Când oamenii se gândesc la un dezastru de confidențialitate, de obicei își imaginează hackeri. O hotărâre recentă a Curții Supreme a Danemarcei indică spre ceva mai puțin dramatic: o cerere administrativă de rutină gestionată greșit. Cazul ridică o întrebare practică despre compensația GDPR pentru divulgarea neautorizată de date și arată cât de mult rău poate produce o singură eroare administrativă. ## Ce s-a întâmplat în cazul primăriei daneze Potrivit raportului, o primărie daneză a divulgat din greșeală informații sensibile despre sănătate și date financiare ale unui locuitor către fostul soț al acelui locuitor. Divulgarea a avut loc în timp ce primăria gestiona o cerere de rutină de acces la dosar. Nu au fost implicați atacatori, malware sau credențiale furate. O autoritate publică a eliberat pur și simplu informații către cineva care nu ar fi trebuit să le primească. Cazul a ajuns la cea mai înaltă instanță din Danemarca. Aceasta a examinat dacă divulgarea neautorizată a datelor personale extrem de sensibile ar trebui să ducă la compensații în temeiul GDPR. Rezumatul disponibil pentru noi nu prezintă raționamentul complet, rezultatul final sau vreo sumă acordată, așa că nu vom specula cu privire la aceste detalii. Cititorii care doresc detalii specifice ar trebui să consulte hotărârea completă sau o analiză juridică a acesteia. ## Cum a abordat Curtea Supremă compensația GDPR Contextul juridic este Articolul 82 din GDPR. Acesta prevede că orice persoană care a suferit un prejudiciu material sau nematerial ca urmare a unei încălcări a regulamentului are dreptul de a primi compensații de la operatorul sau persoana împuternicită responsabilă. Prejudiciul „nematerial" contează aici. Acesta acoperă vătămări precum suferința sau pierderea controlului asupra informațiilor personale, nu doar pierderea financiară măsurabilă. De aceea cazuri ca acesta sunt urmărite cu atenție. Când datele ajung la persoana greșită, s-ar putea să nu existe bani furați sau fraudă de identitate de indicat. Întrebarea pentru o instanță este cum să trateze prejudiciul care decurge din expunerea în sine, în special când destinatarul este o persoană cu un trecut personal față de persoana afectată. Instanțele din întreaga Europă au lucrat pentru a stabili unde se află linia, iar o hotărâre a unei curți supreme naționale adaugă un punct de referință util pentru modul în care sunt evaluate aceste pretenții. Un alt punct demn de menționat este că operatorul în acest caz a fost o autoritate publică. Autoritățile publice dețin cantități mari de date despre locuitori, adesea pentru că locuitorii nu au o alegere reală în privința partajării acestora. Aceasta face ca gestionarea atentă să fie o obligație legală, nu o curtoazie. ## De ce datele sensibile despre sănătate și cele financiare cresc miza GDPR tratează datele privind sănătatea ca o categorie specială care beneficiază de protecție mai puternică. Informațiile financiare nu sunt formal în aceeași categorie, dar pot fi la fel de revelatoare. Împreună, pot expune afecțiunile medicale, veniturile, datoriile și circumstanțele de viață ale unei persoane. În contextul unui fost soț, riscul este ușor de înțeles. Informațiile despre sănătatea sau finanțele cuiva pot fi folosite în dispute sau pot pur și simplu cauza suferință, odată ce ajung în mâinile unei persoane cu care relația s-a încheiat. O astfel de divulgare nu poate fi anulată. Odată ce informațiile au fost văzute, nu există nicio modalitate de a le recupera. De aceea incidentul diferă și de breșele care domină de obicei titlurile. Un hacker dorește de obicei date în masă. O divulgare direcționată greșit implică cele mai personale detalii ale unei singure persoane, livrate exact cititorului greșit. ## Ce pot și ce nu pot controla indivizii cu privire la datele lor Merită să fim direcți despre limitele instrumentelor de securitate personală. Un VPN criptează conexiunea și ascunde adresa IP de site-urile pe care le vizitezi. Nu face nimic pentru a împiedica o primărie, un spital sau o instanță să trimită dosarele tale persoanei greșite. Odată ce o instituție deține datele tale, modul în care sunt gestionate depinde de procesele, instruirea și verificările acelei instituții. Același lucru se aplică incidentelor mai mari. [Breșa Thomson Reuters C-Track care afectează instanțe din 11 state](/en/thomson-reuters-c-track-breach-hits-courts-in-11-states) este un alt exemplu de date deținute de instituții care ajung în afara controlului persoanelor pe care le descriu. De asemenea, schemele guvernamentale de colectare a datelor precum [cerința Aadhaar propusă de Karnataka pentru rețelele sociale](/en/karnataka-s-aadhaar-social-media-plan-raises-surveillance-fears) arată cât de multe informații personale ajung în sisteme oficiale pe care indivizii nu le pot audita. ## Ce înseamnă asta pentru tine Nu poți preveni fiecare greșeală instituțională, dar ai drepturi care se aplică atunci când una se produce: - **Dreptul de acces:** Poți cere unei organizații ce date deține despre tine și cum sunt utilizate. - **Dreptul de a depune plângere:** Dacă consideri că datele tale au fost gestionate greșit, poți depune o plângere la autoritatea națională de protecție a datelor. - **Dreptul la compensație:** În temeiul Articolului 82, poți solicita compensații pentru prejudiciul material sau nematerial cauzat de o încălcare a GDPR. Dacă te afli într-o dispută cu un fost partener, ia în considerare să informezi orice autoritate cu care interacționezi, în scris, că dosarele tale nu ar trebui eliberate terților fără verificare. Asta nu va garanta împotriva erorii, dar creează o evidență și poate determina verificări suplimentare. ## Concluzii cheie - Multe dintre cele mai dăunătoare eșecuri de confidențialitate provin din eroare instituțională, nu din hacking. - Un VPN nu poate proteja datele pe care o organizație le deține și le gestionează greșit. - Compensația GDPR pentru divulgarea neautorizată de date poate acoperi prejudiciul nematerial, nu doar pierderea financiară. - Cunoaște cum să-ți exerciți drepturile de acces, de plângere și de solicitare a compensației. Hotărârea daneză este o reamintire că legea protecției datelor există exact pentru aceste momente. Învață la ce te îndreptățește GDPR, păstrează evidențe dacă ceva merge greșit și citește despre alte cazuri de eșecuri instituționale privind datele, precum [breșa Thomson Reuters C-Track](/en/thomson-reuters-c-track-breach-hits-courts-in-11-states), pentru a vedea cât de des punctul slab este în afara controlului tău.