Права жртава сајбер напада: обавезе обавештавања, надокнада штете и осигурање

Од Тома Мивиса, адвоката у Law & More

Сајбер напади попут ransomware-а, фишинга, DDoS напада и упада у рачунар ретко погађају само организацију која је нападнута. Жртве сајбер напада такође укључују купце, запослене, пацијенте, добављаче и друге партнере у ланцу снабдевања који могу претрпети губитак, а њихов правни положај се разликује од групе до групе. Свако ко жели да утврди, након напада, које обавезе важе и која потраживања постоје, стога се саветује да прво утврди ко је тачно погођен и каква је штета настала.

Овај чланак се редом бави ко се квалификује као жртва, када се мора пријавити кршење података, под којим условима постоји право на надокнаду штете, које стране могу бити одговорне, какву улогу игра кривични закон, шта полиса сајбер осигурања обично покрива и које кораке треба предузети одмах након напада.

Ко су жртве сајбер напада?

У сајбер нападу се могу разликовати три групе.

• Сама погођена организација, која се суочава са застојем система, изгубљеним прометом, трошковима опоравка, трошковима форензичке истраге и штетом по репутацију.
• Физичка лица чији су лични подаци изложени, као што су купци, запослени и пацијенти. Она могу претрпети финансијски губитак, али и нематеријално штету због губитка контроле над својим подацима, неизвесности или страха од преваре идентитета.
• Треће стране погођене уговорним односом или односом у ланцу снабдевања, на пример зато што зависе од добављача чији су системи пали.

Ова класификација је правно релевантна. Основа било каквог захтева и страна против којег се може поднети зависе од положаја жртве. Погођена организација ће генерално позвати свог ИТ добављача на одговорност по основу уговора, док се носилац података може директно ослонити на самостални основ одговорности који предвиђа GDPR.

Када се мора пријавити кршење података?

Када су лични подаци укључени у сајбер напад, мора се проценити да ли постоји повреда личних података и да ли је обавезно обавештавање. Члан 33. Опште уредбе о заштити података (GDPR) захтева да се о повреди обавести надзорни орган без непотребног одлагања и, где је то изводљиво, у року од седамдесет два сата, осим ако је мало вероватно да ће повреда довести до ризика по права и слободе физичких лица.

Поред тога, члан 34 GDPR-а може захтевати од организације да саме обавести носиоце података. Та обавеза настаје када је вероватно да ће кршење довести до високог ризика по њихова права и слободе. Комуникација се може изоставити када су биле на снази одговарајуће техничке мере као што је шифровање, када накнадне мере осигуравају да се високи ризик више неће материјализовати или када би индивидуална комуникација подразумевала несразмеран напор; у том последњем случају довољна је јавна комуникација.

За лице на које се подаци односе, та комуникација је више од формалности. Она му омогућава да предузме сопствене мере, на пример променом лозинки или праћењем сумњивих трансакција, а у пракси је често почетна тачка сваког захтева за надокнаду штете.

Организација стога мора утврдити не само да се напад догодио, већ и који су подаци били погођени, да ли су подаци заиста украдени и који ризици из тога произилазе. Независна форензичка истрага је често неопходна у ту сврху.

Ово се још више односи када се напад догоди на обрађивачу, а не на саму организацију. У скраћеном поступку између Blauw Research и Nebu (Окружни суд у Ротердаму, 6. април 2023, ECLI:NL:RBROT:2023:2931) судија за привремену заштиту је пресудио да је, према споразуму о обради података закљученом између странака, контролор имао право на више информација о нападу, његовим последицама и предузетим мерама него што је првобитно достављено. Обрађивачу је такође наложено да спроведе независну форензичку истрагу и да периодично извештава. Пресуда показује да је добро састављен споразум о обради података у пракси најважнији инструмент за добијање информација на време након инцидента, управо зато што је контролору потребне те информације да би испунио своје дужности обавештавања.

Када настаје право на надокнаду штете?

Субјекти података могу захтевати надокнаду штете од контролора или обрађивача у складу са чланом 82 GDPR-а. Међутим, сајбер напад не даје аутоматски право на подношење захтева. Мора бити поткрепљен:

• да је прекршена GDPR;
• да је штета заиста претрпела; и
• да постоји узрочна веза између тог кршења и те штете.

Материјална штета може се састојати од финансијских губитака, трошкова опоравка или губитка узрокованог преваром идентитета. Што се тиче нематеријалне штете, Суд правде Европске уније је у предмету Österreichische Post (Суд правде Европске уније, 4. мај 2023, C-300/21) пресудио да не постоји минимални праг озбиљности, већ да само кршење Опште уредбе о заштити података није довољно за доделу одштете.

Од посебног значаја за кршење безбедности података након сајбер напада је случај Национална агенција за приходе (Суд правде ЕУ, 14. децембар 2023, C-340/21). У њему је Суд пресудио да страх од могуће будуће злоупотребе процурелих личних података може сам по себи представљати нематеријално штетно дело. Међутим, лице на које се подаци односе мора конкретно да поткрепи тај страх и његове последице; само указивање на чињеницу да су подаци процурели није довољно. У истој пресуди, Суд је потврдио да је на контролору да докаже да су предузете мере безбедности биле одговарајуће и да напад треће стране сам по себи не ослобађа контролора од одговорности.

Одговорност према Општој уредби о заштити података (GDPR) постоји поред грађанскоправних основа кршења уговора и деликтног кривичног дела. Према члану 6:162(1) холандског грађанског законика, страна која је починила незаконито дело које се може приписати оштећеној страни мора надокнадити проузроковану штету. Примењује се захтев релативности из члана 6:163: прекршена норма мора служити заштити од врсте штете коју је оштећена страна претрпела.

Важно је напоменути да члан 82 Опште уредбе о заштити података (GDPR) постоји поред ових основа. Лице на које се подаци односе стога није обавезно да заснива тужбу искључиво на кршењу уговора или деликтној одговорности, већ се може директно ослонити на самосталну основу одговорности коју GDPR предвиђа. За погођену организацију, ова комбинација основа значи да неколико страна може поднети тужбу истовремено након напада.

Ко може бити одговоран?

Погођена организација може бити одговорна ако не испуни своје уговорне обавезе или није предузела недовољне мере безбедности. Пружалац ИТ услуга или обрађивач такође може бити позван на одговорност. Оно што се може очекивати од тог пружаоца услуга одређује се пре свега уговором.

У оквиру односа обраде, уговор о обради података игра централну улогу. Члан 28. Опште уредбе о заштити података захтева од контролора и обрађивача да закључе такав уговор, којим се, између осталог, регулишу мере безбедности и поступање у случају кршења безбедности података. Када је напад резултат неадекватне безбедности код обрађивача, контролор може да позове обрађивача на одговорност према том уговору за настали губитак.

То јасно произилази из случаја који се тиче сајбер напада на општину Хоф ван Твенте (Окружни суд Оверејсела, 10. мај 2023, ECLI:NL:RBOVE:2023:1731). Странке су се договориле о функционалном праћењу, а не о безбедносном праћењу. Суд је утврдио да дужност пажње ИТ администратора не иде толико далеко да безбедносно праћење представља прећутни део задатка за функционално праћење и одбацио је тужбу општине. Такође је проценио да је сама општина донела одлуке које су повећале ризик, укључујући њену политику лозинки и отварање RDP порта.

Одраз у огледалу је случај О'Клајнс (Окружни суд Amsterdam, 14. новембар 2018, ECLI:NL:RBAMS:2018:10124). Тамо је добављач инсталирао комплетну ИТ инфраструктуру и преузео њено управљање. Након напада ransomware-ом у којем су резервне копије такође биле шифроване, суд је пресудио да испорука тако комплетног пакета носи далекосежну дужност пажње и да су изостављене једноставне мере. Међутим, одговорност није у потпуности досуђена: због доприносне кривице купца, две трећине штете је остало на рачун добављача.

Колико терет доказивања одговарајуће безбедности може бити тежак илуструје се случајем хакованог имејл налога продавца аутомобила. У међупресуди од 5. новембра 2024. (Апелациони суд Арнем-Леувардена, ECLI:NL:GHARL:2024:6812) продавцу је дата прилика да докаже да је његов имејл налог био одговарајуће обезбеђен у смислу Опште уредбе о заштити података (GDPR), након што је хакер користио тај налог да пошаље лажни налог за плаћање купцу. У накнадној пресуди од 22. јула 2025. (ECLI:NL:GHARL:2025:4556) суд је утврдио да овај доказ није достављен, након чега су странке и даље требало да се позабаве доприносном кривицом купца. Обе пресуде се стога односе на исти поступак.

Заједничка нит је да су уговорни аранжмани, ризици обраде, предузете мере, упозорења дата са обе стране и понашање саме оштећене стране важни. Поред грађанске одговорности, холандски орган за заштиту података може изрећи административне казне до 20 милиона евра или 4% светског годишњег промета, шта год је веће. Те казне су независне од тога да ли су појединачни субјекти података претрпели штету.

Пут кривичног права

Сајбер напад такође може представљати кривично дело, као што је упад у рачунар, чињење података неприступачним или присвајање нејавних података. Члан 138аб(1) холандског кривичног законика чини кривичним делом намерно и незаконито добијање приступа аутоматизованом систему.

Жртве могу пријавити прекршај полицији, која има специјализоване тимове за сајбер криминал. Када се осумњичени кривично гони, жртва се може придружити кривичном поступку као оштећена страна и тамо захтевати одштету. Овим путем се избегава посебан грађански поступак, али исход зависи од откривања, кривичног гоњења и доказа, што код међународно активних преступника често не даје резултате. За организације, пријављивање је често и практична потреба, јер осигуравачи и партнери у ланцу снабдевања то захтевају.

Шта покрива сајбер осигурање?

Полиса сајбер осигурања може да покрије, између осталог:

• реаговање на инциденте и форензичка истрага;
• обнављање система и података;
• губици од прекида пословања и изгубљени промет;
• кризна комуникација;
• одговорност према трећим лицима;
• судски трошкови; и
• у неким случајевима новчане казне, исплате поравнања или откупнине, у мери у којој је то осигурано према важећем закону.

Прецизно покриће зависи од полисе. Обратите пажњу на изузећа, услове осигурања, рокове за обавештавање, франшизе и захтеве за ангажовање стручњака. Члан 7:957(1) холандског грађанског законика такође обавезује осигураника да предузме разумне мере како би спречио или ограничио губитак. Уколико се та обавеза спасавања не поштује, осигуравач може смањити исплату.

Стога, осигуравач за сајбер ризик треба да буде обавештен што је пре могуће. Ангажовање спољних стручњака или плаћање откупнине без сагласности осигуравача може утицати на покриће.

Шта треба учинити одмах након сајбер напада?

• Пажљиво забележите инцидент и све релевантне радње.
• Изолујте погођене системе без губитка доказа.
• Ангажујте форензичког стручњака.
• Процените да ли постоји кршење података о коме је потребно обавестити.
• Процените да ли субјекти података морају бити обавештени.
• Пријавите прекршај полицији.
• Обавестите инцидент свом осигуравачу за сајбер безбедност.
• Сачувајте логове, резервне копије, имејлове и друге релевантне податке.
• Мапирајте штету и потенцијално одговорне стране.
• Пажљиво и благовремено обавестите купце, запослене и партнере у ланцу снабдевања.

Сајбер напад стога није само технички инцидент. То је такође питање заштите података, грађанског права, кривичног права и права осигурања. Брз и добро документован одговор не само да ограничава штету, већ је пресудан за обавештења, осигурање и вашу доказну позицију у било ком поступку.

На крају

Права и обавезе након сајбер напада раширене су у неколико области права, а исход случаја у великој мери зависи од конкретних чињеница, садржаја уговора и квалитета евиденције. Разматрана судска пракса показује да се и добављач и купац процењују на основу сопственог понашања и да рокови као што је период обавештавања од седамдесет два сата остављају мало простора за одлагање.

Law & More помаже организацијама и субјектима података у правном решавању сајбер инцидената: од процене обавеза обавештавања и прегледа уговора о обради података до утврђивања одговорности, питања осигурања и надокнаде губитака. Да ли се суочавате са сајбер нападом или кршењем података, или желите да наши уговори унапред прегледају ове ризике ИТ Лав тим? Слободно контакт Law & More за разговор о вашој ситуацији без обавеза.

Često postavljana pitanja

У наставку одговарамо на питања која нам најчешће постављају на ову тему.

Ко су жртве сајбер напада?

Постоје три слоја. Прво, сама погођена организација, која сноси застој система, изгубљени промет, трошкове опоравка, трошкове форензичке истраге и штету по репутацију. Друго, субјекти података, физичка лица чији су лични подаци изложени, као што су купци, запослени и пацијенти. Треће, треће стране које трпе губитак кроз уговорни однос или однос у ланцу снабдевања, на пример зато што зависе од добављача који је пао у квар. Та класификација одређује на основу чега страна може да поднесе тужбу и против кога.

У ком року морам да пријавим кршење безбедности података?

Члан 33. Опште уредбе о заштити података захтева обавештавање надзорног органа без непотребног одлагања и, где је то изводљиво, у року од седамдесет два сата од сазнања о кршењу. Ова обавеза се не примењује када је мало вероватно да ће кршење довести до ризика по права и слободе физичких лица. Та процена захтева анализу природе кршења, категорија погођених података и могућих последица.

Када морам да обавестим саме субјекте података?

Према члану 34 GDPR-а, тамо где је вероватно да ће кршење довести до високог ризика по права и слободе носилаца података, комуникација се може изоставити тамо где су биле на снази одговарајуће техничке мере као што је шифровање, где накнадне мере осигуравају да се високи ризик више неће материјализовати или где би индивидуална комуникација захтевала несразмеран напор. У том последњем случају довољна је јавна комуникација.

Могу ли да добијем информације од добављача који је хакован?

Да, тамо где је то предвиђено уговором о обради података. У скраћеном поступку између Blauw Research и Nebu (Окружни суд у Ротердаму, 6. април 2023, ECLI:NL:RBROT:2023:2931) судија за привремену заштиту је утврдио да је према уговору о обради података контролор имао право на више информација о нападу, његовим последицама и предузетим мерама него што је достављено, и наложио је обрађивачу да спроведе независну форензичку истрагу и да периодично извештава. Те информације су потребне за обављање ваших сопствених обавеза обавештавања.

Као лице које се односи на податке, да ли аутоматски имам право на надокнаду штете након кршења безбедности података?

Не. Члан 82 Опште уредбе о заштити података (GDPR) пружа самосталну основу, али морате доказати да је GDPR прекршен, да сте заиста претрпели штету и да постоји узрочна веза између кршења и те штете. Терет доказивања је на подносиоцу захтева.

Да ли се страх од преваре идентитета квалификује као нематеријална штета?

Може. У случају Национална агенција за приходе (Суд правде ЕУ, 14. децембар 2023, C-340/21), Суд правде је пресудио да страх од могуће будуће злоупотребе цурења личних података може сам по себи представљати нематеријално штетно дело. Међутим, лице на које се подаци односе мора конкретно да поткрепи тај страх и његове последице. Аустријска пошта (Суд правде ЕУ, 4. мај 2023, C-300/21) додаје да не постоји минимални праг озбиљности, али да само кршење Опште уредбе о заштити података није довољно.

Ко треба да докаже да су мере безбедности биле одговарајуће?

Контролор. У предмету C-340/21, Суд правде је потврдио да је на контролору да докаже да су предузете мере безбедности биле одговарајуће и да напад треће стране сам по себи не ослобађа контролора одговорности. У Холандији се то одиграло у случају хакованог имејл налога продавца аутомобила, где је Апелациони суд Арнем-Леувардена прво дао продавцу прилику да достави тај доказ (ECLI:NL:GHARL:2024:6812), а затим је утврдио да он није достављен (ECLI:NL:GHARL:2025:4556).

Да ли је мој ИТ добављач одговоран ако није успео да открије напад?

То зависи од тога шта је договорено. У случају који се тиче сајбер напада на општину Хоф ван Твенте (Окружни суд Оверејсела, 10. мај 2023, ECLI:NL:RBOVE:2023:1731) странке су се договориле о функционалном праћењу, а не о безбедносном праћењу. Суд је утврдио да дужност пажње ИТ администратора не иде толико далеко да безбедносно праћење чини њен прећутни део и одбацио је тужбу. Када се пружа шири пакет услуга, дужност пажње може бити далекосежна, као у случају О'Клианс (Окружни суд Оверејсела Amsterdam, 14. новембар 2018, ECLI:NL:RBAMS:2018:10124), где је добављач проглашен одговорним за две трећине губитка.

Да ли моје сопствено понашање може смањити надокнаду?

Да. Доприносна кривица игра сталну улогу у овим случајевима. У случају О'Клијанс, једна трећина губитка је остала за налог купца, а у случају хакованог имејл налога, стране су биле обавезне да се позабаве доприносном кривицом купца. Ваша сопствена политика лозинки, портови који су остављени отворени или игнорисана упозорења стога могу директно утицати на исход.

Које казне може да изрекне орган за заштиту података?

За кршење Опште уредбе о заштити података (GDPR), надзорни орган може да изрекне административне казне до 20 милиона евра или 4% годишњег промета широм света, шта год је веће. Ове казне су независне од тога да ли су појединачни субјекти података заиста претрпели штету и стога представљају посебан ризик поред грађанске одговорности.

Могу ли пријавити прекршај и надокнадити штету путем кривичног поступка?

Да. Члан 138аб(1) холандског кривичног законика чини кривичним делом намерно и незаконито добијање приступа аутоматизованом систему. Можете пријавити прекршај полицији и, уколико је осумњичени кривично гоњен, придружити се кривичном поступку као оштећена страна да бисте тамо захтевали одштету. Исход зависи од откривања, кривичног гоњења и доказа, што код међународно активних преступника често не даје резултате.

Шта обично покрива сајбер осигурање?

Обично реаговање на инциденте и форензичка истрага, обнављање система и података, губици услед прекида пословања и изгубљени промет, кризна комуникација, одговорност према трећим лицима и судски трошкови, а у неким случајевима и казне, исплате поравнања или откупнина у мери у којој је то осигурано према важећем закону. Пазите на изузећа, безбедносне услове, периоде обавештавања и франшизе и прегледајте полису пре него што дође до инцидента.

Могу ли изгубити заклон погрешним деловањем након напада?

То је могуће. Члан 7:957(1) Холандског грађанског законика обавезује осигураника да предузме разумне мере како би спречио или ограничио губитак; уколико се та обавеза спасавања не поштује, осигуравач може смањити исплату. Ангажовање спољних стручњака или плаћање откупнине без сагласности осигуравача такође може утицати на покриће. Обавестите свог осигуравача што је пре могуће.

Које кораке треба предузети одмах након сајбер напада?

Забележите инцидент и све предузете радње, изолујте погођене системе без губитка доказа и ангажујте форензичког стручњака. Затим процените да ли је дошло до кршења безбедности података које подлеже обавештавању и да ли субјекти података морају бити обавештени. Пријавите прекршај, обавестите свог осигуравача за сајбер безбедност, сачувајте логове, резервне копије и преписку, мапирајте штету и потенцијално одговорне стране и пажљиво и благовремено обавестите купце, запослене и партнере у ланцу снабдевања.