Az ANCPI kibertámadása: mit jelenthet ez adatvédelmi szempontból?
2026. július 14-én az ANCPI jogosulatlan hozzáférést jelentett be informatikai infrastruktúrájában. Az e-Terra alkalmazás azóta is csak korlátozott kapacitással működik. Egy magát ByteToBreach néven azonosító támadó időközben azt állítja, hogy megszerezte az állampolgárok személyes adatait, valamint az intézmény belső szervereinek másolatát – az ANCPI ezzel szemben azt közölte, hogy a központi kataszteri adatbázist nem érte támadás. A két állítás technikai szempontból nem feltétlenül zárja ki egymást. Továbbra sem tisztázott, hogy történt-e személyes adatok kiszivárogtatása, és ha igen, milyen mértékben – ez a bizonytalanság pedig mindenkit érint, akinek személyi azonosító száma (CNP), lakcíme vagy ingatlan-tulajdonjoga szerepel a kataszteri rendszerben.
Amit jelenleg tudunk
Az ANCPI hivatalos közleménye megerősíti, hogy az intézményt zsarolóvírusos (ransomware) támadás érte, amely titkosította, majd részben törölte az alkalmazásait kiszolgáló virtualizációs infrastruktúrát. A Román Nemzeti Kiberbiztonsági Igazgatóság (DNSC) az első naptól részt vesz az incidens kezelésében; az érintett infrastruktúrát leválasztották a hálózatról, a szakemberek pedig a rendszer teljes helyreállításán – köztük a szolgáltatások állami felhőbe történő migrációján – dolgoznak.
Az intézmény álláspontja szerint a központi kataszteri adatbázis nem sérült, és jelenleg nincs bizonyíték jogosulatlan hozzáférésre. A hivatalos közlemények egyetlen konkrét ajánlása az ePay platform felhasználóit érinti: nekik javasolt a jelszó haladéktalan megváltoztatása, különösen ha ugyanazt a jelszót más fiókokhoz is használják.
Ezzel párhuzamosan a támadó nyilvánosan azt állította, hogy birtokában vannak az ANCPI által kezelt személyes adatok és forráskód-tárolók másolatai. Ezt hivatalosan mindeddig nem erősítették meg; a pontos körülmények feltárása folyamatban lévő büntetőeljárás tárgya.
Érdemes kiemelni az ANCPI megfogalmazását: az, hogy „nincs bizonyíték" a központi adatbázis kompromittálódására, jogi és informatikai szempontból csupán a vizsgálat jelenlegi állását tükrözi – nem tekinthető annak végleges megállapításának, hogy adatexfiltráció biztosan nem történt.
Mitől adatvédelmi (GDPR), és nem pusztán informatikai kérdés ez?
A GDPR szerint a személyes adatok védelmének megsértése (personal data breach) a biztonság olyan sérülését jelenti, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
Az ANCPI adatkezelőnek minősül a kataszteri és telekkönyvi rendszerben kezelt személyes adatok – nevek, CNP-számok, lakcímek, ingatlanhoz kapcsolódó jogok – tekintetében, és mint ilyen, köteles megfelelő technikai és szervezési intézkedéseket alkalmazni azok biztonsága érdekében (GDPR 32. cikk).
Amennyiben az incidens a GDPR 4. cikk 12. pontja szerinti adatvédelmi incidensnek minősül, az ANCPI-t főszabály szerint az alábbi kötelezettségek terhelik:
megfelelő technikai és szervezési intézkedések alkalmazása (GDPR 32. cikk);
az incidens bejelentése az ANSPDCP-nek legkésőbb 72 órán belül, kivéve, ha valószínűsíthető, hogy az nem jelent kockázatot az érintettek jogaira és szabadságaira (GDPR 33. cikk);
az érintettek közvetlen tájékoztatása, ha az incidens valószínűsíthetően magas kockázatot jelent a jogaikra és szabadságaikra nézve (GDPR 34. cikk).
Ezek a kötelezettségek a támadók azonosítására irányuló büntetőeljárástól függetlenül fennállnak.
Mit tehetnek az érintettek?
1. Tájékoztatás kérése az ANCPI-től (GDPR 15. cikk)
Az érintettek jogosultak hozzáférési kérelmet benyújtani, amelyben tájékoztatást kérhetnek személyes adataik kezeléséről, valamint – amennyiben releváns – arról, hogy az adatvédelmi incidens érintette-e az adataikat. Azok, akik az ePay platformot használták, az e szolgáltatás keretében kezelt személyes adataikra vonatkozó tájékoztatást is kérhetnek.
Az ANCPI a kérelemre főszabály szerint egy hónapon belül köteles válaszolni. Ez a határidő indokolt esetben legfeljebb további két hónappal meghosszabbítható.
2. Panasz benyújtása az ANSPDCP-hez (GDPR 77. cikk)
Az ANSPDCP előtti eljárás díjmentes, és nem teszi kötelezővé ügyvéd közreműködését. A panasz benyújtásához nem szükséges bizonyítani a tényleges kár bekövetkezését.
Az ANSPDCP megvizsgálhatja, hogy az ANCPI eleget tett-e a GDPR-ban előírt kötelezettségeinek, különösen a megfelelő technikai és szervezési biztonsági intézkedések alkalmazására, az adatvédelmi incidens bejelentésére, valamint – adott esetben – az érintettek tájékoztatására vonatkozó kötelezettségeknek.
3. Kártérítés érvényesítése (GDPR 82. cikk)
A GDPR alapján minden érintett személy jogosult kártérítést követelni, amennyiben a rendelet megsértése következtében vagyoni vagy nem vagyoni kárt szenvedett. Ennek megfelelően, ha egy adatvédelmi incidens pénzügyi veszteséget okozott, sértette az érintett jogait vagy nem vagyoni, erkölcsi hátrányt eredményezett, a kár bírósági úton érvényesíthető.
Főszabály szerint az adatkezelő – jelen esetben az ANCPI – felelős minden olyan kárért, amelyet a GDPR rendelkezéseit sértő adatkezelés okoz. A felelősség alól kizárólag akkor mentesülhet, ha bizonyítja, hogy a kárt előidéző eseményért semmilyen módon nem felelős.
Amennyiben ugyanazon adatkezelésben több adatkezelő vagy adatfeldolgozó vett részt, az érintett a teljes kártérítést bármelyik felelőstől követelheti. Az egymás közötti elszámolás és felelősség megosztása ezt követően az érintett felek között történik.
Fontos kiemelni, hogy a kárnak nem kell kizárólag vagyoni jellegűnek lennie. Az Európai Unió Bíróságának ítélkezési gyakorlata megerősítette, hogy nem vagyoni, erkölcsi kár is megalapozhat kártérítési igényt, így például a személyes adatok jövőbeni visszaélésszerű felhasználásától való megalapozott félelem is, még akkor is, ha ilyen visszaélés ténylegesen nem következett be. A kár fennállását és mértékét minden esetben az eljáró bíróság értékeli az ügy konkrét körülményei alapján.
Mit mond az Európai Unió Bíróságának ítélkezési gyakorlata?
A témában irányadó döntés a C-340/21. sz. ügy (VB kontra a Bolgár Nemzeti Adóhatóság, az Európai Unió Bíróságának 2023. december 14-i ítélete).
Az ügy háttere
2019 júliusában a Bolgár Nemzeti Adóhatóság (NAP) informatikai rendszerét kibertámadás érte, amelynek következtében több mint hatmillió személy személyes adatai kerültek nyilvánosságra az interneten. A felperes – az érintettek egyike – 1 000 bolgár leva összegű kártérítést követelt arra hivatkozva, hogy személyes adatainak jövőbeni visszaélésszerű felhasználásától való megalapozott félelme nem vagyoni kárt okozott számára.
A NAP azzal védekezett, hogy a támadást harmadik személyek követték el, továbbá valamennyi szükséges biztonsági intézkedést megtette. Az elsőfokú bíróság elutasította a keresetet arra hivatkozva, hogy a felperes nem bizonyította a biztonsági intézkedések elégtelenségét, és a puszta félelem önmagában nem minősül megtérítendő nem vagyoni kárnak.
Az Európai Unió Bírósága elé terjesztett kérdések
Önmagában bizonyítja-e egy kibertámadás bekövetkezése, hogy az adatkezelő által alkalmazott biztonsági intézkedések nem voltak megfelelőek?
Milyen terjedelmű bírósági felülvizsgálat szükséges a biztonsági intézkedések megfelelőségének vizsgálata során?
Kit terhel a bizonyítási kötelezettség a biztonsági intézkedések megfelelőségét illetően? A szakértői vélemény önmagában szükséges és elegendő bizonyítási eszköznek tekinthető-e?
Automatikusan mentesíti-e az adatkezelőt a felelősség alól, ha a kibertámadást harmadik személy követte el?
Megalapozhat-e önmagában nem vagyoni kárt a személyes adatok jövőbeni visszaélésszerű felhasználásától való félelem?
A Bíróság válaszai
A biztonsági incidens bekövetkezése önmagában nem bizonyítja a GDPR megsértését. Az a tény, hogy harmadik személyek jogosulatlanul hozzáfértek személyes adatokhoz, önmagában nem jelenti azt, hogy az adatkezelő által alkalmazott technikai és szervezési intézkedések (GDPR 24. és 32. cikk) nem voltak megfelelőek. Ugyanakkor az adatkezelőnek lehetőséget kell biztosítani annak bizonyítására, hogy intézkedései megfeleltek a jogszabályi követelményeknek; vele szemben nem alkalmazható megdönthetetlen felelősségi vélelem.
A bíróságnak érdemben kell vizsgálnia az ügyet. A biztonsági intézkedések megfelelőségét konkrétan kell értékelni: először az adott adatkezelés kockázatait kell azonosítani, majd azt kell megvizsgálni, hogy a ténylegesen alkalmazott intézkedések – figyelemmel a technológia állására, a megvalósítás költségeire és a kezelt adatok jellegére – alkalmasak voltak-e e kockázatok kezelésére. A bíróság nem szorítkozhat arra, hogy elfogadja az adatkezelő állításait, hanem köteles azokat ténylegesen megvizsgálni.
A bizonyítás az adatkezelőt terheli. A GDPR 82. cikkén alapuló kártérítési perben az adatkezelőnek kell bizonyítania, hogy az általa alkalmazott biztonsági intézkedések megfeleltek a GDPR 32. cikkének. A Bíróság azt is kimondta, hogy a szakértői vélemény nem tekinthető automatikusan „szükséges és elégséges” bizonyítási eszköznek; a bíróságnak önálló, objektív értékelést kell végeznie.
A harmadik személy által elkövetett kibertámadás önmagában nem mentesíti az adatkezelőt a felelősség alól. A GDPR 82. cikk (3) bekezdése alapján az adatkezelő csak akkor mentesülhet, ha bizonyítja, hogy a kárt előidéző eseményért semmilyen módon nem felelős, vagyis nem áll fenn okozati összefüggés az esetleges GDPR-sértése és a bekövetkezett kár között. A kibertámadás ténye önmagában nem elegendő a felelősség kizárásához.
A személyes adatok jövőbeni visszaélésszerű felhasználásától való megalapozott félelem önmagában is nem vagyoni kárnak minősülhet a GDPR 82. cikk (1) bekezdése értelmében. Az érintettnek nem kell bizonyítania, hogy személyazonosság-lopás vagy más konkrét visszaélés már ténylegesen bekövetkezett.
Jelen cikk általános tájékoztatási célt szolgál, és nem minősül konkrét ügyre vonatkozó jogi tanácsadásnak. Amennyiben az ismertetett adatvédelmi incidens Önt személyesen érinti, javasolt ügyvédhez fordulni az egyedi körülmények jogi értékelése érdekében.
