Kohus leidis, et Allium oli Apotheka kliendiprogrammi andmete vastutav töötleja ning vastutas selle eest, et suure hulga klientide isikuandmete, sealhulgas terviseandmeteks kvalifitseeruvate andmete töötlemisel oleks tagatud riskile vastav turvalisuse tase.

Kohtu hinnangul ei tulenenud rikkumine üksnes toimunud küberründest, vaid sellest, et ettevõtte tehnilised ja korralduslikud meetmed ei olnud andmete mahu ja tundlikkusega kooskõlas.

Kohus pidas oluliseks muuhulgas seda, et halduskontode kaitseks ei olnud kasutatud piisavaid täiendavaid autentimismeetmeid, süsteemi aktiivne turvaseire oli ebapiisav ning andmebaasi varukoopiaid säilitati põhjendamatult kaua ja krüpteerimata kujul.

Samas märkis kohus, et Allium UPI OÜ-l olid olemas lepingud, sise-eeskirjad, koolitused ja auditid, kuid need ei kõrvaldanud tuvastatud puudusi.

Kohus leidis, et AKI määratud rahatrahv oli põhjendatud ja proportsionaalne ning jättis menetluskulud Allium UPI OÜ kanda.

Tegemist on esimese sellise kohtumenetlusega pärast 1. novembril 2023 toimunud karistusseadustiku muudatusi, mil muudeti juriidilise isiku vastutust ja suurendati oluliselt trahvimäärasid.

Kohtuotsus ei ole jõustunud.

Allium kaebab otsuse riigikohtusse

Allium UPI ütles ERR-ile, et tutvutakse kohtuotsuse ja selle põhjendustega põhjalikult, kuid juba praeguseks on selge, et otsus kaevatakse edasi riigikohtusse.

Ettevõte märkis, et Allium UPI langes 2024. aastal küberkuriteo ohvriks, teavitas juhtunust ise pädevaid riigiasutusi ning on kogu menetluse vältel kinnitanud ja tõendanud, et ettevõte ei ole suhtunud talle usaldatud kliendiandmetesse hooletult.

"Meie jaoks on väga vale käsitlus, et ohvrist saab kurjategija ja karistatav.  Kuriteo ohvriks langemine ei saa tähendada automaatselt, et ettevõte on oma kohustusi eiranud. Andmekaitse ja küberturvalisus on olnud meie jaoks alati olulised ning oleme sellesse järjepidevalt panustanud," ütles Allium UPI juhatuse liige Marika Pensa.

Ettevõttele õiguskaitseasutuste poolt antud info järgi ei ole 2024. aastal varastatud andmeid kasutatud kuritegelikel eesmärkidel ega pakutud tumeveebis.

"Küberrünnak oli meile väga tõsine õppetund. Me ei väida, et ükski süsteem saab olla kuulikindel, turvalisuse tagamine on pidev protsess. Oleme pärast juhtunut oma süsteeme veelgi tugevdanud, kaasanud väliseid eksperte ja teinud täiendavaid investeeringuid," ütles Pensa.

Pensa sõnul on Allium UPI jaoks oluline, et küberintsidentide käsitlemine toetaks ka ettevõtete valmisolekut juhtumitest avatult rääkida ja kogemusi jagada.

"Küberkuritegevuse vastu saab võidelda ainult koostöös. Mida rohkem suudame sellistest juhtumitest õppida ja kogemustarkust jagada, seda paremini oleme ühiskonnana järgmisteks rünnakuteks valmis."

Andmekaitse inspektsioon: menetlus pole veel lõppenud

Andmekaitse inspektsioon (AKI) märkis oma kommentaaris, et neil on hea meel, et kohus inspektsiooni otsuse põhiseisukohti jagas, kuid et tegemist maakohtu otsusega ja menetlus ei ole veel lõppenud.

"Meil on hea meel, et kohus nõustus andmekaitse inspektsiooni käsitlusega ning leidis, et meie otsus oli põhjendatud ja proportsionaalne. Kohtuotsus on mahukas ja käsitleb põhjalikult mitmeid olulisi andmekaitseküsimusi ning meie hinnangul on tegemist märgilise lahendiga, millel võib olla tähendus ka edasise praktika kujundamisel. Samas ei ole otsus veel jõustunud, mistõttu on lõplike järelduste tegemiseks praegu veel vara. Ootame ära menetluse lõpptulemuse ja analüüsime seejärel otsuse mõju põhjalikumalt," ütles andmekaitse inspektsiooni peadirektor Pille Lehis.

"Praeguseks saab siiski öelda, et kohtuotsus annab olulise pidepunkti selles, kuidas hinnata isikuandmete turvameetmete piisavust olukorras, kus töödeldakse suurel hulgal tundlikke andmeid," lisas Lehis.

Andmekaitse inspektsioon määras mullu septembris Apotheka lojaalsusprogrammi haldavale ettevõttele Allium UPI OÜ kolme miljoni euro suuruse trahvi kliendiandmete kaitsmata jätmise ja ebapiisavate turvameetmete kasutamise eest. Ettevõtte hoolimatu suhtumine oma klientide andmetesse seadis ohtu enam kui 750 000 inimese, sealhulgas laste ja teiste haavatavate gruppide, privaatsuse, märkis inspektsioon.

Turvaintsident leidis aset 2024. aasta alguses Apotheka lojaalsusprogrammi infosüsteemis. Inspektsiooni Uurimine tuvastas, et Allium UPI ei rakendanud elementaarsed küberhügieeni ja andmekaitse meetmeid. Selle tagajärjel pääsesid volitamata isikud korduvalt ligi infosüsteemi ja andmebaasi varukoopiale ning laadisid alla suures ulatuses tundlikke kliendiandmeid.