Avtor: Tom Meevis, odvetnik pri Law & More
Kibernetski napadi, kot so izsiljevalska programska oprema, lažno predstavljanje, napadi DDoS in računalniški vdori, le redko prizadenejo le napadeno organizacijo. Žrtve kibernetskih napadov so tudi stranke, zaposleni, pacienti, dobavitelji in drugi partnerji v dobavni verigi, ki lahko utrpijo škodo, njihov pravni položaj pa se razlikuje od skupine do skupine. Vsakomur, ki želi po napadu ugotoviti, katere obveznosti veljajo in kateri zahtevki obstajajo, je zato priporočljivo, da najprej natančno ugotovi, kdo je bil prizadet in kakšna škoda je nastala.
Ta članek obravnava, kdo se šteje za žrtev, kdaj je treba prijaviti kršitev varnosti podatkov, pod kakšnimi pogoji obstaja pravica do odškodnine, katere stranke so lahko odgovorne, kakšno vlogo ima kazensko pravo, kaj običajno krije polica kibernetskega zavarovanja in katere ukrepe je treba sprejeti takoj po napadu.
Kdo so žrtve kibernetskih napadov?
V kibernetskem napadu lahko ločimo tri skupine.
- Prizadeta organizacija sama, ki se sooča z izpadom sistema, izgubo fluktuacije, stroški okrevanja, stroški forenzične preiskave in škodo za ugled.
- Fizične osebe, katerih osebni podatki so bili razkriti, kot so stranke, zaposleni in pacienti. Lahko utrpijo finančno izgubo, pa tudi nematerialno škodo zaradi izgube nadzora nad svojimi podatki, negotovosti ali strahu pred identitetno goljufijo.
- Tretje osebe, na katere vpliva pogodbeno razmerje ali razmerje v dobavni verigi, na primer zato, ker so odvisne od dobavitelja, čigar sistemi so se pokvarili.
Ta razvrstitev je pravno relevantna. Podlaga za kakršen koli zahtevek in stranka, zoper katero se ga lahko vloži, sta odvisna od položaja žrtve. Prizadeta organizacija bo na splošno svojega dobavitelja IT pozvala k odgovornosti v skladu s pogodbo, medtem ko se lahko posameznik, na katerega se nanašajo osebni podatki, neposredno sklicuje na samostojno podlago za odgovornost, ki jo določa GDPR.
Kdaj je treba obvestiti o kršitvi varnosti podatkov?
Kadar so v kibernetski napad vključeni osebni podatki, je treba oceniti, ali gre za kršitev varnosti osebnih podatkov in ali je obvezna prijava. Člen 33 GDPR zahteva, da se o kršitvi brez nepotrebnega odlašanja in, kjer je to izvedljivo, v dvainsedemdesetih urah sporoči nadzornemu organu, razen če ni verjetno, da bi kršitev povzročila tveganje za pravice in svoboščine posameznikov.
Poleg tega lahko člen 34 GDPR od organizacije zahteva, da same obvesti posameznike, na katere se nanašajo osebni podatki. Ta obveznost nastane, kadar je verjetno, da bo kršitev povzročila veliko tveganje za njihove pravice in svoboščine. Komunikacija se lahko opusti, kadar so bili vzpostavljeni ustrezni tehnični ukrepi, kot je šifriranje, kadar naknadni ukrepi zagotavljajo, da se veliko tveganje ne bo več uresničilo, ali kadar bi individualna komunikacija vključevala nesorazmeren napor; v slednjem primeru zadostuje javna komunikacija.
Za posameznika, na katerega se nanašajo osebni podatki, je ta komunikacija več kot le formalnost. Omogoča mu, da sprejme lastne ukrepe, na primer s spreminjanjem gesel ali spremljanjem sumljivih transakcij, in v praksi je pogosto izhodišče za morebitne odškodninske zahtevke.
Organizacija mora torej ugotoviti ne le, da je prišlo do napada, temveč tudi, kateri podatki so bili prizadeti, ali so bili podatki dejansko ukradeni in kakšna tveganja iz tega izhajajo. Za ta namen je pogosto nujna neodvisna forenzična preiskava.
To še toliko bolj velja, kadar se napad zgodi pri obdelovalcu in ne pri sami organizaciji. V skrajšanem postopku med Blauw Research in Nebu (okrožno sodišče v Rotterdamu, 6. april 2023, ECLI:NL:RBROT:2023:2931) je sodnik za začasno odredbo razsodil, da je bil upravljavec v skladu s sporazumom o obdelavi podatkov, sklenjenim med strankama, upravičen do več informacij o napadu, njegovih posledicah in sprejetih ukrepih, kot so bile prvotno posredovane. Obdelovalcu je bilo tudi naloženo, da izvede neodvisno forenzično preiskavo in redno poroča. Sodba kaže, da je dobro sestavljen sporazum o obdelavi podatkov v praksi najpomembnejši instrument za pravočasno pridobivanje informacij po incidentu, prav zato, ker upravljavec te informacije potrebuje za izpolnitev lastnih dolžnosti obveščanja.
Kdaj nastane pravica do odškodnine?
Posamezniki, na katere se nanašajo osebni podatki, lahko od upravljavca ali obdelovalca zahtevajo odškodnino v skladu s členom 82 GDPR. Vendar pa kibernetski napad ne povzroči samodejno odškodninskega zahtevka. Zahtevek mora biti utemeljen:
- da je bila kršena GDPR;
- da je bila škoda dejansko nastala; in
- da obstaja vzročna zveza med to kršitvijo in to škodo.
Materialna škoda lahko vključuje finančne izgube, stroške izterjave ali izgubo, ki jo je povzročila identitetna goljufija. Kar zadeva nematerialno škodo, je Sodišče Evropske unije v zadevi Österreichische Post (Sodišče EU, 4. maj 2023, C-300/21) razsodilo, da ni minimalnega praga resnosti, vendar sama kršitev GDPR ne zadostuje za dodelitev odškodnine.
Za kršitve varnosti podatkov po kibernetskem napadu je še posebej pomembna zadeva Nacionalna agencija za prihodite (Sodišče EU z dne 14. decembra 2023, C-340/21). V njej je Sodišče razsodilo, da lahko strah pred morebitno prihodnjo zlorabo uhajanja osebnih podatkov sam po sebi pomeni nepremoženjsko škodo. Posameznik, na katerega se nanašajo osebni podatki, pa mora ta strah in njegove posledice konkretno utemeljiti; zgolj navedba dejstva, da so podatki uhajali, ni dovolj. V isti sodbi je Sodišče potrdilo, da mora upravljavec dokazati, da so bili sprejeti varnostni ukrepi ustrezni, in da napad tretje osebe sam po sebi ne odvezuje upravljavca odgovornosti.
Odgovornost v skladu s Splošno uredbo o varstvu podatkov (GDPR) obstaja vzporedno s civilnopravnimi podlagami za kršitev pogodbe in odškodninsko odgovornost. V skladu s členom 6:162(1) nizozemskega civilnega zakonika mora stranka, ki stori pripisljivo protipravno dejanje, povrniti povzročeno škodo. Velja zahteva relativnosti iz člena 6:163: kršena norma mora služiti zaščiti pred vrsto škode, ki jo je utrpela oškodovana stranka.
Pomembno je, da člen 82 GDPR obstaja poleg teh podlag. Posameznik, na katerega se nanašajo osebni podatki, zato ni dolžan utemeljiti zahtevka izključno na kršitvi pogodbe ali odškodninski odgovornosti, temveč se lahko neposredno sklicuje na samostojno podlago za odgovornost, ki jo določa GDPR. Za prizadeto organizacijo ta kombinacija podlag pomeni, da lahko po napadu več strank hkrati vloži zahtevke.
Kdo je lahko odgovoren?
Prizadeta organizacija je lahko odgovorna, če ne izpolni svojih pogodbenih obveznosti ali če ni sprejela zadostnih varnostnih ukrepov. Odgovoren je lahko tudi ponudnik ali obdelovalec IT storitev. Kaj se lahko pričakuje od tega ponudnika storitev, je najprej in predvsem določeno s pogodbo.
V okviru obdelovalnega razmerja ima sporazum o obdelavi podatkov osrednjo vlogo. Člen 28 GDPR zahteva, da upravljavec in obdelovalec skleneta tak sporazum, ki med drugim ureja varnostne ukrepe in ravnanje v primeru kršitev varnosti podatkov. Kadar je napad posledica neustrezne varnosti pri obdelovalcu, lahko upravljavec v skladu s tem sporazumom od obdelovalca zahteva odgovornost za nastalo izgubo.
To jasno kaže primer kibernetskega napada na občino Hof van Twente (okrožno sodišče v Overijsselu, 10. maj 2023, ECLI:NL:RBOVE:2023:1731). Stranki sta se dogovorili o funkcionalnem spremljanju, ne o varnostnem spremljanju. Sodišče je razsodilo, da dolžnost skrbnega ravnanja skrbnika IT ne sega tako daleč, da bi varnostno spremljanje tiho predstavljalo del naloge za funkcionalno spremljanje, in je zavrnilo zahtevek občine. Prav tako je pretehtalo, da je občina sama sprejela odločitve, ki so povečale tveganje, vključno s politiko gesel in odprtjem vrat RDP.
Zrcalna slika je primer O'Cliance (okrožno sodišče v Amsterdam, 14. november 2018, ECLI:NL:RBAMS:2018:10124). Tam je dobavitelj namestil celotno IT-infrastrukturo in prevzel njeno upravljanje. Po napadu z izsiljevalsko programsko opremo, pri katerem so bile varnostne kopije prav tako šifrirane, je sodišče razsodilo, da je dobava tako celovitega paketa pomenila daljnosežno dolžnost skrbnosti in da so bili opuščeni preprosti ukrepi. Vendar odgovornost ni bila v celoti priznana: zaradi sokrivde stranke sta dve tretjini škode ostali na račun dobavitelja.
Kako močno je lahko dokazno breme glede ustrezne varnosti, ponazarja primer vdora v e-poštni račun prodajalca avtomobilov. V vmesni sodbi z dne 5. novembra 2024 (prizivno sodišče Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812) je imel prodajalec možnost dokazati, da je bil njegov e-poštni račun ustrezno zavarovan v smislu GDPR, potem ko je heker ta račun uporabil za pošiljanje lažnega plačilnega navodila kupcu. V nadaljnji sodbi z dne 22. julija 2025 (ECLI:NL:GHARL:2025:4556) je sodišče ugotovilo, da ta dokaz ni bil predložen, nakar so morale stranke še vedno obravnavati sokrivdo kupca. Obe sodbi se torej nanašata na isti postopek.
Skupna nit je, da so pomembni pogodbeni dogovori, tveganja obdelave, dejansko sprejeti ukrepi, opozorila obeh strani in ravnanje oškodovanca. Poleg civilne odgovornosti lahko nizozemski organ za varstvo podatkov naloži upravne globe v višini do 20 milijonov EUR ali 4 odstotkov svetovnega letnega prometa, kar je višje. Te globe so neodvisne od tega, ali so posamezni posamezniki, na katere se nanašajo osebni podatki, utrpeli škodo.
Pot kazenskega prava
Kibernetski napad lahko pomeni tudi kaznivo dejanje, kot je vdor v računalnik, onemogočanje dostopa do podatkov ali prisvajanje nejavnih podatkov. Člen 138ab(1) nizozemskega kazenskega zakonika določa, da je namerna in nezakonita pridobitev dostopa do avtomatiziranega sistema kaznivo dejanje.
Žrtve lahko kaznivo dejanje prijavijo policiji, ki ima specializirane ekipe za kibernetsko kriminaliteto. Če je osumljenec preganjan, se lahko žrtev pridruži kazenskemu postopku kot oškodovanec in tam zahteva odškodnino. Ta pot se izogne ločenemu civilnemu postopku, vendar je izid odvisen od odkrivanja, pregona in dokazov, kar pri mednarodno delujočih storilcih pogosto ne prinese rezultatov. Za organizacije je prijava pogosto tudi praktična nujnost, saj jo zahtevajo zavarovalnice in partnerji v dobavni verigi.
Kaj krije kibernetsko zavarovanje?
Politika kibernetskega zavarovanja lahko med drugim krije:
- odzivanje na incidente in forenzična preiskava;
- obnova sistemov in podatkov;
- izgube zaradi prekinitve poslovanja in izgubljeni promet;
- krizno komuniciranje;
- odgovornost do tretjih oseb;
- pravni stroški in
- v nekaterih primerih globe, poravnave ali odkupnine, v obsegu, ki ga je mogoče zavarovati v skladu z veljavno zakonodajo.
Natančno kritje je odvisno od police. Bodite pozorni na izključitve, varnostne pogoje, roke za obveščanje, odbitne franšize in zahteve glede najemanja strokovnjakov. Člen 7:957(1) nizozemskega civilnega zakonika prav tako zavezuje zavarovanca, da sprejme razumne ukrepe za preprečitev ali omejitev izgube. Če se ta dolžnost reševanja ne izpolni, lahko zavarovalnica zmanjša izplačilo.
Zato je treba čim prej obvestiti zavarovatelja za kibernetsko varnost. Najem zunanjih strokovnjakov ali plačilo odkupnine brez soglasja zavarovatelja lahko vpliva na kritje.
Kaj morate storiti takoj po kibernetskem napadu?
- Pazljivo zabeležite incident in vsa povezana dejanja.
- Izolirajte prizadete sisteme brez izgube dokazov.
- Najemite forenzičnega izvedenca.
- Ocenite, ali gre za kršitev varnosti podatkov, o kateri je treba poročati.
- Ocenite, ali je treba posameznike, na katere se nanašajo osebni podatki, obvestiti.
- Prijavite prekršek policiji.
- O incidentu obvestite svojega zavarovalca za kibernetsko varnost.
- Ohranite dnevnike, varnostne kopije, e-pošto in druge pomembne podatke.
- Kartirajte škodo in morebitne odgovorne osebe.
- Stranke, zaposlene in partnerje v dobavni verigi obvestite skrbno in pravočasno.
Kibernetski napad torej ni zgolj tehnični incident. Je tudi zadeva varstva podatkov, civilnega prava, kazenskega prava in zavarovalniškega prava. Hiter in dobro dokumentiran odziv ne le omejuje škodo, temveč je odločilen tudi za obvestila, zavarovalno kritje in vaš dokazni položaj v morebitnih postopkih.
V zaključnem
Pravice in obveznosti po kibernetskem napadu so razpršene na več pravnih področij, izid primera pa je močno odvisen od konkretnih dejstev, vsebine pogodbe in kakovosti zapisov. Obravnavana sodna praksa kaže, da se dobavitelja in stranko presoja po lastnem ravnanju in da roki, kot je dvainsedemdeseturni rok za obveščanje, puščajo malo prostora za zamude.
Law & More pomaga organizacijam in posameznikom, na katere se nanašajo osebni podatki, pri pravnem obravnavanju kibernetskih incidentov: od ocenjevanja dolžnosti obveščanja in pregleda sporazumov o obdelavi podatkov do ugotavljanja odgovornosti, zavarovalnih vprašanj in povračila izgub. Ali se soočate s kibernetskim napadom ali kršitvijo varnosti podatkov ali pa želite, da naše pogodbe predhodno pregledajo ta tveganja Zakon o IT ekipa? Prosim, prosto kontakt Law & More za neobvezujoč pogovor o vaši situaciji.
Pogosta vprašanja
Spodaj odgovarjamo na vprašanja, ki nam jih na to temo najpogosteje zastavljajo.
Kdo so žrtve kibernetskega napada?
Obstajajo tri ravni. Prvič, prizadeta organizacija sama, ki nosi stroške izpada sistema, izgubljenega prometa, stroškov okrevanja, stroškov forenzične preiskave in škode za ugled. Drugič, posamezniki, na katere se nanašajo osebni podatki, torej fizične osebe, katerih osebni podatki so bili razkriti, kot so stranke, zaposleni in pacienti. Tretjič, tretje osebe, ki utrpijo škodo zaradi pogodbenega razmerja ali odnosa v dobavni verigi, na primer zato, ker so odvisne od dobavitelja, ki je propadel. Ta razvrstitev določa, na kakšni podlagi lahko stranka vloži zahtevek in proti komu.
V kakšnem roku moram obvestiti o kršitvi varnosti podatkov?
Člen 33 GDPR zahteva, da se nadzornemu organu brez nepotrebnega odlašanja in, kjer je to izvedljivo, v dvainsedemdesetih urah po seznanitvi s kršitvijo obvesti. Dolžnost ne velja, kadar kršitev verjetno ne bo povzročila tveganja za pravice in svoboščine posameznikov. Ta ocena zahteva analizo narave kršitve, kategorij prizadetih podatkov in možnih posledic.
Kdaj moram obvestiti same posameznike, na katere se nanašajo osebni podatki?
V skladu s členom 34 GDPR se lahko komunikacija opusti, kadar je verjetno, da bo kršitev povzročila veliko tveganje za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, kadar so bili vzpostavljeni ustrezni tehnični ukrepi, kot je šifriranje, kadar naknadni ukrepi zagotavljajo, da se veliko tveganje ne bo več uresničilo, ali kadar bi individualna komunikacija vključevala nesorazmeren napor. V slednjem primeru zadostuje javna komunikacija.
Ali lahko od dobavitelja, ki je bil žrtev vdora, zahtevam podatke?
Da, kadar to določa sporazum o obdelavi podatkov. V skrajšanem postopku med Blauw Research in Nebu (okrožno sodišče v Rotterdamu, 6. april 2023, ECLI:NL:RBROT:2023:2931) je sodnik za začasno odredbo razsodil, da je bil upravljavec v skladu s sporazumom o obdelavi podatkov upravičen do več informacij o napadu, njegovih posledicah in sprejetih ukrepih, kot so bile posredovane, in obdelovalcu naložil, naj izvede neodvisno forenzično preiskavo in redno poroča. Te informacije so potrebne za izpolnjevanje vaših lastnih dolžnosti obveščanja.
Ali sem kot posameznik, na katerega se nanašajo osebni podatki, samodejno upravičen do odškodnine po kršitvi varnosti podatkov?
Ne. Člen 82 GDPR zagotavlja samostojno podlago, vendar morate dokazati, da je bila GDPR kršena, da ste dejansko utrpeli škodo in da obstaja vzročna zveza med kršitvijo in to škodo. Dokazno breme je na tožniku.
Ali se strah pred identitetno prevaro šteje za nematerialno škodo?
Lahko. Sodišče je v zadevi Nacionalna agencija za prihodite (Sodišče EU, 14. december 2023, C-340/21) razsodilo, da lahko strah pred morebitno prihodnjo zlorabo uhajanja osebnih podatkov sam po sebi predstavlja nepremoženjsko škodo. Vendar pa mora posameznik, na katerega se nanašajo osebni podatki, ta strah in njegove posledice konkretno utemeljiti. Österreichische Post (Sodišče EU, 4. maj 2023, C-300/21) dodaja, da ni minimalnega praga resnosti, vendar da sama kršitev GDPR ni zadostna.
Kdo mora dokazati, da so bili varnostni ukrepi ustrezni?
Upravljavec. V zadevi C-340/21 je Sodišče potrdilo, da mora upravljavec dokazati, da so bili sprejeti varnostni ukrepi ustrezni, in da ga napad tretje osebe sam po sebi ne oprosti odgovornosti. Na Nizozemskem se je to zgodilo v primeru vdora v e-poštni račun prodajalca avtomobilov, kjer je pritožbeno sodišče Arnhem-Leeuwarden prodajalcu najprej dalo možnost, da predloži ta dokaz (ECLI:NL:GHARL:2024:6812), nato pa je razsodilo, da ta dokaz ni bil predložen (ECLI:NL:GHARL:2025:4556).
Ali je moj dobavitelj IT storitev odgovoren, če ni zaznal napada?
To je odvisno od dogovora. V zadevi, ki se nanaša na kibernetski napad na občino Hof van Twente (okrožno sodišče v Overijsselu, 10. maj 2023, ECLI:NL:RBOVE:2023:1731), sta se stranki dogovorili o funkcionalnem spremljanju, ne o varnostnem spremljanju. Sodišče je razsodilo, da dolžnost skrbnosti skrbnika IT ne sega tako daleč, da bi varnostno spremljanje tvorilo njen tihi del, in je tožbeni zahtevek zavrnilo. Kadar je zagotovljen širši celoten paket, je lahko dolžnost skrbnosti daljnosežna, kot v zadevi O'Cliance (okrožno sodišče v Overijsselu, 10. maj 2023, ECLI:NL:RBOVE:2023:1731) Amsterdam, 14. november 2018, ECLI:NL:RBAMS:2018:10124), kjer je bil dobavitelj odgovoren za dve tretjini izgube.
Ali lahko moje lastno ravnanje zmanjša odškodnino?
Da. V teh primerih se ponavljajoča se vloga sokrivde. V zadevi O'Cliance je tretjina izgube ostala na računu stranke, v primeru vdora v e-poštni račun pa so morale stranke obravnavati sokrivdo kupca. Vaša politika gesel, odprta vrata ali prezrta opozorila lahko zato neposredno vplivajo na izid.
Katere globe lahko naloži organ za varstvo podatkov?
Za kršitve GDPR lahko nadzorni organ naloži upravne globe v višini do 20 milijonov EUR ali 4 odstotkov svetovnega letnega prometa, kar je višje. Te globe so neodvisne od tega, ali so posamezni posamezniki, na katere se nanašajo osebni podatki, dejansko utrpeli škodo, in zato predstavljajo ločeno tveganje poleg civilne odgovornosti.
Ali lahko prijavim prekršek in zahtevam odškodnino za svojo škodo v kazenskem postopku?
Da. Člen 138ab(1) nizozemskega kazenskega zakonika določa, da je namerna in nezakonita pridobitev dostopa do avtomatiziranega sistema kaznivo dejanje. Kaznivo dejanje lahko prijavite policiji in se v primeru pregona osumljenca pridružite kazenskemu postopku kot oškodovanec, da tam zahtevate odškodnino. Izid je odvisen od odkritja, pregona in dokazov, kar pri mednarodno delujočih storilcih pogosto ne prinese rezultatov.
Kaj običajno krije kibernetsko zavarovanje?
Običajno odzivanje na incidente in forenzična preiskava, obnova sistemov in podatkov, izgube zaradi prekinitve poslovanja in izgubljeni promet, krizno komuniciranje, odgovornost do tretjih oseb in pravni stroški ter v nekaterih primerih globe, poravnave ali odkupnina v obsegu, ki ga je mogoče zavarovati v skladu z veljavno zakonodajo. Bodite pozorni na izključitve, varnostne pogoje, roke za obveščanje in odbitne franšize ter preglejte polico, preden pride do incidenta.
Ali lahko po napadu izgubim kritje, če po napadu ravnam nepravilno?
To je mogoče. Člen 7:957(1) nizozemskega civilnega zakonika zavezuje zavarovanca, da sprejme razumne ukrepe za preprečitev ali omejitev izgube; če ta dolžnost reševanja ni izpolnjena, lahko zavarovalnica zmanjša izplačilo. Najem zunanjih strokovnjakov ali plačilo odkupnine brez soglasja zavarovalnice lahko prav tako vpliva na kritje. Čim prej obvestite svojo zavarovalnico.
Katere korake moram sprejeti takoj po kibernetskem napadu?
Zabeležite incident in vse izvedene ukrepe, izolirajte prizadete sisteme brez izgube dokazov in najemite forenzičnega strokovnjaka. Nato ocenite, ali gre za kršitev varnosti podatkov, ki jo je treba prijaviti, in ali je treba o tem obvestiti posameznike, na katere se nanašajo osebni podatki. Prijavite prekršek, obvestite svojega zavarovatelja za kibernetsko varnost, shranite dnevnike, varnostne kopije in korespondenco, zabeležite škodo in morebitne odgovorne osebe ter skrbno in pravočasno obvestite stranke, zaposlene in partnerje v dobavni verigi.
