კიბერშეტევის მსხვერპლნი: შეტყობინების ვალდებულებები, კომპენსაცია და დაზღვევა

კიბერშეტევის შემდეგ, დაზარალებულმა ორგანიზაციამ 72 საათის განმავლობაში უნდა შეაფასოს, უნდა თუ არა პერსონალური მონაცემების დარღვევის შესახებ ნიდერლანდების მონაცემთა დაცვის ორგანოსთვის (Autoriteit Persoonsgegevens) შეტყობინება მონაცემთა დაცვის ზოგადი რეგულაციის (GDPR) 33-ე მუხლის შესაბამისად. პირებს, რომელთა მონაცემებიც გაჟონა, შეუძლიათ მოითხოვონ კომპენსაცია GDPR-ის 82-ე მუხლის შესაბამისად, მაგრამ მხოლოდ იმ შემთხვევაში, თუ ისინი დაადასტურებენ დარღვევას, ფაქტობრივ ზიანს და მიზეზ-შედეგობრივ კავშირს; მხოლოდ გაჟონვა საკმარისი არ არის.

ვის შეუძლია ვის წინააღმდეგ მოითხოვოს კომპენსაცია, თქვენს პოზიციაზეა დამოკიდებული. დაზარალებული ორგანიზაცია, როგორც წესი, კონტრაქტით სარგებლობს თავისი IT მომწოდებლის მეშვეობით, ხოლო მომხმარებლებს, თანამშრომლებს და პაციენტებს შეუძლიათ პირდაპირ დაეყრდნონ GDPR-ს. ეს სტატია განმარტავს შეტყობინების ვალდებულებებს, კომპენსაციის უფლებას, მომწოდებლების პასუხისმგებლობას, სისხლის სამართლის გზას და კიბერდაზღვევის როლს.

ვინ ითვლება კიბერშეტევის მსხვერპლად?

დაზარალებულთა სამი ჯგუფი არსებობს და თითოეულს განსხვავებული სამართლებრივი საფუძველი აქვს სარჩელის წარსადგენად. ჯგუფი, რომელსაც თქვენ მიეკუთვნებით, წყვეტს, დაეყრდნობით თუ არა ხელშეკრულებას, ნიდერლანდების სამოქალაქო კოდექსის (BW) 6:162 მუხლის მიხედვით დელიქტს თუ GDPR-ის 82-ე მუხლს.

• ორგანიზაცია, რომელსაც ზიანი მიადგა: სისტემის გათიშვა, დაკარგული პერსონალი, აღდგენის ხარჯები, სასამართლო ექსპერტიზა და რეპუტაციის დაზიანება.
• მონაცემთა სუბიექტები: მომხმარებლები, თანამშრომლები ან პაციენტები, რომელთა პერსონალური მონაცემებიც გამჟღავნდა, ფინანსური დანაკარგით ან არამატერიალური ზიანით, მაგალითად, პირადობის გაყალბების შიშით.
• მიწოდების ჯაჭვში მესამე მხარეები: კომპანიები, რომლებიც დამოკიდებულნი არიან მომწოდებელზე, რომლის სისტემებიც მწყობრიდან გამოვიდა.

როდის უნდა შეატყობინოთ მონაცემთა დარღვევის შესახებ?

პერსონალური მონაცემების დარღვევის შესახებ ნიდერლანდების მონაცემთა დაცვის ორგანოს დაუყოვნებლივ და, შესაძლებლობის შემთხვევაში, ამის შესახებ შეტყობინებიდან 72 საათის განმავლობაში უნდა აცნობოთ. GDPR-ის 33-ე მუხლით გათვალისწინებული ერთადერთი გამონაკლისი არის დარღვევა, რომელიც, სავარაუდოდ, საფრთხეს არ შეუქმნის ფიზიკური პირების უფლებებსა და თავისუფლებებს.

GDPR-ის 34-ე მუხლი მეორე ვალდებულებასაც ამატებს: თქვენ თავად უნდა აცნობოთ მონაცემთა სუბიექტებს, თუ დარღვევა, სავარაუდოდ, მათთვის მაღალ რისკს შექმნის. შეგიძლიათ გამოტოვოთ ეს, თუ მონაცემები დაშიფრული იყო, თუ შემდგომი ზომები მაღალ რისკს აღმოფხვრის, ან თუ ინდივიდუალური შეტყობინებები არაპროპორციულ ძალისხმევას მოითხოვს; ამ უკანასკნელ შემთხვევაში, ამის ნაცვლად, საჭიროა საჯარო განცხადება.

ამ შეფასებების განსახორციელებლად, თქვენ უნდა იცოდეთ, რომელი მონაცემები დაზარალდა და რეალურად იქნა თუ არა ისინი მოპარული. ამ კითხვაზე პასუხს, როგორც წესი, დამოუკიდებელი სასამართლო ექსპერტიზა იძლევა. თუ შეტევამ თქვენს პროცესორს დაარტყა და არა თქვენს სისტემებს, ამ ინფორმაციისთვის თქვენ პროცესორზე ხართ დამოკიდებული.

შეგიძლიათ აიძულოთ გატეხილი მომწოდებელი, მოგაწოდოთ ინფორმაცია?

დიახ, თუ თქვენი მონაცემთა დამუშავების ხელშეკრულება ამას ითვალისწინებს. საქმეში Blauw Research v. Nebu (როტერდამის რაიონული სასამართლო, 2023 წლის 6 აპრილი, ECLI:NL:RBROT:2023:2931) დროებითი სამართლებრივი დაცვის მოსამართლემ (voorzieningenrechter) დაავალა გატეხილ პროცესორს ორი სამუშაო დღის განმავლობაში მიეწოდებინა ყველა არსებული ინფორმაცია და ხუთი სამუშაო დღის განმავლობაში დაენიშნა დამოუკიდებელი სასამართლო ექსპერტიზა, დღეში 25,000 ევროს ოდენობის ჯარიმის დაკისრებით.

მოსამართლემ ეს ბრძანებები მონაცემთა დამუშავების შესახებ ხელშეკრულებაში არსებული ინციდენტის პუნქტს დააფუძნა . GDPR-ის 28-ე მუხლი მოითხოვს, რომ ყველა კონტროლიორმა და დამმუშავებელმა დადონ ასეთი შეთანხმება, ამიტომ ამ პუნქტის ხარისხი პირდაპირ განსაზღვრავს, თუ რამდენად სწრაფად მიიღებთ თქვენი შეტყობინებებისთვის საჭირო ფაქტებს.

როდის გაქვთ კომპენსაციის უფლება?

GDPR-ის 82(1) მუხლის თანახმად, ნებისმიერ პირს, რომელსაც GDPR-ის დარღვევის შედეგად მიადგა მატერიალური ან არამატერიალური ზიანი, შეუძლია მოითხოვოს კომპენსაცია კონტროლიორისგან ან დამმუშავებლისგან. თქვენ უნდა დაადასტუროთ სამი რამ: დარღვევა, ფაქტობრივი ზიანი და მიზეზობრივი კავშირი ამ ორს შორის.

მატერიალური ზიანი მოიცავს ფინანსურ ზარალს, ანაზღაურების ხარჯებს და პირადობის გაყალბებით გამოწვეულ ზარალს. არამატერიალური ზიანის შემთხვევაში, ევროკავშირის მართლმსაჯულების სასამართლომ Österreichische Post-ის საქმეში (2023 წლის 4 მაისი, C-300/21) დაადგინა, რომ სიმძიმის ზღვარი არ არსებობს, მაგრამ დარღვევა თავისთავად არ იძლევა კომპენსაციის მიღების უფლებას.

პრივილეგიის ეროვნული სააგენტოს საქმეში (2023 წლის 14 დეკემბერი, C-340/21) სასამართლომ დასძინა, რომ გაჟონილი მონაცემების მომავალში არასათანადო გამოყენების შიში თავისთავად შეიძლება იყოს არამატერიალური ზიანი. თუმცა, თქვენ უნდა აჩვენოთ ამ შიშის კონკრეტული უარყოფითი შედეგები. სასამართლომ ასევე დაადგინა, რომ წარმატებული თავდასხმა თავისთავად არ ადასტურებს, რომ უსაფრთხოება არასაკმარისი იყო, არამედ კონტროლერმა უნდა დაამტკიცოს, რომ მისი ზომები შესაბამისი იყო.

GDPR-ის მოთხოვნა არსებობს ხელშეკრულების დარღვევასთან და დელიქტთან ერთად. BW მუხლის 6:162-ის თანახმად, უკანონო ქმედება, რომელიც შეიძლება მიეწეროს დამნაშავეს, იძლევა კომპენსაციის უფლებას, იმ პირობით, რომ დარღვეული წესი იცავს მიყენებული ზიანისგან (ფარდობითობა, მუხლი 6:163 BW).

ვის შეიძლება დაეკისროს პასუხისმგებლობა?

დაზარალებული ორგანიზაცია შეიძლება პასუხისმგებელი იყოს თავისი მომხმარებლებისა და მონაცემთა სუბიექტების წინაშე, ხოლო მისი IT მიმწოდებელი შეიძლება პასუხისმგებელი იყოს ორგანიზაციის წინაშე. მიმწოდებლის დავალიანება პირველ რიგში განისაზღვრება კონტრაქტით, შემდეგ კი კარგი კონტრაქტორის ზოგადი ზრუნვის ვალდებულებით.

ჰოფ ვან ტვენტეს მუნიციპალიტეტზე განხორციელებული კიბერშეტევის საქმეში (ოვერეისელის რაიონული სასამართლო, 2023 წლის 10 მაისი, ECLI:NL:RBOVE:2023:1731) თითქმის 4 მილიონი ევროს ოდენობის სარჩელი უარყოფილ იქნა. მომწოდებელი დათანხმდა ფუნქციურ მონიტორინგს და არა უსაფრთხოების მონიტორინგს, მუნიციპალიტეტმა კი თავად გახსნა RDP პორტი და დაუშვა პაროლი „Welkom2020“. არნემ-ლიუვარდენის სააპელაციო სასამართლომ ეს დასკვნა 2025 წლის 25 თებერვალს ძალაში დატოვა (ECLI:NL:GHARL:2025:1046).

საპირისპირო შედეგი მოჰყვა ო’კლიანსის (სამხრეთ აფრიკის რაიონული სასამართლო) საქმეს. Amsterdam, 2018 წლის 14 ნოემბერი, ECLI:NL:RBAMS:2018:10124). მომწოდებელმა მიაწოდა და მართა სრული IT პაკეტი firewall-ის ან გარე სარეზერვო ასლების გარეშე, ხოლო გამოსასყიდის პროგრამულმა უზრუნველყოფამ ასევე დაშიფრა სარეზერვო ასლები. იმის გამო, რომ მომხმარებელმა მოითხოვა უფრო მარტივი პაროლები და უარი თქვა ზომების მიღებაზე, სასამართლომ შეამცირა პასუხისმგებლობა ხელშემწყობი შეცდომისთვის (eigen schuld): მომწოდებელმა გადაიხადა 15,407.90 ევროს ორი მესამედი.

საქმის გადაწყვეტა მტკიცების ტვირთს შეუძლია. ავტომობილების დილერის გატეხილი ელექტრონული ფოსტის ანგარიშის შესახებ დავაში, ჰაკერმა გაგზავნა ყალბი გადახდის ინსტრუქცია და მყიდველმა 26,900 ევრო არასწორ ანგარიშზე გადაიხადა. არნემ-ლიუვარდენის სააპელაციო სასამართლომ დილერს ნება დართო დაემტკიცებინა, რომ მისი ელექტრონული ფოსტის ანგარიში სათანადოდ იყო დაცული (2024 წლის 5 ნოემბერი, ECLI:NL:GHARL:2024:6812) და შემდეგ დაადგინა, რომ მან ეს არ გააკეთა (2025 წლის 22 ივლისი, ECLI:NL:GHARL:2025:4556). მყიდველის მიერ გამოტანილი წვლილის შეტანა შემდგომი გადაწყვეტილებისთვის დარჩა.

სამოქალაქო სარჩელებისგან დამოუკიდებლად, ნიდერლანდების მონაცემთა დაცვის ორგანოს შეუძლია დააკისროს ჯარიმები 20 მილიონ ევრომდე ან მსოფლიო წლიური ბრუნვის 4%-მდე (რომელიც უფრო მაღალია) GDPR-ის 83-ე მუხლის შესაბამისად. ასეთი ჯარიმა არ არის დამოკიდებული იმაზე, მიადგა თუ არა პირებს ზიანი.

შეგიძლიათ თავდასხმის შესახებ პოლიციას შეატყობინოთ?

დიახ. კომპიუტერულ სისტემაში ჰაკერული თავდასხმა სისხლის სამართლის დანაშაულია (computervredebreuk) ნიდერლანდების სისხლის სამართლის კოდექსის (Sr) 138ab მუხლის შესაბამისად და თქვენ შეგიძლიათ ამის შესახებ პოლიციას შეატყობინოთ. თუ პროკურატურა (Openbaar Ministerie) ეჭვმიტანილს სისხლისსამართლებრივ დევნას დაიწყებს, თქვენ შეგიძლიათ სისხლის სამართლის საქმეში დაზარალებული მხარის (benadeelde partij) სტატუსით ჩაერთოთ და იქ მოითხოვოთ თქვენი ზიანის ანაზღაურება.

რადგან თავდამსხმელები საზღვარგარეთიდან მოქმედებენ, მათი გამოვლენა და სისხლისსამართლებრივი დევნა ხშირად ვერ ხერხდება, ამიტომ სისხლისსამართლებრივი დევნა იშვიათად ცვლის სამოქალაქო სარჩელს. პოლიციის ოქმი პრაქტიკაში კვლავ სასარგებლოა, რადგან კიბერ-სადაზღვევო კომპანიები და მიწოდების ქსელის პარტნიორები რეგულარულად ითხოვენ მას.

რას ფარავს კიბერდაზღვევა?

კიბერპოლისი, როგორც წესი, მოიცავს ინციდენტებზე რეაგირებას, სასამართლო ექსპერტიზას, მონაცემთა აღდგენას, ბიზნესის შეფერხებას, კრიზისულ კომუნიკაციას, მესამე მხარის პასუხისმგებლობას და იურიდიულ ხარჯებს. დაფარული იქნება თუ არა ჯარიმები, ანგარიშსწორება თუ გამოსასყიდის გადახდა, დამოკიდებულია პოლისზე და იმაზე, არის თუ არა ისინი საერთოდ დაზღვევადი.

BW მუხლი 7:957-ის თანახმად, თქვენ ვალდებული ხართ მიიღოთ გონივრული ზომები ზიანის თავიდან ასაცილებლად ან შესამცირებლად ინციდენტის მოხდენისთანავე. წინააღმდეგ შემთხვევაში, დამზღვევს შეუძლია შეამციროს ანაზღაურება. პოლისებს ასევე აქვთ საკუთარი შეტყობინების პერიოდები და ხშირად მოითხოვს დამზღვევის თანხმობას ექსპერტების დაქირავებამდე ან გამოსასყიდის გადახდამდე, ამიტომ ინციდენტის შესახებ დაუყოვნებლივ აცნობეთ დამზღვევს.

რა უნდა შეამოწმოთ, როგორც ორგანიზაციამ, რომელიც დაზარალდა?

როგორც ორგანიზაციას, რომელზეც თავდასხმა განხორციელდა, თქვენ გეკისრებათ შეტყობინების ვალდებულება და თქვენი უსაფრთხოების სათანადოდ დამტკიცების ტვირთი. პირველ რიგში, შეამოწმეთ შემდეგი.

• დაიწყო თუ არა GDPR-ის 33-ე მუხლით გათვალისწინებული 72-საათიანი პერიოდი და გაკეთდა თუ არა ან დასაბუთებული იყო თუ არა ნიდერლანდების მონაცემთა დაცვის ორგანოსთვის შეტყობინება წერილობით?
• ხომ არ ქმნის დარღვევა მონაცემთა სუბიექტებისთვის მაღალ რისკს, რის გამოც თქვენ უნდა აცნობოთ მათ GDPR-ის 34-ე მუხლის შესაბამისად?
• ეცნობა თუ არა კიბერ-მზღვეველს პოლისის მოქმედების ვადაში და დაეთანხმა თუ არა ის თქვენს მიერ დაქირავებულ ექსპერტებს?
• რას ამბობს კონტრაქტი ან მონაცემთა დამუშავების შეთანხმება თქვენი IT მიმწოდებლის უსაფრთხოების მონიტორინგის, ინციდენტების შესახებ ანგარიშგებისა და პასუხისმგებლობის ლიმიტების შესახებ?
• ინახება თუ არა ჟურნალები, სარეზერვო ასლები, ელფოსტები და გადაწყვეტილებები, რათა მოგვიანებით დაამტკიცოთ, რომ თქვენი ზომები იყო შესაბამისი?

რა უნდა შეამოწმოთ, როგორც მონაცემთა სუბიექტმა?

როგორც მონაცემთა სუბიექტმა, თქვენ თავად უნდა დაამტკიცოთ დარღვევა, ზიანი და მიზეზობრივი კავშირი. პრეტენზიის წარდგენამდე შეამოწმეთ შემდეგი.

• თქვენი რომელი მონაცემები გახდა გამჟღავნებული: მხოლოდ საკონტაქტო ინფორმაცია თუ ასევე ფინანსური, ჯანმრთელობის ან პირადობის დამადასტურებელი მონაცემები?
• გაცნობათ თუ არა ორგანიზაციამ ამის შესახებ და რა ზომები მიიღო, მათი თქმით?
• შეგიძლიათ დოკუმენტირება გაუკეთოთ კონკრეტულ შედეგებს, როგორიცაა თაღლითობის მცდელობები, ხარჯები ან დემონსტრირებადი სტრესი?
• შეცვალეთ პაროლები და აცნობეთ თუ არა თქვენს ბანკს, რათა თქვენმა საქციელმა არ შეამციროს თქვენი მოთხოვნა?
• სარჩელი ეხება თქვენს მონაცემებს შემნახველ ორგანიზაციას, მის დამმუშავებელს თუ ორივეს?

რა შეგვიძლია გავაკეთოთ თქვენთვის კიბერშეტევის შემთხვევაში?

ჩვენი IT სამართლის გუნდი ეხმარება ორგანიზაციებსა და მონაცემთა სუბიექტებს ინციდენტიდან პირველივე საათებიდან.

• 72-საათიანი პერიოდის განმავლობაში ჩვენ ვაფასებთ, უნდა ეცნობოს თუ არა დარღვევის შესახებ ნიდერლანდების მონაცემთა დაცვის ორგანოს და მონაცემთა სუბიექტებს.
• ჩვენ განვიხილავთ თქვენს მონაცემთა დამუშავების ხელშეკრულებას და IT კონტრაქტს ინფორმაციის უფლებების, უსაფრთხოების ვალდებულებებისა და პასუხისმგებლობის ლიმიტების დასადგენად.
• ჩვენ თქვენი მომწოდებლისგან ვითხოვთ ინფორმაციას და სასამართლო ექსპერტიზის დასკვნას და, საჭიროების შემთხვევაში, მივმართავთ დროებითი საჩივრის შეტანის საკითხზე მოსამართლეს.
• ჩვენ ვამოწმებთ თქვენს კიბერ პოლიტიკას შეტყობინების პერიოდების, თანხმობის მოთხოვნებისა და გამონაკლისების დასადგენად.
• ჩვენ ვაფასებთ და ვადგენთ კომპენსაციის მოთხოვნას GDPR-ის 82-ე მუხლის ან ხელშეკრულების შესაბამისად, ან დაგიცავთ მისგან.

შემაჯამებელი

• პერსონალური მონაცემების დარღვევის შესახებ ნიდერლანდების მონაცემთა დაცვის ორგანოს უნდა ეცნობოს შესაძლებლობის შემთხვევაში 72 საათის განმავლობაში, თუ ეს არ შექმნის რისკს.
• GDPR-ის 82-ე მუხლით გათვალისწინებული კომპენსაციისთვის საჭიროა დარღვევა, ფაქტობრივი ზიანი და მიზეზ-შედეგობრივი კავშირი; მხოლოდ გაჟონვა საკმარისი არ არის.
• კონტროლერმა უნდა დაამტკიცოს, რომ მისი უსაფრთხოების ზომები შესაბამისი იყო; მესამე მხარის თავდასხმა თავისთავად არ ათავისუფლებს მას.
• IT მიმწოდებლის პასუხისმგებლობა დამოკიდებულია იმაზე, თუ რა იყო შეთანხმებული, როგორც Hof van Twente-სა და O'Cliance-ის საქმეები აჩვენებს, ხოლო წვლილის შეტანის შემთხვევაში დაშვებულმა ბრალეულობამ შეიძლება შეამციროს პრეტენზიის ოდენობა.
• დაუყოვნებლივ აცნობეთ თქვენს კიბერდაზღვევს და შეზღუდეთ ზიანი, წინააღმდეგ შემთხვევაში შესაძლოა ანაზღაურება შემცირდეს.

ხშირად დასმული შეკითხვები