Od Toma Meevisa, odvjetnika u Law & More
Kibernetički napadi poput ransomwarea, phishinga, DDoS napada i računalnih upada rijetko utječu samo na napadnutu organizaciju. Žrtve kibernetičkih napada također uključuju kupce, zaposlenike, pacijente, dobavljače i druge partnere u lancu opskrbe koji mogu pretrpjeti gubitak, a njihov pravni položaj razlikuje se od skupine do skupine. Stoga se svima koji nakon napada žele utvrditi koje se obveze primjenjuju i koji zahtjevi postoje preporučuje da prvo točno utvrde tko je pogođen i kakva je šteta nastala.
Ovaj članak redom obrađuje tko se kvalificira kao žrtva, kada se mora prijaviti povreda podataka, pod kojim uvjetima postoji pravo na odštetu, koje strane mogu biti odgovorne, kakvu ulogu ima kazneni zakon, što obično pokriva polica kibernetičkog osiguranja i koje korake treba poduzeti odmah nakon napada.
Tko su žrtve kibernetičkih napada?
U kibernetičkom napadu mogu se razlikovati tri skupine.
- Sama pogođena organizacija, koja se suočava s prekidima sustava, izgubljenim prometom, troškovima oporavka, troškovima forenzičke istrage i štetom na ugledu.
- Fizičke osobe čiji su osobni podaci izloženi, poput kupaca, zaposlenika i pacijenata. Mogu pretrpjeti financijski gubitak, ali i nematerijalnu štetu zbog gubitka kontrole nad svojim podacima, nesigurnosti ili straha od prijevare identiteta.
- Treće strane pogođene ugovornim odnosom ili odnosom u lancu opskrbe, na primjer zato što ovise o dobavljaču čiji su sustavi pali.
Ova klasifikacija je pravno relevantna. Osnova bilo kakvog zahtjeva i stranka protiv koje se on može podnijeti ovise o položaju žrtve. Pogođena organizacija će općenito pozvati svog IT dobavljača na odgovornost prema ugovoru, dok se subjekt podataka može izravno osloniti na samostalnu osnovu odgovornosti koju pruža GDPR.
Kada se mora prijaviti povreda podataka?
U slučajevima kada su osobni podaci uključeni u kibernetički napad, mora se procijeniti postoji li povreda osobnih podataka i je li obavezna obavijest. Članak 33. GDPR-a zahtijeva da se povreda prijavi nadzornom tijelu bez nepotrebnog odgađanja i, gdje je to izvedivo, u roku od sedamdeset i dva sata, osim ako je malo vjerojatno da će povreda rezultirati rizikom za prava i slobode pojedinaca.
Osim toga, članak 34. GDPR-a može zahtijevati od organizacije da same obavijesti subjekte podataka. Ta obveza nastaje kada je vjerojatno da će kršenje rezultirati visokim rizikom za njihova prava i slobode. Komunikacija se može izostaviti ako su na snazi odgovarajuće tehničke mjere poput šifriranja, ako naknadne mjere osiguravaju da se visoki rizik više neće materijalizirati ili ako bi individualna komunikacija zahtijevala nerazmjeran napor; u potonjem slučaju dovoljna je javna komunikacija.
Za ispitanika ta je komunikacija više od formalnosti. Omogućuje im da poduzmu vlastite mjere, na primjer promjenom lozinki ili praćenjem sumnjivih transakcija, a u praksi je često polazna točka svakog zahtjeva za odštetu.
Organizacija stoga mora utvrditi ne samo da se napad dogodio, već i koji su podaci bili pogođeni, jesu li podaci doista ukradeni i koji rizici iz toga proizlaze. Neovisna forenzička istraga često je neophodna u tu svrhu.
To se tim više odnosi na slučajeve kada se napad dogodi na obrađivača, a ne na samu organizaciju. U skraćenom postupku između Blauw Researcha i Nebua (Okružni sud u Rotterdamu, 6. travnja 2023., ECLI:NL:RBROT:2023:2931) sudac za privremenu mjeru presudio je da je, prema ugovoru o obradi podataka sklopljenom između stranaka, kontrolor imao pravo na više informacija o napadu, njegovim posljedicama i poduzetim mjerama nego što je prvobitno pruženo. Obrađivaču je također naloženo da provede neovisnu forenzičku istragu i da periodično izvještava. Presuda pokazuje da je dobro sastavljen ugovor o obradi podataka u praksi najvažniji instrument za dobivanje informacija na vrijeme nakon incidenta, upravo zato što kontrolor treba te informacije za ispunjavanje vlastitih dužnosti obavještavanja.
Kada nastaje pravo na naknadu?
Ispitanici mogu tražiti odštetu od kontrolora ili obrađivača prema članku 82. GDPR-a. Međutim, kibernetički napad ne dovodi automatski do zahtjeva za naknadu štete. Mora biti potkrijepljen:
- da je prekršena GDPR;
- da je šteta stvarno pretrpljena; i
- da postoji uzročna veza između te povrede i te štete.
Materijalna šteta može se sastojati od financijskih gubitaka, troškova oporavka ili gubitka uzrokovanog prijevarom identiteta. Što se tiče nematerijalne štete, Sud Europske unije je u predmetu Österreichische Post (Sud pravde EU-a 4. svibnja 2023., C-300/21) presudio da ne postoji minimalni prag ozbiljnosti, već da samo kršenje GDPR-a nije dovoljno za dodjelu odštete.
Od posebne je važnosti za povrede podataka nakon kibernetičkog napada slučaj Nacionalna agencija za prihodite (Sud pravde EU-a, 14. prosinca 2023., C-340/21). U njemu je Sud presudio da strah od moguće buduće zlouporabe procurjelih osobnih podataka sam po sebi može predstavljati nematerijalnu štetu. Međutim, ispitanik mora konkretno potkrijepiti taj strah i njegove posljedice; samo ukazivanje na činjenicu da su podaci procurili nije dovoljno. U istoj presudi Sud je potvrdio da je na kontroloru da dokaže da su poduzete sigurnosne mjere bile primjerene te da napad treće strane sam po sebi ne oslobađa kontrolora od odgovornosti.
Odgovornost prema GDPR-u postoji uz građanskopravne osnove kršenja ugovora i delikta. Prema članku 6:162(1) nizozemskog građanskog zakonika, stranka koja počini pripisivu protupravnu radnju mora nadoknaditi prouzročenu štetu. Primjenjuje se zahtjev relativnosti iz članka 6:163: prekršena norma mora služiti zaštiti od vrste štete koju je oštećena stranka pretrpjela.
Važno je napomenuti da članak 82. GDPR-a postoji uz ove osnove. Ispitanik stoga nije obvezan utemeljiti zahtjev isključivo na kršenju ugovora ili deliktu, već se može izravno osloniti na samostalnu osnovu odgovornosti koju pruža GDPR. Za pogođenu organizaciju, ova kombinacija osnova znači da nekoliko stranaka može istovremeno podnijeti zahtjeve nakon napada.
Tko može biti odgovoran?
Pogođena organizacija može biti odgovorna ako ne ispuni svoje ugovorne obveze ili nije poduzela nedovoljne sigurnosne mjere. Pružatelj IT usluga ili obrađivač također se može smatrati odgovornim. Ono što se može očekivati od tog pružatelja usluga određuje se prije svega ugovorom.
Unutar odnosa obrade, ugovor o obradi podataka igra središnju ulogu. Članak 28. GDPR-a zahtijeva od voditelja obrade i izvršitelja obrade da sklope takav ugovor, kojim se, između ostalog, uređuju sigurnosne mjere i postupanje u slučajevima kršenja podataka. Ako je napad rezultat neadekvatne sigurnosti kod izvršitelja obrade, voditelj obrade može izvršitelja obrade smatrati odgovornim prema tom ugovoru za nastali gubitak.
To jasno proizlazi iz slučaja koji se odnosi na kibernetički napad na općinu Hof van Twente (Okružni sud u Overijsselu, 10. svibnja 2023., ECLI:NL:RBOVE:2023:1731). Stranke su se dogovorile o funkcionalnom praćenju, a ne o sigurnosnom praćenju. Sud je utvrdio da dužnost skrbi IT administratora ne ide toliko daleko da sigurnosno praćenje čini prešutni dio zadatka za funkcionalno praćenje te je odbacio tužbu općine. Također je procijenio da je sama općina donijela odluke koje su povećale rizik, uključujući politiku lozinki i otvaranje RDP porta.
Zrcalna slika je slučaj O'Cliance (Okružni sud Amsterdam, 14. studenog 2018., ECLI:NL:RBAMS:2018:10124). Tamo je dobavljač instalirao kompletnu IT infrastrukturu i preuzeo njezino upravljanje. Nakon napada ransomwareom u kojem su sigurnosne kopije također bile šifrirane, sud je utvrdio da isporuka tako cjelovitog paketa nosi dalekosežnu dužnost pažnje i da su izostavljene jednostavne mjere. Međutim, odgovornost nije u cijelosti dosuđena: zbog sukrivnje kupca, dvije trećine štete ostale su na račun dobavljača.
Koliko težak teret dokazivanja odgovarajuće sigurnosti može biti ilustriran je slučajem hakiranog e-mail računa trgovca automobilima. U međupresudi od 5. studenog 2024. (Žalbeni sud Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812) trgovcu je dana prilika da dokaže da je njegov e-mail račun bio na odgovarajući način osiguran u smislu GDPR-a, nakon što je haker iskoristio taj račun za slanje lažnih uputa za plaćanje kupcu. U naknadnoj presudi od 22. srpnja 2025. (ECLI:NL:GHARL:2025:4556) sud je utvrdio da taj dokaz nije dostavljen, nakon čega su stranke još uvijek trebale riješiti sudjelujući dio kupca. Obje presude stoga se odnose na isti postupak.
Zajednička nit je da su važni ugovorni aranžmani, rizici obrade, stvarno poduzete mjere, upozorenja dana s obje strane i vlastito ponašanje oštećene strane. Uz građansku odgovornost, nizozemsko tijelo za zaštitu podataka može izreći administrativne kazne do 20 milijuna eura ili 4 posto svjetskog godišnjeg prometa, ovisno o tome što je veće. Te kazne neovise o tome jesu li pojedinačni ispitanici pretrpjeli štetu.
Put kaznenog prava
Kibernetički napad također može predstavljati kazneno djelo, poput upada u računalo, onemogućavanja pristupa podacima ili prisvajanja nejavnih podataka. Članak 138ab(1) nizozemskog Kaznenog zakona čini kaznenim djelom namjerno i nezakonito dobivanje pristupa automatiziranom sustavu.
Žrtve mogu prijaviti kazneno djelo policiji, koja ima specijalizirane timove za kibernetički kriminal. U slučaju pokretanja postupka protiv osumnjičenika, žrtva se može pridružiti kaznenom postupku kao oštećena strana i tamo tražiti odštetu. Ovim putem izbjegava se zaseban građanski postupak, ali ishod ovisi o otkrivanju, kaznenom progonu i dokazima, što kod međunarodno aktivnih počinitelja često ne daje rezultate. Za organizacije je prijavljivanje često i praktična potreba, jer osiguravatelji i partneri u lancu opskrbe to traže.
Što pokriva kibernetičko osiguranje?
Polisa kibernetičkog osiguranja može, između ostalog, pokriti:
- odgovor na incident i forenzička istraga;
- obnova sustava i podataka;
- gubici od prekida poslovanja i izgubljeni promet;
- krizna komunikacija;
- odgovornost prema trećim stranama;
- sudski troškovi; i
- u nekim slučajevima novčane kazne, isplate nagodbi ili otkupnina, u mjeri u kojoj je to osigurano prema važećem zakonu.
Točno pokriće ovisi o polisi. Obratite pozornost na izuzeća, uvjete osiguranja, rokove obavještavanja, franšize i zahtjeve za angažiranje stručnjaka. Članak 7:957(1) nizozemskog Građanskog zakonika također obvezuje osiguranu stranu da poduzme razumne mjere za sprječavanje ili ograničavanje gubitka. Ako se ta obveza spašavanja ne poštuje, osiguravatelj može smanjiti isplatu.
Stoga bi osiguravatelj kibernetičkih rizika trebao biti obaviješten što je prije moguće. Angažiranje vanjskih stručnjaka ili plaćanje otkupnine bez pristanka osiguravatelja može utjecati na pokriće.
Što trebate učiniti odmah nakon kibernetičkog napada?
- Pažljivo zabilježite incident i sve relevantne radnje.
- Izolirajte pogođene sustave bez gubitka dokaza.
- Angažirajte forenzičkog stručnjaka.
- Procijenite postoji li povreda podataka o kojoj se mora obavijestiti.
- Procijenite moraju li ispitanici biti obaviješteni.
- Prijavite prekršaj policiji.
- Obavijestite o incidentu svog osiguravatelja za kibernetičku sigurnost.
- Sačuvajte zapisnike, sigurnosne kopije, e-poštu i ostale relevantne podatke.
- Mapirajte štetu i potencijalno odgovorne strane.
- Pažljivo i pravovremeno informirajte kupce, zaposlenike i partnere u lancu opskrbe.
Kibernetički napad stoga nije samo tehnički incident. To je također pitanje zaštite podataka, građanskog prava, kaznenog prava i prava osiguranja. Brz i dobro dokumentiran odgovor ne samo da ograničava štetu, već je i odlučujući za obavijesti, pokriće osiguranja i vaš dokazni položaj u bilo kojem postupku.
Na kraju
Prava i obveze nakon kibernetičkog napada raspoređene su u nekoliko pravnih područja, a ishod slučaja uvelike ovisi o specifičnim činjenicama, sadržaju ugovora i kvaliteti zapisa. Raspravljana sudska praksa pokazuje da se i dobavljač i kupac ocjenjuju prema vlastitom ponašanju te da rokovi poput roka za obavještavanje od sedamdeset i dva sata ostavljaju malo prostora za odgodu.
Law & More pomaže organizacijama i ispitanicima u pravnom rješavanju kibernetičkih incidenata: od procjene obveza obavještavanja i pregleda ugovora o obradi podataka do utvrđivanja odgovornosti, pitanja osiguranja i nadoknade gubitaka. Suočavate li se s kibernetičkim napadom ili povredom podataka ili želite da naši ugovori unaprijed pregledaju te rizike IT zakon tim? Slobodno kontakt Law & More za neobavezujući razgovor o vašoj situaciji.
Često postavljana pitanja
U nastavku odgovaramo na pitanja koja nam se najčešće postavljaju o ovoj temi.
Tko su žrtve kibernetičkog napada?
Postoje tri sloja. Prvo, sama pogođena organizacija, koja snosi zastoj sustava, izgubljeni promet, troškove oporavka, troškove forenzičke istrage i štetu na ugledu. Drugo, ispitanici, fizičke osobe čiji su osobni podaci izloženi, kao što su kupci, zaposlenici i pacijenti. Treće, treće strane koje pretrpe gubitak zbog ugovornog odnosa ili odnosa u lancu opskrbe, na primjer zato što ovise o dobavljaču koji je pao. Ta klasifikacija određuje na kojoj osnovi stranka može podnijeti zahtjev i protiv koga.
U kojem roku moram prijaviti povredu podataka?
Članak 33. GDPR-a zahtijeva obavještavanje nadzornog tijela bez nepotrebnog odgađanja i, gdje je to izvedivo, u roku od sedamdeset i dva sata od saznanja o povredi. Obveza se ne primjenjuje kada je malo vjerojatno da će povreda rezultirati rizikom za prava i slobode pojedinaca. Ta procjena zahtijeva analizu prirode povrede, kategorija pogođenih podataka i mogućih posljedica.
Kada moram obavijestiti same subjekte podataka?
Prema članku 34. GDPR-a, kada je vjerojatno da će kršenje rezultirati visokim rizikom za prava i slobode ispitanika, komunikacija se može izostaviti ako su na snazi odgovarajuće tehničke mjere poput enkripcije, ako naknadne mjere osiguravaju da se visoki rizik više neće materijalizirati ili ako bi individualna komunikacija zahtijevala nerazmjeran napor. U potonjem slučaju dovoljna je javna komunikacija.
Mogu li prisilno dobiti podatke od dobavljača koji je hakiran?
Da, tamo gdje je to predviđeno ugovorom o obradi podataka. U skraćenom postupku između Blauw Researcha i Nebua (Okružni sud u Rotterdamu, 6. travnja 2023., ECLI:NL:RBROT:2023:2931) sudac za privremenu mjeru presudio je da je prema ugovoru o obradi podataka voditelj obrade imao pravo na više informacija o napadu, njegovim posljedicama i poduzetim mjerama nego što su im dostavljene te je naložio izvršitelju obrade da provede neovisnu forenzičku istragu i da periodično izvještava. Te su informacije potrebne za ispunjavanje vaših vlastitih dužnosti obavještavanja.
Kao subjekt podataka, imam li automatski pravo na odštetu nakon povrede podataka?
Ne. Članak 82. GDPR-a pruža samostalnu osnovu, ali morate dokazati da je GDPR prekršen, da ste stvarno pretrpjeli štetu i da postoji uzročna veza između kršenja i te štete. Teret dokazivanja je na podnositelju zahtjeva.
Kvalificira li se strah od prijevare identiteta kao nematerijalna šteta?
Može. U predmetu Nacionalna agencija za prihodite (Sud EU od 14. prosinca 2023., C-340/21) Sud je presudio da strah od moguće buduće zlouporabe procurjelih osobnih podataka sam po sebi može predstavljati nematerijalnu štetu. Međutim, ispitanik mora konkretno potkrijepiti taj strah i njegove posljedice. Österreichische Post (Sud EU od 4. svibnja 2023., C-300/21) dodaje da ne postoji minimalni prag ozbiljnosti, ali da samo kršenje GDPR-a nije dovoljno.
Tko mora dokazati da su sigurnosne mjere bile primjerene?
Kontrolor. U predmetu C-340/21 Sud je potvrdio da je na kontroloru da dokaže da su poduzete sigurnosne mjere bile primjerene te da ga napad treće strane sam po sebi ne oslobađa odgovornosti. U Nizozemskoj se to dogodilo u slučaju hakiranog računa e-pošte trgovca automobilima, gdje je Žalbeni sud Arnhem-Leeuwardena prvo dao trgovcu priliku da dostavi taj dokaz (ECLI:NL:GHARL:2024:6812), a zatim je utvrdio da on nije dostavljen (ECLI:NL:GHARL:2025:4556).
Je li moj IT dobavljač odgovoran ako nije uspio otkriti napad?
To ovisi o tome što je dogovoreno. U slučaju koji se odnosi na kibernetički napad na općinu Hof van Twente (Okružni sud Overijssela, 10. svibnja 2023., ECLI:NL:RBOVE:2023:1731) stranke su se dogovorile o funkcionalnom praćenju, a ne o sigurnosnom praćenju. Sud je utvrdio da dužnost pažnje IT administratora ne ide toliko daleko da sigurnosno praćenje čini njezin prešutni dio te je odbacio tužbu. Tamo gdje se isporučuje širi cjelokupni paket, dužnost pažnje može biti dalekosežna, kao u slučaju O'Cliance (Okružni sud Overijssela Amsterdam, 14. studenog 2018., ECLI:NL:RBAMS:2018:10124), gdje je dobavljač proglašen odgovornim za dvije trećine gubitka.
Može li moje vlastito ponašanje smanjiti odštetu?
Da. Doprinosna krivnja igra ponavljajuću ulogu u ovim slučajevima. U slučaju O'Cliance trećina gubitka ostala je za račun kupca, a u slučaju hakiranog računa e-pošte stranke su morale riješiti doprinosnu krivnju kupca. Vaša vlastita politika lozinki, otvoreni portovi ili ignorirana upozorenja stoga mogu izravno utjecati na ishod.
Koje kazne može izreći tijelo za zaštitu podataka?
Za kršenje GDPR-a nadzorno tijelo može izreći administrativne kazne do 20 milijuna eura ili 4 posto svjetskog godišnjeg prometa, ovisno o tome što je veće. Ove kazne neovisne su o tome jesu li pojedinačni ispitanici stvarno pretrpjeli štetu i stoga predstavljaju zaseban rizik uz građansku odgovornost.
Mogu li prijaviti prekršaj i tražiti odštetu putem kaznenog postupka?
Da. Članak 138ab(1) nizozemskog Kaznenog zakona propisuje da je kazneno djelo namjerno i nezakonito stjecanje pristupa automatiziranom sustavu. Možete prijaviti kazneno djelo policiji i, ako je osumnjičenik kazneno gonjen, pridružiti se kaznenom postupku kao oštećena strana kako biste tamo tražili odštetu. Ishod ovisi o otkrivanju, kaznenom progonu i dokazima, što kod međunarodno aktivnih počinitelja često ne daje rezultate.
Što obično pokriva kibernetičko osiguranje?
Obično odgovor na incidente i forenzička istraga, obnova sustava i podataka, gubici zbog prekida poslovanja i izgubljeni promet, krizna komunikacija, odgovornost prema trećim stranama i pravni troškovi, a u nekim slučajevima kazne, nagodbe ili otkupnina u mjeri u kojoj je to osigurano prema važećem zakonu. Pazite na izuzeća, sigurnosne uvjete, rokove obavještavanja i franšize te pregledajte policu prije nego što se incident dogodi.
Mogu li izgubiti zaklon nepravilnim djelovanjem nakon napada?
To je moguće. Članak 7:957(1) nizozemskog Građanskog zakonika obvezuje osiguranika da poduzme razumne mjere za sprječavanje ili ograničavanje gubitka; ako se ta obveza spašavanja ne poštuje, osiguravatelj može smanjiti isplatu. Angažiranje vanjskih stručnjaka ili plaćanje otkupnine bez suglasnosti osiguravatelja također može utjecati na pokriće. Što prije obavijestite svog osiguravatelja.
Koje korake trebam poduzeti odmah nakon kibernetičkog napada?
Zabilježite incident i sve poduzete radnje, izolirajte pogođene sustave bez gubitka dokaza i angažirajte forenzičkog stručnjaka. Zatim procijenite postoji li povreda podataka o kojoj se mora obavijestiti i trebaju li se obavijestiti ispitanici. Prijavite prekršaj, obavijestite svog osiguravatelja za kibernetičku sigurnost, sačuvajte zapisnike, sigurnosne kopije i korespondenciju, mapirajte štetu i potencijalno odgovorne strane te pažljivo i pravovremeno obavijestite kupce, zaposlenike i partnere u lancu opskrbe.
