კიბერშეტევების მსხვერპლთა უფლებები: შეტყობინების ვალდებულებები, კომპენსაცია და დაზღვევა

ტომ მივისის მიერ, ადვოკატი Law & More

კიბერშეტევები, როგორიცაა გამოსასყიდის მოთხოვნით პროგრამული უზრუნველყოფა, ფიშინგი, DDoS შეტევები და კომპიუტერში შეჭრა, იშვიათად ახდენენ გავლენას მხოლოდ თავდასხმის ქვეშ მყოფ ორგანიზაციაზე. კიბერშეტევების მსხვერპლნი ასევე არიან მომხმარებლები, თანამშრომლები, პაციენტები, მომწოდებლები და მიწოდების ჯაჭვის სხვა პარტნიორები, რომლებმაც შეიძლება დანაკარგი განიცადონ და მათი სამართლებრივი მდგომარეობა განსხვავდება ჯგუფიდან ჯგუფამდე. ამიტომ, ყველას, ვისაც სურს დაადგინოს, თავდასხმის შემდეგ, რა ვალდებულებები ვრცელდება და რა პრეტენზიები არსებობს, რეკომენდებულია ჯერ ზუსტად განსაზღვროს, ვინ დაზარალდა და რა ზიანი მიადგა.

ეს სტატია თავის მხრივ განიხილავს, თუ ვინ შეიძლება ჩაითვალოს მსხვერპლად, როდის უნდა ეცნობოს მონაცემთა დარღვევის შესახებ, რა პირობებში არსებობს კომპენსაციის უფლება, რომელი მხარეები შეიძლება იყვნენ პასუხისმგებელნი, რა როლს ასრულებს სისხლის სამართლის კანონმდებლობა, რას მოიცავს, როგორც წესი, კიბერდაზღვევის პოლისი და რა ნაბიჯები უნდა გადაიდგას თავდასხმისთანავე.

ვინ არიან კიბერშეტევების მსხვერპლნი?

კიბერშეტევის დროს სამი ჯგუფის გამოყოფა შეიძლება.

• თავად დაზარალებული ორგანიზაცია, რომელიც სისტემის გათიშვის, სამსახურის დაკარგვის, აღდგენის ხარჯების, სასამართლო ექსპერტიზის ხარჯების და რეპუტაციის დაზიანების წინაშე დგას.
• ფიზიკური პირები, რომელთა პერსონალური მონაცემებიც გამჟღავნდა, როგორიცაა მომხმარებლები, თანამშრომლები და პაციენტები. მათ შეიძლება განიცადონ ფინანსური ზარალი, მაგრამ ასევე არამატერიალური ზიანი მონაცემებზე კონტროლის დაკარგვის, გაურკვევლობის ან პირადობის გაყალბების შიშის გამო.
• მესამე მხარეები, რომლებზეც გავლენას ახდენს სახელშეკრულებო ან მიწოდების ჯაჭვის ურთიერთობა, მაგალითად, იმიტომ, რომ ისინი დამოკიდებულნი არიან მომწოდებელზე, რომლის სისტემებიც გაფუჭდა.

ეს კლასიფიკაცია იურიდიულად აქტუალურია. ნებისმიერი პრეტენზიის საფუძველი და მხარე, რომლის წინააღმდეგაც შეიძლება მისი წარდგენა, დამოკიდებულია დაზარალებულის პოზიციაზე. დაზარალებული ორგანიზაცია, როგორც წესი, ხელშეკრულების თანახმად პასუხისმგებლობას მოუთხოვს თავის IT მიმწოდებელს, მაშინ როდესაც მონაცემთა სუბიექტს შეუძლია პირდაპირ დაეყრდნოს GDPR-ით გათვალისწინებულ პასუხისმგებლობის დამოუკიდებელ საფუძველს.

როდის უნდა მოხდეს მონაცემთა დარღვევის შესახებ შეტყობინების გაგზავნა?

როდესაც პერსონალური მონაცემები კიბერშეტევაშია ჩართული, უნდა შეფასდეს, ხდება თუ არა პერსონალური მონაცემების დარღვევა და სავალდებულოა თუ არა შეტყობინება. GDPR-ის 33-ე მუხლი მოითხოვს, რომ დარღვევის შესახებ საზედამხედველო ორგანოს ეცნობოს დაუყოვნებლივ და, სადაც შესაძლებელია, სამოცდათორმეტი საათის განმავლობაში, თუ დარღვევა ნაკლებად სავარაუდოა, რომ საფრთხეს შეუქმნის ფიზიკური პირების უფლებებსა და თავისუფლებებს.

გარდა ამისა, GDPR-ის 34-ე მუხლი შეიძლება მოითხოვდეს ორგანიზაციისგან თავად მონაცემთა სუბიექტების ინფორმირებას. ეს ვალდებულება წარმოიშობა იმ შემთხვევაში, თუ დარღვევა, სავარაუდოდ, მათ უფლებებსა და თავისუფლებებს მაღალ რისკს შეუქმნის. კომუნიკაცია შეიძლება გამოტოვებული იყოს იმ შემთხვევაში, თუ მიღებულია შესაბამისი ტექნიკური ზომები, როგორიცაა დაშიფვრა, როდესაც შემდგომი ზომები უზრუნველყოფს მაღალი რისკის თავიდან აცილებას, ან როდესაც ინდივიდუალური კომუნიკაცია არაპროპორციულ ძალისხმევას მოითხოვს; ამ უკანასკნელ შემთხვევაში საკმარისია საჯარო კომუნიკაცია.

მონაცემთა სუბიექტისთვის ეს კომუნიკაცია ფორმალობაზე მეტს წარმოადგენს. ის მათ საშუალებას აძლევს, მიიღონ საკუთარი ზომები, მაგალითად, პაროლების შეცვლით ან საეჭვო ტრანზაქციების თვალყურის დევნებით და პრაქტიკაში ეს ხშირად კომპენსაციის მოთხოვნის ნებისმიერი საწყის წერტილს წარმოადგენს.

ამგვარად, ორგანიზაციამ არა მხოლოდ უნდა დაადგინოს, რომ თავდასხმა განხორციელდა, არამედ ისიც, თუ რომელი მონაცემები დაზარალდა, რეალურად იქნა თუ არა მონაცემები ამოღებული და რა რისკები მოჰყვება ამას. ამ მიზნით ხშირად აუცილებელია დამოუკიდებელი სასამართლო ექსპერტიზა.

ეს მით უმეტეს ეხება მაშინ, როდესაც თავდასხმა ხდება დამმუშავებელზე და არა თავად ორგანიზაციაზე. Blauw Research-სა და Nebu-ს შორის შემაჯამებელ სამართალწარმოებაში (როტერდამის რაიონული სასამართლო, 2023 წლის 6 აპრილი, ECLI:NL:RBROT:2023:2931) დროებითი სამართლებრივი დაცვის მოსამართლემ დაადგინა, რომ მხარეებს შორის დადებული მონაცემთა დამუშავების შეთანხმების თანახმად, კონტროლერს უფლება ჰქონდა მიეღო მეტი ინფორმაცია თავდასხმის, მისი შედეგებისა და მიღებული ზომების შესახებ, ვიდრე თავდაპირველად იყო მოწოდებული. დამმუშავებელს ასევე დაევალა დამოუკიდებელი სასამართლო ექსპერტიზის ჩატარება და პერიოდულად ანგარიშის წარდგენა. გადაწყვეტილება აჩვენებს, რომ კარგად შედგენილი მონაცემთა დამუშავების შეთანხმება პრაქტიკაში ყველაზე მნიშვნელოვანი ინსტრუმენტია ინციდენტის შემდეგ ინფორმაციის დროულად მისაღებად, ზუსტად იმიტომ, რომ კონტროლერს ეს ინფორმაცია სჭირდება საკუთარი შეტყობინების ვალდებულებების შესასრულებლად.

როდის წარმოიშობა კომპენსაციის უფლება?

მონაცემთა სუბიექტებს შეუძლიათ მოითხოვონ კომპენსაცია კონტროლიორისგან ან დამმუშავებლისგან GDPR-ის 82-ე მუხლის შესაბამისად. თუმცა, კიბერშეტევა ავტომატურად არ იწვევს პრეტენზიის წარმოშობას. ის უნდა იყოს დასაბუთებული:

• რომ GDPR დაირღვა;
• რომ ზიანი რეალურად იქნა მიყენებული; და
• რომ ამ დარღვევასა და ამ ზიანს შორის არსებობს მიზეზობრივი კავშირი.

მატერიალური ზიანი შეიძლება მოიცავდეს ფინანსურ დანაკარგებს, ანაზღაურების ხარჯებს ან პირადობის გაყალბებით გამოწვეულ დანაკარგს. რაც შეეხება არამატერიალურ ზიანს, ევროკავშირის მართლმსაჯულების სასამართლომ Österreichische Post-ის საქმეში (CJEU 4 მაისი 2023, C-300/21) დაადგინა, რომ არ არსებობს სიმძიმის მინიმალური ზღვარი, მაგრამ მხოლოდ GDPR-ის დარღვევა არ არის საკმარისი კომპენსაციის მისაღებად.

კიბერშეტევის შედეგად მონაცემთა დარღვევის შემთხვევაში განსაკუთრებით მნიშვნელოვანია პრივილეგიების ეროვნული სააგენტოს საქმე (ECJ 2023 წლის 14 დეკემბერი, C-340/21). ამ საქმეში სასამართლომ დაადგინა, რომ გაჟონილი პერსონალური მონაცემების შესაძლო ბოროტად გამოყენების შიში თავისთავად შეიძლება წარმოადგენდეს არამატერიალურ ზიანს. თუმცა, მონაცემთა სუბიექტმა ეს შიში და მისი შედეგები კონკრეტულად უნდა დაასაბუთოს; მხოლოდ იმ ფაქტზე მითითება, რომ მონაცემები გაჟონა, საკმარისი არ არის. იმავე გადაწყვეტილებით სასამართლომ დაადასტურა, რომ კონტროლიორის მოვალეობაა დაამტკიცოს, რომ მიღებული უსაფრთხოების ზომები იყო შესაბამისი და რომ მესამე მხარის მიერ თავდასხმა თავისთავად არ ათავისუფლებს კონტროლიორს პასუხისმგებლობისგან.

GDPR-ის მიხედვით პასუხისმგებლობა არსებობს ხელშეკრულების დარღვევისა და დელიქტის სამოქალაქო სამართლის საფუძვლებთან ერთად. ნიდერლანდების სამოქალაქო კოდექსის 6:162(1) მუხლის თანახმად, მხარემ, რომელიც ჩადენს მიკუთვნებულ უკანონო ქმედებას, უნდა აანაზღაუროს მიყენებული ზიანი. გამოიყენება 6:163 მუხლის ფარდობითობის მოთხოვნა: დარღვეული ნორმა უნდა ემსახურებოდეს დაზარალებული მხარის მიერ განცდილი ზიანისგან დაცვას.

მნიშვნელოვანია, რომ ამ საფუძვლებთან ერთად არსებობს GDPR-ის 82-ე მუხლი. შესაბამისად, მონაცემთა სუბიექტი არ არის ვალდებული, სარჩელი მხოლოდ ხელშეკრულების დარღვევაზე ან დელიქტზე დააფუძნოს, მას შეუძლია პირდაპირ დაეყრდნოს GDPR-ით გათვალისწინებულ პასუხისმგებლობის დამოუკიდებელ საფუძველს. დაზარალებული ორგანიზაციისთვის, საფუძვლების ეს კომბინაცია ნიშნავს, რომ თავდასხმის შემდეგ რამდენიმე მხარეს შეუძლია ერთდროულად შეიტანოს სარჩელი.

ვის შეუძლია იყოს პასუხისმგებელი?

დაზარალებული ორგანიზაცია შეიძლება პასუხისმგებელი იყოს, თუ ის ვერ შეასრულებს სახელშეკრულებო ვალდებულებებს ან არასაკმარისი უსაფრთხოების ზომები მიიღო. IT სერვისის მიმწოდებელი ან დამმუშავებელი ასევე შეიძლება პასუხისმგებლობის წინაშე დადგეს. რა შეიძლება ველოდოთ ამ სერვისის მიმწოდებლისგან, უპირველეს ყოვლისა, ხელშეკრულებით არის განსაზღვრული.

დამუშავების ურთიერთობაში მონაცემთა დამუშავების შეთანხმება ცენტრალურ როლს ასრულებს. GDPR-ის 28-ე მუხლი მოითხოვს, რომ კონტროლერმა და დამმუშავებელმა დადონ ასეთი შეთანხმება, რომელიც სხვა საკითხებთან ერთად არეგულირებს უსაფრთხოების ზომებს და მონაცემთა დარღვევის შემთხვევების მართვას. იმ შემთხვევაში, თუ თავდასხმა გამოწვეულია დამმუშავებლის არასაკმარისი უსაფრთხოებით, კონტროლერს შეუძლია ამ შეთანხმების შესაბამისად დააკისროს დამმუშავებელს პასუხისმგებლობა შედეგად მიყენებული ზარალისთვის.

ეს მკვეთრად აისახება ჰოფ ვან ტვენტეს მუნიციპალიტეტზე განხორციელებული კიბერშეტევის საქმეში (ოვერეისელის რაიონული სასამართლო, 2023 წლის 10 მაისი, ECLI:NL:RBOVE:2023:1731). მხარეები შეთანხმდნენ ფუნქციურ მონიტორინგზე და არა უსაფრთხოების მონიტორინგზე. სასამართლომ დაადგინა, რომ IT ადმინისტრატორის მოვალეობა არ ვრცელდება იმდენად, რომ უსაფრთხოების მონიტორინგი ფუნქციური მონიტორინგის დავალების ფარულ ნაწილს წარმოადგენდეს და უარყო მუნიციპალიტეტის სარჩელი. მან ასევე გაითვალისწინა, რომ მუნიციპალიტეტმა თავად მიიღო გადაწყვეტილებები, რომლებიც ზრდიდა რისკს, მათ შორის მისი პაროლის პოლიტიკა და RDP პორტის გახსნა.

სარკისებური ანარეკლი ო’კლიანსის საქმეა (რაიონული სასამართლო) Amsterdam, 2018 წლის 14 ნოემბერი, ECLI:NL:RBAMS:2018:10124). იქ მომწოდებელმა დაამონტაჟა სრული IT ინფრასტრუქტურა და მისი მართვა საკუთარ თავზე აიღო. გამოსასყიდის მოთხოვნით განხორციელებული თავდასხმის შემდეგ, რომლის დროსაც სარეზერვო ასლებიც დაშიფრული იყო, სასამართლომ დაადგინა, რომ ასეთი მთლიანი პაკეტის მიწოდება მოიცავდა ფართომასშტაბიან ზრუნვის ვალდებულებას და რომ მარტივი ზომები გამოტოვებული იყო. თუმცა, პასუხისმგებლობა სრულად არ დაკისრდა: მომხმარებლის მიერ გამოწვეულ ბრალეულობასთან დაკავშირებით, ზიანის ორი მესამედი მომწოდებლის ანგარიშზე დარჩა.

თუ რამდენად მძიმე შეიძლება იყოს სათანადო უსაფრთხოების მტკიცების ტვირთი, ილუსტრირებულია ავტომობილების დილერის გატეხილი ელექტრონული ფოსტის ანგარიშის საქმით. 2024 წლის 5 ნოემბრის შუალედურ გადაწყვეტილებაში (არნემ-ლიუვარდენის სააპელაციო სასამართლო, ECLI:NL:GHARL:2024:6812) დილერს მიეცა შესაძლებლობა დაემტკიცებინა, რომ მისი ელექტრონული ფოსტის ანგარიში სათანადოდ იყო დაცული GDPR-ის მნიშვნელობის შესაბამისად, მას შემდეგ, რაც ჰაკერმა გამოიყენა ეს ანგარიში მყიდველისთვის ყალბი გადახდის ინსტრუქციის გასაგზავნად. 2025 წლის 22 ივლისის შემდგომ გადაწყვეტილებაში (ECLI:NL:GHARL:2025:4556) სასამართლომ დაადგინა, რომ ეს მტკიცებულება არ იყო წარდგენილი, რის შემდეგაც მხარეებს კვლავ მოუწიათ მყიდველის მიერ ჩადენილი დანაშაულის განხილვა. შესაბამისად, ორივე გადაწყვეტილება ერთსა და იმავე სამართალწარმოებას ეხება.

საერთო ისაა, რომ სახელშეკრულებო შეთანხმებები, დამუშავების რისკები, რეალურად მიღებული ზომები, ორივე მხარის მიერ გაცემული გაფრთხილებები და დაზარალებული მხარის საკუთარი ქცევა - ყველაფერი მნიშვნელოვანია. სამოქალაქო პასუხისმგებლობასთან ერთად, ნიდერლანდების მონაცემთა დაცვის ორგანო შეუძლია დააკისროს ადმინისტრაციული ჯარიმები 20 მილიონ ევრომდე ან მსოფლიო წლიური ბრუნვის 4 პროცენტამდე, რომელიც უფრო მაღალია. ეს ჯარიმები დამოუკიდებელია იმისდა მიუხედავად, მიადგა თუ არა ზიანი ცალკეულ მონაცემთა სუბიექტებს.

სისხლის სამართლის გზა

კიბერშეტევა ასევე შეიძლება წარმოადგენდეს სისხლის სამართლის დანაშაულს, როგორიცაა კომპიუტერში შეჭრა, მონაცემების მიუწვდომლობა ან არასაჯარო მონაცემების მითვისება. ნიდერლანდების სისხლის სამართლის კოდექსის 138ab(1) მუხლი დანაშაულად აქცევს ავტომატიზირებულ სისტემაზე განზრახ და უკანონო წვდომის მოპოვებას.

დაზარალებულებს შეუძლიათ დანაშაულის შესახებ პოლიციაში განაცხადონ, რომელსაც სპეციალიზებული კიბერდანაშაულის ჯგუფები ჰყავს. როდესაც ეჭვმიტანილის წინააღმდეგ სისხლისსამართლებრივი დევნა მიმდინარეობს, დაზარალებულს შეუძლია სისხლის სამართლის პროცესში დაზარალებული მხარის სახით ჩაერთოს და იქ კომპენსაცია მოითხოვოს. ეს გზა გამორიცხავს ცალკეულ სამოქალაქო სამართალწარმოებას, თუმცა შედეგი დამოკიდებულია გამოვლენაზე, სისხლისსამართლებრივ დევნასა და მტკიცებულებებზე, რაც საერთაშორისოდ მოქმედი დამნაშავეების შემთხვევაში ხშირად არანაირ შედეგს არ იძლევა. ორგანიზაციებისთვის, შეტყობინება ხშირად პრაქტიკული აუცილებლობაცაა, რადგან ამას სადაზღვევო კომპანიები და მიწოდების ქსელის პარტნიორები ითხოვენ.

რას ფარავს კიბერდაზღვევა?

კიბერდაზღვევის პოლისი შეიძლება სხვა საკითხებთან ერთად ითვალისწინებდეს შემდეგს:

• ინციდენტებზე რეაგირება და სასამართლო-სამედიცინო გამოძიება;
• სისტემებისა და მონაცემების აღდგენა;
• ბიზნესის შეფერხების შედეგად გამოწვეული დანაკარგები და ბრუნვის დაკარგვა;
• კრიზისული კომუნიკაცია;
• პასუხისმგებლობა მესამე მხარის წინაშე;
• იურიდიული ხარჯები; და
• ზოგიერთ შემთხვევაში ჯარიმები, ანგარიშსწორების გადახდები ან გამოსასყიდი, იმ ფარგლებში, რაც დაზღვევადია მოქმედი კანონმდებლობის შესაბამისად.

ზუსტი დაფარვა დამოკიდებულია პოლისზე. ყურადღება მიაქციეთ გამონაკლისებს, უსაფრთხოების პირობებს, შეტყობინების პერიოდებს, გამოქვითვებს და ექსპერტების ჩართვის მოთხოვნებს. ნიდერლანდების სამოქალაქო კოდექსის 7:957(1) მუხლი ასევე ავალდებულებს დაზღვეულ მხარეს, მიიღოს გონივრული ზომები დანაკარგის თავიდან ასაცილებლად ან შესამცირებლად. იმ შემთხვევაში, თუ გადარჩენის ეს ვალდებულება არ არის დაცული, დამზღვევს შეუძლია შეამციროს ანაზღაურება.

ამიტომ, კიბერ-დამზღვეველი რაც შეიძლება სწრაფად უნდა იყოს ინფორმირებული. გარე ექსპერტების ჩართვამ ან გამოსასყიდის გადახდამ დამზღვევის თანხმობის გარეშე შესაძლოა გავლენა მოახდინოს დაფარვაზე.

რა უნდა გააკეთოთ კიბერშეტევისთანავე?

• ყურადღებით ჩაწერეთ ინციდენტი და ყველა შესაბამისი ქმედება.
• დაზარალებული სისტემების იზოლირება მტკიცებულებების დაკარგვის გარეშე.
• ჩართეთ სასამართლო ექსპერტი.
• შეაფასეთ, ხდება თუ არა შეტყობინებისთვის საჭირო მონაცემთა დარღვევა.
• შეაფასეთ, საჭიროა თუ არა მონაცემთა სუბიექტების ინფორმირება.
• შეატყობინეთ სამართალდარღვევის შესახებ პოლიციას.
• ინციდენტის შესახებ აცნობეთ თქვენს კიბერდაზღვევს.
• შეინახეთ ჟურნალები, სარეზერვო ასლები, ელფოსტა და სხვა შესაბამისი მონაცემები.
• დაადგინეთ ზიანის მასშტაბი და პოტენციურად პასუხისმგებელი მხარეები.
• ყურადღებით და დროულად აცნობეთ მომხმარებლებს, თანამშრომლებს და მიწოდების ჯაჭვის პარტნიორებს.

ამგვარად, კიბერშეტევა არ არის მხოლოდ ტექნიკური ინციდენტი. ის ასევე წარმოადგენს მონაცემთა დაცვის, სამოქალაქო სამართლის, სისხლის სამართლის და სადაზღვევო სამართლის საკითხს. სწრაფი და კარგად დოკუმენტირებული რეაგირება არა მხოლოდ ზღუდავს ზიანს, არამედ გადამწყვეტია შეტყობინებების, სადაზღვევო დაფარვისა და თქვენი მტკიცებულებითი პოზიციისთვის ნებისმიერ სამართალწარმოებაში.

ბოლოს

კიბერშეტევის შემდგომი უფლებები და ვალდებულებები სამართლის რამდენიმე სფეროზეა განაწილებული და საქმის შედეგი მნიშვნელოვნად არის დამოკიდებული კონკრეტულ ფაქტებზე, ხელშეკრულების შინაარსსა და ჩანაწერების ხარისხზე. განხილული სასამართლო პრაქტიკა აჩვენებს, რომ მიმწოდებელიც და მომხმარებელიც საკუთარი ქცევის მიხედვით ფასდება და ისეთი ვადები, როგორიცაა სამოცდათორმეტსაათიანი შეტყობინების პერიოდი, დაყოვნების მცირე შესაძლებლობას ტოვებს.

Law & More ეხმარება ორგანიზაციებსა და მონაცემთა სუბიექტებს კიბერინციდენტების იურიდიულ მართვაში: შეტყობინების ვალდებულებების შეფასებიდან და მონაცემთა დამუშავების შეთანხმებების განხილვიდან დაწყებული პასუხისმგებლობის დადგენამდე, დაზღვევის საკითხებისა და ზარალის ანაზღაურებამდე. გაქვთ საქმე კიბერშეტევასთან ან მონაცემთა დარღვევასთან, თუ გსურთ, რომ თქვენი კონტრაქტები წინასწარ გადაიხედოს ამ რისკებთან მიმართებაში ჩვენი... სამართალი გუნდი? გთხოვთ, თავისუფლად საკონტაქტო Law & More თქვენი სიტუაციის ვალდებულების გარეშე განსახილველად.

ხშირად დასმული შეკითხვები

ქვემოთ ჩვენ ვუპასუხებთ ამ თემაზე ყველაზე ხშირად დასმულ კითხვებს.

ვინ არიან კიბერშეტევის მსხვერპლნი?

არსებობს სამი ფენა. პირველი, თავად დაზარალებული ორგანიზაცია, რომელიც იღებს სისტემის გათიშვის, დაკარგულ ბრუნვას, აღდგენის ხარჯებს, სასამართლო ექსპერტიზის ხარჯებს და რეპუტაციის ზიანს. მეორე, მონაცემთა სუბიექტები, ფიზიკური პირები, რომელთა პერსონალური მონაცემებიც გამჟღავნდა, როგორიცაა მომხმარებლები, თანამშრომლები და პაციენტები. მესამე, მესამე მხარეები, რომლებიც განიცდიან ზარალს სახელშეკრულებო ან მიწოდების ჯაჭვის ურთიერთობის გამო, მაგალითად, იმიტომ, რომ ისინი დამოკიდებულნი არიან გათიშულ მომწოდებელზე. ეს კლასიფიკაცია განსაზღვრავს, თუ რა საფუძველზე შეუძლია მხარეს სარჩელის შეტანა და ვის წინააღმდეგ.

რა ვადაში უნდა შევატყობინო მონაცემთა დარღვევის შესახებ?

GDPR-ის 33-ე მუხლი მოითხოვს საზედამხედველო ორგანოსთვის შეტყობინების გაგზავნას გაუმართლებელი დაგვიანების გარეშე და, შესაძლებლობის შემთხვევაში, დარღვევის შესახებ შეტყობინებიდან სამოცდათორმეტი საათის განმავლობაში. ეს ვალდებულება არ ვრცელდება იმ შემთხვევებში, როდესაც დარღვევა, სავარაუდოდ, საფრთხეს არ შეუქმნის ფიზიკური პირების უფლებებსა და თავისუფლებებს. ეს შეფასება მოითხოვს დარღვევის ხასიათის, დაზარალებული მონაცემების კატეგორიებისა და შესაძლო შედეგების ანალიზს.

როდის უნდა ვაცნობო თავად მონაცემთა სუბიექტებს?

GDPR-ის 34-ე მუხლის თანახმად, თუ დარღვევა, სავარაუდოდ, მონაცემთა სუბიექტების უფლებებისა და თავისუფლებებისთვის მაღალ რისკს შექმნის, კომუნიკაცია შეიძლება გამოტოვებული იყოს იმ შემთხვევაში, თუ მიღებულია შესაბამისი ტექნიკური ზომები, როგორიცაა დაშიფვრა, თუ შემდგომი ზომები უზრუნველყოფს მაღალი რისკის თავიდან აცილებას ან თუ ინდივიდუალური კომუნიკაცია არაპროპორციულ ძალისხმევას მოითხოვს. ამ უკანასკნელ შემთხვევაში, საჯარო კომუნიკაცია საკმარისია.

შემიძლია თუ არა ინფორმაციის მოთხოვნა გატეხილი მომწოდებლისგან?

დიახ, იმ შემთხვევაში, თუ მონაცემთა დამუშავების შესახებ შეთანხმება ამას ითვალისწინებს. Blauw Research-სა და Nebu-ს შორის შემაჯამებელ სამართალწარმოებაში (როტერდამის რაიონული სასამართლო, 2023 წლის 6 აპრილი, ECLI:NL:RBROT:2023:2931) დროებითი სამართლებრივი დაცვის მოსამართლემ დაადგინა, რომ მონაცემთა დამუშავების შესახებ შეთანხმების თანახმად, კონტროლერს უფლება ჰქონდა მიეღო მეტი ინფორმაცია თავდასხმის, მისი შედეგებისა და მიღებული ზომების შესახებ, ვიდრე მოწოდებული იყო და დაავალა დამმუშავებელს ჩაეტარებინა დამოუკიდებელი სასამართლო ექსპერტიზა და პერიოდულად მოემზადებინა ანგარიში. ეს ინფორმაცია საჭიროა თქვენი საკუთარი შეტყობინების ვალდებულებების შესასრულებლად.

როგორც მონაცემთა სუბიექტს, მაქვს თუ არა ავტომატურად კომპენსაციის მიღების უფლება მონაცემთა დარღვევის შემდეგ?

არა. GDPR-ის 82-ე მუხლი ითვალისწინებს დამოუკიდებელ საფუძველს, მაგრამ თქვენ უნდა დაასაბუთოთ, რომ GDPR დაირღვა, რომ თქვენ რეალურად განიცადეთ ზიანი და რომ დარღვევასა და ამ ზიანს შორის არსებობს მიზეზობრივი კავშირი. მტკიცების ტვირთი ეკისრება მომჩივანს.

პირადობის გაყალბების შიში არამატერიალურ ზიანად ითვლება?

შესაძლოა. საქმეში „პრივილეგიების ეროვნული სააგენტო“ (ECJ 2023 წლის 14 დეკემბერი, C-340/21) მართლმსაჯულების სასამართლომ დაადგინა, რომ გაჟონილი პერსონალური მონაცემების შესაძლო მომავალში ბოროტად გამოყენების შიში თავისთავად შეიძლება წარმოადგენდეს არამატერიალურ ზიანს. თუმცა, მონაცემთა სუბიექტმა ეს შიში და მისი შედეგები კონკრეტულად უნდა დაასაბუთოს. საქმე „Österreichische Post“ (ECJ 2023 წლის 4 მაისი, C-300/21) დასძენს, რომ სიმძიმის მინიმალური ზღვარი არ არსებობს, მაგრამ მხოლოდ GDPR-ის დარღვევა საკმარისი არ არის.

ვის უნდა დაემტკიცებინა, რომ უსაფრთხოების ზომები იყო შესაბამისი?

კონტროლიორი. C-340/21 საქმეში მართლმსაჯულების სასამართლომ დაადასტურა, რომ კონტროლიორის მოვალეობაა აჩვენოს, რომ მიღებული უსაფრთხოების ზომები იყო შესაბამისი და რომ მესამე მხარის მიერ თავდასხმა თავისთავად არ ათავისუფლებს მას პასუხისმგებლობისგან. ნიდერლანდებში ეს მოხდა ავტომობილების დილერის გატეხილი ელექტრონული ფოსტის ანგარიშის საქმეში, სადაც არნემ-ლიუვარდენის სააპელაციო სასამართლომ თავდაპირველად დილერს მისცა შესაძლებლობა, წარმოედგინა ეს მტკიცებულება (ECLI:NL:GHARL:2024:6812) და შემდეგ დაადგინა, რომ ის არ იყო წარდგენილი (ECLI:NL:GHARL:2025:4556).

პასუხისმგებელია თუ არა ჩემი IT მიმწოდებელი, თუ მან ვერ შეძლო თავდასხმის აღმოჩენა?

ეს დამოკიდებულია იმაზე, თუ რა იყო შეთანხმებული. ჰოფ ვან ტვენტეს მუნიციპალიტეტზე კიბერშეტევის საქმეში (ოვერეისელის რაიონული სასამართლო, 2023 წლის 10 მაისი, ECLI:NL:RBOVE:2023:1731) მხარეები შეთანხმდნენ ფუნქციურ მონიტორინგზე და არა უსაფრთხოების მონიტორინგზე. სასამართლომ დაადგინა, რომ IT ადმინისტრატორის მზრუნველობის მოვალეობა არ ვრცელდება იმდენად, რომ უსაფრთხოების მონიტორინგი მის ფარულ ნაწილს წარმოადგენდეს და სარჩელი უარყო. როდესაც უფრო ფართო პაკეტია მოწოდებული, მზრუნველობის მოვალეობა შეიძლება იყოს ფართომასშტაბიანი, როგორც ეს ო’კლიანსის საქმეში (ოვერეისელის რაიონული სასამართლო) მოხდა. Amsterdam, 2018 წლის 14 ნოემბერი, ECLI:NL:RBAMS:2018:10124), სადაც მიმწოდებელი პასუხისმგებელი იყო ზარალის ორ მესამედზე.

შეუძლია თუ არა ჩემს საქციელს კომპენსაციის შემცირება?

დიახ. ამ შემთხვევებში ხელშემწყობი შეცდომა განმეორებად როლს თამაშობს. O'Cliance-ის შემთხვევაში ზარალის ერთი მესამედი მომხმარებლის ანგარიშს დარჩა, ხოლო გატეხილი ელექტრონული ფოსტის ანგარიშის საქმეში მხარეებს მოეთხოვათ მყიდველის ხელშემწყობი შეცდომის მოგვარება. შესაბამისად, თქვენი პაროლის პოლიტიკა, ღიად დატოვებული პორტები ან გაფრთხილებები, რომლებიც არ არის გათვალისწინებული, პირდაპირ გავლენას ახდენს შედეგზე.

რა ჯარიმების დაკისრება შეუძლია მონაცემთა დაცვის ორგანოს?

GDPR-ის დარღვევისთვის საზედამხედველო ორგანოს შეუძლია დააკისროს ადმინისტრაციული ჯარიმები 20 მილიონ ევრომდე ან მსოფლიო წლიური ბრუნვის 4 პროცენტამდე, რომელიც უფრო მაღალია. ეს ჯარიმები დამოუკიდებელია იმისდა მიუხედავად, რეალურად მიადგა თუ არა ზიანი ცალკეულ მონაცემთა სუბიექტებს და შესაბამისად, სამოქალაქო პასუხისმგებლობასთან ერთად ცალკე რისკს წარმოადგენს.

შემიძლია თუ არა დანაშაულის შესახებ განვაცხადო და სისხლის სამართლის პროცესის მეშვეობით მოვითხოვო ჩემი ზარალის ანაზღაურება?

დიახ. ნიდერლანდების სისხლის სამართლის კოდექსის 138ab(1) მუხლის თანახმად, ავტომატიზირებულ სისტემაზე განზრახ და უკანონო წვდომის მოპოვება დანაშაულად ითვლება. თქვენ შეგიძლიათ დანაშაულის შესახებ პოლიციას შეატყობინოთ და, თუ ეჭვმიტანილის წინააღმდეგ სისხლისსამართლებრივი დევნა მიმდინარეობს, დაზარალებული მხარის სახით შეუერთდეთ სისხლის სამართლის საქმეს კომპენსაციის მოთხოვნით. შედეგი დამოკიდებულია გამოვლენაზე, სისხლისსამართლებრივ დევნასა და მტკიცებულებებზე, რაც საერთაშორისოდ მოქმედი დამნაშავეების შემთხვევაში ხშირად არანაირ შედეგს არ იძლევა.

რას ფარავს კიბერდაზღვევა, როგორც წესი?

როგორც წესი, ეს მოიცავს ინციდენტებზე რეაგირებას და სასამართლო ექსპერტიზას, სისტემებისა და მონაცემების აღდგენას, ბიზნესის შეფერხების შედეგად დანაკარგებსა და ბრუნვის დაკარგვას, კრიზისულ კომუნიკაციას, მესამე მხარის წინაშე პასუხისმგებლობას და იურიდიულ ხარჯებს, ზოგიერთ შემთხვევაში კი ჯარიმებს, ანგარიშსწორების გადახდებს ან გამოსასყიდს იმ ფარგლებში, რაც დაზღვევადია მოქმედი კანონმდებლობით. დააკვირდით გამონაკლისებს, უსაფრთხოების პირობებს, შეტყობინების პერიოდებსა და გამოქვითვებს და ინციდენტის მოხდენამდე გადახედეთ პოლისს.

შეიძლება თუ არა თავშესაფარი დავკარგო თავდასხმის შემდეგ არასწორი ქცევის გამო?

ეს შესაძლებელია. ნიდერლანდების სამოქალაქო კოდექსის 7:957(1) მუხლი დაზღვეულ მხარეს ავალდებულებს, მიიღოს გონივრული ზომები დანაკარგის თავიდან ასაცილებლად ან შესამცირებლად; იმ შემთხვევაში, თუ ეს ვალდებულება არ არის დაცული, დამზღვევს შეუძლია შეამციროს ანაზღაურება. გარე ექსპერტების დაქირავებამ ან გამოსასყიდის გადახდამ დამზღვევის თანხმობის გარეშე ასევე შეიძლება გავლენა მოახდინოს დაფარვაზე. რაც შეიძლება სწრაფად აცნობეთ თქვენს დამზღვევს.

რა ნაბიჯები უნდა გადავდგა კიბერშეტევისთანავე?

ჩაიწერეთ ინციდენტი და ყველა განხორციელებული ქმედება, იზოლირეთ დაზარალებული სისტემები მტკიცებულებების დაკარგვის გარეშე და დაიქირავეთ სასამართლო ექსპერტი. შემდეგ შეაფასეთ, ხდება თუ არა მონაცემთა დარღვევა, რომლის შესახებაც შეტყობინებაა საჭირო და საჭიროა თუ არა მონაცემთა სუბიექტების ინფორმირება. შეატყობინეთ დანაშაულის შესახებ, აცნობეთ თქვენს კიბერ-მზღვეველს, შეინახეთ ჟურნალები, სარეზერვო ასლები და მიმოწერა, დაადგინეთ ზიანი და პოტენციურად პასუხისმგებელი მხარეები და ყურადღებით და დროულად აცნობეთ მომხმარებლებს, თანამშრომლებს და მიწოდების ჯაჭვის პარტნიორებს.