Dwa viktim atak sibernatik yo: devwa notifikasyon, konpansasyon ak asirans

Pa Tom Meevis, avoka nan Law & More

Atak sou entènèt tankou ransomware, phishing, atak DDoS ak entrizyon òdinatè raman afekte sèlman òganizasyon ki anba atak la. Viktim atak sou entènèt yo gen ladan yo tou kliyan, anplwaye, pasyan, founisè ak lòt patnè nan chèn ekipman pou ki ka sibi pèt, epi pozisyon legal yo diferan de yon gwoup a yon lòt. Nenpòt moun k ap chèche etabli, apre yon atak, ki obligasyon ki aplike ak ki reklamasyon ki egziste, li byen konseye pou detèmine an premye egzakteman ki moun ki te afekte ak ki domaj ki te rive.

Atik sa a adrese youn apre lòt ki moun ki kalifye kòm viktim, kilè yo dwe notifye yon vyolasyon done, nan ki kondisyon yo gen dwa pou konpansasyon, ki pati ki ka responsab, ki wòl lalwa kriminèl jwe, sa yon kontra asirans sibernetik anjeneral kouvri, ak ki etap yo ta dwe pran imedyatman apre yon atak.

Ki moun ki viktim atak sibernatik yo?

Nou ka distenge twa gwoup nan yon sibèatak.

• Òganizasyon ki afekte a li menm, ki fè fas ak pann sistèm, pèt woulman, depans pou rekiperasyon, pri envestigasyon forensik ak domaj repitasyon.
• Moun natirèl ki gen done pèsonèl yo te ekspoze, tankou kliyan, anplwaye ak pasyan. Yo ka sibi pèt finansye, men tou domaj ki pa materyèl akòz pèt kontwòl sou done yo, ensètitid oswa laperèz pou fwod idantite.
• Twazyèm pati ki afekte atravè yon relasyon kontra oswa yon relasyon chèn ekipman pou, pa egzanp paske yo depann de yon founisè ki gen sistèm yo pa fonksyone.

Klasifikasyon sa a legalman enpòtan. Baz nenpòt reklamasyon, ak pati kont ki moun yo ka pote li a, depann de pozisyon viktim nan. Yon òganizasyon ki afekte anjeneral ap rann founisè IT li responsab anba kontra a, alòske yon moun ki konsène ka konte dirèkteman sou baz endepandan pou responsablite ke GDPR a bay la.

Kilè yo dwe notifye yon vyolasyon done?

Lè done pèsonèl enplike nan yon atak sou entènèt, yo dwe evalye si gen yon vyolasyon done pèsonèl epi si notifikasyon an obligatwa. Atik 33 GDPR a egzije pou yo notifye otorite sipèvizyon an san pèdi tan epi, lè sa posib, nan swasanndouz èdtan, sof si vyolasyon an gen anpil chans pou l pa poze yon risk pou dwa ak libète moun fizik yo.

Anplis de sa, Atik 34 GDPR a ka egzije òganizasyon an pou enfòme moun ki konsène yo tèt yo. Obligasyon sa a rive lè vyolasyon an gen anpil chans pou lakòz yon gwo risk pou dwa ak libète yo. Yo ka pa kominike lè te gen mezi teknik apwopriye tankou chifreman an plas, lè mezi ki vin apre yo asire ke gwo risk la p ap konkretize ankò, oswa lè kominikasyon endividyèl ta mande yon efò ki pa pwopòsyonèl; nan dènye ka sa a, yon kominikasyon piblik sifi.

Pou moun ki konsène a, kominikasyon sa a plis pase yon fòmalite. Li pèmèt yo pran pwòp mezi pa yo, pa egzanp, chanje modpas oswa siveye tranzaksyon sispèk, epi an pratik, souvan se pwen depa nenpòt reklamasyon pou konpansasyon.

Se poutèt sa, yon òganizasyon dwe etabli non sèlman ke yon atak te fèt, men tou ki done ki te afekte, si done yo te vrèman soti nan filtè, ak ki risk ki vini apre sa. Yon ankèt forensik endepandan souvan endispansab pou objektif sa a.

Sa a aplike plis toujou lè atak la rive nan yon procesè olye ke nan òganizasyon an li menm. Nan pwosedi rezime ant Blauw Research ak Nebu (Tribinal Distri Rotterdam, 6 avril 2023, ECLI:NL:RBROT:2023:2931), jij soulajman pwovizwa a te deside ke, anba akò tretman done ki te konkli ant pati yo, kontwolè a te gen dwa jwenn plis enfòmasyon sou atak la, konsekans li yo ak mezi ki te pran pase sa ki te bay okòmansman. Yo te bay procesè a lòd tou pou l fè yon ankèt forensik endepandan epi pou l rapòte detanzantan. Jijman an montre ke yon akò tretman done ki byen ekri se an pratik enstriman ki pi enpòtan pou jwenn enfòmasyon alè apre yon ensidan, jisteman paske kontwolè a bezwen enfòmasyon sa a pou l egzekite pwòp devwa notifikasyon li yo.

Kilè yon dwa pou konpansasyon rive?

Moun ki konsène yo ka reklame konpansasyon nan men kontwolè a oswa moun ki trete tretman an dapre Atik 82 GDPR la. Sepandan, yon atak sou entènèt pa otomatikman bay plas pou yon reklamasyon. Li dwe jistifye:

• ke yo vyole GDPR la;
• domaj sa a te aktyèlman sibi; epi
• ke gen yon lyen kozatif ant vyolasyon sa a ak domaj sa a.

Domaj materyèl ka gen ladan pèt finansye, depans rekiperasyon oswa pèt ki koze pa fwod idantite. Kanta pou domaj ki pa materyèl, Tribinal Jistis Inyon Ewopeyen an te deside nan Österreichische Post (CJUE 4 me 2023, C-300/21) ke pa gen okenn papòt gravite minimòm, men ke yon vyolasyon GDPR la poukont li pa sifi pou yon akò.

Ka Natsionalna agentsia za prihodite (CJUE 14 desanm 2023, C-340/21) la patikilyèman enpòtan pou vyolasyon done apre yon sibèatak. La, Tribinal la te deside ke laperèz pou yon posib move itilizasyon done pèsonèl ki te koule nan lavni kapab, an li menm, konstitye yon domaj ki pa materyèl. Sepandan, moun ki konsène a dwe pwouve laperèz sa a ak konsekans li yo yon fason konkrè; jis montre lefèt ke done yo te koule pa sifi. Nan menm jijman an, Tribinal la te konfime ke se kontwolè a ki pou pwouve ke mezi sekirite ki te pran yo te apwopriye, epi ke yon atak pa yon twazyèm pati pa an li menm egzante kontwolè a de responsablite.

Responsabilite anba GDPR a egziste ansanm ak baz lalwa sivil pou vyolasyon kontra ak deli. Dapre Atik 6:162(1) nan Kòd Sivil Olandè a, yon pati ki komèt yon zak ilegal ki ka atribiye dwe konpanse domaj ki te koze a. Egzijans relativite Atik 6:163 la aplike: nòm ki vyole a dwe sèvi pou pwoteje kont kalite domaj pati ki blese a te sibi a.

Sa ki enpòtan, Atik 82 GDPR a egziste ansanm ak baz sa yo. Se poutèt sa, yon moun ki konsène pa oblije fonde yon reklamasyon sèlman sou vyolasyon kontra oswa deli, men li ka konte dirèkteman sou baz endepandan pou responsablite ke GDPR a prevwa. Pou òganizasyon ki afekte a, konbinezon baz sa yo vle di ke plizyè pati ka pote reklamasyon an menm tan apre yon atak.

Ki moun ki ka responsab?

Òganizasyon ki afekte a ka responsab si li pa respekte obligasyon kontra li yo oswa si li pa pran mezi sekirite ki pa sifi. Yon founisè sèvis IT oswa yon procesè kapab responsab tou. Sa yo ka atann de founisè sèvis sa a detèmine an premye e sitou pa kontra a.

Nan yon relasyon tretman, akò tretman done yo jwe yon wòl santral. Atik 28 GDPR a egzije kontwolè a ak moun k ap trete a pou yo konkli yon akò konsa, ki gouvène pami lòt bagay mezi sekirite yo ak jesyon vyolasyon done yo. Lè atak la soti nan yon sekirite ki pa adekwa nan moun k ap trete a, kontwolè a ka fè moun k ap trete a responsab anba akò sa a pou pèt ki rive a.

Sa parèt byen klè nan ka konsènan sibèatak sou minisipalite Hof van Twente a (Tribinal Distri Overijssel, 10 me 2023, ECLI:NL:RBOVE:2023:1731). Pati yo te dakò sou siveyans fonksyonèl, pa siveyans sekirite. Tribinal la te deside ke devwa yon administratè IT pou l gen swen pa rive nan pwen kote siveyans sekirite a fòme yon pati enplisit nan yon misyon pou siveyans fonksyonèl, epi li te rejte reklamasyon minisipalite a. Li te peze tou ke minisipalite a te pran desizyon ki te ogmante risk la, tankou politik modpas li ak ouvèti yon pò RDP.

Imaj glas la se ka O'Clians lan (Tribinal Distri a) Amsterdam, 14 novanm 2018, ECLI:NL:RBAMS:2018:10124). La, founisè a te enstale yon enfrastrikti IT konplè epi li te pran jesyon li. Apre yon atak ransomware kote yo te chiffres tou backup yo, tribinal la te deside ke founiti yon pake konplè konsa te gen yon devwa dilijans ki te rive byen lwen epi ke mezi senp yo te omis. Sepandan, yo pa t akòde responsablite a an antye: akòz fot kliyan an, de tyè nan domaj la te rete pou kont founisè a.

Ka kont imel yon konsesyonè machin ki te pirate a montre jan chay prèv la ka peze lou. Nan jijman pwovizwa 5 novanm 2024 la (Tribinal Apèl Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812), konsesyonè a te gen opòtinite pou pwouve ke kont imel li a te byen pwoteje nan sans GDPR a, apre yon pirata enfòmatik te itilize kont sa a pou voye yon fo enstriksyon peman bay yon achtè. Nan jijman swivi 22 jiyè 2025 la (ECLI:NL:GHARL:2025:4556), tribinal la te jwenn ke prèv sa a pa t delivre, apre sa pati yo te toujou oblije adrese fot kontribitè achtè a. Se poutèt sa, tou de jijman yo konsène menm pwosedi a.

Fil komen an se ke aranjman kontra yo, risk ki genyen nan tretman an, mezi ki te pran aktyèlman, avètisman yo bay sou tou de bò yo ak pwòp konduit pati ki blese a, tout bagay sa yo enpòtan. Ansanm ak responsablite sivil la, Otorite Pwoteksyon Done Olandè a ka enpoze amann administratif ki rive jiska 20 milyon ero oswa 4 pousan nan woulman anyèl mondyal la, kèlkeswa sa ki pi wo a. Amann sa yo endepandan de si moun ki konsène yo te sibi domaj.

Wout dwa kriminèl la

Yon atak sou entènèt kapab tou konstitye yon ofans kriminèl, tankou entrizyon òdinatè, rann done inaksesib oswa detounen done ki pa piblik. Atik 138ab(1) nan Kòd Penal Olandè a fè li yon ofans pou jwenn aksè entansyonèlman ak ilegalman nan yon sistèm otomatik.

Viktim yo ka rapòte ofans lan bay lapolis, ki gen ekip espesyalize nan sibèkrim. Lè yo pouswiv yon sispèk, viktim nan ka rantre nan pwosedi kriminèl la kòm yon pati blese epi mande konpansasyon la. Wout sa a evite pwosedi sivil apa, men rezilta a depann de deteksyon, pouswit jidisyè ak prèv, ki ak delenkan k ap opere entènasyonalman souvan pa bay okenn rezilta. Pou òganizasyon yo, rapòte souvan se yon nesesite pratik tou, paske konpayi asirans yo ak patnè chèn ekipman yo mande li.

Ki sa cyber asirans kouvri?

Yon kontra asirans sibernetik ka bay pwoteksyon pou, pami lòt bagay:

• repons a ensidan ak ankèt forensik;
• restorasyon sistèm ak done;
• pèt akòz entèripsyon biznis ak pèt woulman;
• kominikasyon kriz;
• responsablite anvè twazyèm pati yo;
• depans legal; ak
• nan kèk ka, amann, peman règleman oswa ranson, nan limit ki asirab anba lalwa ki aplikab la.

Pwoteksyon egzak la depann de kontra asirans lan. Fè atansyon ak esklizyon yo, kondisyon sekirite yo, peryòd notifikasyon yo, franchiz yo ak egzijans pou angaje ekspè yo. Atik 7:957(1) nan Kòd Sivil Olandè a egzije tou yon pati asire pou pran mezi rezonab pou anpeche oswa limite pèt la. Lè devwa sovtaj sa a pa respekte, konpayi asirans lan ka diminye peman an.

Se poutèt sa, yo ta dwe enfòme konpayi asirans sibernetik la pi vit posib. Angaje ekspè ekstèn oswa peye yon ranson san konsantman konpayi asirans lan ka afekte pwoteksyon an.

Kisa ou ta dwe fè imedyatman apre yon atak sibernatik?

• Anrejistre ensidan an ak tout aksyon ki gen rapò ak li yo ak anpil atansyon.
• Izole sistèm ki afekte yo san pèdi prèv.
• Angaje yon ekspè forensik.
• Evalye si gen yon vyolasyon done ki dwe notifye.
• Evalye si moun ki konsène yo dwe enfòme.
• Rapòte ofans lan bay lapolis.
• Notifye ensidan an bay konpayi asirans sibernetik ou a.
• Prezève jounal, sovgad, imèl ak lòt done ki enpòtan.
• Kat domaj yo ak pati ki potansyèlman responsab yo.
• Enfòme kliyan yo, anplwaye yo ak patnè nan chèn ekipman pou yo ak anpil atansyon epi nan bon moman.

Se poutèt sa, yon atak sou entènèt se pa sèlman yon ensidan teknik. Li se tou yon zafè pwoteksyon done, dwa sivil, dwa kriminèl ak dwa asirans. Yon repons rapid ak byen dokimante pa sèlman limite domaj la, men li desizif pou notifikasyon yo, pwoteksyon asirans lan ak pozisyon prèv ou nan nenpòt pwosedi.

Nan fèmti

Dwa ak obligasyon apre yon atak sibernatik gaye nan plizyè domèn lalwa, epi rezilta yon ka depann anpil de reyalite espesifik yo, kontni kontra a ak kalite dosye yo. Jisprudans ki diskite a montre ke yo jije ni founisè ni kliyan sou pwòp konduit yo, epi ke dat limit tankou peryòd notifikasyon swasanndis-de èdtan an pa kite anpil plas pou reta.

Law & More ede òganizasyon yo ak moun ki konsène yo ak jesyon legal ensidan sibernetik yo: soti nan evalyasyon devwa notifikasyon ak revizyon akò tretman done pou rive nan etabli responsablite, pwoblèm asirans ak rekiperasyon pèt. Èske w ap fè fas ak yon atak sibernetik oswa yon vyolasyon done, oswa èske ou ta renmen kontra ou yo revize kont risk sa yo davans pa... Lwa IT ekip? Tanpri, pa ezite kontakte Law & More pou yon diskisyon san okenn obligasyon sou sitiyasyon w lan.

Kesyon yo poze souvan

Anba a, nou reponn kesyon yo poze nou pi souvan sou sijè sa a.

Ki moun ki viktim yon atak sibernatik?

Gen twa kouch. Premyèman, òganizasyon ki afekte a li menm, ki sipòte pann sistèm nan, pèt woulman, depans rekiperasyon, pri envestigasyon forensik ak domaj repitasyon. Dezyèmman, moun ki konsène yo, moun fizik ki gen done pèsonèl yo te ekspoze, tankou kliyan, anplwaye ak pasyan. Twazyèmman, twazyèm pati ki sibi pèt atravè yon relasyon kontra oswa chèn ekipman pou, pa egzanp paske yo depann de yon founisè ki te fè fayit. Klasifikasyon sa a detèmine sou ki baz yon pati ka pote yon reklamasyon, e kont ki moun.

Nan ki peryòd mwen dwe notifye yon vyolasyon done?

Atik 33 GDPR a egzije pou otorite sipèvizyon an resevwa yon notifikasyon san pèdi tan epi, lè sa posib, nan swasanndouz èdtan apre yo fin pran konesans de vyolasyon an. Obligasyon an pa aplike lè vyolasyon an pa gen anpil chans pou l poze yon risk pou dwa ak libète moun fizik yo. Evalyasyon sa a mande yon analiz sou nati vyolasyon an, kategori done ki afekte yo ak konsekans posib yo.

Kilè mwen dwe enfòme moun ki konsène yo tèt yo?

Anba Atik 34 GDPR a, lè vyolasyon an gen chans pou l lakòz yon gwo risk pou dwa ak libète moun ki konsène yo. Yo ka pa kominike lè te gen mezi teknik apwopriye tankou chifreman an plas, lè mezi ki vin apre yo asire ke gwo risk la p ap konkretize ankò, oubyen lè kominikasyon endividyèl ta mande yon efò ki pa pwopòsyonèl. Nan dènye ka sa a, yon kominikasyon piblik sifi.

Èske mwen ka fòse jwenn enfòmasyon nan men yon founisè ki te sibi pirat?

Wi, kote yon akò sou tretman done prevwa sa. Nan pwosedi rezime ant Blauw Research ak Nebu (Tribinal Distri Rotterdam, 6 avril 2023, ECLI:NL:RBROT:2023:2931), jij soulajman pwovizwa a te deside ke anba akò sou tretman done a, kontwolè a te gen dwa jwenn plis enfòmasyon sou atak la, konsekans li yo ak mezi yo te pran pase sa yo te bay la, epi li te bay lòd pou moun ki trete done a fè yon ankèt forensik endepandan epi pou l rapòte detanzantan. Enfòmasyon sa a nesesè pou w ka ranpli pwòp devwa notifikasyon w yo.

Antanke moun ki konsène, èske mwen gen dwa otomatikman pou jwenn konpansasyon apre yon vyolasyon done?

Non. Atik 82 GDPR a bay yon baz endepandan, men ou dwe pwouve ke GDPR a te vyole, ke ou te aktyèlman sibi domaj, epi ke gen yon lyen kozatif ant vyolasyon an ak domaj sa a. Se moun ki pote plent lan ki gen responsablite pou bay prèv la.

Èske laperèz pou fwod idantite kalifye kòm domaj imoral?

Li kapab. Nan Natsionalna agentsia za prihodite (CJUE 14 desanm 2023, C-340/21), Tribinal Jistis la te deside ke laperèz pou yon posib move itilizasyon done pèsonèl ki te koule nan lavni kapab an li menm konstitye yon domaj ki pa materyèl. Sepandan, moun ki konsène a dwe pwouve laperèz sa a ak konsekans li yo yon fason konkrè. Österreichische Post (CJUE 4 me 2023, C-300/21) ajoute ke pa gen okenn papòt minimòm gravite, men yon vyolasyon GDPR la poukont li pa sifi.

Ki moun ki dwe pwouve ke mezi sekirite yo te apwopriye?

Kontwolè a. Nan ka C-340/21, Tribinal Jistis la te konfime ke se responsablite kontwolè a pou montre ke mezi sekirite yo te pran yo te apwopriye, epi ke yon atak pa yon twazyèm pati pa an li menm egzante li de responsablite. Nan Peyi Ba yo, sa te rive nan ka yon kont imel konsesyonè machin ki te pirate, kote Tribinal Apèl Arnhem-Leeuwarden te premye bay konsesyonè a opòtinite pou bay prèv sa a (ECLI:NL:GHARL:2024:6812) epi answit li te deside ke li pa t bay (ECLI:NL:GHARL:2025:4556).

Èske founisè IT mwen an responsab si li pa t detekte yon atak?

Sa depann de sa ki te dakò. Nan ka ki konsène atak sibernatik sou minisipalite Hof van Twente a (Tribinal Distri Overijssel, 10 me 2023, ECLI:NL:RBOVE:2023:1731) pati yo te dakò sou siveyans fonksyonèl, pa siveyans sekirite. Tribinal la te deside ke devwa dilijans yon administratè IT pa rive nan pwen kote siveyans sekirite a fòme yon pati enplisit ladan l, epi li te rejte reklamasyon an. Lè yo bay yon pake total ki pi laj, devwa dilijans lan ka pito gen yon enpak byen lwen, tankou nan ka O'Clance (Tribinal Distri Overijssel). Amsterdam, 14 novanm 2018, ECLI:NL:RBAMS:2018:10124), kote yo te konsidere founisè a responsab pou de tyè nan pèt la.

Èske pwòp konduit mwen ka diminye konpansasyon an?

Wi. Fòt kontribitif jwe yon wòl rekiran nan ka sa yo. Nan O'Clance, yon tyè nan pèt la te rete pou kont kliyan an, epi nan ka kont imel pirate a, pati yo te oblije adrese fot kontribitif achtè a. Pwòp règleman modpas ou, pò ki rete ouvè oswa avètisman ki inyore ka kidonk enfliyanse dirèkteman rezilta a.

Ki amann otorite pwoteksyon done yo ka enpoze?

Pou vyolasyon GDPR a, otorite sipèvizyon an ka enpoze amann administratif ki rive jiska 20 milyon ero oswa 4 pousan nan woulman anyèl mondyal la, kèlkeswa sa ki pi wo a. Amann sa yo endepandan de si moun ki konsène yo te aktyèlman sibi domaj e pakonsekan reprezante yon risk apa ansanm ak responsablite sivil.

Èske mwen ka rapòte ofans lan epi reklame pèt mwen an nan pwosedi kriminèl la?

Wi. Atik 138ab(1) nan Kòd Penal Olandè a fè li yon ofans pou moun ki entansyonèlman e ilegalman antre nan yon sistèm otomatik. Ou ka rapòte ofans lan bay lapolis epi, lè yo pouswiv yon sispèk, ou ka rantre nan pwosedi kriminèl la kòm yon pati blese pou reklame konpansasyon la. Rezilta a depann de deteksyon, pouswit jidisyè ak prèv, ki souvan pa bay okenn rezilta ak delenkan k ap opere entènasyonalman.

Kisa asirans sibernetik anjeneral kouvri?

Anjeneral, repons a ensidan ak envestigasyon forensik, restorasyon sistèm ak done, pèt apre entèripsyon biznis ak pèt woulman, kominikasyon kriz, responsablite anvè twazyèm pati ak depans legal, epi nan kèk ka amann, peman règleman oswa ranson nan limit ki asirab anba lalwa ki aplikab la. Veye pou esklizyon yo, kondisyon sekirite yo, peryòd notifikasyon yo ak franchiz yo, epi revize règleman an anvan yon ensidan rive.

Èske mwen ka pèdi pwoteksyon si mwen pa aji byen apre yon atak?

Sa posib. Atik 7:957(1) nan Kòd Sivil Olandè a egzije yon pati asire pou pran mezi rezonab pou anpeche oswa limite pèt; lè devwa sovtaj sa a pa respekte, konpayi asirans lan ka diminye peman an. Angaje ekspè ekstèn oswa peye yon ranson san konsantman konpayi asirans lan kapab afekte pwoteksyon an tou. Enfòme konpayi asirans ou pi vit posib.

Ki etap mwen ta dwe pran imedyatman apre yon atak sibernatik?

Anrejistre ensidan an ak tout aksyon ki te pran yo, izole sistèm ki afekte yo san pèdi prèv, epi angaje yon ekspè forensik. Apre sa, evalye si gen yon vyolasyon done ki dwe notifye epi si moun ki konsène yo dwe enfòme. Rapòte ofans lan, notifye konpayi asirans sibernetik ou a, prezève jounal yo, sovgad yo ak korespondans yo, trase yon kat sou domaj la ak pati ki potansyèlman responsab yo, epi enfòme kliyan yo, anplwaye yo ak patnè chèn ekipman yo ak anpil atansyon epi alè.