Criminalitate informatică și criminalitate cibernetică: ce legi olandeze se aplică?

Dreptul penal olandez face distincție între infracțiunile în care un computer este ținta și infracțiunile în care acesta este doar mijlocul. Hacking-ul, un atac DDoS sau ransomware-ul se încadrează în infracțiuni informatice specifice din Codul Penal, în timp ce frauda online, frauda de identitate și phishing-ul sunt de obicei urmărite penal în cadrul infracțiunilor obișnuite, uneori combinate cu o infracțiune informatică.

În cazul în care calculatorul este doar mijlocul, se aplică infracțiunile obișnuite. Frauda online este fraudă ( oplichting ) în temeiul articolului 326, frauda de identitate intră sub incidența articolului 231b, iar phishing-ul este, în general, incriminat ca o combinație de fraudă, acces intruziv pe calculator și falsificare. Acest lucru este important în practică, deoarece aceste infracțiuni au propriile termene de prescripție și propriile cerințe probatorii.

Pentru o organizație care a fost atacată, raportarea către poliție este doar una dintre numeroasele obligații. O încălcare a securității datelor cu caracter personal trebuie notificată Autorității Olandeze pentru Protecția Datelor în termen de 72 de ore, în cazul în care este probabil să rezulte un risc pentru persoane. Organizațiile care intră sub incidența Legii privind securitatea cibernetică ( Cyberbeveiligingswet ), în vigoare din 15 august 2026, au propriile termene de raportare, începând cu o avertizare timpurie în termen de 24 de ore.

Care este diferența dintre criminalitatea informatică și criminalitatea cibernetică?

În criminalitatea informatică, sistemul informatic sau datele din acesta reprezintă ținta infracțiunii. În criminalitatea cibernetică, în sens mai larg, computerul sau internetul este instrumentul folosit pentru a comite o infracțiune care există și offline, cum ar fi frauda sau extorcarea.

Cei doi termeni sunt adesea folosiți interschimbabil, iar legislația olandeză nu îi definește. Distincția este totuși utilă, deoarece vă ajută să vedeți ce prevederi se aplică și ce trebuie dovedit.

Când este computerul ținta?

Calculatorul este ținta atunci când infracțiunea este îndreptată împotriva sistemului în sine: accesul fără permisiune, perturbarea acestuia sau deteriorarea datelor. Se aplică prevederi specifice din Codul penal în acest sens, cum ar fi încălcarea proprietății unui computer, perturbarea unui sistem și deteriorarea datelor.

Exemple tipice sunt piratarea rețelei unei companii, un atac DDoS care face un site web inaccesibil, instalarea de programe malware și criptarea fișierelor cu ransomware. Pentru aceste infracțiuni nu contează dacă făptuitorul a obținut și bani: intruziunea sau perturbarea în sine este pedepsibilă.

Când este calculatorul doar mijlocul?

Calculatorul este doar mijlocul atunci când infracțiunea există și fără un calculator, dar internetul este folosit pentru a o comite. Exemple sunt frauda în achizițiile online, facturile false trimise prin e-mail, mesajele de phishing, extorcarea prin e-mail și amenințările pe rețelele de socializare.

De ce contează distincția?

Distincția determină ce prevedere este aplicată, care este pedeapsa maximă și ce trebuie să dovedească procurorul. De asemenea, afectează ancheta.

Pentru infracțiunile informatice, procurorul trebuie să dovedească, de exemplu, că intruziunea a fost intenționată și ilegală. Pentru fraudă, procurorul trebuie să dovedească înșelăciunea printr-un nume fals, o capacitate falsă, trucuri viclene sau o rețea de minciuni și că victima a fost indusă să predea bani sau bunuri. În practică, un incident duce adesea la mai multe acuzații simultan, de exemplu, încălcarea proprietății informatice combinată cu fraudă.

Investigațiile privind criminalitatea informatică necesită cercetare criminalistică digitală: analiza jurnalelor de utilizare, a traficului de rețea și a dispozitivelor. În cazurile de fraudă, poliția urmărește, de asemenea, plățile și comunicațiile. Deoarece autorii operează adesea din străinătate, cooperarea internațională este necesară în mod regulat.

Ce forme de criminalitate cibernetică sunt comune în Olanda?

În practică, trei forme afectează cel mai des întreprinderile și persoanele fizice: ransomware-ul, furtul de date și de date de conectare și phishing-ul combinat cu ingineria socială. Acestea apar adesea împreună: un e-mail de phishing oferă date de conectare, care sunt apoi utilizate pentru a instala ransomware.

Cum funcționează ransomware-ul și ce infracțiuni implică?

Într-un atac ransomware, atacatorul criptează datele unei organizații și solicită plata pentru cheie. Din ce în ce mai des, atacatorul copiază mai întâi datele și amenință că le va publica dacă victima nu plătește.

Ransomware-ul afectează deopotrivă multinaționalele, întreprinderile mici și mijlocii și organismele publice. Atacatorii obțin adesea acces prin intermediul unui e-mail de phishing, al datelor de conectare furate sau al unei vulnerabilități a unui software care nu a fost actualizat.

Din punct de vedere legal, ransomware-ul implică de obicei mai multe infracțiuni simultan: acces intruziv pe computer (articolul 138ab Sr), deteriorarea datelor prin criptarea acestora (articolul 350a Sr) și extorcare (articolul 317 Sr). Dacă datele cu caracter personal au fost copiate sau făcute inaccesibile, aceasta reprezintă, de asemenea, o încălcare a securității datelor, cu obligațiile de notificare discutate mai jos.

Dacă se plătește sau nu este o decizie de afaceri cu aspecte juridice. Plata nu garantează că datele vor fi returnate sau șterse, iar plata către o parte sancționată poate fi interzisă. Discutați acest aspect cu avocatul dumneavoastră și cu poliția înainte de a lua o decizie.

Ce se întâmplă cu datele și detaliile de conectare furate?

Infractorii vizează bazele de date și datele de conectare deoarece le pot revinde sau le pot folosi în scopuri frauduloase. Datele de conectare furate sunt comercializate online și utilizate pentru a se conecta la conturi de e-mail, sisteme ale companiilor sau conturi bancare.

Odată ce infractorii au datele de conectare, aceștia pot trimite cereri de plată false dintr-un cont de e-mail autentic, pot modifica detaliile bancare de pe facturi sau pot prelua controlul asupra conturilor clienților. Pentru organizația victimă, acesta este adesea atât un incident de securitate, cât și o încălcare a securității datelor.

Cumpărarea sau deținerea de date furate știind că au fost obținute printr-o infracțiune este, de asemenea, pedepsibilă. De la Legea privind criminalitatea informatică III ( Wet computercriminaliteit III ), Codul penal conține o infracțiune separată pentru manipularea datelor furate ( heling van gegevens ).

Cum funcționează phishing-ul și ingineria socială?

Phishing-ul este încercarea de a obține date de conectare, detalii de plată sau acces, pretinzând că sunteți o parte de încredere. Mesajele vin din ce în ce mai mult nu doar prin e-mail, ci și prin mesaje text, WhatsApp, telefon și rețele sociale.

Infractorii imită băncile, serviciile de coletărie, organismele guvernamentale și platformele precum LinkedIn. În așa-numita fraudă a directorului general (CEO), un angajat primește o solicitare urgentă, aparent de la un director, pentru a efectua o plată. În frauda de la serviciul de asistență bancară, apelantul se preface a fi de la bancă și convinge victima să transfere bani într-un „cont sigur”.

Ingineria socială exploatează încrederea, presiunea timpului și autoritatea. De aceea, instruirea și procedurile interne clare sunt la fel de importante ca măsurile tehnice.

Ce legi olandeze se aplică și care sunt sancțiunile?

Codul penal conține infracțiuni informatice specifice și infracțiuni comune care se aplică și în mediul online. Pedeapsa maximă depinde de infracțiune și de circumstanțe agravante, cum ar fi copierea datelor sau provocarea de daune grave.

Ce prevederi ale Codului penal se aplică?

• Articolul 138ab Sr: încălcarea proprietății informatice, obținerea intenționată și ilegală a accesului la un sistem informatic sau la o parte a acestuia.
• Articolul 138b Sr: obstrucționarea intenționată și ilegală a accesului la un sistem informatic sau a utilizării acestuia prin trimiterea de date, ca într-un atac DDoS.
• Articolele 139c și 139d din Codul Secvențial: interceptarea sau înregistrarea datelor și comunicațiilor, precum și plasarea de echipamente sau distribuirea de instrumente în acest scop.
• Articolele 350a și 350b Sr: modificarea, ștergerea, inutilizarea sau inaccesibilitatea datelor, în mod intenționat (350a) sau în mod culpabil (350b), precum și distribuirea de programe malware.
• Articolul 231b Sr: frauda de identitate, utilizarea intenționată și ilegală a datelor cu caracter personal de identificare ale altei persoane în cazul în care acest lucru poate cauza prejudicii.
• Articolul 326 Sr: fraudă, inducerea pe cineva să predea bani sau bunuri prin înșelăciune.
• Articolul 317 Sr: extorcare, de exemplu cererea de răscumpărare într-un atac ransomware.

Intruziunea în computer nu necesită ca făptuitorul să fi ocolit o măsură de securitate. Accesul fără permisiune este suficient, de exemplu, folosind parola altcuiva.

Ce penalități se aplică?

Pedepsele maxime diferă în funcție de infracțiune. Intruziunea simplă în sistemul informatic se pedepsește cu maximum doi ani de închisoare sau cu o amendă de categoria a patra; dacă făptuitorul copiază sau înregistrează ulterior date, pedeapsa maximă este de patru ani.

Alte sancțiuni maxime sunt prevăzute în însăși dispoziția. Câteva exemple:

• Atacurile DDoS și deteriorarea datelor (articolele 138b și 350a din Codul Sectorului I) au o pedeapsă maximă de doi ani în forma de bază, cu limite maxime mai mari în cazul în care se produc daune grave sau este afectată o infrastructură vitală.
• Distribuirea de programe malware (articolul 350a alineatul (3) Sr) se pedepsește cu maximum patru ani de închisoare sau cu o amendă de categoria a cincea.
• Frauda (articolul 326 Sr) se pedepsește cu maximum patru ani de închisoare.

Pedeapsa efectivă aplicată este de obicei mult sub pedeapsa maximă. Instanța ia în considerare amploarea atacului, pagubele cauzate, metoda utilizată, dacă a fost afectată infrastructura vitală, rolul făptuitorului și circumstanțele sale personale. Pentru tinerii care comit prima infracțiune, uneori se impun sancțiuni alternative.

Pe lângă o pedeapsă cu închisoarea, amendă sau muncă în folosul comunității, instanța poate dispune confiscarea veniturilor provenite din săvârșirea de infracțiuni, cum ar fi criptomoneda obținută prin extorcare. Victimele se pot alătura procesului penal ca parte vătămată ( benadeelde partij ) pentru a solicita despăgubiri.

Ce se întâmplă dacă atacatorul este în străinătate?

Legea penală olandeză se aplică unui atac asupra unui sistem din Țările de Jos, chiar dacă atacatorul se află în străinătate. Urmărirea penală este atunci posibilă, dar necesită cooperare internațională, ceea ce poate dura timp.

Țările de Jos sunt parte la Convenția Consiliului Europei privind criminalitatea cibernetică (Convenția de la Budapesta), care prevede cooperarea în cadrul investigațiilor și schimbul de probe. În cadrul UE, poliția cooperează prin intermediul Europolului, iar procurorii prin intermediul Eurojustului. Poliția olandeză are echipe specializate în criminalitatea cibernetică pentru investigații complexe.

În practică, șansa de a identifica și urmări penal un atacator în străinătate variază foarte mult. Prin urmare, este important ca victimele să nu se bazeze exclusiv pe dosarul penal, ci să ia propriile măsuri pentru a limita și a recupera prejudiciile.

Ce ar trebui să faci după un incident cibernetic?

Limitați mai întâi pagubele, asigurați dovezile și verificați-vă obligațiile de notificare. Apoi, raportați-le la poliție și gândiți-vă cum să vă recuperați pierderile.

Cum raportezi la poliție?

Puteți raporta poliției infracțiuni informatice și fraude online. Pentru anumite forme de fraudă online, cum ar fi frauda la cumpărarea sau vânzarea online, puteți raporta online; pentru incidente mai grave, este mai bine să faceți o programare.

Aduceți cât mai multe informații posibil: date și ore, capturi de ecran, anteturi de e-mail, fișiere jurnal, detalii despre tranzacții și valoarea daunelor. Nu ștergeți nimic și nu resetați sistemele înainte ca dovezile să fie securizate, dacă este posibil cu ajutorul unui specialist în criminalistică IT.

Ce obligații de notificare se aplică?

Dacă sunt implicate date cu caracter personal, este posibil să fie nevoie să notificați Autoritatea olandeză pentru protecția datelor ( Autoriteit Persoonsgegevens ) în termen de 72 de ore de la data la care ați luat cunoștință de încălcare, în temeiul articolului 33 din Regulamentul general privind protecția datelor (GDPR). Dacă încălcarea este susceptibilă de a genera un risc ridicat pentru persoanele implicate, trebuie să le informați și pe acestea fără întârzieri nejustificate.

Organizațiile care intră sub incidența Legii privind securitatea cibernetică trebuie să raporteze incidentele semnificative în etape prin intermediul punctului de raportare al Centrului Național de Securitate Cibernetică: o avertizare timpurie în termen de 24 de ore, o notificare a incidentului în termen de 72 de ore și un raport final în termen de o lună. Raportul ajunge atât la CSIRT-ul relevant, cât și la supraveghetor. Alte sectoare, cum ar fi instituțiile financiare, pot avea propriile reguli.

Cum îți recuperezi pierderea?

Există mai multe căi civile. Puteți solicita despăgubiri de la făptuitor pe baza răspunderii civile delictuale (articolul 6:162 din Codul Civil olandez), fie în procesul penal, în calitate de parte vătămată, fie în cadrul unei proceduri civile separate.

Dacă banii au fost retrași din contul dumneavoastră fără permisiunea dumneavoastră, banca trebuie, în principiu, să ramburseze o tranzacție de plată neautorizată în temeiul articolului 7:528 din Codul Civil olandez, cu excepția cazului în care ați acționat fraudulos sau cu intenție sau neglijență gravă. Dacă ați transferat banii personal, de exemplu în cazul unei fraude la serviciul de asistență bancară, regulile sunt diferite, iar rezultatul depinde de circumstanțe. Reclamațiile privind o bancă pot fi depuse la Institutul pentru Reclamații privind Serviciile Financiare ( Kifid ).

Verificați și asigurarea. Unele companii au o poliță de asigurare cibernetică care acoperă costurile de recuperare și cercetare criminalistică și, uneori, pierderile de venituri. Asigurătorii impun de obicei perioade stricte de notificare.

Dacă un furnizor, cum ar fi un furnizor de servicii IT, nu a respectat acordurile de securitate din contract, este posibil să îl puteți trage la răspundere pe acel furnizor pentru încălcarea contractului. Multe depind de contract și de orice limitare a răspunderii.

Cum pot persoanele fizice și juridice să prevină criminalitatea cibernetică?

Combinați măsurile tehnice cu instruire și un plan clar de răspuns la incidente. Majoritatea atacurilor reușite exploatează o slăbiciune cunoscută sau o greșeală umană.

Prevenirea nu este doar o activitate sensibilă; pentru unele organizații este și o obligație legală. În conformitate cu GDPR, fiecare organizație care prelucrează date cu caracter personal trebuie să ia măsuri tehnice și organizatorice de securitate adecvate. Organizațiile care intră sub incidența Legii privind securitatea cibernetică au obligația de diligență în gestionarea riscurilor cibernetice, iar directorii lor sunt responsabili pentru acest lucru.

Ce măsuri tehnice ajută?

Construiți mai multe niveluri de apărare. Măsurile de bază sunt:

• instalați rapid actualizări de software și patch-uri de securitate;
• utilizați autentificarea multi-factor pentru e-mail, acces la distanță și sisteme financiare;
• utilizați software de securitate actualizat pe laptopuri, telefoane și servere și un firewall configurat corespunzător;
• faceți copii de rezervă regulate și păstrați cel puțin o copie offline, astfel încât ransomware-ul să nu o poată accesa;
• restricționați drepturile de acces la ceea ce au nevoie efectiv angajații;
• monitorizați-vă rețeaua pentru activități neobișnuite.

Cum îi instruiți pe angajați?

Multe atacuri încep cu o acțiune umană: clic pe un link, deschiderea unui atașament sau efectuarea unei plăți pe baza unei instrucțiuni false. Instruirea îi ajută pe angajați să recunoască aceste situații.

De asemenea, conveniți asupra unor proceduri fixe. De exemplu: o schimbare a datelor bancare sau o cerere de plată urgentă se verifică întotdeauna telefonic folosind un număr cunoscut, niciodată folosind numărul din e-mail.

Ce ar trebui să verificați ca organizație care a fost atacată?

Primele 72 de ore decid atât daunele, cât și poziția dumneavoastră juridică. Verificați aceste aspecte în acea perioadă.

• Sistemele sunt izolate, dar jurnalele și dispozitivele nu sunt șterse înainte ca un specialist în criminalistică IT să fi securizat dovezile.
• Ați evaluat dacă sunt implicate date cu caracter personal și, dacă da, ați notificat Autoritatea olandeză pentru protecția datelor în termen de 72 de ore (articolul 33 din RGPD).
• Dacă se aplică Legea privind securitatea cibernetică, avertizarea timpurie a fost transmisă punctului de raportare NCSC în termen de 24 de ore.
• Asiguratorul dumneavoastră cibernetic a fost notificat în perioada prevăzută în poliță.
• A fost întocmit un raport de poliție, cu date, capturi de ecran, anteturi de e-mail, jurnale și valoarea pierderii.
• Contractele cu furnizorul dumneavoastră IT au fost verificate pentru obligații de securitate și limitări de răspundere.

Ce ar trebui să verifici dacă ești suspect?

Un suspect într-o anchetă privind infracțiunile cibernetice se confruntă adesea cu o percheziție a dispozitivelor și un interogatoriu cu preaviz scurt. Aceste verificări vă protejează poziția.

• Știi că nu ești obligat să răspunzi la întrebările poliției.
• Ați consultat un avocat înainte de primul interogatoriu la poliție.
• Știi ce prevedere ești suspectat că ai încălcat, de exemplu articolul 138ab sau 326 din Codul de procedură, deoarece acestea determină ce trebuie dovedit.
• Păstrați o listă a dispozitivelor și suporturilor de date care au fost confiscate.
• Nu ștergeți datele sau conturile după ce aflați despre investigație.

Ce putem face pentru dumneavoastră în cazul criminalității informatice și al criminalității cibernetice?

Echipa noastră de avocați specializați în drept penal asistă organizații și persoane care sunt victime ale unui incident cibernetic, precum și suspecți într-o investigație de infracțiuni cibernetice.

• Vă pregătim raportul de poliție, cu faptele și articolele relevante din Codul Penal.
• Evaluăm obligațiile dumneavoastră de notificare în temeiul GDPR și al Legii privind securitatea cibernetică și redactăm notificările.
• Vă depunem cererea în calitate de parte vătămată în procesul penal sau o cerere civilă în temeiul articolului 6:162 din Codul Civil.
• Evaluăm dacă banca, asigurătorul sau furnizorul dumneavoastră IT trebuie să acopere pierderea și trimitem cererea sau reclamația către Kifid.
• Asistăm suspecții în timpul interogatoriilor poliției și în instanță.

Rezumat

• Legislația olandeză face distincție între infracțiunile informatice, în care sistemul este ținta, și infracțiunile obișnuite comise online, cum ar fi frauda și uzurparea identității.
• Intruziunea simplă în computere se pedepsește cu maximum doi ani de închisoare, care poate ajunge la patru ani în cazul copierii datelor; frauda se pedepsește cu patru ani.
• După un incident: asigurați dovezile, raportați-le poliției și verificați obligația de notificare GDPR cu 72 de ore înainte și, dacă este cazul, termenele limită prevăzute de Legea privind securitatea cibernetică.
• Pierderile pot fi recuperate de la făptuitor, în unele cazuri de la bancă, prin asigurare sau de la un furnizor care nu și-a îndeplinit obligațiile.
• Prevenirea combină măsuri tehnice, instruire și un plan de răspuns la incidente testat.

Întrebări frecvente