Отговорност на разработчик на приложение за уязвимост, довела до пробив на данни

Договорът с фрийланс разработчик за изграждане на софтуерна платформа представлява договор за изработка по смисъла на чл. 258 и следващите от Закона за задълженията и договорите (ЗЗД), при който изпълнителят се задължава да извърши определена работа с необходимото качество, съответстващо на добрите професионални стандарти в бранша, независимо дали в договора е изрично записана гаранция за „сигурност“ – задължението за качествено изпълнение по занаятчийските/професионални стандарти произтича от самия закон, а не единствено от изрична договорна клауза. Съгласно чл. 265 от ЗЗД, ако изработеното съдържа недостатъци (в случая сериозна уязвимост в сигурността, която не отговаря на общоприетите стандарти за разработка на софтуер, обработващ лични данни на потребители), поръчващият има право на обезщетение и/или отстраняване на дефектите за сметка на изпълнителя, освен ако дефектът не се дължи на грешни указания или материали, предоставени изрично от самия възложител. Ключовият въпрос е дали конкретната уязвимост представлява отклонение от общоприетите стандарти за сигурна разработка на софтуер (напр. пропуск да се защитят входните данни срещу SQL инжекция, съхранение на пароли в незащитен вид, липса на криптиране на чувствителни данни) – ако е така, това е професионален пропуск на разработчика, независимо от липсата на изрична гаранционна клауза, тъй като добрата професионална практика при разработка на софтуер, боравещ с лични данни, инкорпорира по подразбиране определени базови стандарти за сигурност. Препоръчвам да ангажирате независим експерт по киберсигурност за одит на кода и изготвяне на технически доклад, установяващ точния характер на уязвимостта и дали тя представлява явно отклонение от добрите практики за сигурна разработка към момента на изграждане на платформата. Отделно от договорния спор с разработчика, вие като администратор на лични данни носите пряка отговорност пред засегнатите потребители и пред Комисията за защита на личните данни (КЗЛД) по GDPR за самия пробив на данни, независимо от вината на подизпълнителя разработчик – затова е важно незабавно да сте изпълнили задълженията си за уведомяване по чл. 33 и чл. 34 от GDPR, а отделно от това да търсите регресна отговорност от разработчика за вредите, които сте претърпели (обезщетения на потребители, административни санкции от КЗЛД, репутационни щети) на основание неговото договорно неизпълнение.