Од Том Мивис, адвокат во Law & More
Кибер нападите како што се ransomware, фишинг, DDoS напади и компјутерски упади ретко влијаат само на организацијата што е нападната. Жртви на кибер напади се и клиенти, вработени, пациенти, добавувачи и други партнери во синџирот на снабдување кои можат да претрпат загуба, а нивната правна положба се разликува од група до група. Секој што сака да утврди, по нападот, кои обврски се применуваат и кои побарувања постојат, затоа е добро препорачливо прво да утврди точно кој е засегнат и каква штета е настаната.
Оваа статија по ред се осврнува на тоа кој се квалификува како жртва, кога мора да се извести за повреда на податоци, под кои услови постои право на надомест, кои страни можат да бидат одговорни, каква улога игра кривичното право, што обично покрива полисата за сајбер осигурување и кои чекори треба да се преземат веднаш по нападот.
Кои се жртвите на сајбер напади?
При сајбер напад може да се разликуваат три групи.
- Самата засегната организација, која се соочува со застој на системот, изгубен промет, трошоци за закрепнување, трошоци за форензичка истрага и штета на угледот.
- Физички лица чии лични податоци се изложени, како што се клиенти, вработени и пациенти. Тие може да претрпат финансиска загуба, но и нематеријална штета преку губење на контролата врз нивните податоци, несигурност или страв од измама со идентитетот.
- Трети страни засегнати преку договорен однос или однос во синџирот на снабдување, на пример затоа што зависат од добавувач чии системи откажале.
Оваа класификација е правно релевантна. Основата на секое барање и страната против која може да се поднесе, зависат од позицијата на жртвата. Засегнатата организација генерално ќе го смета својот ИТ добавувач за одговорен според договорот, додека субјектот на податоци може директно да се потпре на самостојната основа за одговорност што ја предвидува GDPR.
Кога треба да се пријави повреда на податоци?
Кога лични податоци се вклучени во сајбер напад, мора да се процени дали постои повреда на лични податоци и дали известувањето е задолжително. Член 33 од GDPR бара повредата да се извести надзорниот орган без непотребно одложување и, доколку е можно, во рок од седумдесет и два часа, освен ако е малку веројатно дека повредата ќе резултира со ризик за правата и слободите на физичките лица.
Покрај тоа, член 34 од GDPR може да бара од организацијата сами да ги информира субјектите на податоци. Таа обврска произлегува кога прекршувањето веројатно ќе резултира со висок ризик за нивните права и слободи. Комуникацијата може да се изостави кога биле во сила соодветни технички мерки како што е енкрипција, кога последователните мерки гарантираат дека високиот ризик повеќе нема да се материјализира или кога индивидуалната комуникација би вклучувала непропорционален напор; во последниот случај, доволна е јавна комуникација.
За субјектот на податоци, таа комуникација е повеќе од формалност. Таа им овозможува да преземат свои мерки, на пример, со промена на лозинки или следење на сомнителни трансакции, а во пракса тоа често е почетна точка за какво било барање за надомест на штета.
Затоа, организацијата мора да утврди не само дека се случил напад, туку и кои податоци биле засегнати, дали податоците всушност биле ексфилтрирани и какви ризици произлегуваат од тоа. Независна форензичка истрага е честопати неопходна за таа цел.
Ова важи уште повеќе кога нападот се случува кај обработувач, а не кај самата организација. Во скратената постапка помеѓу Blauw Research и Nebu (Окружен суд во Ротердам, 6 април 2023 година, ECLI:NL:RBROT:2023:2931), судијата за привремена помош пресуди дека, според договорот за обработка на податоци склучен помеѓу страните, контролорот имал право на повеќе информации за нападот, неговите последици и преземените мерки отколку што биле првично доставени. На обработувачот му било наредено и да спроведе независна форензичка истрага и периодично да известува. Пресудата покажува дека добро составен договор за обработка на податоци во пракса е најважниот инструмент за добивање информации на време по инцидентот, токму затоа што на контролорот му се потребни тие информации за да ги исполни своите обврски за известување.
Кога настанува правото на надомест на штета?
Субјектите на податоци можат да бараат надомест од контролорот или обработувачот согласно член 82 од GDPR. Сепак, кибернападот автоматски не покренува барање. Тој мора да биде поткрепен:
- дека е прекршен GDPR;
- дека штетата всушност е претрпена; и
- дека постои причинско-последична врска помеѓу тоа прекршување и таа штета.
Материјалната штета може да се состои од финансиски загуби, трошоци за надомест или загуба предизвикана од измама со идентитет. Што се однесува до нематеријалната штета, Судот на правдата на Европската Унија во случајот Österreichische Post (CJEU 4 мај 2023, C-300/21) пресуди дека не постои минимален праг на сериозност, но дека самото прекршување на GDPR не е доволно за доделување на отштета.
Од особена важност за пробивање на податоци по сајбер напад е Национална агенција за права (CJEU 14 декември 2023 година, C-340/21). Таму Судот пресуди дека стравот од можна идна злоупотреба на протечени лични податоци сам по себе може да претставува нематеријална штета. Сепак, субјектот на податоци мора конкретно да го поткрепи тој страв и неговите последици; самото укажување на фактот дека податоците се протечени не е доволно. Во истата пресуда, Судот потврди дека контролорот е должен да докаже дека преземените безбедносни мерки биле соодветни и дека нападот од трета страна сам по себе не го ослободува контролорот од одговорност.
Одговорноста според GDPR постои заедно со основите на граѓанското право за прекршување на договор и деликт. Според член 6:162(1) од Холандскиот граѓански законик, страната што извршила припишувачко незаконско дело мора да ја надомести предизвиканата штета. Се применува условот за релативност од член 6:163: прекршената норма мора да служи за заштита од видот на штета што ја претрпела оштетената страна.
Важно е да се напомене дека член 82 од GDPR постои заедно со овие основи. Затоа, субјектот на податоци не е должен да основа тужба само врз основа на прекршување на договор или деликт, туку може директно да се потпре на самостојната основа за одговорност што ја предвидува GDPR. За засегнатата организација, оваа комбинација на основи значи дека неколку страни можат да поднесат тужби истовремено по нападот.
Кој може да биде одговорен?
Засегнатата организација може да биде одговорна доколку не ги исполни своите договорни обврски или преземе недоволни безбедносни мерки. Давателот на ИТ услуги или обработувачот, исто така, може да биде повикан на одговорност. Она што може да се очекува од тој давател на услуги е пред сè определено со договорот.
Во рамките на односот за обработка, договорот за обработка на податоци игра централна улога. Член 28 од GDPR бара од контролорот и обработувачот да склучат таков договор, кој, меѓу другото, ги регулира безбедносните мерки и справувањето со повреди на податоци. Кога нападот е резултат на несоодветна безбедност кај обработувачот, контролорот може да го повика обработувачот на одговорност според тој договор за резултирачката загуба.
Тоа јасно произлегува од случајот во врска со сајбер нападот врз општината Хоф ван Твенте (Окружен суд Оверајсел, 10 мај 2023 година, ECLI:NL:RBOVE:2023:1731). Странките се согласиле за функционално следење, а не за безбедносно следење. Судот утврдил дека должноста за грижа на ИТ администратор не се протега дотаму што безбедносното следење претставува премолчен дел од задачата за функционално следење и го отфрлил барањето на општината. Исто така, оценил дека самата општина донела одлуки што го зголемиле ризикот, вклучувајќи ја нејзината политика за лозинки и отворањето на RDP порт.
Огледалната слика е случајот О'Клајанс (Окружен суд во Amsterdam, 14 ноември 2018 година, ECLI:NL:RBAMS:2018:10124). Таму добавувачот инсталирал комплетна ИТ инфраструктура и го презел нејзиното управување. По напад со ransomware во кој резервните копии биле исто така криптирани, судот пресуди дека испораката на таков целосен пакет носи далекусежна обврска за грижа и дека биле изоставени едноставни мерки. Сепак, одговорноста не била досудена во целост: поради вината на клиентот, две третини од штетата останале на сметка на добавувачот.
Колку тежок може да биде товарот на докажување за соодветна безбедност е илустриран со случајот со хакната е-пошта сметка на продавач на автомобили. Во меѓупресудата од 5 ноември 2024 година (Апелациски суд Арнхем-Леуварден, ECLI:NL:GHARL:2024:6812) на продавачот му беше дадена можност да докаже дека неговата е-пошта сметка е соодветно заштитена во смисла на GDPR, откако хакер ја користел таа сметка за да испрати лажна инструкција за плаќање до купувач. Во дополнителната пресуда од 22 јули 2025 година (ECLI:NL:GHARL:2025:4556) судот утврди дека овој доказ не е доставен, по што страните сè уште требаше да се осврнат на вината на купувачот. Затоа, двете пресуди се однесуваат на истата постапка.
Заедничката нишка е дека договорните аранжмани, ризиците од обработката, мерките што се преземаат, предупредувањата дадени од двете страни и однесувањето на оштетената страна се од сè значење. Заедно со граѓанската одговорност, Холандскиот орган за заштита на податоци може да изрече административни казни до 20 милиони евра или 4 проценти од светскиот годишен промет, кое и да е поголемо. Овие казни се независни од тоа дали поединечните субјекти на податоци претрпеле штета.
Кривичниот правен пат
Кибернападот може да претставува и кривично дело, како што е компјутерски упад, оневозможување на пристап до податоци или присвојување на недостапни податоци. Член 138ab(1) од Холандскиот кривичен законик го смета за кривично дело намерното и незаконско добивање пристап до автоматизиран систем.
Жртвите можат да го пријават делото во полицијата, која има специјализирани тимови за сајбер криминал. Кога осомничениот е гонет, жртвата може да се приклучи на кривичната постапка како оштетена страна и таму да побара надомест на штета. Овој пат избегнува посебни граѓански постапки, но исходот зависи од откривањето, гонењето и доказите, што кај меѓународно активните сторители честопати не дава никаков резултат. За организациите, пријавувањето често е и практична неопходност, бидејќи осигурителите и партнерите во синџирот на снабдување го бараат тоа.
Што покрива сајбер осигурувањето?
Полисата за сајбер осигурување може да обезбеди покритие, меѓу другото, за:
- одговор на инциденти и форензичка истрага;
- реставрација на системи и податоци;
- загуби од прекин на работењето и изгубен промет;
- комуникација во криза;
- одговорност кон трети страни;
- правни трошоци; и
- во некои случаи казни, исплати за порамнување или откуп, до степен до кој е осигурително според важечкиот закон.
Прецизното покритие зависи од полисата. Обрнете внимание на исклучоците, безбедносните услови, периодите за известување, франшизите и барањата за ангажирање експерти. Член 7:957(1) од Холандскиот граѓански законик, исто така, ја обврзува осигурената страна да преземе разумни мерки за да спречи или ограничи загуба. Доколку не се почитува таа обврска за спасување, осигурителот може да ја намали исплатата.
Затоа, осигурителот за сајбер услуги треба да биде информиран што е можно побрзо. Ангажирањето надворешни експерти или плаќањето откуп без согласност на осигурителот може да влијае на покритието.
Што треба да направите веднаш по сајбер нападот?
- Внимателно евидентирајте го инцидентот и сите релевантни дејствија.
- Изолирајте ги засегнатите системи без да изгубите докази.
- Ангажирајте форензички експерт.
- Проценете дали има повреда на податоци што треба да се пријави.
- Проценете дали субјектите на податоци мора да бидат информирани.
- Пријавете го прекршокот во полиција.
- Известете го инцидентот кај вашиот сајбер осигурител.
- Зачувајте логови, резервни копии, е-пошта и други релевантни податоци.
- Мапирајте ја штетата и потенцијално одговорните страни.
- Внимателно и навремено информирајте ги клиентите, вработените и партнерите во синџирот на снабдување.
Затоа, сајбер нападот не е само технички инцидент. Тој е исто така прашање од областа на заштитата на податоци, граѓанското право, кривичното право и осигурителното право. Брзиот и добро документиран одговор не само што ја ограничува штетата, туку е и одлучувачки за известувањата, осигурителната покриеност и вашата доказна позиција во која било постапка.
Во затворање
Правата и обврските по сајбер напад се распределени во неколку области на правото, а исходот од случајот во голема мера зависи од специфичните факти, содржината на договорот и квалитетот на евиденцијата. Дискутираната судска пракса покажува дека добавувачот и клиентот се оценуваат според сопственото однесување и дека роковите како што е периодот на известување од седумдесет и два часа оставаат малку простор за одложување.
Law & More им помага на организациите и на субјектите на податоци во правното справување со сајбер инциденти: од проценка на должностите за известување и преглед на договорите за обработка на податоци до утврдување на одговорност, прашања поврзани со осигурувањето и надоместување на загубите. Дали се работи за сајбер напад или повреда на податоци, или сакате вашите договори однапред да бидат прегледани во однос на овие ризици од страна на нашите Закон за ИТ тим? Слободно можете да не контактирате Law & More за разговор за вашата ситуација без обврска.
Најчесто поставувани прашања
Подолу ќе одговориме на најчесто поставуваните прашања на оваа тема.
Кои се жртвите на сајбер напад?
Постојат три слоја. Прво, самата засегната организација, која ги сноси прекините на системот, изгубениот промет, трошоците за закрепнување, трошоците за форензичка истрага и штетата по угледот. Второ, субјектите на податоци, физичките лица чии лични податоци се изложени, како што се клиенти, вработени и пациенти. Трето, трети страни кои претрпуваат загуба преку договорна врска или врска во синџирот на снабдување, на пример затоа што зависат од добавувач кој престанал да работи. Таа класификација одредува врз основа на што страната може да поднесе тужба и против кого.
Во кој рок треба да пријавам повреда на податоци?
Член 33 од GDPR бара известување до надзорниот орган без непотребно одложување и, доколку е можно, во рок од седумдесет и два часа од дознавањето за прекршувањето. Обврската не се применува кога е малку веројатно дека прекршувањето ќе резултира со ризик за правата и слободите на физичките лица. Таа проценка бара анализа на природата на прекршувањето, категориите на засегнати податоци и можните последици.
Кога треба да ги известам самите субјекти на податоци?
Според член 34 од GDPR, кога прекршувањето веројатно ќе резултира со висок ризик за правата и слободите на субјектите на податоци, комуникацијата може да се изостави кога биле во сила соодветни технички мерки како што е енкрипција, кога последователните мерки гарантираат дека високиот ризик повеќе нема да се материјализира или кога индивидуалната комуникација би вклучувала непропорционален напор. Во последниот случај, доволна е јавна комуникација.
Може ли да побарам информации од добавувач кој е хакиран?
Да, кога тоа е предвидено со договор за обработка на податоци. Во скратената постапка помеѓу Blauw Research и Nebu (Окружен суд во Ротердам, 6 април 2023 година, ECLI:NL:RBROT:2023:2931), привремениот судија пресуди дека според договорот за обработка на податоци, контролорот имал право на повеќе информации за нападот, неговите последици и преземените мерки отколку што биле доставени, и му наложи на обработувачот да спроведе независна форензичка истрага и периодично да известува. Тие информации се потребни за да ги исполните вашите сопствени должности за известување.
Како субјект на податоци, дали автоматски имам право на надомест по повреда на податоци?
Не. Член 82 од GDPR обезбедува самостојна основа, но мора да докажете дека GDPR е прекршен, дека всушност сте претрпеле штета и дека постои причинско-последична врска помеѓу повредата и таа штета. Товарот на докажување е на подносителот на барањето.
Дали стравот од измама на идентитетот се квалификува како нематеријална штета?
Може. Во Национална агенција за права (CJEU 14 декември 2023 година, C-340/21) Судот на правдата пресуди дека стравот од можна идна злоупотреба на протечени лични податоци сам по себе може да претставува нематеријална штета. Сепак, субјектот на податоците мора конкретно да го докаже тој страв и неговите последици. Österreichische Post (CJEU 4 мај 2023 година, C-300/21) додава дека не постои минимален праг на сериозност, но дека самото кршење на GDPR не е доволно.
Кој треба да докаже дека безбедносните мерки биле соодветни?
Контролорот. Во случајот C-340/21, Судот на правдата потврди дека контролорот е должен да докаже дека преземените безбедносни мерки биле соодветни и дека нападот од трето лице сам по себе не го ослободува од одговорност. Во Холандија, ова се случи во случајот со хакирана е-пошта сметка на продавач на автомобили, каде што Апелациониот суд во Арнхем-Леуварден прво му даде можност на продавачот да го достави тој доказ (ECLI:NL:GHARL:2024:6812), а потоа пресуди дека тој не бил доставен (ECLI:NL:GHARL:2025:4556).
Дали мојот ИТ добавувач е одговорен ако не открие напад?
Тоа зависи од тоа што било договорено. Во случајот што се однесува на сајбер нападот врз општината Хоф ван Твенте (Окружен суд Оверајсел, 10 мај 2023 година, ECLI:NL:RBOVE:2023:1731) страните се согласиле за функционално следење, а не за безбедносно следење. Судот пресуди дека должноста за грижа на ИТ администратор не се протега дотаму што безбедносното следење претставува нејзин премолчен дел и го отфрли барањето. Кога се обезбедува поширок пакет, должноста за грижа може да биде далекусежна, како во О'Клајанс (Окружен суд Amsterdam, 14 ноември 2018 година, ECLI:NL:RBAMS:2018:10124), каде што добавувачот беше одговорен за две третини од загубата.
Може ли моето сопствено однесување да ја намали компензацијата?
Да. Придонесувачкиот вина игра повторлива улога во овие случаи. Во случајот „О'Клајанс“, една третина од загубата остана за сметката на клиентот, а во случајот со хакната е-пошта сметка, страните беа обврзани да се справат со придонесувачкиот вина на купувачот. Вашата сопствена политика за лозинка, портите што се оставаат отворени или предупредувањата што се игнорираат, затоа можат директно да влијаат на исходот.
Какви казни може да изрече органот за заштита на податоци?
За прекршување на GDPR, надзорниот орган може да изрече административни казни до 20 милиони евра или 4 проценти од светскиот годишен промет, кое од двете е поголемо. Овие казни се независни од тоа дали индивидуалните субјекти на податоци всушност претрпеле штета и затоа претставуваат посебен ризик покрај граѓанската одговорност.
Може ли да го пријавам прекршокот и да побарам надомест на штета преку кривична постапка?
Да. Член 138ab(1) од Холандскиот кривичен законик го смета за кривично дело намерното и незаконско добивање пристап до автоматизиран систем. Можете да го пријавите делото во полиција и, кога осомничениот е гонет, да се приклучите на кривичната постапка како оштетена страна за да побарате надомест на штета таму. Исходот зависи од откривањето, гонењето и доказите, што кај меѓународно активните сторители честопати не дава никаков резултат.
Што обично покрива сајбер осигурувањето?
Обично станува збор за одговор на инциденти и форензичка истрага, враќање на системите и податоците, загуби при прекин на работењето и изгубен промет, комуникација во криза, одговорност кон трети страни и правни трошоци, а во некои случаи и казни, плаќања за порамнување или откуп до степен до кој е осигурително според важечкиот закон. Внимавајте на исклучоците, безбедносните услови, периодите за известување и франшизите и прегледајте ја полисата пред да се случи инцидент.
Може ли да изгубам засолниште ако се однесувам неправилно по нападот?
Тоа е можно. Член 7:957(1) од Холандскиот граѓански законик ја обврзува осигурената страна да преземе разумни мерки за да спречи или ограничи загуба; доколку таа обврска за спасување не се почитува, осигурителот може да ја намали исплатата. Ангажирањето надворешни експерти или плаќањето откуп без согласност на осигурителот, исто така, може да влијае на покритието. Известете го вашиот осигурител што е можно побрзо.
Кои чекори треба да ги преземам веднаш по сајбер нападот?
Запишете го инцидентот и сите преземени мерки, изолирајте ги засегнатите системи без губење докази и ангажирајте форензички експерт. Потоа процените дали има повреда на податоци што треба да се пријави и дали субјектите на податоците мора да бидат информирани. Пријавете го прекршокот, известете го вашиот осигурител за сајбер услуги, зачувајте ги логовите, резервните копии и кореспонденцијата, мапирајте ја штетата и потенцијално одговорните страни и внимателно и навремено информирајте ги клиентите, вработените и партнерите во синџирот на снабдување.
