Από τον Tom Meevis, δικηγόρο στο Law & More
Οι κυβερνοεπιθέσεις όπως το ransomware, το phishing, οι επιθέσεις DDoS και η εισβολή σε υπολογιστές σπάνια επηρεάζουν μόνο τον οργανισμό που δέχεται την επίθεση. Θύματα κυβερνοεπιθέσεων είναι επίσης πελάτες, εργαζόμενοι, ασθενείς, προμηθευτές και άλλοι εταίροι της εφοδιαστικής αλυσίδας που ενδέχεται να υποστούν ζημίες και η νομική τους θέση διαφέρει από ομάδα σε ομάδα. Όποιος επιδιώκει να διαπιστώσει, μετά από μια επίθεση, ποιες υποχρεώσεις ισχύουν και ποιες αξιώσεις υπάρχουν, συνιστάται επομένως να προσδιορίσει πρώτα ακριβώς ποιος έχει επηρεαστεί και ποια ζημία έχει προκληθεί.
Αυτό το άρθρο εξετάζει με τη σειρά του ποιος θεωρείται θύμα, πότε πρέπει να κοινοποιηθεί μια παραβίαση δεδομένων, υπό ποιες προϋποθέσεις υπάρχει δικαίωμα αποζημίωσης, ποια μέρη μπορεί να φέρουν ευθύνη, ποιος είναι ο ρόλος του ποινικού δικαίου, τι καλύπτει συνήθως μια ασφαλιστική σύμβαση στον κυβερνοχώρο και ποια βήματα πρέπει να ληφθούν αμέσως μετά από μια επίθεση.
Ποια είναι τα θύματα των κυβερνοεπιθέσεων;
Τρεις ομάδες μπορούν να διακριθούν σε μια κυβερνοεπίθεση.
- Ο ίδιος ο οργανισμός που έχει πληγεί, ο οποίος αντιμετωπίζει διακοπές λειτουργίας συστήματος, απώλεια κύκλου εργασιών, κόστος ανάκτησης, το κόστος εγκληματολογικής έρευνας και βλάβη στη φήμη του.
- Φυσικά πρόσωπα των οποίων τα προσωπικά δεδομένα έχουν εκτεθεί, όπως πελάτες, εργαζόμενοι και ασθενείς. Ενδέχεται να υποστούν οικονομική ζημία, αλλά και ηθική βλάβη λόγω απώλειας ελέγχου επί των δεδομένων τους, αβεβαιότητας ή φόβου απάτης ταυτότητας.
- Τρίτα μέρη που επηρεάζονται μέσω συμβατικής σχέσης ή σχέσης εφοδιαστικής αλυσίδας, για παράδειγμα επειδή εξαρτώνται από προμηθευτή του οποίου τα συστήματα έχουν παρουσιάσει βλάβη.
Αυτή η ταξινόμηση είναι νομικά σχετική. Η βάση οποιασδήποτε αξίωσης και το μέρος κατά του οποίου μπορεί να ασκηθεί εξαρτάται από τη θέση του θύματος. Ένας επηρεαζόμενος οργανισμός γενικά θα θεωρήσει τον προμηθευτή πληροφορικής του υπόλογο βάσει της σύμβασης, ενώ ένα υποκείμενο δεδομένων μπορεί να βασιστεί άμεσα στην αυτόνομη βάση ευθύνης που παρέχει ο ΓΚΠΔ.
Πότε πρέπει να γνωστοποιηθεί μια παραβίαση δεδομένων;
Όταν εμπλέκονται προσωπικά δεδομένα σε κυβερνοεπίθεση, πρέπει να αξιολογείται εάν υπάρχει παραβίαση προσωπικών δεδομένων και εάν η κοινοποίηση είναι υποχρεωτική. Το άρθρο 33 του ΓΚΠΔ απαιτεί την κοινοποίηση της παραβίασης στην εποπτική αρχή χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, εντός εβδομήντα δύο ωρών, εκτός εάν η παραβίαση είναι απίθανο να οδηγήσει σε κίνδυνο τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.
Επιπλέον, το Άρθρο 34 του ΓΚΠΔ μπορεί να απαιτεί από τον οργανισμό να ενημερώνει τα ίδια τα υποκείμενα των δεδομένων. Η υποχρέωση αυτή προκύπτει όταν η παραβίαση είναι πιθανό να οδηγήσει σε υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες τους. Η επικοινωνία μπορεί να παραλειφθεί όταν έχουν ληφθεί κατάλληλα τεχνικά μέτρα, όπως η κρυπτογράφηση, όταν τα επακόλουθα μέτρα διασφαλίζουν ότι ο υψηλός κίνδυνος δεν θα επέλθει πλέον ή όταν η ατομική επικοινωνία θα απαιτούσε δυσανάλογη προσπάθεια· στην τελευταία αυτή περίπτωση αρκεί η δημόσια επικοινωνία.
Για το υποκείμενο των δεδομένων, η επικοινωνία αυτή είναι κάτι περισσότερο από μια τυπική διαδικασία. Του επιτρέπει να λαμβάνει τα δικά του μέτρα, για παράδειγμα αλλάζοντας κωδικούς πρόσβασης ή παρακολουθώντας για ύποπτες συναλλαγές, και στην πράξη αποτελεί συχνά το σημείο εκκίνησης οποιασδήποτε αξίωσης αποζημίωσης.
Επομένως, ένας οργανισμός πρέπει να διαπιστώσει όχι μόνο ότι έχει λάβει χώρα μια επίθεση, αλλά και ποια δεδομένα επηρεάστηκαν, εάν τα δεδομένα όντως εκλάπησαν και ποιοι κίνδυνοι προκύπτουν από αυτό. Μια ανεξάρτητη εγκληματολογική έρευνα είναι συχνά απαραίτητη για τον σκοπό αυτό.
Αυτό ισχύει ακόμη περισσότερο όταν η επίθεση λαμβάνει χώρα σε έναν επεξεργαστή και όχι στον ίδιο τον οργανισμό. Στη συνοπτική διαδικασία μεταξύ της Blauw Research και της Nebu (Περιφερειακό Δικαστήριο του Ρότερνταμ, 6 Απριλίου 2023, ECLI:NL:RBROT:2023:2931), ο δικαστής ασφαλιστικών μέτρων έκρινε ότι, βάσει της συμφωνίας επεξεργασίας δεδομένων που συνήφθη μεταξύ των μερών, ο υπεύθυνος επεξεργασίας δικαιούταν περισσότερες πληροφορίες σχετικά με την επίθεση, τις συνέπειές της και τα μέτρα που ελήφθησαν από ό,τι είχαν αρχικά παρασχεθεί. Ο επεξεργαστής διατάχθηκε επίσης να διενεργήσει ανεξάρτητη εγκληματολογική έρευνα και να υποβάλλει περιοδικές εκθέσεις. Η απόφαση δείχνει ότι μια καλογραμμένη συμφωνία επεξεργασίας δεδομένων είναι στην πράξη το πιο σημαντικό μέσο για την έγκαιρη λήψη πληροφοριών μετά από ένα συμβάν, ακριβώς επειδή ο υπεύθυνος επεξεργασίας χρειάζεται αυτές τις πληροφορίες για να εκπληρώσει τα δικά του καθήκοντα κοινοποίησης.
Πότε γεννάται το δικαίωμα αποζημίωσης;
Τα υποκείμενα των δεδομένων μπορούν να ζητήσουν αποζημίωση από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία βάσει του άρθρου 82 του ΓΚΠΔ. Ωστόσο, μια κυβερνοεπίθεση δεν συνεπάγεται αυτόματα αξίωση. Πρέπει να τεκμηριώνεται:
- ότι έχει παραβιαστεί ο ΓΚΠΔ·
- ότι η ζημία έχει πράγματι υποστεί· και
- ότι υπάρχει αιτιώδης συνάφεια μεταξύ της εν λόγω παράβασης και της εν λόγω ζημίας.
Η υλική ζημία μπορεί να συνίσταται σε οικονομικές απώλειες, έξοδα ανάκτησης ή απώλειες που προκαλούνται από απάτη ταυτότητας. Όσον αφορά την ηθική βλάβη, το Δικαστήριο της Ευρωπαϊκής Ένωσης έκρινε στην υπόθεση Österreichische Post (ΔΕΕ 4 Μαΐου 2023, C-300/21) ότι δεν υπάρχει ελάχιστο όριο σοβαρότητας, αλλά ότι η παραβίαση του ΓΚΠΔ από μόνη της δεν επαρκεί για την επιδίκαση αποζημίωσης.
Ιδιαίτερη σημασία για τις παραβιάσεις δεδομένων μετά από κυβερνοεπίθεση έχει η απόφαση Nationalna agentsia za prihodite (ΔΕΕ 14 Δεκεμβρίου 2023, C-340/21). Στην απόφαση αυτή, το Δικαστήριο έκρινε ότι ο φόβος πιθανής μελλοντικής κακής χρήσης διαρροών προσωπικών δεδομένων μπορεί από μόνος του να συνιστά ηθική βλάβη. Ωστόσο, το υποκείμενο των δεδομένων πρέπει να τεκμηριώσει συγκεκριμένα αυτόν τον φόβο και τις συνέπειές του· η απλή επισήμανση του γεγονότος ότι έχουν διαρρεύσει δεδομένα δεν αρκεί. Στην ίδια απόφαση, το Δικαστήριο επιβεβαίωσε ότι εναπόκειται στον υπεύθυνο επεξεργασίας να αποδείξει ότι τα μέτρα ασφαλείας που ελήφθησαν ήταν κατάλληλα και ότι μια επίθεση από τρίτο μέρος δεν απαλλάσσει από την ευθύνη τον υπεύθυνο επεξεργασίας.
Η ευθύνη βάσει του ΓΚΠΔ υφίσταται παράλληλα με τις αστικές βάσεις της παραβίασης σύμβασης και της αδικοπραξίας. Σύμφωνα με το άρθρο 6:162(1) του Ολλανδικού Αστικού Κώδικα, το μέρος που διαπράττει μια αποδιδόμενη παράνομη πράξη οφείλει να αποζημιώσει την προκληθείσα ζημία. Ισχύει η απαίτηση σχετικότητας του άρθρου 6:163: ο παραβιασθείς κανόνας πρέπει να χρησιμεύει για την προστασία από το είδος της ζημίας που έχει υποστεί το ζημιωθέν μέρος.
Είναι σημαντικό ότι το Άρθρο 82 του ΓΚΠΔ υπάρχει παράλληλα με αυτές τις βάσεις. Επομένως, ένα υποκείμενο δεδομένων δεν υποχρεούται να θεμελιώσει αξίωση αποκλειστικά για παραβίαση σύμβασης ή αδικοπραξία, αλλά μπορεί να επικαλεστεί άμεσα την αυτοτελή βάση ευθύνης που παρέχει ο ΓΚΠΔ. Για τον επηρεαζόμενο οργανισμό, αυτός ο συνδυασμός βάσεων σημαίνει ότι πολλά μέρη μπορούν να υποβάλουν αγωγές ταυτόχρονα μετά από μια επίθεση.
Ποιος μπορεί να θεωρηθεί υπεύθυνος;
Ο επηρεαζόμενος οργανισμός μπορεί να θεωρηθεί υπεύθυνος σε περίπτωση που δεν εκπληρώσει τις συμβατικές του υποχρεώσεις ή έχει λάβει ανεπαρκή μέτρα ασφαλείας. Ένας πάροχος υπηρεσιών πληροφορικής ή ένας επεξεργαστής μπορεί επίσης να θεωρηθεί υπεύθυνος. Το τι θα μπορούσε να αναμένεται από αυτόν τον πάροχο υπηρεσιών καθορίζεται πρωτίστως από τη σύμβαση.
Στο πλαίσιο μιας σχέσης επεξεργασίας, η συμφωνία επεξεργασίας δεδομένων διαδραματίζει κεντρικό ρόλο. Το άρθρο 28 του ΓΚΠΔ απαιτεί από τον υπεύθυνο επεξεργασίας και τον εκτελούντα την επεξεργασία να συνάψουν μια τέτοια συμφωνία, η οποία διέπει, μεταξύ άλλων, τα μέτρα ασφαλείας και τον χειρισμό των παραβιάσεων δεδομένων. Όταν η επίθεση προκύπτει από ανεπαρκή ασφάλεια στον επεξεργαστή, ο υπεύθυνος επεξεργασίας μπορεί να θεωρήσει τον εκτελούντα την επεξεργασία υπόλογο βάσει της εν λόγω συμφωνίας για την προκύπτουσα ζημία.
Αυτό προκύπτει ξεκάθαρα από την υπόθεση που αφορά την κυβερνοεπίθεση στον δήμο Hof van Twente (Περιφερειακό Δικαστήριο Overijssel, 10 Μαΐου 2023, ECLI:NL:RBOVE:2023:1731). Τα μέρη είχαν συμφωνήσει για λειτουργική παρακολούθηση και όχι για παρακολούθηση ασφάλειας. Το δικαστήριο έκρινε ότι το καθήκον επιμέλειας ενός διαχειριστή πληροφορικής δεν εκτείνεται σε σημείο που η παρακολούθηση ασφάλειας να αποτελεί σιωπηρό μέρος μιας ανάθεσης λειτουργικής παρακολούθησης και απέρριψε την αξίωση του δήμου. Επίσης, έλαβε υπόψη το γεγονός ότι ο δήμος είχε λάβει ο ίδιος αποφάσεις που αύξησαν τον κίνδυνο, συμπεριλαμβανομένης της πολιτικής του για τους κωδικούς πρόσβασης και του ανοίγματος μιας θύρας RDP.
Η κατοπτρική εικόνα είναι η υπόθεση O'Cliance (Περιφερειακό Δικαστήριο του Amsterdam, 14 Νοεμβρίου 2018, ECLI:NL:RBAMS:2018:10124). Εκεί, ο προμηθευτής είχε εγκαταστήσει μια ολοκληρωμένη υποδομή πληροφορικής και είχε αναλάβει τη διαχείρισή της. Μετά από μια επίθεση ransomware στην οποία τα αντίγραφα ασφαλείας ήταν επίσης κρυπτογραφημένα, το δικαστήριο έκρινε ότι η προμήθεια ενός τέτοιου συνολικού πακέτου συνεπαγόταν εκτεταμένη υποχρέωση επιμέλειας και ότι είχαν παραλειφθεί απλά μέτρα. Ωστόσο, δεν αποδόθηκε πλήρης ευθύνη: λόγω της συνυπαίτιας υπαιτιότητας του πελάτη, τα δύο τρίτα της ζημίας παρέμειναν για λογαριασμό του προμηθευτή.
Το πόσο βαρύ μπορεί να είναι το βάρος της απόδειξης σχετικά με την κατάλληλη ασφάλεια καταδεικνύεται από την υπόθεση του παραβιασμένου λογαριασμού email ενός εμπόρου αυτοκινήτων. Στην ενδιάμεση απόφαση της 5ης Νοεμβρίου 2024 (Εφετείο του Άρνεμ-Λέουβαρντεν, ECLI:NL:GHARL:2024:6812) δόθηκε στον έμπορο η ευκαιρία να αποδείξει ότι ο λογαριασμός email του είχε ασφαλιστεί κατάλληλα κατά την έννοια του ΓΚΠΔ, αφού ένας χάκερ είχε χρησιμοποιήσει αυτόν τον λογαριασμό για να στείλει ψευδή εντολή πληρωμής σε έναν αγοραστή. Στην επακόλουθη απόφαση της 22ας Ιουλίου 2025 (ECLI:NL:GHARL:2025:4556) το δικαστήριο διαπίστωσε ότι αυτά τα αποδεικτικά στοιχεία δεν είχαν παραδοθεί, μετά την οποία τα μέρη έπρεπε ακόμη να αντιμετωπίσουν το συνυπαίτιο πταίσμα του αγοραστή. Και οι δύο αποφάσεις αφορούν, επομένως, την ίδια διαδικασία.
Το κοινό στοιχείο είναι ότι οι συμβατικές ρυθμίσεις, οι κίνδυνοι της επεξεργασίας, τα μέτρα που έχουν ληφθεί, οι προειδοποιήσεις που δόθηκαν και από τις δύο πλευρές και η ίδια η συμπεριφορά του ζημιωθέντος έχουν όλα σημασία. Παράλληλα με την αστική ευθύνη, η Ολλανδική Αρχή Προστασίας Δεδομένων μπορεί να επιβάλει διοικητικά πρόστιμα έως και 20 εκατομμύρια ευρώ ή το 4% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο από τα δύο είναι υψηλότερο. Τα πρόστιμα αυτά είναι ανεξάρτητα από το εάν τα μεμονωμένα υποκείμενα των δεδομένων υπέστησαν ζημία.
Η οδός του ποινικού δικαίου
Μια κυβερνοεπίθεση μπορεί επίσης να συνιστά ποινικό αδίκημα, όπως η εισβολή σε υπολογιστή, η μη προσβασιμότητα των δεδομένων ή η ιδιοποίηση μη δημόσιων δεδομένων. Το άρθρο 138ab(1) του ολλανδικού Ποινικού Κώδικα καθιστά αδίκημα την εκ προθέσεως και παράνομη απόκτηση πρόσβασης σε αυτοματοποιημένο σύστημα.
Τα θύματα μπορούν να καταγγείλουν το αδίκημα στην αστυνομία, η οποία διαθέτει εξειδικευμένες ομάδες καταπολέμησης του κυβερνοεγκλήματος. Όταν ένας ύποπτος διώκεται ποινικά, το θύμα μπορεί να συμμετάσχει στην ποινική διαδικασία ως ζημιωθέν και να ζητήσει αποζημίωση εκεί. Αυτή η οδός αποφεύγει τις ξεχωριστές αστικές διαδικασίες, αλλά το αποτέλεσμα εξαρτάται από την ανίχνευση, τη δίωξη και την απόδειξη, κάτι που με τους παραβάτες που δραστηριοποιούνται διεθνώς συχνά δεν αποφέρει κανένα αποτέλεσμα. Για τους οργανισμούς, η καταγγελία είναι συχνά και πρακτική αναγκαιότητα, επειδή οι ασφαλιστές και οι συνεργάτες της εφοδιαστικής αλυσίδας το ζητούν.
Τι καλύπτει η ασφάλεια στον κυβερνοχώρο;
Μια πολιτική ασφάλισης στον κυβερνοχώρο μπορεί να παρέχει κάλυψη, μεταξύ άλλων:
- αντιμετώπιση περιστατικών και εγκληματολογική έρευνα·
- αποκατάσταση συστημάτων και δεδομένων·
- ζημίες από διακοπή επιχειρηματικής δραστηριότητας και απώλεια κύκλου εργασιών·
- επικοινωνία σε καταστάσεις κρίσης·
- ευθύνη έναντι τρίτων·
- δικαστικά έξοδα· και
- σε ορισμένες περιπτώσεις, πρόστιμα, πληρωμές διακανονισμού ή λύτρα, στο βαθμό που είναι ασφαλίσιμα σύμφωνα με την ισχύουσα νομοθεσία.
Η ακριβής κάλυψη εξαρτάται από το ασφαλιστήριο συμβόλαιο. Δώστε προσοχή στις εξαιρέσεις, τους όρους ασφαλείας, τις περιόδους ειδοποίησης, τις συμμετοχές και τις απαιτήσεις για την πρόσληψη εμπειρογνωμόνων. Το άρθρο 7:957(1) του Ολλανδικού Αστικού Κώδικα υποχρεώνει επίσης τον ασφαλισμένο να λαμβάνει εύλογα μέτρα για την πρόληψη ή τον περιορισμό της ζημίας. Σε περίπτωση που δεν τηρείται η εν λόγω υποχρέωση διάσωσης, ο ασφαλιστής μπορεί να μειώσει την αποζημίωση.
Συνεπώς, ο ασφαλιστής στον κυβερνοχώρο θα πρέπει να ενημερωθεί το συντομότερο δυνατό. Η πρόσληψη εξωτερικών εμπειρογνωμόνων ή η καταβολή λύτρων χωρίς τη συγκατάθεση του ασφαλιστή ενδέχεται να επηρεάσει την κάλυψη.
Τι πρέπει να κάνετε αμέσως μετά από μια κυβερνοεπίθεση;
- Καταγράψτε προσεκτικά το περιστατικό και όλες τις σχετικές ενέργειες.
- Απομονώστε τα επηρεαζόμενα συστήματα χωρίς να χάσετε στοιχεία.
- Προσλάβετε έναν ιατροδικαστή.
- Αξιολογήστε εάν υπάρχει παραβίαση δεδομένων που πρέπει να γνωστοποιηθεί.
- Αξιολογήστε εάν τα υποκείμενα των δεδομένων πρέπει να ενημερώνονται.
- Αναφέρετε το αδίκημα στην αστυνομία.
- Ειδοποιήστε το περιστατικό στην ασφαλιστική σας εταιρεία στον κυβερνοχώρο.
- Διατηρήστε αρχεία καταγραφής, αντίγραφα ασφαλείας, email και άλλα σχετικά δεδομένα.
- Χαρτογραφήστε τη ζημιά και τα πιθανώς υπεύθυνα μέρη.
- Ενημερώστε προσεκτικά και έγκαιρα τους πελάτες, τους υπαλλήλους και τους συνεργάτες της εφοδιαστικής αλυσίδας.
Επομένως, μια κυβερνοεπίθεση δεν είναι απλώς ένα τεχνικό συμβάν. Είναι επίσης ζήτημα προστασίας δεδομένων, αστικού δικαίου, ποινικού δικαίου και ασφαλιστικού δικαίου. Μια ταχεία και καλά τεκμηριωμένη αντίδραση όχι μόνο περιορίζει τη ζημία, αλλά είναι καθοριστική για τις ειδοποιήσεις, την ασφαλιστική κάλυψη και την αποδεικτική σας θέση σε οποιαδήποτε διαδικασία.
Κλείνοντας
Τα δικαιώματα και οι υποχρεώσεις που ακολουθούν μια κυβερνοεπίθεση κατανέμονται σε διάφορους τομείς του δικαίου και η έκβαση μιας υπόθεσης εξαρτάται σε μεγάλο βαθμό από τα συγκεκριμένα γεγονότα, το περιεχόμενο της σύμβασης και την ποιότητα των αρχείων. Η νομολογία που συζητήθηκε δείχνει ότι ο προμηθευτής και ο πελάτης κρίνονται με βάση τη δική τους συμπεριφορά και ότι οι προθεσμίες, όπως η περίοδος ειδοποίησης των εβδομήντα δύο ωρών, αφήνουν ελάχιστα περιθώρια καθυστέρησης.
Law & More βοηθά τους οργανισμούς και τα υποκείμενα των δεδομένων με τη νομική διαχείριση περιστατικών στον κυβερνοχώρο: από την αξιολόγηση των υποχρεώσεων ειδοποίησης και την αναθεώρηση των συμφωνιών επεξεργασίας δεδομένων έως τον καθορισμό της ευθύνης, των ασφαλιστικών ζητημάτων και την ανάκτηση ζημιών. Αντιμετωπίζετε κυβερνοεπίθεση ή παραβίαση δεδομένων ή θα θέλατε οι συμβάσεις σας να εξεταστούν εκ των προτέρων από εμάς ως προς αυτούς τους κινδύνους; IT Law ομάδα; Μη διστάσετε να επικοινωνήστε μαζί μας Law & More για μια συζήτηση της κατάστασής σας χωρίς καμία υποχρέωση.
Συχνές ερωτήσεις
Παρακάτω απαντάμε στις ερωτήσεις που μας τίθενται συχνότερα σχετικά με αυτό το θέμα.
Ποια είναι τα θύματα μιας κυβερνοεπίθεσης;
Υπάρχουν τρία επίπεδα. Πρώτον, ο ίδιος ο επηρεαζόμενος οργανισμός, ο οποίος επωμίζεται τον χρόνο διακοπής λειτουργίας του συστήματος, την απώλεια κύκλου εργασιών, το κόστος ανάκτησης, το κόστος της εγκληματολογικής έρευνας και τη βλάβη στη φήμη του. Δεύτερον, τα υποκείμενα των δεδομένων, τα φυσικά πρόσωπα των οποίων τα προσωπικά δεδομένα έχουν εκτεθεί, όπως πελάτες, εργαζόμενοι και ασθενείς. Τρίτον, τρίτα μέρη που υφίστανται ζημία μέσω συμβατικής σχέσης ή σχέσης αλυσίδας εφοδιασμού, για παράδειγμα επειδή εξαρτώνται από έναν προμηθευτή που έχει κλείσει. Αυτή η ταξινόμηση καθορίζει σε ποια βάση ένα μέρος μπορεί να υποβάλει αξίωση και κατά ποίου.
Εντός ποιας προθεσμίας πρέπει να ειδοποιήσω για παραβίαση δεδομένων;
Το άρθρο 33 του ΓΚΠΔ απαιτεί την ενημέρωση της εποπτικής αρχής χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, εντός εβδομήντα δύο ωρών από την ημερομηνία που έλαβε γνώση της παραβίασης. Η υποχρέωση δεν ισχύει όταν η παραβίαση είναι απίθανο να οδηγήσει σε κίνδυνο τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Η εν λόγω αξιολόγηση απαιτεί ανάλυση της φύσης της παραβίασης, των κατηγοριών δεδομένων που επηρεάζονται και των πιθανών συνεπειών.
Πότε πρέπει να ενημερώσω τα ίδια τα υποκείμενα των δεδομένων;
Σύμφωνα με το άρθρο 34 του ΓΚΠΔ, όταν η παραβίαση είναι πιθανό να οδηγήσει σε υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων, η επικοινωνία μπορεί να παραλειφθεί όταν έχουν ληφθεί κατάλληλα τεχνικά μέτρα, όπως η κρυπτογράφηση, όταν τα επόμενα μέτρα διασφαλίζουν ότι ο υψηλός κίνδυνος δεν θα επέλθει πλέον ή όταν η ατομική επικοινωνία θα απαιτούσε δυσανάλογη προσπάθεια. Στην τελευταία περίπτωση, αρκεί μια δημόσια επικοινωνία.
Μπορώ να ζητήσω πληροφορίες από έναν προμηθευτή που έχει δεχτεί hacking;
Ναι, όταν προβλέπεται από συμφωνία επεξεργασίας δεδομένων. Στη συνοπτική διαδικασία μεταξύ της Blauw Research και της Nebu (Περιφερειακό Δικαστήριο του Ρότερνταμ, 6 Απριλίου 2023, ECLI:NL:RBROT:2023:2931), ο δικαστής ασφαλιστικών μέτρων έκρινε ότι, βάσει της συμφωνίας επεξεργασίας δεδομένων, ο υπεύθυνος επεξεργασίας δικαιούται περισσότερες πληροφορίες σχετικά με την επίθεση, τις συνέπειές της και τα μέτρα που ελήφθησαν από ό,τι είχε παρασχεθεί και διέταξε τον επεξεργαστή να διενεργήσει ανεξάρτητη εγκληματολογική έρευνα και να υποβάλλει περιοδικές εκθέσεις. Αυτές οι πληροφορίες είναι απαραίτητες για την εκπλήρωση των δικών σας καθηκόντων κοινοποίησης.
Ως υποκείμενο δεδομένων, δικαιούμαι αυτόματα αποζημίωση μετά από παραβίαση δεδομένων;
Όχι. Το Άρθρο 82 του ΓΚΠΔ παρέχει μια αυτοτελή βάση, αλλά πρέπει να τεκμηριώσετε ότι ο ΓΚΠΔ έχει παραβιαστεί, ότι όντως υποστήκατε ζημία και ότι υπάρχει αιτιώδης συνάφεια μεταξύ της παραβίασης και της ζημίας. Το βάρος της απόδειξης βαρύνει τον ενάγοντα.
Μπορεί ο φόβος της απάτης ταυτότητας να θεωρηθεί ηθική βλάβη;
Μπορεί. Στην υπόθεση Nationalna agentsia za prihodite (ΔΕΕ 14 Δεκεμβρίου 2023, C-340/21), το Δικαστήριο έκρινε ότι ο φόβος πιθανής μελλοντικής κακής χρήσης διαρροών προσωπικών δεδομένων μπορεί από μόνος του να συνιστά ηθική βλάβη. Ωστόσο, το υποκείμενο των δεδομένων πρέπει να τεκμηριώσει συγκεκριμένα αυτόν τον φόβο και τις συνέπειές του. Η Österreichische Post (ΔΕΕ 4 Μαΐου 2023, C-300/21) προσθέτει ότι δεν υπάρχει ελάχιστο όριο σοβαρότητας, αλλά ότι η παραβίαση του ΓΚΠΔ από μόνη της δεν επαρκεί.
Ποιος πρέπει να αποδείξει ότι τα μέτρα ασφαλείας ήταν κατάλληλα;
Ο υπεύθυνος επεξεργασίας. Στην υπόθεση C-340/21, το Δικαστήριο επιβεβαίωσε ότι εναπόκειται στον υπεύθυνο επεξεργασίας να αποδείξει ότι τα μέτρα ασφαλείας που ελήφθησαν ήταν κατάλληλα και ότι μια επίθεση από τρίτο μέρος δεν τον απαλλάσσει από την ευθύνη. Στις Κάτω Χώρες, αυτό συνέβη στην περίπτωση του παραβιασμένου λογαριασμού ηλεκτρονικού ταχυδρομείου ενός εμπόρου αυτοκινήτων, όπου το Εφετείο του Άρνεμ-Λέουβαρντεν έδωσε αρχικά στον έμπορο την ευκαιρία να προσκομίσει την εν λόγω απόδειξη (ECLI:NL:GHARL:2024:6812) και στη συνέχεια έκρινε ότι δεν είχε προσκομιστεί (ECLI:NL:GHARL:2025:4556).
Είναι υπεύθυνος ο προμηθευτής IT μου εάν δεν εντοπίσει μια επίθεση;
Αυτό εξαρτάται από το τι συμφωνήθηκε. Στην υπόθεση που αφορά την κυβερνοεπίθεση στον δήμο Hof van Twente (Περιφερειακό Δικαστήριο Overijssel, 10 Μαΐου 2023, ECLI:NL:RBOVE:2023:1731) τα μέρη είχαν συμφωνήσει για λειτουργική παρακολούθηση και όχι για παρακολούθηση ασφάλειας. Το δικαστήριο έκρινε ότι το καθήκον επιμέλειας ενός διαχειριστή πληροφορικής δεν εκτείνεται σε σημείο που η παρακολούθηση ασφάλειας να αποτελεί σιωπηρό μέρος του και απέρριψε την αγωγή. Όταν παρέχεται ένα ευρύτερο συνολικό πακέτο, το καθήκον επιμέλειας μπορεί να είναι εκτεταμένο, όπως στην υπόθεση O'Cliance (Περιφερειακό Δικαστήριο Overijssel). Amsterdam, 14 Νοεμβρίου 2018, ECLI:NL:RBAMS:2018:10124), όπου ο προμηθευτής θεωρήθηκε υπεύθυνος για τα δύο τρίτα της ζημίας.
Μπορεί η δική μου συμπεριφορά να μειώσει την αποζημίωση;
Ναι. Το συνυπαίτιο σφάλμα παίζει επαναλαμβανόμενο ρόλο σε αυτές τις περιπτώσεις. Στην υπόθεση O'Cliance, το ένα τρίτο της ζημίας παρέμεινε για τον λογαριασμό του πελάτη, και στην υπόθεση του παραβιασμένου λογαριασμού email, τα μέρη υποχρεώθηκαν να αντιμετωπίσουν το συνυπαίτιο σφάλμα του αγοραστή. Η δική σας πολιτική κωδικών πρόσβασης, οι ανοιχτές θύρες ή οι αγνοημένες προειδοποιήσεις μπορούν επομένως να επηρεάσουν άμεσα το αποτέλεσμα.
Τι πρόστιμα μπορεί να επιβάλει η αρχή προστασίας δεδομένων;
Για παραβιάσεις του ΓΚΠΔ, η εποπτική αρχή μπορεί να επιβάλει διοικητικά πρόστιμα έως και 20 εκατομμύρια ευρώ ή 4% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο από τα δύο είναι υψηλότερο. Αυτά τα πρόστιμα είναι ανεξάρτητα από το εάν τα μεμονωμένα υποκείμενα των δεδομένων υπέστησαν πράγματι ζημία και ως εκ τούτου αντιπροσωπεύουν ξεχωριστό κίνδυνο παράλληλα με την αστική ευθύνη.
Μπορώ να καταγγείλω το αδίκημα και να διεκδικήσω την απώλειά μου μέσω της ποινικής διαδικασίας;
Ναι. Το άρθρο 138ab(1) του Ολλανδικού Ποινικού Κώδικα ορίζει ως αδίκημα την εκ προθέσεως και παράνομη απόκτηση πρόσβασης σε αυτοματοποιημένο σύστημα. Μπορείτε να αναφέρετε το αδίκημα στην αστυνομία και, σε περίπτωση που διώκεται ένας ύποπτος, να συμμετάσχετε στην ποινική διαδικασία ως ζημιωθέντας για να διεκδικήσετε αποζημίωση εκεί. Το αποτέλεσμα εξαρτάται από την ανίχνευση, τη δίωξη και την απόδειξη, κάτι που με τους παραβάτες που δραστηριοποιούνται διεθνώς συχνά δεν αποφέρει κανένα αποτέλεσμα.
Τι καλύπτει συνήθως η ασφάλεια στον κυβερνοχώρο;
Συνήθως, πρόκειται για αντιμετώπιση περιστατικών και εγκληματολογική έρευνα, αποκατάσταση συστημάτων και δεδομένων, απώλειες λόγω διακοπής επιχειρηματικής δραστηριότητας και απώλεια κύκλου εργασιών, επικοινωνία σε περίπτωση κρίσης, ευθύνη έναντι τρίτων και δικαστικά έξοδα, και σε ορισμένες περιπτώσεις πρόστιμα, πληρωμές διακανονισμού ή λύτρα στο βαθμό που είναι ασφαλίσιμο βάσει της ισχύουσας νομοθεσίας. Παρακολουθήστε τις εξαιρέσεις, τους όρους ασφαλείας, τις περιόδους ειδοποίησης και τις απαλλαγές και ελέγξτε την ασφαλιστική κάλυψη πριν συμβεί κάποιο περιστατικό.
Μπορώ να χάσω την κάλυψη ενεργώντας λανθασμένα μετά από μια επίθεση;
Αυτό είναι δυνατό. Το άρθρο 7:957(1) του Ολλανδικού Αστικού Κώδικα υποχρεώνει τον ασφαλισμένο να λαμβάνει εύλογα μέτρα για την πρόληψη ή τον περιορισμό της ζημίας. Σε περίπτωση που δεν τηρείται αυτή η υποχρέωση διάσωσης, ο ασφαλιστής μπορεί να μειώσει την αποζημίωση. Η πρόσληψη εξωτερικών εμπειρογνωμόνων ή η καταβολή λύτρων χωρίς τη συγκατάθεση του ασφαλιστή μπορεί επίσης να επηρεάσει την κάλυψη. Ενημερώστε τον ασφαλιστή σας το συντομότερο δυνατό.
Ποια βήματα πρέπει να κάνω αμέσως μετά από μια κυβερνοεπίθεση;
Καταγράψτε το περιστατικό και όλες τις ενέργειες που έχουν γίνει, απομονώστε τα επηρεαζόμενα συστήματα χωρίς να χάσετε αποδεικτικά στοιχεία και προσλάβετε έναν ιατροδικαστή. Στη συνέχεια, αξιολογήστε εάν υπάρχει παραβίαση δεδομένων που πρέπει να κοινοποιηθεί και εάν τα υποκείμενα των δεδομένων πρέπει να ενημερωθούν. Αναφέρετε το αδίκημα, ειδοποιήστε την ασφαλιστική σας εταιρεία στον κυβερνοχώρο, διατηρήστε τα αρχεία καταγραφής, τα αντίγραφα ασφαλείας και την αλληλογραφία, χαρτογραφήστε τη ζημιά και τα πιθανώς υπεύθυνα μέρη και ενημερώστε προσεκτικά και έγκαιρα τους πελάτες, τους υπαλλήλους και τους συνεργάτες της εφοδιαστικής αλυσίδας.
