След безпрецедентния теч на лични данни от Националната агенция за приходите (НАП), при който по официални данни са разпространени ЕГН, пароли, банкови сметки и др. на над 4 млн. български граждани, въпросът как потърпевшите да потърсят правата си остава. Досега след забавяне агенцията пусна само услуга, чрез която може да се получи информация или по-точно потвърждение, доколкото течът засяга почти всеки активен гражданин, че за него има някакви данни във файловете. Но не е ясно какви. От НАП твърдят, че само за 189 човека данните са такива, че ще бъдат уведомени лично, за да предприемат бързи действия с личните си документи. Граждани обаче вече се организират да търсят отговорност от НАП. Става дума за сложна юридическа материя и е важно да знаете за какво може да се подават жалби в Комисията за защита на личните данни (КЗЛД) и НАП, какви обезщетения могат да се търсят и как, какви са шансовете на пострадалите да получат справедливост. „Дневник“ обобщи съветите на адвокати и специалисти по защита на личните данни*.
Пловдивският адвокат Ясен Крайчев е предприел няколко стъпки, разказа той пред „Дневник“. Внесъл е искане в НАП да бъде уведомен кои са личните му данни, които са изтекли. Институциите са задължени по регламента GDPR да информират потърпевшите както за конкретното нарушение, така и за мерките, които вземат, за предотвратяването му. Според адвокат Крайчев е добре гражданите да изискат от данъчните такава информация.
Паралелно с това юристът е пратил на НАП покана за доброволно изпълнение да бъде обезщетен със символичния 1 лев за претърпени неимуществени вреди. „Вредите се изразяват в: притеснения, произтичащи от основателни съмнения за възможни злоупотреби с личните ми данни; 10 дни липса на официална информация относно това какви мои лични данни не са били опазени въпреки достъпността им в интернет пространството; загубено време в промяна на пароли, пин кодове на дебитни и кредитни карти, консултации със специалисти в сферата на сигурността; притеснения, че неограничен и неизвестен брой трети лица имат достъп до мои лични данни, в това число адрес и финансова информация и други“, пише в жалбата му, предоставена на „Дневник“. Към нея той е приложил номера на заявката си, с която приложението на НАП го уведомява, че има изтекли негови данни.
„На основание чл. 82, ал. 1 от Общия регламент за защита на личните данни имам право на обезщетение за всички имуществени и неимуществени вреди, причинени от нарушения на регламента от страна на администратор на лични данни. Ето защо Ви каня в тридневен срок от получаване на настоящата покана да ми изплатите обезщетение в размер на 1 (един) лев за нанесените неимуществени вреди поради допускането на изтичане на мои лични данни“, пише юристът до НАП и посочва банковата си сметка. Досега приходната агенция не го е обезщетила.
Но ако решите да направите същите стъпки – може да ползвате тези формулировки за исканията си.
2. Жалба в Комисията за защита на личните данни
Тя се подава в срок от 6 месеца от узнаването на нарушението, но не по-късно от 2 години от извършването му. Възможностите са лично, по пощата с обратна разписка, по факс или по електронен път с електронен подпис. На сайта на комисията има примерен образец на жалба. В нея се описва нарушението, извършено срещу жалбоподателя – максимално подробно, плюс искане НАП да бъде задължена да предостави на КЗЛД справка за това какви лични данни на конкретния жалбоподател са били обект на хакерската атака и са изтекли в интернет, съветват адвокат Деница Люнчева и Юлия Пригонча.
Комисията трябва да се произнесе с решение и да глоби НАП. Ако жалбоподателят не е доволен, може да обжалва пред административния съд.
„Важно е да се отбележи, че КЗЛД не присъжда обезщетения за вреди на жалбоподателите. За тази цел е необходимо засегнатото лице да се обърне към съда“, посочват Люнчева и Пригонча.
Решението на КЗЛД е полезно за тези, които възнамеряват да водят дела за обезщетение. Актовете на регулатора, с които се установява нарушение, имат материална доказателствена сила пред съда.
3. Дело за обезщетение в съда
Ако вече е подадена жалба в КЗЛД, трябва да се изчака тя да се произнесе и тогава да се подава иск в съда. По тези дела се дължи държавна такса.
След приключване на проверката от КЗЛД адвокат Крайчев възнамерява да заведе иск по Закона за отговорността на държавата и общините за вреди пред Административния съд за обезщетението от 1 лв.
Вредите, които може да се претендират, са както имуществени (загуби или пропуснати ползи), така и неимуществени (причинени болки и страдания, включително психически такива) и трябва да са пряка и непосредствена последица от увреждането, независимо дали са причинени виновно от длъжностно лице, съветва адвокат Люнчева.
Адвокат Димо Господинов конкретизира какви вреди могат да се посочат: имуществени – например кражба на самоличност, уволнение от работа, измама и т.н., или неимуществени – неудобството от това колегите ти да знаят колко пари получаваш, да стане публично известно, че играеш хазарт, и т.н.
По време на процеса на НАП ще се падне тежестта да докаже, че преди инцидента е взела всички необходими и адекватни мерки за сигурност на данните, като покаже и механизма, по който ги е взела, включително анализи, оценки на риска и оценки на въздействието.
4. Множество искове срещу НАП
Според адвокат Николай Хаджигенов искове трябва да се подадат от колкото се може повече хора. Той говори за множество индивидуални искове, които съдът би обединил в един процес. „Множество искове накратко означава в рамките на един процес срещу един ответник и с една и съща фактическа обстановка да се предявят искове от множество ищци“. Според него колективни искове са възможни, но не особено смислени, защото в рамките на такъв иск не може да се осъди НАП на индивидуално обезщетение, а само да се установи, че е извършено нарушение.
„Непозволено увреждане е нанесено на всеки един от почти 5 000 000 български граждани, като вредите от него могат да бъдат репарирани по съдебен ред. Ще бъдат претендирани само неимуществените вреди, доколкото в един толкова масов иск имуществените вреди ще трябва да бъдат доказвани индивидуално по основание и размер и това ще обезсмисли всичко, тъй като процесът ще продължи безкрайно“, посочва той.
Адвокатът е сметнал колко би струвало подобно начинание на всеки ищец – 100 лв. при цена на иска 1000 лв, като разноските ще бъдат претендирани от ответника.
5. Колективен иск за защита на личните данни
Колективният иск е най-често споменаваният по форумите, но хората очевидно не си дават сметка, че ефектът от него не може да е получаването на индивидуални обезщетения.
При такъв иск съдът може само: Да установи нарушението, неговата противоправност и вината на нарушителя. Да го осъди да преустанови нарушението – например НАП да предприеме мерки за информационна сигурност при обработването на лични данни. Да осъди нарушителя да поправи последиците от нарушения колективен интерес – обикновено информационни кампании. Да осъди нарушителя да обезщети вредите, причинени на колективния интерес, обяснява адвокат Димо Господинов.
„Внимание, тук се обезщетява колективният интерес, което значи, че парите от обезщетението се разходват за цели в обществена полза от нарочен комитет на увредените лица. Те не се прибират в джоба, а трябва да отиват за поправяне на последиците от нарушения колективен интерес тогава, когато колективът няма доверие на нарушителя, че може да ги поправи сам“, разяснява юристът.
Адвокат Господинов препоръчва колективни искове за защита на лични данни, когато:
• Има данни за множество увредени, нарушителят отказва да ги компенсира доброволно и искаме да ги улесним с еднократно доказване на нарушението от името на всички, а впоследствие всеки индивидуално да си получи обезщетение.
• КЗЛД е сезирана, но бездейства или действа неадекватно.
Според адвоката „за всеки увреден, имайки едно решение по колективен иск „зад гърба си“, е достатъчно само да докаже пред съда, че е претърпял някакви вреди от нарушението, без да го доказва самото него и вината на нарушителя. Това е огромно практическо облекчение, защото можем да си представим дали ще е по силите на всеки отделен субект да доказва пред съда, че НАП не са приложили адекватни мерки за информационна сигурност, което е довело до теча на лични данни“.
Източник: Дневник
Автор: Светлана Георгиева
*Публичните източници, използвани в текста, са статията на адвокат Деница Люнчева и Юлия Пригонча, председател на Управителния съвет на Асоциация за защита на личните данни, от статията на адвокат Димо Господинов, блогът на адвокат Николай Хаджигенов, информация от блогъра Валентин Стойков и от адвокат Ясен Крайчев, който е председател на сдружението „Правна сигурност на потребителите и личните им данни“.
