Том Мівіс, адвокат у Law & More
Кібератаки, такі як програми-вимагачі, фішинг, DDoS-атаки та комп'ютерні вторгнення, рідко впливають лише на організацію, що піддається атаці. Жертвами кібератак також є клієнти, співробітники, пацієнти, постачальники та інші партнери по ланцюжку поставок, які можуть зазнати збитків, і їхнє правове становище відрізняється від групи до групи. Тому будь-кому, хто прагне встановити після атаки, які зобов'язання застосовуються та які існують претензії, рекомендується спочатку точно визначити, хто постраждав і яка шкода була завдана.
У цій статті по черзі розглядається, хто вважається жертвою, коли необхідно повідомляти про витік даних, за яких умов існує право на компенсацію, які сторони можуть нести відповідальність, яку роль відіграє кримінальне право, що зазвичай покриває поліс кіберстрахування та які кроки слід вжити негайно після атаки.
Хто є жертвами кібератак?
У кібератаці можна виділити три групи.
- Сама постраждала організація, яка стикається з простоєм системи, втратою плинності кадрів, витратами на відновлення, вартістю судово-медичної експертизи та репутаційною шкодою.
- Фізичні особи, чиї персональні дані були розкриті, такі як клієнти, співробітники та пацієнти. Вони можуть зазнати фінансових втрат, а також нематеріальної шкоди через втрату контролю над своїми даними, невизначеність або страх шахрайства з особистими даними.
- Треті сторони, на яких це впливає через договірні відносини або відносини з постачальниками, наприклад, через їхню залежність від постачальника, чиї системи вийшли з ладу.
Ця класифікація має юридичне значення. Підстава будь-якого позову та сторона, проти якої його можна пред'явити, залежать від позиції потерпілого. Постраждала організація, як правило, притягуватиме свого ІТ-постачальника до відповідальності за договором, тоді як суб'єкт даних може безпосередньо покладатися на окрему підставу для відповідальності, передбачену GDPR.
Коли потрібно повідомляти про витік даних?
Якщо персональні дані задіяні в кібератаці, необхідно оцінити, чи мало місце порушення захисту персональних даних і чи є повідомлення обов’язковим. Стаття 33 GDPR вимагає, щоб про порушення повідомлялося наглядовому органу без невиправданої затримки та, по можливості, протягом сімдесяти двох годин, якщо тільки порушення навряд чи призведе до ризику для прав і свобод фізичних осіб.
Крім того, стаття 34 GDPR може вимагати від організації інформування самих суб'єктів даних. Цей обов'язок виникає, коли порушення ймовірно призведе до високого ризику для їхніх прав і свобод. Повідомлення може бути пропущене, якщо були вжиті відповідні технічні заходи, такі як шифрування, якщо наступні заходи гарантують, що високий ризик більше не матеріалізуватиметься, або якщо індивідуальне спілкування вимагатиме непропорційних зусиль; в останньому випадку достатньо публічного повідомлення.
Для суб’єкта даних таке спілкування — це більше, ніж просто формальність. Воно дозволяє йому вживати власних заходів, наприклад, змінювати паролі або стежити за підозрілими транзакціями, і на практиці це часто є відправною точкою будь-якого позову про компенсацію.
Тому організація повинна встановити не лише факт атаки, але й які дані були пошкоджені, чи дійсно дані були викрадені, та які ризики з цього випливають. Для цієї мети часто є незамінним незалежне судово-медичне розслідування.
Це тим більше стосується випадків, коли атака відбувається на обробника, а не на саму організацію. У справі про спрощене провадження між Blauw Research та Nebu (Районний суд Роттердама, 6 квітня 2023 р., ECLI:NL:RBROT:2023:2931) суддя з питань тимчасового захисту постановив, що згідно з угодою про обробку даних, укладеною між сторонами, контролер мав право на отримання більше інформації про атаку, її наслідки та вжиті заходи, ніж було надано спочатку. Обробнику також було наказано провести незалежне судово-медичне розслідування та періодично звітувати. Рішення показує, що добре складена угода про обробку даних на практиці є найважливішим інструментом для отримання інформації вчасно після інциденту, саме тому, що контролеру потрібна ця інформація для виконання власних обов'язків щодо повідомлення.
Коли виникає право на компенсацію?
Суб'єкти даних можуть вимагати компенсації від контролера або обробника відповідно до статті 82 GDPR. Однак кібератака не є автоматичною підставою для позову. Вона має бути обґрунтована:
- що було порушено GDPR;
- що шкода фактично була завдана; та
- що існує причинно-наслідковий зв'язок між цим порушенням та цією шкодою.
Матеріальна шкода може включати фінансові збитки, витрати на стягнення або збитки, спричинені шахрайством з особистими даними. Щодо нематеріальної шкоди, Суд Європейського Союзу у справі Österreichische Post (CJEU 4 травня 2023 р., C-300/21) постановив, що мінімального порогу серйозності не існує, але самого лише порушення GDPR недостатньо для присудження компенсації.
Особливе значення для випадків витоку даних після кібератаки має рішення у справі «Національна агентство з питань приходу» (Суд ЄС, 14 грудня 2023 р., C-340/21). У ньому Суд постановив, що страх можливого майбутнього неправомірного використання витоку персональних даних сам по собі може становити нематеріальну шкоду. Однак суб’єкт даних повинен конкретно обґрунтувати цей страх та його наслідки; простого вказівки на факт витоку даних недостатньо. У тому ж рішенні Суд підтвердив, що контролер повинен довести, що вжиті заходи безпеки були належними, і що атака третьої сторони сама по собі не звільняє контролера від відповідальності.
Відповідальність згідно з GDPR існує поряд із цивільно-правовими підставами порушення договору та делікту. Згідно зі статтею 6:162(1) Цивільного кодексу Нідерландів, сторона, яка вчиняє протиправне діяння, що може бути віднесено до винної сторони, повинна відшкодувати завдану шкоду. Застосовується вимога відносності статті 6:163: порушена норма повинна служити для захисту від виду шкоди, яку зазнала потерпіла сторона.
Важливо, що стаття 82 GDPR існує поряд із цими підставами. Таким чином, суб'єкт даних не зобов'язаний обґрунтовувати позов виключно порушенням договору або деліктом, а може безпосередньо покладатися на окрему підставу для відповідальності, передбачену GDPR. Для постраждалої організації таке поєднання підстав означає, що кілька сторін можуть пред'являти позови одночасно після атаки.
Хто може бути відповідальним?
Постраждала організація може нести відповідальність, якщо вона не виконує своїх договірних зобов'язань або вжила недостатніх заходів безпеки. Постачальник ІТ-послуг або обробник також може бути притягнутий до відповідальності. Те, що можна очікувати від цього постачальника послуг, визначається, перш за все, договором.
У рамках відносин обробки даних угода про обробку даних відіграє центральну роль. Стаття 28 GDPR вимагає від контролера та обробника укласти таку угоду, яка регулює, серед іншого, заходи безпеки та обробку витоків даних. Якщо атака є результатом недостатньої безпеки обробника, контролер може притягнути обробника до відповідальності згідно з цією угодою за спричинені збитки.
Це чітко випливає зі справи щодо кібератаки на муніципалітет Хоф-ван-Твенте (Районний суд Оверейселя, 10 травня 2023 р., ECLI:NL:RBOVE:2023:1731). Сторони домовилися про функціональний моніторинг, а не про моніторинг безпеки. Суд постановив, що обов'язок турботи ІТ-адміністратора не поширюється настільки далеко, що моніторинг безпеки є негласною частиною завдання з функціонального моніторингу, і відхилив позов муніципалітету. Він також врахував, що муніципалітет сам прийняв рішення, які збільшили ризик, включаючи політику паролів та відкриття порту RDP.
Дзеркальним відображенням є справа О'Кліанса (окружний суд Amsterdam, 14 листопада 2018 р., ECLI:NL:RBAMS:2018:10124). Там постачальник встановив повну ІТ-інфраструктуру та взяв на себе її управління. Після атаки програми-вимагача, під час якої резервні копії також були зашифровані, суд постановив, що постачання такого повного пакету послуг передбачало далекосяжний обов'язок дбайливості та що прості заходи були опущені. Однак відповідальність не була присуджена повністю: через співвину клієнта дві третини збитків залишилися на рахунку постачальника.
Наскільки важким може бути тягар доведення належної безпеки, ілюструє справа зі зломом облікового запису електронної пошти автодилера. У проміжному рішенні від 5 листопада 2024 року (Апеляційний суд Арнем-Леувардена, ECLI:NL:GHARL:2024:6812) дилеру було надано можливість довести, що його обліковий запис електронної пошти був належним чином захищений у значенні GDPR, після того, як хакер використав цей обліковий запис для надсилання покупцеві фальшивої платіжної інструкції. У наступному рішенні від 22 липня 2025 року (ECLI:NL:GHARL:2025:4556) суд постановив, що цей доказ не був наданий, після чого сторони все ще мали розглянути питання про співучасть покупця. Таким чином, обидва рішення стосуються одного й того ж провадження.
Спільною рисою є те, що договірні домовленості, ризики обробки, фактично вжиті заходи, попередження, зроблені обома сторонами, та власна поведінка потерпілої сторони – все це має значення. Поряд із цивільною відповідальністю, Орган захисту даних Нідерландів може накладати адміністративні штрафи у розмірі до 20 мільйонів євро або 4 відсотків від світового річного обороту, залежно від того, що більше. Ці штрафи не залежать від того, чи зазнали шкоди окремі суб’єкти даних.
Шлях кримінального права
Кібератака також може вважатися кримінальним злочином, таким як вторгнення в комп'ютер, недоступність даних або привласнення непублічних даних. Стаття 138ab(1) Кримінального кодексу Нідерландів кваліфікує як злочин навмисне та незаконне отримання доступу до автоматизованої системи.
Жертви можуть повідомити про правопорушення до поліції, яка має спеціалізовані групи з боротьби з кіберзлочинністю. Якщо підозрюваного притягують до відповідальності, потерпілий може приєднатися до кримінального провадження як потерпіла сторона та вимагати там компенсації. Цей шлях дозволяє уникнути окремого цивільного провадження, але результат залежить від виявлення, судового переслідування та доказів, що у випадку з міжнародними злочинцями часто не дає результатів. Для організацій повідомлення часто також є практичною необхідністю, оскільки страховики та партнери по ланцюгу поставок вимагають цього.
Що покриває кіберстрахування?
Поліс кіберстрахування може покривати, серед іншого:
- реагування на інциденти та судово-медичне розслідування;
- відновлення систем і даних;
- збитки від переривання діяльності та втрата обороту;
- кризова комунікація;
- відповідальність перед третіми особами;
- судові витрати; та
- у деяких випадках штрафи, виплати за врегулювання або викуп, у тій мірі, в якій це передбачено чинним законодавством.
Точний розмір покриття залежить від поліса. Зверніть увагу на винятки, умови забезпечення, періоди повідомлення, франшизи та вимоги щодо залучення експертів. Стаття 7:957(1) Цивільного кодексу Нідерландів також зобов'язує застраховану сторону вживати розумних заходів для запобігання або обмеження збитків. Якщо цей обов'язок щодо рятування не дотримується, страховик може зменшити виплату.
Тому кіберстраховика слід повідомити про це якомога швидше. Залучення зовнішніх експертів або сплата викупу без згоди страховика може вплинути на покриття.
Що слід робити одразу після кібератаки?
- Ретельно зафіксуйте інцидент та всі відповідні дії.
- Ізолюйте уражені системи без втрати доказів.
- Залучіть судово-медичного експерта.
- Оцініть, чи відбулося порушення конфіденційності даних, про яке необхідно повідомити.
- Оцініть, чи потрібно інформувати суб’єктів даних.
- Повідомте про правопорушення до поліції.
- Повідомте про інцидент свого страховика з кібербезпеки.
- Зберігайте журнали, резервні копії, електронні листи та інші відповідні дані.
- Зробіть карту збитків та потенційних винних осіб.
- Ретельно та своєчасно інформуйте клієнтів, співробітників та партнерів по ланцюгу поставок.
Отже, кібератака — це не просто технічний інцидент. Це також питання захисту даних, цивільного, кримінального та страхового права. Швидка та добре задокументована реакція не лише обмежує збитки, але й є вирішальною для повідомлень, страхового покриття та вашої доказової позиції в будь-якому провадженні.
На закінчення
Права та обов'язки після кібератаки розподілені по кількох галузях права, і результат справи значною мірою залежить від конкретних фактів, змісту договору та якості записів. Розглянута судова практика показує, що постачальника та клієнта оцінюють як за їхньою власною поведінкою, і що такі терміни, як сімдесятидвогодинний період повідомлення, залишають мало місця для затримки.
Law & More допомагає організаціям та суб'єктам даних у правовому веденні кіберінцидентів: від оцінки обов'язків щодо повідомлення та перегляду угод про обробку даних до встановлення відповідальності, питань страхування та відшкодування збитків. Ви маєте справу з кібератакою чи витоком даних, чи бажаєте, щоб ваші контракти були попередньо перевірені на предмет цих ризиків нашими... IT Law команда? Будь ласка, не соромтеся Контакти Law & More для обговорення вашої ситуації без жодних зобов'язань.
Часті питання
Нижче ми відповімо на запитання, які нам ставлять найчастіше з цього питання.
Хто є жертвами кібератаки?
Існує три рівні. По-перше, сама постраждала організація, яка несе збитки за час простою системи, втрату обороту, витрати на відновлення, вартість судово-медичної експертизи та репутаційну шкоду. По-друге, суб'єкти даних, фізичні особи, чиї персональні дані були розкриті, такі як клієнти, співробітники та пацієнти. По-третє, треті сторони, які зазнали збитків через договірні відносини або відносини в ланцюгу постачання, наприклад, через те, що вони залежать від постачальника, який вийшов з ладу. Ця класифікація визначає, на якій підставі сторона може пред'явити позов і проти кого.
Протягом якого періоду я маю повідомити про витік даних?
Стаття 33 GDPR вимагає повідомлення наглядового органу без невиправданої затримки та, по можливості, протягом сімдесяти двох годин з моменту виявлення порушення. Цей обов'язок не застосовується, якщо порушення навряд чи призведе до ризику для прав і свобод фізичних осіб. Така оцінка вимагає аналізу характеру порушення, категорій даних, на які це впливає, та можливих наслідків.
Коли я повинен повідомити самих суб'єктів даних?
Згідно зі статтею 34 GDPR, якщо порушення ймовірно призведе до високого ризику для прав і свобод суб'єктів даних, комунікація може бути пропущена, якщо були вжиті відповідні технічні заходи, такі як шифрування, якщо наступні заходи гарантують, що високий ризик більше не матеріалізуватиметься, або якщо індивідуальне спілкування вимагатиме непропорційних зусиль. В останньому випадку достатньо публічного повідомлення.
Чи можу я отримати інформацію від постачальника, який був зламаний?
Так, якщо це передбачено угодою про обробку даних. У справі про спрощений процес між Blauw Research та Nebu (Районний суд Роттердама, 6 квітня 2023 р., ECLI:NL:RBROT:2023:2931) суддя з питань тимчасового захисту постановив, що згідно з угодою про обробку даних контролер мав право на отримання більше інформації про атаку, її наслідки та вжиті заходи, ніж було надано, та зобов’язав обробника провести незалежне судово-медичне розслідування та періодично звітувати. Ця інформація необхідна для виконання ваших власних обов’язків щодо повідомлення.
Як суб'єкт даних, чи маю я автоматично право на компенсацію після витоку даних?
Ні. Стаття 82 GDPR надає окрему основу, але ви повинні обґрунтувати порушення GDPR, фактичну завдану шкоду та наявність причинно-наслідкового зв'язку між порушенням та цією шкодою. Тягар доказування покладається на позивача.
Чи кваліфікується страх шахрайства з використанням особистих даних як нематеріальна шкода?
Можливо. У справі Національна агентство з питань доходів (Суд ЄС, 14 грудня 2023 р., C-340/21) Суд ЄС постановив, що страх можливого майбутнього зловживання витоком персональних даних сам по собі може становити нематеріальну шкоду. Однак суб'єкт даних повинен конкретно обґрунтувати цей страх та його наслідки. Österreichische Post (Суд ЄС, 4 травня 2023 р., C-300/21) додає, що мінімального порогу серйозності не існує, але самого порушення GDPR недостатньо.
Хто має довести, що заходи безпеки були належними?
Контролер. У справі C-340/21 Суд підтвердив, що саме контролер повинен довести, що вжиті заходи безпеки були належними, і що атака третьої сторони сама по собі не звільняє його від відповідальності. У Нідерландах це мало місце у випадку зламу облікового запису електронної пошти автодилера, де Апеляційний суд Арнем-Леувардена спочатку надав дилеру можливість надати цей доказ (ECLI:NL:GHARL:2024:6812), а потім постановив, що його не було надано (ECLI:NL:GHARL:2025:4556).
Чи несе відповідальність мій ІТ-постачальник, якщо він не виявив атаку?
Це залежить від того, що було домовлено. У справі щодо кібератаки на муніципалітет Хоф-ван-Твенте (Районний суд Оверейселя, 10 травня 2023 р., ECLI:NL:RBOVE:2023:1731) сторони домовилися про функціональний моніторинг, а не про моніторинг безпеки. Суд постановив, що обов'язок дбайливості ІТ-адміністратора не поширюється настільки далеко, щоб моніторинг безпеки становив його немовчазну частину, і відхилив позов. Якщо надається ширший повний пакет, обов'язок дбайливості може мати далекосяжний характер, як у справі О'Кліанса (Районний суд Оверейселя Amsterdam, 14 листопада 2018 р., ECLI:NL:RBAMS:2018:10124), де постачальника було визнано відповідальним за дві третини збитків.
Чи може моя власна поведінка зменшити розмір компенсації?
Так. Співвина покупця відіграє постійну роль у цих випадках. У справі O'Cliance третина збитків залишалася на рахунку клієнта, а у справі про зламаний обліковий запис електронної пошти сторони мали вирішити питання співвини покупця. Ваша власна політика щодо паролів, залишені відкритими порти або ігнорування попереджень можуть безпосередньо вплинути на результат.
Які штрафи може накласти орган із захисту даних?
За порушення GDPR наглядовий орган може накладати адміністративні штрафи у розмірі до 20 мільйонів євро або 4 відсотків від світового річного обороту, залежно від того, що більше. Ці штрафи не залежать від того, чи фактично окремим суб’єктам даних було завдано шкоди, і тому становлять окремий ризик поряд із цивільною відповідальністю.
Чи можу я повідомити про правопорушення та вимагати відшкодування збитків через кримінальне провадження?
Так. Стаття 138ab(1) Кримінального кодексу Нідерландів кваліфікує як правопорушення навмисне та незаконне отримання доступу до автоматизованої системи. Ви можете повідомити про правопорушення до поліції та, якщо підозрюваного притягнуто до відповідальності, приєднатися до кримінального провадження як потерпіла сторона, щоб вимагати там компенсацію. Результат справді залежить від виявлення, судового переслідування та доказів, що у випадку з міжнародними правопорушниками часто не дає результатів.
Що зазвичай покриває кіберстрахування?
Зазвичай реагування на інциденти та судово-медичне розслідування, відновлення систем і даних, збитки від переривання бізнесу та втрата обороту, кризова комунікація, відповідальність перед третіми сторонами та судові витрати, а в деяких випадках штрафи, виплати за врегулюванням або викуп у тій мірі, яка передбачена чинним законодавством. Звертайте увагу на винятки, умови безпеки, періоди повідомлення та франшизи, а також переглядайте поліс до того, як станеться інцидент.
Чи можу я втратити укриття, діючи неправильно після атаки?
Це можливо. Стаття 7:957(1) Цивільного кодексу Нідерландів зобов'язує застраховану сторону вживати розумних заходів для запобігання або обмеження збитків; якщо цей обов'язок щодо рятування не дотримується, страховик може зменшити виплату. Залучення зовнішніх експертів або сплата викупу без згоди страховика також може вплинути на покриття. Повідомте свого страховика якомога швидше.
Які кроки слід вжити негайно після кібератаки?
Зафіксуйте інцидент та всі вжиті дії, ізолюйте уражені системи без втрати доказів та залучіть судового експерта. Потім оцініть, чи відбулося порушення безпеки даних, про яке потрібно повідомляти, і чи потрібно інформувати суб'єктів даних. Повідомте про правопорушення, повідомте свого страховика з кібербезпеки, збережіть журнали, резервні копії та листування, зафіксуйте збитки та потенційно відповідальних осіб, а також ретельно та своєчасно інформуйте клієнтів, співробітників та партнерів по ланцюгу поставок.
