei kujuta tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele, ning suure ohu korral ka andmesubjekte. Igal isikul, kes on kandnud määruse rikkumise tõttu materiaalset või mittemateriaalset kahju, on õigus saada hüvitist; vastutav või volitatud töötleja vabaneb siiski vastutusest, kui ta tõendab, et ta ei ole kahju põhjustanud sündmuse eest mingil viisil vastutav (GDPR art 82 lg 3). Kolmanda isiku rünnak üksi ei tõenda turvameetmete ebapiisavust ega automaatset vastutust. Trahvid võivad ulatuda 4 protsendini ülemaailmsest aastakäibest. Küberkindlustus katab tavaliselt teavitamise, õigusabi, järelevalvemenetluse ja kolmandate isikute nõuded; trahvide kate sõltub kindlustatavusest.

1. Mis on isikuandmetega seotud rikkumine

Isikuandmete kaitse üldmääruse (GDPR) mõistes on isikuandmetega seotud rikkumine turvarikkumine, mis põhjustab andmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise või loata avalikustamise või neile juurdepääsu.¹ Rikkumine ei eelda rünnakut. Valesti seadistatud pilvekeskkond, vale adressaadiga e-kiri, kaotatud sülearvuti või töötaja volitamata päring on samuti rikkumised. Küberkindlustuse jaoks on oluline, kas leping katab ka hooletusest tingitud lekke ja töötaja tahtliku teo (rogue employee), või ainult välise rünnaku.

2. Teavitamiskohustused

2.1. Järelevalveasutus

Vastutav töötleja teavitab isikuandmetega seotud rikkumisest pädevat järelevalveasutust (Eestis Andmekaitse Inspektsioon) põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast rikkumisest teadasaamist, välja arvatud juhul, kui rikkumine ei kujuta tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele. Hilinenud teatele tuleb lisada viivituse põhjused.²

2.2. Andmesubjektid

Kui rikkumine kujutab endast tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele, teavitab vastutav töötleja andmesubjekti põhjendamatu viivituseta.³ Teavitamise kulud (postitus, kõnekeskus, veebileht, krediidijälgimine) on küberkindlustuse esimese isiku kulud, sageli eraldi alamlimiidiga või arvestatuna teavitatud isikute arvu järgi.

2.3. Kooskõla teiste teavitustega

Kui ühing on küberturvalisuse seaduse (KüTS) kohaldamisalasse kuuluv teenuseosutaja ja küberintsidendil on süsteemi turvalisusele või teenuse toimepidevusele oluline mõju või seda võib mõistlikult eeldada, tuleb samast intsidendist esitada Riigi Infosüsteemi Ametile esmane teade viivitamata, kuid hiljemalt 24 tunni jooksul intsidendist teadasaamisest (KüTS § 8 lg 1; vt NIS2 ja küberturvalisuse seadus). Teavitamise eeldusi GDPR ja KüTS järgi tuleb hinnata eraldi. Kindlustusandjat tuleb teavitada lepingu järgi; VÕS-i üldreegel nõuab teatamist viivitamata.⁴

3. Andmesubjekti õigus hüvitisele

GDPR artikli 82 järgi on igal isikul, kes on kandnud määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist. Vastutav töötleja vastutab kahju eest, mis tekib määrust rikkuva töötlemise tulemusel; volitatud töötleja vastutab üksnes siis, kui ta ei ole täitnud talle suunatud kohustusi või on tegutsenud vastutava töötleja juhiste vastaselt.⁵

Praktikas on üksikisiku kahju andmelekke korral tavaliselt väike, kuid nõuete arv võib olla suur. Massnõuded on eriti oluline risk siis, kui leke puudutab terviseandmeid, finantsandmeid või isikukoode. Mittevaralise kahju hüvitise ulatus andmekaitserikkumise eest on liikmesriikide kohtupraktikas alles kujunemas. Euroopa Kohus on leidnud, et pelgalt määruse rikkumisest hüvitisnõude tekkimiseks ei piisa, kuid liikmesriik ei tohi seada mittevaralise kahju hüvitamisele raskusastme künnist (EKo 04.05.2023, C‑300/21, Österreichische Post). Analüütiline järeldus: kindlustusvõtja peaks hindama vastutusriski mitte üksiku nõude suuruse, vaid potentsiaalsete nõudjate arvu ja kaitsekulude kaudu.

4. Trahvid

Järelevalveasutus võib määrata trahvi kuni 10 miljonit eurot või ettevõtja puhul kuni 2 protsenti eelneva majandusaasta ülemaailmsest aastasest kogukäibest (muu hulgas töötleja kohustuste, sh turvalisuse ja rikkumisest teavitamise kohustuse rikkumise eest) ning raskemate rikkumiste eest (töötlemise põhimõtted, andmesubjekti õigused, edastamine kolmandatesse riikidesse) kuni 20 miljonit eurot või 4 protsenti, olenevalt sellest, kumb summa on suurem.⁶

Trahvi kate küberkindlustuses on sõnastatud tavaliselt nii, et trahv on kaetud „ulatuses, milles see on kohaldatava õiguse järgi kindlustatav“. Eesti õiguses ei ole trahvi kindlustatavus otsesõnu reguleeritud; trahvi karistuslik eesmärk räägib selle ülekandmise vastu. Kindlustatu ei peaks oma riskianalüüsis eeldama, et trahv on kaetud. Seevastu järelevalvemenetluse kaitsekulud on kaetud.

5. Vastutava ja volitatud töötleja suhe

Suur osa lekete põhjuseid on teenusepakkuja juures: pilveteenus, palgaarvestuse tarkvara, kliendihaldussüsteem, turundusplatvorm. Vastutav töötleja võib andmesubjekti ees vastutada ka siis, kui leke toimus volitatud töötleja süsteemis; vastutus eeldab isikuandmete kaitse üldmääruse art 82 eelduste täitmist ning töötleja vabaneb, kui ta tõendab, et ta ei ole kahju põhjustanud sündmuse eest mingil viisil vastutav (art 82 lg 3). Sisemises suhtes saab vastutav töötleja esitada volitatud töötlejale tagasinõude, kui viimane rikkus oma kohustusi.⁵

Kindlustuse seisukohast tekib kaks küsimust:

1. Kas küberleping katab leket, mis toimus teenusepakkuja süsteemis? Hea tingimus katab kindlustatu vastutuse ja teavitamiskulud sõltumata sellest, kus leke toimus, kui kindlustatu on vastutav töötleja.
2. Kas kindlustusandja saab esitada tagasinõude teenusepakkujale? VÕS § 492 lõike 1 järgi läheb kindlustusvõtja nõue kolmanda isiku vastu kindlustusandjale üle ulatuses, milles kindlustusandja kahju hüvitas.⁷ Kui teenuseleping piirab teenusepakkuja vastutust või sisaldab loobumist tagasinõudest, võib see mõjutada kindlustusandja tagasinõudeõigust ja seega ka kindlustusvõtja kohustusi kindlustusandja ees. Teenuselepingu vastutuse piirangud tuleb seetõttu kindlustusandjale avaldada.

6. Andmeleke ja juhatuse vastutus

Andmeleke on klassikaline olukord, kus küber- ja D&O-risk kattuvad. Kui leke on tingitud teadaolevast ja parandamata haavatavusest või puudulikust turvakorraldusest, võivad osanikud, aktsionärid või pankrotihaldur väita, et juhatus ei täitnud korraliku ettevõtja hoolsust. Rahvusvahelises praktikas on suured andmelekked viinud ka väärtpaberi- ja derivatiivnõueteni juhtide vastu (vt D&O-kaasused). D&O-lepingu kübervälistus ei tohi välistada juhtide kaitset sellistes nõuetes.

7. Praktiline tegevuskava lekke korral

1. Isoleeri mõjutatud süsteemid, säilita logid ja tõendid.
2. Teavita kindlustusandjat ja kaasa paneeli õigusnõustaja ning forensika.
3. Hinda 72 tunni jooksul, kas rikkumine kujutab ohtu, ja dokumenteeri hinnang.
4. Teavita järelevalveasutust ja vajaduse korral andmesubjekte.
5. Kontrolli teenusepakkuja lepingut: teavitamiskohustus, vastutus, tagasinõue.
6. Valmista ette kommunikatsioon, mis on kooskõlas järelevalveasutusele esitatud teabega.

Üldine tegevuskava: Esimesed 72 tundi pärast kahju.

Korduma kippuvad küsimused

Kas iga andmeleke tuleb järelevalveasutusele teatada?

Ei. Teatama ei pea, kui rikkumine ei kujuta tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele. Hinnang tuleb aga teha kiiresti ja dokumenteerida. Kui ettevõte otsustab mitte teatada, peab ta suutma hiljem selgitada, miks oht puudus. Kahtluse korral on teatamine ohutum, sest hilinenud või tegemata teavitus on iseseisev rikkumine.

Kas küberkindlustus katab andmesubjektide mittevaralise kahju nõuded?

Vastutuse moodul katab tavaliselt kindlustatu kohustuse hüvitada kolmandatele isikutele tekitatud kahju, sealhulgas mittevaraline kahju, kui see on kohaldatava õiguse järgi hüvitatav. Kontrollida tuleb, kas tingimused ei välista mittevaralist kahju ega piira katet nõuetega, mis on esitatud kohtus.

Kes maksab, kui leke toimus pilveteenuse pakkuja juures?

Andmesubjekti ees võib vastutada vastutav töötleja (art 82 eeldustel ja lg 3 vabanemisvõimalusega). Küberkindlustus katab kindlustatu kulud ja vastutuse poliisis kokkulepitud ulatuses. Seejärel võib kindlustusandja esitada nõude teenusepakkuja vastu, kui teenuseleping seda võimaldab. Kui teenuselepingus on vastutuse piirang, mõjutab see tagasinõuet. Seetõttu tuleb teenuslepingute vastutuse tingimused kindlustusandjale lepingu sõlmimisel avaldada.

Kas trahv on kaetud?

Tingimused lubavad trahvi katta üksnes ulatuses, milles see on kohaldatava õiguse järgi kindlustatav. Eesti õiguses on see vaieldav. Kindlustatu ei tohiks oma eelarves eeldada, et trahv on kaetud. Seevastu menetluskulud ja õigusabi on tavaliselt kaetud.

Kas leke võib kaasa tuua juhatuse isikliku vastutuse?

Andmesubjektide ees vastutab ühing. Ühingu kahju (trahv, hüvitised, kulud) võib aga saada nõudeks juhatuse liikme vastu, kui juhatus ei korraldanud andmekaitset korraliku ettevõtja hoolsusega. See nõue kuulub D&O-kindlustusse.

Seotud lehed

• Mida küberkindlustus katab
• NIS2 ja küberturvalisuse seadus
• Intsidendile reageerimine ja teenusepakkujad
• Küberkindlustuse kaasused
• Uued D&O-riskid juhatusele

Viited