Drepturile victimelor atacurilor cibernetice: obligații de notificare, despăgubiri și asigurare

De Tom Meevis, avocat la Law & More

Atacurile cibernetice precum ransomware, phishing, atacurile DDoS și intruziunea informatică afectează rareori doar organizația atacată. Printre victimele atacurilor cibernetice se numără și clienți, angajați, pacienți, furnizori și alți parteneri din lanțul de aprovizionare care pot suferi pierderi, iar poziția lor juridică diferă de la un grup la altul. Prin urmare, oricine dorește să stabilească, după un atac, ce obligații se aplică și ce creanțe există, este recomandat să determine mai întâi exact cine a fost afectat și ce daune au apărut.

Acest articol abordează pe rând cine se califică drept victimă, când trebuie notificată o încălcare a securității datelor, în ce condiții există dreptul la despăgubiri, care părți pot fi răspunzătoare, ce rol joacă legea penală, ce acoperă de obicei o poliță de asigurare cibernetică și ce măsuri ar trebui luate imediat după un atac.

Cine sunt victimele atacurilor cibernetice?

Într-un atac cibernetic se pot distinge trei grupuri.

• Organizația afectată în sine, care se confruntă cu întreruperi ale sistemului, pierderi de personal, costuri de recuperare, costul investigațiilor criminalistice și prejudicii reputaționale.
• Persoane fizice ale căror date cu caracter personal au fost expuse, cum ar fi clienții, angajații și pacienții. Acestea pot suferi pierderi financiare, dar și daune morale prin pierderea controlului asupra datelor lor, incertitudine sau teama de fraudă de identitate.
• Terțe părți afectate printr-o relație contractuală sau în cadrul lanțului de aprovizionare, de exemplu, pentru că depind de un furnizor ale cărui sisteme au cedat.

Această clasificare este relevantă din punct de vedere juridic. Temeiul oricărei acțiuni în justiție și partea împotriva căreia aceasta poate fi intentată depind de poziția victimei. O organizație afectată își va trage, în general, furnizorul IT la răspundere în temeiul contractului, în timp ce o persoană vizată se poate baza direct pe temeiul independent de răspundere prevăzut de RGPD.

Când trebuie notificată o încălcare a securității datelor?

În cazul în care datele cu caracter personal sunt implicate într-un atac cibernetic, trebuie evaluat dacă există o încălcare a securității datelor cu caracter personal și dacă notificarea este obligatorie. Articolul 33 din RGPD prevede că o încălcare trebuie notificată autorității de supraveghere fără întârzieri nejustificate și, acolo unde este posibil, în termen de șaptezeci și două de ore, cu excepția cazului în care este puțin probabil ca încălcarea să genereze un risc pentru drepturile și libertățile persoanelor fizice.

În plus, articolul 34 din RGPD poate impune organizației să informeze persoanele vizate. Această obligație apare atunci când încălcarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile acestora. Comunicarea poate fi omisă atunci când au fost implementate măsuri tehnice adecvate, cum ar fi criptarea, atunci când măsurile ulterioare garantează că riscul ridicat nu se va mai materializa sau atunci când comunicarea individuală ar implica un efort disproporționat; în acest ultim caz, o comunicare publică este suficientă.

Pentru persoana vizată, această comunicare este mai mult decât o formalitate. Îi permite să ia propriile măsuri, de exemplu prin schimbarea parolelor sau prin monitorizarea tranzacțiilor suspecte și, în practică, este adesea punctul de plecare al oricărei cereri de despăgubire.

Prin urmare, o organizație trebuie să stabilească nu doar că a avut loc un atac, ci și ce date au fost afectate, dacă datele au fost într-adevăr exfiltrate și ce riscuri decurg din aceasta. O investigație criminalistică independentă este adesea indispensabilă în acest scop.

Acest lucru este valabil cu atât mai mult în cazul în care atacul are loc la adresa unei persoane împuternicite de operator, mai degrabă decât la adresa organizației însăși. În procedura sumară dintre Blauw Research și Nebu (Tribunalul Districtual din Rotterdam, 6 aprilie 2023, ECLI:NL:RBROT:2023:2931), judecătorul de măsuri provizorii a hotărât că, în temeiul acordului de prelucrare a datelor încheiat între părți, operatorul avea dreptul la mai multe informații despre atac, consecințele acestuia și măsurile luate decât fuseseră furnizate inițial. De asemenea, s-a dispus ca persoana împuternicită de operator să efectueze o investigație criminalistică independentă și să raporteze periodic. Hotărârea arată că un acord de prelucrare a datelor bine redactat este, în practică, cel mai important instrument pentru obținerea de informații la timp după un incident, tocmai pentru că operatorul are nevoie de aceste informații pentru a-și îndeplini propriile obligații de notificare.

Când apare dreptul la despăgubire?

Persoanele vizate pot solicita despăgubiri de la operator sau de la persoana împuternicită de operator în temeiul articolului 82 din RGPD. Cu toate acestea, un atac cibernetic nu dă automat naștere unei cereri de despăgubire. Acesta trebuie să fie justificat:

• că GDPR-ul a fost încălcat;
• acel prejudiciu a fost efectiv suferit; și
• că există o legătură de cauzalitate între încălcarea respectivă și prejudiciul respectiv.

Daunele materiale pot consta în pierderi financiare, costuri de recuperare sau pierderi cauzate de frauda de identitate. În ceea ce privește daunele nemateriale, Curtea de Justiție a Uniunii Europene a hotărât în ​​cauza Österreichische Post (CJUE 4 mai 2023, C-300/21) că nu există un prag minim de gravitate, dar că o încălcare a RGPD nu este suficientă pentru acordarea de despăgubiri.

Deosebit de relevantă pentru încălcările de date în urma unui atac cibernetic este cauza Natsionalna agentsia za prihodite (CJUE 14 decembrie 2023, C-340/21). În această hotărâre, Curtea a hotărât că teama de o posibilă utilizare abuzivă în viitor a datelor cu caracter personal scurse poate constitui în sine un prejudiciu moral. Persoana vizată trebuie, însă, să își justifice în mod concret teama și consecințele acesteia; simpla indicare a faptului că datele au fost scurse nu este suficientă. În aceeași hotărâre, Curtea a confirmat că revine operatorului sarcina de a dovedi că măsurile de securitate luate au fost adecvate și că un atac din partea unui terț nu exonerează în sine operatorul de răspundere.

Răspunderea în temeiul RGPD există alături de temeiurile de drept civil privind încălcarea contractului și răspunderea delictuală. În temeiul articolului 6:162(1) din Codul Civil olandez, o parte care comite un act ilegal atribuibil trebuie să despăgubească prejudiciul cauzat. Se aplică cerința de relativitate a articolului 6:163: norma încălcată trebuie să servească la protejarea împotriva tipului de prejudiciu pe care l-a suferit partea vătămată.

Este important de menționat că articolul 82 din RGPD există alături de aceste temeiuri. Prin urmare, o persoană vizată nu este obligată să își întemeieze o acțiune exclusiv pe încălcarea contractului sau pe răspunderea civilă delictuală, ci se poate baza direct pe temeiul independent de răspundere prevăzut de RGPD. Pentru organizația afectată, această combinație de temeiuri înseamnă că mai multe părți pot introduce acțiuni în același timp după un atac.

Cine poate fi răspunzător?

Organizația afectată poate fi răspunzătoare în cazul în care nu își îndeplinește obligațiile contractuale sau a luat măsuri de securitate insuficiente. Un furnizor de servicii IT sau o persoană împuternicită de operator poate fi, de asemenea, trasă la răspundere. Ceea ce se poate aștepta de la acel furnizor de servicii este determinat în primul rând de contract.

În cadrul unei relații de prelucrare, acordul de prelucrare a datelor joacă un rol central. Articolul 28 din RGPD impune operatorului și persoanei împuternicite de operator să încheie un astfel de acord, care să reglementeze, printre altele, măsurile de securitate și gestionarea încălcărilor de date. În cazul în care atacul rezultă dintr-o securitate inadecvată la nivelul persoanei împuternicite de operator, operatorul poate trage la răspundere persoana împuternicită de operator în temeiul acordului respectiv pentru pierderile rezultate.

Acest lucru reiese clar din cazul privind atacul cibernetic asupra municipalității Hof van Twente (Tribunalul Districtual Overijssel, 10 mai 2023, ECLI:NL:RBOVE:2023:1731). Părțile conveniseră asupra monitorizării funcționale, nu asupra monitorizării securității. Instanța a hotărât că obligația de diligență a unui administrator IT nu se extinde atât de mult încât monitorizarea securității să facă parte tacită dintr-o misiune de monitorizare funcțională și a respins cererea municipalității. De asemenea, a evaluat faptul că municipalitatea însăși a luat decizii care au crescut riscul, inclusiv politica sa privind parolele și deschiderea unui port RDP.

Imaginea în oglindă este cazul O'Cliance (Tribunalul Districtual din Amsterdam, 14 noiembrie 2018, ECLI:NL:RBAMS:2018:10124). Acolo, furnizorul instalase o infrastructură IT completă și preluase gestionarea acesteia. În urma unui atac ransomware în care copiile de rezervă au fost, de asemenea, criptate, instanța a decis că furnizarea unui astfel de pachet complet implica o obligație de diligență cuprinzătoare și că au fost omise măsuri simple. Cu toate acestea, răspunderea nu a fost acordată integral: din cauza culpei contributive a clientului, două treimi din prejudiciu au rămas în contul furnizorului.

Cât de grea poate fi sarcina probei privind securitatea adecvată este ilustrat de cazul contului de e-mail piratat al unui dealer auto. În hotărârea interimară din 5 noiembrie 2024 (Curtea de Apel din Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812), dealerului i s-a oferit posibilitatea de a demonstra că acesta a fost securizat în mod corespunzător în sensul GDPR, după ce un hacker a folosit contul respectiv pentru a trimite o instrucțiune de plată falsă unui cumpărător. În hotărârea ulterioară din 22 iulie 2025 (ECLI:NL:GHARL:2025:4556), instanța a constatat că această dovadă nu a fost furnizată, după care părțile urmau să abordeze vina cumpărătorului. Prin urmare, ambele hotărâri se referă la aceeași procedură.

Firul comun este că contează acordurile contractuale, riscurile prelucrării, măsurile luate efectiv, avertismentele date de ambele părți și propriul comportament al părții vătămate. Pe lângă răspunderea civilă, Autoritatea olandeză pentru protecția datelor poate impune amenzi administrative de până la 20 de milioane EUR sau 4% din cifra de afaceri anuală mondială, oricare dintre acestea este mai mare. Aceste amenzi sunt independente de faptul dacă persoanele vizate individuale au suferit prejudicii.

Calea dreptului penal

Un atac cibernetic poate constitui, de asemenea, o infracțiune, cum ar fi intruziunea informatică, inaccesibilitatea datelor sau însușirea de date nepublice. Articolul 138ab(1) din Codul penal olandez incriminează obținerea intenționată și ilegală a accesului la un sistem automatizat.

Victimele pot raporta infracțiunea la poliție, care are echipe specializate în criminalitate cibernetică. În cazul în care un suspect este urmărit penal, victima se poate alătura procedurii penale în calitate de parte vătămată și poate solicita despăgubiri acolo. Această cale evită procedurile civile separate, dar rezultatul depinde de detectare, urmărire penală și probe, care, în cazul infractorilor care operează la nivel internațional, adesea nu dau niciun rezultat. Pentru organizații, raportarea este adesea și o necesitate practică, deoarece asigurătorii și partenerii lanțului de aprovizionare o solicită.

Ce acoperă asigurarea cibernetică?

O poliță de asigurare cibernetică poate acoperi, printre altele:

• răspunsul la incidente și investigația criminalistică;
• restaurarea sistemelor și a datelor;
• pierderi cauzate de întreruperea activității și pierderi de cifră de afaceri;
• comunicarea de criză;
• răspunderea față de terți;
• cheltuieli de judecată; și
• în unele cazuri, amenzi, plăți despăgubitoare sau răscumpărare, în măsura în care este asigurabil conform legislației aplicabile.

Acoperirea exactă depinde de poliță. Acordați atenție excluderilor, condițiilor de securitate, perioadelor de notificare, franșizelor și cerințelor privind angajarea experților. Articolul 7:957(1) din Codul Civil olandez obligă, de asemenea, o parte asigurată să ia măsuri rezonabile pentru a preveni sau limita pierderile. În cazul în care această obligație de salvare nu este respectată, asigurătorul poate reduce despăgubirea.

Prin urmare, asigurătorul cibernetic ar trebui informat cât mai repede posibil. Angajarea unor experți externi sau plata unei răscumpărări fără consimțământul asigurătorului pot afecta acoperirea.

Ce ar trebui să faci imediat după un atac cibernetic?

• Înregistrați cu atenție incidentul și toate acțiunile relevante.
• Izolați sistemele afectate fără a pierde dovezi.
• Angajați un expert criminalistic.
• Evaluați dacă există o încălcare a securității datelor care trebuie notificată.
• Evaluați dacă persoanele vizate trebuie informate.
• Raportați infracțiunea la poliție.
• Notificați incidentul asigurătorului dumneavoastră cibernetic.
• Păstrați jurnalele, copiile de rezervă, e-mailurile și alte date relevante.
• Cartografiați daunele și părțile potențial răspunzătoare.
• Informați cu atenție și în timp util clienții, angajații și partenerii din lanțul de aprovizionare.

Prin urmare, un atac cibernetic nu este doar un incident tehnic. Este, de asemenea, o chestiune de protecție a datelor, drept civil, drept penal și drept al asigurărilor. Un răspuns rapid și bine documentat nu numai că limitează daunele, dar este decisiv pentru notificări, acoperirea asigurării și poziția dumneavoastră probatorie în orice procedură.

În încheiere

Drepturile și obligațiile care urmează unui atac cibernetic sunt răspândite în mai multe domenii de drept, iar rezultatul unui caz depinde în mare măsură de faptele specifice, de conținutul contractului și de calitatea înregistrărilor. Jurisprudența discutată arată că atât furnizorul, cât și clientul sunt judecați în funcție de propria conduită și că termenele limită, cum ar fi perioada de notificare de șaptezeci și două de ore, lasă puțin loc pentru întârzieri.

Law & More asistă organizațiile și persoanele vizate în gestionarea juridică a incidentelor cibernetice: de la evaluarea obligațiilor de notificare și revizuirea acordurilor de prelucrare a datelor până la stabilirea răspunderii, problemele de asigurare și recuperarea pierderilor. Vă confruntați cu un atac cibernetic sau o încălcare a datelor sau doriți ca contractele dumneavoastră să fie revizuite în prealabil în raport cu aceste riscuri de către serviciile noastre. Legea IT echipă? Vă rugăm să nu ezitați să contactați-ne Law & More pentru o discuție fără obligații despre situația dumneavoastră.

Întrebări frecvente

Mai jos răspundem la întrebările care ne sunt adresate cel mai des pe această temă.

Cine sunt victimele unui atac cibernetic?

Există trei niveluri. În primul rând, organizația afectată în sine, care suportă timpul de nefuncționare a sistemului, pierderile de cifră de afaceri, costurile de recuperare, costul investigațiilor criminalistice și prejudiciile aduse reputației. În al doilea rând, persoanele vizate, persoanele fizice ale căror date cu caracter personal au fost expuse, cum ar fi clienții, angajații și pacienții. În al treilea rând, terții care suferă pierderi printr-o relație contractuală sau din lanțul de aprovizionare, de exemplu pentru că depind de un furnizor care a intrat în inactivitate. Această clasificare determină pe ce bază o parte poate intenta o acțiune și împotriva cui.

În ce perioadă trebuie să notific o încălcare a securității datelor?

Articolul 33 din RGPD prevede notificarea autorității de supraveghere fără întârzieri nejustificate și, acolo unde este posibil, în termen de șaptezeci și două de ore de la luarea la cunoștință a încălcării. Obligația nu se aplică în cazul în care este puțin probabil ca încălcarea să genereze un risc pentru drepturile și libertățile persoanelor fizice. Această evaluare necesită o analiză a naturii încălcării, a categoriilor de date afectate și a posibilelor consecințe.

Când trebuie să informez persoanele vizate?

În temeiul articolului 34 din RGPD, în cazul în care încălcarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor vizate, comunicarea poate fi omisă în cazul în care au fost implementate măsuri tehnice adecvate, cum ar fi criptarea, în cazul în care măsurile ulterioare garantează că riscul ridicat nu se va mai materializa sau în cazul în care comunicarea individuală ar implica un efort disproporționat. În acest ultim caz, este suficientă o comunicare publică.

Pot obține informații de la un furnizor care a fost atacat de hackeri?

Da, acolo unde un acord de prelucrare a datelor prevede acest lucru. În procedura sumară dintre Blauw Research și Nebu (Tribunalul Districtual din Rotterdam, 6 aprilie 2023, ECLI:NL:RBROT:2023:2931), judecătorul de măsuri provizorii a hotărât că, în temeiul acordului de prelucrare a datelor, operatorul avea dreptul la mai multe informații despre atac, consecințele acestuia și măsurile luate decât cele care i-au fost furnizate și a dispus ca persoana împuternicită de operator să efectueze o investigație criminalistică independentă și să raporteze periodic. Aceste informații sunt necesare pentru îndeplinirea propriilor obligații de notificare.

În calitate de persoană vizată, am dreptul automat la despăgubiri în urma unei încălcări de date?

Nu. Articolul 82 din RGPD oferă o bază de sine stătătoare, dar trebuie să demonstrați că RGPD a fost încălcat, că ați suferit efectiv un prejudiciu și că există o legătură de cauzalitate între încălcare și prejudiciul respectiv. Sarcina probei revine reclamantului.

Teama de fraudă de identitate se califică drept daună morală?

În cauza Natsionalna agentsia za prihodite (CJUE 14 decembrie 2023, C-340/21), Curtea de Justiție a statuat că teama de o posibilă utilizare abuzivă în viitor a datelor cu caracter personal divulgate poate constitui în sine un prejudiciu moral. Persoana vizată trebuie, însă, să își justifice în mod concret această teamă și consecințele acesteia. Österreichische Post (CJUE 4 mai 2023, C-300/21) adaugă că nu există un prag minim de gravitate, dar că o încălcare a RGPD nu este suficientă în sine.

Cine trebuie să demonstreze că măsurile de securitate au fost adecvate?

Operatorul. În cauza C-340/21, Curtea de Justiție a confirmat că revine operatorului sarcina de a demonstra că măsurile de securitate luate au fost adecvate și că un atac din partea unei terțe părți nu îl exonerează în sine de răspundere. În Țările de Jos, acest lucru s-a întâmplat în cazul contului de e-mail piratat al unui dealer auto, unde Curtea de Apel din Arnhem-Leeuwarden a oferit mai întâi dealerului posibilitatea de a furniza această dovadă (ECLI:NL:GHARL:2024:6812) și apoi a decis că aceasta nu fusese furnizată (ECLI:NL:GHARL:2025:4556).

Este furnizorul meu IT responsabil dacă nu a reușit să detecteze un atac?

Depinde de ce s-a convenit. În cazul privind atacul cibernetic asupra municipalității Hof van Twente (Tribunalul Districtual Overijssel, 10 mai 2023, ECLI:NL:RBOVE:2023:1731), părțile conveniseră asupra monitorizării funcționale, nu asupra monitorizării securității. Instanța a hotărât că obligația de diligență a unui administrator IT nu se extinde atât de mult încât monitorizarea securității să facă parte tacită din aceasta și a respins acțiunea. În cazul în care se furnizează un pachet complet mai amplu, obligația de diligență poate fi, în schimb, de anvergură largă, ca în cazul O'Cliance (Tribunalul Districtual Amsterdam, 14 noiembrie 2018, ECLI:NL:RBAMS:2018:10124), unde furnizorul a fost considerat răspunzător pentru două treimi din pierdere.

Poate propria mea conduită să reducă despăgubirea?

Da. Vina contributivă joacă un rol recurent în aceste cazuri. În cazul O'Cliance, o treime din pierdere a rămas pentru contul clientului, iar în cazul contului de e-mail spart, părțile au fost obligate să abordeze vina contributivă a cumpărătorului. Prin urmare, propria politică de parole, porturile lăsate deschise sau avertismentele ignorate pot influența direct rezultatul.

Ce amenzi poate impune autoritatea pentru protecția datelor?

Pentru încălcări ale RGPD, autoritatea de supraveghere poate impune amenzi administrative de până la 20 de milioane EUR sau 4% din cifra de afaceri anuală mondială, oricare dintre acestea este mai mare. Aceste amenzi sunt independente de faptul dacă persoanele vizate individuale au suferit efectiv daune și, prin urmare, reprezintă un risc separat, alături de răspunderea civilă.

Pot să raportez infracțiunea și să-mi revendic pierderile prin intermediul procedurii penale?

Da. Articolul 138ab(1) din Codul Penal olandez incriminează accesul intenționat și ilegal la un sistem automatizat. Puteți raporta infracțiunea la poliție și, în cazul în care un suspect este urmărit penal, vă puteți alătura procedurii penale în calitate de parte vătămată pentru a solicita despăgubiri. Rezultatul depinde de detectare, urmărire penală și probe, care, în cazul infractorilor care operează la nivel internațional, adesea nu dau niciun rezultat.

Ce acoperă de obicei asigurarea cibernetică?

De obicei, răspunsul la incidente și investigația criminalistică, restaurarea sistemelor și a datelor, pierderile în caz de întrerupere a activității și pierderea cifrei de afaceri, comunicarea în caz de criză, răspunderea față de terți și cheltuielile de judecată și, în unele cazuri, amenzi, plăți de despăgubire sau răscumpărare, în măsura în care este asigurabil conform legislației aplicabile. Fiți atenți la excluderi, condiții de securitate, perioade de notificare și franșize și revizuiți polița înainte de producerea unui incident.

Pot pierde adăpostul dacă acționez incorect după un atac?

Acest lucru este posibil. Articolul 7:957(1) din Codul Civil olandez obligă o parte asigurată să ia măsuri rezonabile pentru a preveni sau limita pierderile; în cazul în care această obligație de salvare nu este respectată, asigurătorul poate reduce despăgubirea. Angajarea unor experți externi sau plata unei răscumpărări fără consimțământul asigurătorului pot, de asemenea, afecta acoperirea. Informați asigurătorul cât mai curând posibil.

Ce pași ar trebui să iau imediat după un atac cibernetic?

Înregistrați incidentul și toate acțiunile întreprinse, izolați sistemele afectate fără a pierde dovezi și angajați un expert criminalistic. Apoi, evaluați dacă există o încălcare a securității datelor care trebuie notificată și dacă persoanele vizate trebuie informate. Raportați infracțiunea, notificați asigurătorul cibernetic, păstrați jurnalele, copiile de rezervă și corespondența, cartografiați daunele și părțile potențial responsabile și informați cu atenție și în timp util clienții, angajații și partenerii din lanțul de aprovizionare.