Η μεγάλη κυβερνοεπίθεση στο δίκτυο της διοίκησης του Βερολίνου και η δημοσίευση των κλεμμένων δεδομένων στο dark web επαναφέρουν ένα κρίσιμο ερώτημα για την εφαρμογή του GDPR: όταν ένας οργανισμός πέφτει θύμα κυβερνοεγκλήματος, απαλλάσσεται από την ευθύνη για την παραβίαση προσωπικών δεδομένων ή πρέπει να αποδείξει ότι είχε λάβει τα κατάλληλα μέτρα για να την αποτρέψει;
Η ομάδα hackers Rhysida ανέλαβε την ευθύνη για την επίθεση, υποστηρίζοντας ότι απέσπασε περίπου 5,7 terabytes δεδομένων από το δίκτυο του Βερολίνου. Οι δράστες απαίτησαν 30 Bitcoin –περίπου δύο εκατομμύρια ευρώ– και προσέφεραν τα δεδομένα προς πώληση στο dark web.
Οι αρχές του Βερολίνου αρνήθηκαν να καταβάλουν τα λύτρα. Μετά την εκπνοή του τελεσιγράφου, τα κλεμμένα δεδομένα δημοσιεύθηκαν και πλέον εξετάζονται από τις αρμόδιες αρχές ασφαλείας και ειδικούς ψηφιακής εγκληματολογίας.
Το Βερολίνο έχει αναγνωρίσει ότι μεταξύ των πληροφοριών που ενδέχεται να έχουν διαρρεύσει περιλαμβάνονται προσωπικά δεδομένα εργαζομένων της διοίκησης, πολιτών αλλά και επιχειρήσεων.
Από την άποψη του δικαίου προστασίας προσωπικών δεδομένων, η υπόθεση παρουσιάζει ιδιαίτερο ενδιαφέρον.
Μια επιχείρηση ή δημόσια αρχή που δέχεται κυβερνοεπίθεση είναι ασφαλώς θύμα εγκληματικής ενέργειας. Αυτό όμως δεν σημαίνει αυτομάτως ότι απαλλάσσεται από τις υποχρεώσεις που υπέχει ως υπεύθυνος επεξεργασίας κατά τον GDPR.
Το άρθρο 32 GDPR επιβάλλει στον υπεύθυνο και στον εκτελούντα την επεξεργασία να εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα ώστε να εξασφαλίζεται επίπεδο ασφάλειας ανάλογο προς τον κίνδυνο.
Η αξιολόγηση αυτή λαμβάνει υπόψη, μεταξύ άλλων, την κατάσταση της τεχνικής, το κόστος εφαρμογής, τη φύση και την έκταση της επεξεργασίας, καθώς και την πιθανότητα και τη σοβαρότητα των κινδύνων για τα δικαιώματα των φυσικών προσώπων.
Επομένως, μετά από μια κυβερνοεπίθεση το κρίσιμο νομικό ερώτημα δεν είναι απλώς «κατάφεραν οι hackers να παραβιάσουν το σύστημα;».
Το ερώτημα είναι εάν, πριν από την επίθεση, είχαν ληφθεί τα μέτρα ασφαλείας που ήταν εύλογα και κατάλληλα σε σχέση με τους συγκεκριμένους κινδύνους.
Η παραβίαση ενεργοποιεί συγκεκριμένες υποχρεώσεις
Όταν η κυβερνοεπίθεση οδηγεί σε παραβίαση προσωπικών δεδομένων, ενεργοποιείται ένα δεύτερο επίπεδο υποχρεώσεων.
Κατά το άρθρο 33 GDPR, ο υπεύθυνος επεξεργασίας οφείλει, εφόσον η παραβίαση ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, να τη γνωστοποιήσει στην αρμόδια εποπτική αρχή χωρίς αδικαιολόγητη καθυστέρηση και, εφόσον είναι δυνατόν, εντός 72 ωρών από τη στιγμή που έλαβε γνώση της.
Ακόμη σημαντικότερη είναι η υποχρέωση του άρθρου 34 GDPR. Όταν η παραβίαση ενδέχεται να προκαλέσει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των προσώπων, ο υπεύθυνος επεξεργασίας οφείλει, υπό τις προϋποθέσεις του Κανονισμού, να ενημερώσει και τα ίδια τα υποκείμενα των δεδομένων.
Στην περίπτωση του Βερολίνου, οι αρχές έχουν ήδη ανακοινώσει ότι, καθώς προχωρά η ανάλυση των δεδομένων, τα πρόσωπα που θα ταυτοποιούνται ως θιγόμενα θα ενημερώνονται βάσει αξιολόγησης κινδύνου και σύμφωνα με τις απαιτήσεις του GDPR και της γερμανικής νομοθεσίας.
Υπάρχει όμως και μία ακόμη διάσταση.Το άρθρο 82 GDPR προβλέπει δικαίωμα αποζημίωσης για το πρόσωπο που υπέστη υλική ή μη υλική ζημία εξαιτίας παράβασης του Κανονισμού.
Αυτό δεν σημαίνει ότι κάθε κυβερνοεπίθεση και κάθε διαρροή δεδομένων οδηγεί αυτομάτως σε υποχρέωση αποζημίωσης. Η ύπαρξη επίθεσης από τρίτους δεν αρκεί από μόνη της ούτε για να θεμελιώσει ούτε για να αποκλείσει την ευθύνη. Ιδιαίτερη σημασία αποκτά το εάν ο υπεύθυνος επεξεργασίας μπορεί να αποδείξει ότι είχε συμμορφωθεί με τις υποχρεώσεις ασφαλείας που του επιβάλλει ο GDPR και ότι δεν ευθύνεται για το γεγονός που προκάλεσε τη ζημία.
Από την πρόληψη στην απόδειξη της συμμόρφωσης
Η υπόθεση του Βερολίνου αναδεικνύει τελικά μία από τις σημαντικότερες αρχές του σύγχρονου δικαίου προστασίας δεδομένων. Η κυβερνοασφάλεια δεν αποτελεί πλέον αποκλειστικά τεχνικό ζήτημα των τμημάτων πληροφορικής. Αποτελεί νομική υποχρέωση και στοιχείο λογοδοσίας.
Μετά από ένα σοβαρό περιστατικό, ο οργανισμός πρέπει να είναι σε θέση να αποδείξει τι μέτρα είχε λάβει, πώς είχε αξιολογήσει τους κινδύνους, πότε αντιλήφθηκε την παραβίαση, πόσο γρήγορα αντέδρασε και με ποιον τρόπο περιόρισε τις συνέπειές της.
Και αυτό ισχύει τόσο για τις ιδιωτικές επιχειρήσεις όσο και για τις δημόσιες αρχές.
Η επίθεση στο Βερολίνο υπενθυμίζει συνεπώς ότι στον GDPR το κρίσιμο ερώτημα μετά από μια κυβερνοεπίθεση δεν είναι μόνο ποιος πραγματοποίησε την επίθεση, αλλά και εάν ο οργανισμός που είχε την ευθύνη των δεδομένων είχε κάνει όσα όφειλε για να τα προστατεύσει.
