Harju Maakohus kinnitas Allium UPI-le määratud kolmemiljonilise andmekaitsetrahvi

Harju Maakohus jättis jõusse Andmekaitse Inspektsiooni määratud kolme miljoni euro suuruse trahvi Apotheka kliendiprogrammi haldajale Allium UPI-le. Kohus leidis, et ettevõtte turvameetmed ei vastanud töödeldud tundlike andmete mahule ja ohutasemele.

Harju Maakohus jättis rahuldamata Apotheka kliendiprogrammi andmeid töötleva ettevõtte Allium UPI kaebuse, millega firma püüdis tühistada Andmekaitse Inspektsiooni määratud kolme miljoni euro suurust rahatrahvi. Kohtu hinnangul olid inspektsiooni etteheited ettevõttele põhjendatud ning trahvisumma proportsionaalne toimepandud rikkumistega.

Kohtuvaidlus puudutas ettevõtte süsteemidest aset leidnud klientide isikuandmete, sealhulgas terviseandmete leket. Ehkki Allium UPI püüdis kohtus veenda, et tegemist oli välise ründega, rõhutas kohus, et vastutav töötleja peab tagama andmete piisava turvalisuse.

Puudulikud turvameetmed

Kohtu analüüs tõi välja mitmeid süsteemseid vajakajäämisi Allium UPI tegevuses. Tuvastati, et ettevõtte kasutatud tehnilised ja korralduslikud meetmed ei olnud kooskõlas töödeldud andmete mahu ja tundlikkusega. Probleemide loetelus toodi eraldi välja halduskontode ebapiisav kaitse, kus märgiti turvameetmete puudulikkust.

Lisaks heitis kohus ettevõttele ette süsteemi nõrka turvaseiret ning andmebaaside varukoopiate hoolimatut käsitlemist. Selgus, et varukoopiaid säilitati põhjendamatult pikka aega ning need olid hoiul krüpteerimata kujul, mis tegi andmed ründajatele hõlpsasti kättesaadavaks.

Pretsedenti loov kohtuotsus

Kuigi Allium UPI oli rakendanud mitmeid formaalseid meetmeid, ettevõttel olid olemas nii sise-eeskirjad, lepingud kui ka töötajate koolitusprogrammid ja auditeerimissüsteemid, leidis kohus, et need olid sisuliselt ebapiisavad ega suutnud tegelikke riske maandada. Lisaks trahvile peab ettevõte kandma ka kogu menetluskulu.

Käesolev kohtuasi on õiguslikult märkimisväärne, kuna tegemist on esimese menetlusega, mis läbis kohtutee pärast 1. novembril 2023 jõustunud karistusseadustiku muudatusi. Need muudatused puudutasid juriidiliste isikute vastutuse regulatsiooni ning tõstsid märgatavalt võimalike trahvimäärasid.