Harju maakohus jättis jõusse Allium UPI-le määratud kolmemiljonilise trahvi

Harju maakohus ei rahuldanud Allium UPI OÜ kaebust, millega ettevõte soovis tühistada andmekaitse inspektsiooni määratud kolme miljoni euro suurust rahatrahvi. Kohus leidis, et ettevõtte tehnilised turvameetmed ei vastanud nõutavale tasemele, mis viis 2024. aasta alguses toimunud ulatusliku andmelekkeni.

Harju maakohus jättis rahuldamata Allium UPI OÜ kaebuse, millega ettevõte püüdis tühistada talle määratud kolme miljoni euro suurust trahvi. Ettevõttele määrati karistus seoses isikuandmete kaitse nõuete rikkumisega Apotheka lojaalsusprogrammi haldamisel.

Puudulikud turvameetmed

Kohtu hinnangul ei tulenenud andmeleke mitte ainult välisest küberründest, vaid ettevõtte suutmatusest rakendada andmete mahule ja tundlikkusele vastavaid turvameetmeid. Ehkki Allium UPI-l olid olemas vajalikud sise-eeskirjad ja lepingud, ei kõrvaldanud need tuvastatud puudusi.

Kohus tõi esile, et ettevõtte infosüsteemide turvalisus oli ebapiisav: halduskontode kaitseks ei kasutatud piisavaid autentimismeetmeid, süsteemi turvaseire oli nõrk ning andmebaaside varukoopiaid säilitati pikka aega krüpteerimata kujul. Selline lähenemine võimaldas ründajatel korduvalt ligi pääseda infosüsteemile ja laadida alla suures mahus kliendiandmeid.

Mõju 750 000 kliendile

2024. aasta alguses aset leidnud turvaintsident seadis ohtu enam kui 750 000 inimese privaatsuse. Lekkinud info hulgas oli tundlikke terviseandmeid ning andmeid alaealiste ja teiste haavatavate sihtgruppide kohta. Andmekaitse Inspektsioon määras trahvi, viidates ettevõtte hoolimatule suhtumisele klientide andmetesse.

Tegemist on esimese kohtumenetlusega, kus kohaldati 1. novembril 2023 jõustunud karistusseadustiku muudatusi. Need muudatused karmistasid juriidiliste isikute vastutust andmekaitse rikkumiste eest ja suurendasid trahvimäärasid. Kohus leidis, et määratud rahaline karistus on proportsionaalne ja jättis menetluskulud ettevõtte kanda.