सायबर हल्ल्यांच्या पीडितांचे हक्क: सूचना देण्याची कर्तव्ये, नुकसानभरपाई आणि विमा

टॉम मीविस, वकील यांच्याकडून Law & More

रॅन्समवेअर, फिशिंग, डीडॉस हल्ले आणि संगणक घुसखोरी यांसारख्या सायबर हल्ल्यांचा परिणाम क्वचितच केवळ हल्ला झालेल्या संस्थेवर होतो. सायबर हल्ल्यांच्या बळींमध्ये ग्राहक, कर्मचारी, रुग्ण, पुरवठादार आणि पुरवठा साखळीतील इतर भागीदार यांचाही समावेश असतो, ज्यांना नुकसान होऊ शकते आणि त्यांची कायदेशीर स्थिती प्रत्येक गटानुसार भिन्न असते. त्यामुळे, हल्ल्यानंतर कोणती कर्तव्ये लागू होतात आणि कोणते दावे अस्तित्वात आहेत हे निश्चित करू इच्छिणाऱ्या कोणत्याही व्यक्तीला, सर्वप्रथम नेमके कोण प्रभावित झाले आहे आणि काय नुकसान झाले आहे, हे निश्चित करण्याचा सल्ला दिला जातो.

या लेखात अनुक्रमे पीडित म्हणून कोण पात्र ठरते, डेटा उल्लंघनाची सूचना केव्हा देणे आवश्यक आहे, कोणत्या अटींवर नुकसान भरपाईचा अधिकार अस्तित्वात असतो, कोणते पक्ष जबाबदार असू शकतात, फौजदारी कायद्याची भूमिका काय असते, सायबर विमा पॉलिसीमध्ये सामान्यतः काय समाविष्ट असते आणि हल्ल्यानंतर त्वरित कोणती पावले उचलली पाहिजेत, यावर चर्चा केली आहे.

सायबर हल्ल्यांचे बळी कोण ठरतात?

सायबर हल्ल्यामध्ये तीन गट ओळखता येतात.

• बाधित संस्थेला सिस्टम डाउनटाइम, उलाढालीचे नुकसान, पुनर्प्राप्ती खर्च, फॉरेन्सिक तपासाचा खर्च आणि प्रतिष्ठेचे नुकसान यांसारख्या समस्यांना सामोरे जावे लागते.
• ज्यांची वैयक्तिक माहिती उघड झाली आहे अशा नैसर्गिक व्यक्ती, जसे की ग्राहक, कर्मचारी आणि रुग्ण, यांना आर्थिक नुकसान तर होऊ शकतेच, शिवाय त्यांच्या माहितीवरील नियंत्रण गमावल्यामुळे, अनिश्चिततेमुळे किंवा ओळख फसवणुकीच्या भीतीमुळे अमूर्त नुकसानही होऊ शकते.
• करार किंवा पुरवठा साखळी संबंधातून प्रभावित झालेले तृतीय पक्ष, उदाहरणार्थ कारण ते अशा पुरवठादारावर अवलंबून आहेत ज्याची प्रणाली बंद पडली आहे.

हे वर्गीकरण कायदेशीरदृष्ट्या महत्त्वाचे आहे. कोणत्याही दाव्याचा आधार आणि तो कोणाविरुद्ध दाखल केला जाऊ शकतो, हे पीडिताच्या स्थितीवर अवलंबून असते. प्रभावित संस्था सामान्यतः कराराअंतर्गत आपल्या आयटी पुरवठादाराला जबाबदार धरेल, तर डेटा धारक GDPR द्वारे प्रदान केलेल्या दायित्वाच्या स्वतंत्र आधारावर थेट अवलंबून राहू शकतो.

डेटा उल्लंघनाची सूचना केव्हा देणे आवश्यक आहे?

जेव्हा सायबर हल्ल्यात वैयक्तिक डेटाचा समावेश असतो, तेव्हा वैयक्तिक डेटाचे उल्लंघन झाले आहे का आणि सूचना देणे अनिवार्य आहे का, याचे मूल्यांकन करणे आवश्यक आहे. GDPR च्या कलम ३३ नुसार, उल्लंघनाची सूचना पर्यवेक्षक प्राधिकरणाला विनाकारण विलंब न करता आणि शक्य असल्यास बहात्तर तासांच्या आत देणे आवश्यक आहे, मात्र या उल्लंघनामुळे नैसर्गिक व्यक्तींच्या हक्क आणि स्वातंत्र्यांना धोका निर्माण होण्याची शक्यता नसेल तरच ही सूचना द्यावी.

याव्यतिरिक्त, GDPR च्या कलम ३४ नुसार संस्थेला स्वतः डेटा धारकांना माहिती देणे आवश्यक असू शकते. हे बंधन तेव्हा निर्माण होते, जेव्हा डेटा उल्लंघनामुळे त्यांच्या हक्कांना आणि स्वातंत्र्यांना मोठा धोका निर्माण होण्याची शक्यता असते. जिथे एनक्रिप्शनसारख्या योग्य तांत्रिक उपाययोजना केलेल्या असतील, जिथे नंतरच्या उपाययोजनांमुळे मोठा धोका पुन्हा निर्माण होणार नाही याची खात्री होते, किंवा जिथे वैयक्तिक संवाद साधण्यात प्रमाणाबाहेर प्रयत्न करावे लागतील, तिथे संवाद वगळला जाऊ शकतो; या शेवटच्या प्रकरणात, एक सार्वजनिक संवाद पुरेसा ठरतो.

डेटा धारकासाठी तो संवाद केवळ एक औपचारिकता नसून त्याहून अधिक महत्त्वाचा असतो. त्यामुळे त्यांना स्वतःच्या उपाययोजना करणे शक्य होते, उदाहरणार्थ पासवर्ड बदलणे किंवा संशयास्पद व्यवहारांवर लक्ष ठेवणे, आणि व्यवहारात अनेकदा नुकसान भरपाईच्या कोणत्याही दाव्याची हीच सुरुवात असते.

त्यामुळे, संस्थेने केवळ हल्ला झाला आहे हेच नव्हे, तर कोणत्या डेटावर परिणाम झाला, डेटा खरंच बाहेर काढला गेला का, आणि त्यामुळे कोणते धोके निर्माण होतात, हेदेखील निश्चित केले पाहिजे. त्या उद्देशासाठी स्वतंत्र फॉरेन्सिक तपासणी अनेकदा अपरिहार्य ठरते.

जेव्हा हल्ला संस्थेवर न होता प्रोसेसरवर होतो, तेव्हा हे अधिक लागू होते. ब्लाउ रिसर्च आणि नेबू यांच्यातील संक्षिप्त कार्यवाहीमध्ये (रॉटरडॅम जिल्हा न्यायालय, ६ एप्रिल २०२३, ECLI:NL:RBROT:2023:2931) अंतरिम दिलासा न्यायाधीशांनी असे मत मांडले की, पक्षांमध्ये झालेल्या डेटा प्रोसेसिंग करारानुसार, नियंत्रकाला हल्ल्याबद्दल, त्याचे परिणाम आणि घेतलेल्या उपाययोजनांबद्दल सुरुवातीला दिलेल्या माहितीपेक्षा अधिक माहिती मिळण्याचा हक्क होता. प्रोसेसरला एक स्वतंत्र फॉरेन्सिक तपासणी करून घेण्याचा आणि नियमितपणे अहवाल देण्याचा आदेशही देण्यात आला. हा निकाल दर्शवतो की, एखादी घटना घडल्यानंतर वेळेवर माहिती मिळवण्यासाठी एक सुस्पष्ट डेटा प्रोसेसिंग करार हे व्यवहारात सर्वात महत्त्वाचे साधन आहे, कारण नियंत्रकाला स्वतःची सूचना देण्याची कर्तव्ये पार पाडण्यासाठी त्या माहितीची आवश्यकता असते.

नुकसान भरपाईचा हक्क केव्हा निर्माण होतो?

जीडीपीआरच्या कलम ८२ अंतर्गत, डेटा धारक नियंत्रक किंवा प्रक्रियाकर्त्याकडून नुकसान भरपाईचा दावा करू शकतात. तथापि, केवळ सायबर हल्ल्यामुळे आपोआप दावा करता येत नाही. त्यासाठी पुरावे सादर करणे आवश्यक आहे:

• जीडीपीआरचे उल्लंघन झाले आहे;
• की नुकसान प्रत्यक्षात झाले आहे; आणि
• त्या उल्लंघनामध्ये आणि त्या नुकसानीमध्ये कार्यकारण संबंध आहे.

भौतिक नुकसानीमध्ये आर्थिक नुकसान, वसुलीचा खर्च किंवा ओळख फसवणुकीमुळे होणारे नुकसान यांचा समावेश असू शकतो. अभौतिक नुकसानीबाबत, युरोपियन युनियनच्या न्याय न्यायालयाने 'ऑस्ट्रियाई पोस्ट' (CJEU ४ मे २०२३, C-३००/२१) प्रकरणात असे मत मांडले आहे की गंभीरतेची कोणतीही किमान मर्यादा नाही, परंतु केवळ GDPR चे उल्लंघन हे नुकसान भरपाई देण्यासाठी पुरेसे नाही.

सायबर हल्ल्यानंतर होणाऱ्या डेटा उल्लंघनाच्या संदर्भात 'नॅशनल एजन्सी फॉर प्रिहोडाइट' (CJEU १४ डिसेंबर २०२३, C-३४०/२१) हा खटला विशेष महत्त्वाचा आहे. त्या खटल्यात न्यायालयाने असे मत मांडले की, लीक झालेल्या वैयक्तिक डेटाच्या भविष्यातील संभाव्य गैरवापराची भीती ही स्वतःच एक अमूर्त नुकसान ठरू शकते. तथापि, डेटा धारकाने ती भीती आणि तिचे परिणाम ठोसपणे सिद्ध करणे आवश्यक आहे; केवळ डेटा लीक झाला आहे हे निदर्शनास आणणे पुरेसे नाही. त्याच निकालात न्यायालयाने पुष्टी केली की, घेतलेले सुरक्षा उपाय योग्य होते हे सिद्ध करण्याची जबाबदारी नियंत्रकाची आहे आणि केवळ तृतीय पक्षाने केलेला हल्ला नियंत्रकाला जबाबदारीतून मुक्त करत नाही.

GDPR अंतर्गत दायित्व हे कराराचा भंग आणि अपकृत्य या दिवाणी कायद्याच्या आधारांसोबतच अस्तित्वात आहे. डच दिवाणी संहितेच्या कलम ६:१६२(१) नुसार, एखादे जबाबदार बेकायदेशीर कृत्य करणाऱ्या पक्षाने झालेल्या नुकसानीची भरपाई करणे आवश्यक आहे. कलम ६:१६३ ची सापेक्षतेची अट लागू होते: ज्या नियमाचे उल्लंघन झाले आहे, तो नियम पीडित पक्षाला झालेल्या नुकसानीच्या प्रकारापासून संरक्षण देणारा असला पाहिजे.

महत्त्वाची गोष्ट म्हणजे, GDPR चे कलम ८२ या आधारांसोबतच अस्तित्वात आहे. त्यामुळे, डेटा धारकावर केवळ कराराचा भंग किंवा अपकृत्यावर दावा आधारण्याची सक्ती नाही, तर तो GDPR द्वारे प्रदान केलेल्या दायित्वाच्या स्वतंत्र आधारावर थेट अवलंबून राहू शकतो. बाधित संस्थेसाठी, आधारांच्या या संयोजनाचा अर्थ असा आहे की, एखाद्या हल्ल्यानंतर अनेक पक्ष एकाच वेळी दावे दाखल करू शकतात.

जबाबदार कोण असू शकते?

जेव्हा प्रभावित संस्था आपल्या करारातील जबाबदाऱ्या पार पाडण्यात अयशस्वी ठरते किंवा अपुरी सुरक्षा उपाययोजना करते, तेव्हा ती जबाबदार असू शकते. आयटी सेवा पुरवठादार किंवा प्रोसेसरला देखील जबाबदार धरले जाऊ शकते. त्या सेवा पुरवठादाराकडून काय अपेक्षित आहे, हे सर्वप्रथम करारानुसार ठरवले जाते.

प्रक्रिया संबंधात, डेटा प्रक्रिया करार मध्यवर्ती भूमिका बजावतो. GDPR च्या कलम २८ नुसार, नियंत्रक आणि प्रोसेसर यांनी असा करार करणे आवश्यक आहे, जो इतर गोष्टींबरोबरच सुरक्षा उपाय आणि डेटा उल्लंघनाच्या हाताळणीचे नियमन करतो. जेव्हा प्रोसेसरकडील अपुऱ्या सुरक्षेमुळे हल्ला होतो, तेव्हा नियंत्रक त्या करारानुसार परिणामी झालेल्या नुकसानीसाठी प्रोसेसरला जबाबदार धरू शकतो.

हॉफ व्हॅन ट्वेंटे नगरपालिकेवरील सायबर हल्ल्याच्या खटल्यातून (ओव्हरिजसेल जिल्हा न्यायालय, १० मे २०२३, ECLI:NL:RBOVE:2023:1731) ही बाब स्पष्टपणे समोर येते. दोन्ही पक्षांनी सुरक्षा देखरेखीऐवजी कार्यात्मक देखरेखीवर सहमती दर्शवली होती. न्यायालयाने असे मत मांडले की, आयटी प्रशासकाचे काळजी घेण्याचे कर्तव्य इतके विस्तारत नाही की सुरक्षा देखरेख ही कार्यात्मक देखरेखीच्या कामाचा एक अंतर्भूत भाग बनेल, आणि नगरपालिकेचा दावा फेटाळून लावला. न्यायालयाने या गोष्टीचाही विचार केला की, नगरपालिकेने स्वतःच असे निर्णय घेतले होते ज्यामुळे धोका वाढला होता, ज्यात तिचे पासवर्ड धोरण आणि आरडीपी पोर्ट उघडणे यांचा समावेश होता.

याचे प्रतिबिंब म्हणजे ओ'क्लायन्स प्रकरण (जिल्हा न्यायालय) Amsterdam१४ नोव्हेंबर २०१८, ECLI:NL:RBAMS:2018:10124). तिथे पुरवठादाराने एक संपूर्ण आयटी पायाभूत सुविधा स्थापित केली होती आणि तिचे व्यवस्थापन स्वीकारले होते. रॅन्समवेअर हल्ल्यानंतर, ज्यामध्ये बॅकअप्स देखील एनक्रिप्ट केले गेले होते, न्यायालयाने असे मानले की अशा संपूर्ण पॅकेजच्या पुरवठ्यामध्ये काळजी घेण्याचे एक दूरगामी कर्तव्य समाविष्ट होते आणि काही सरळसोपे उपाय वगळले गेले होते. तथापि, संपूर्ण दायित्व दिले गेले नाही: ग्राहकाच्या सह-दोषामुळे, नुकसानीच्या दोन-तृतीयांश भागाची जबाबदारी पुरवठादारावर राहिली.

योग्य सुरक्षेचा पुरावा सादर करण्याची जबाबदारी किती मोठी असू शकते, हे एका कार विक्रेत्याच्या हॅक झालेल्या ईमेल खात्याच्या प्रकरणावरून स्पष्ट होते. ५ नोव्हेंबर २०२४ च्या अंतरिम निकालात (आर्नहेम-लीउवार्डनचे अपील न्यायालय, ECLI:NL:GHARL:2024:6812), एका हॅकरने खरेदीदाराला पेमेंटसाठी खोटी सूचना पाठवल्यानंतर, विक्रेत्याला GDPR च्या व्याख्येनुसार त्याचे ईमेल खाते योग्यरित्या सुरक्षित होते हे सिद्ध करण्याची संधी देण्यात आली होती. २२ जुलै २०२५ च्या पुढील निकालात (ECLI:NL:GHARL:2025:4556) न्यायालयाने असे आढळले की हा पुरावा सादर केला गेला नव्हता, ज्यानंतर दोन्ही पक्षांना खरेदीदाराच्या सह-दोषावर तोडगा काढायचा होता. त्यामुळे, हे दोन्ही निकाल एकाच खटल्याशी संबंधित आहेत.

यामागील समान धागा असा आहे की, करारातील व्यवस्था, प्रक्रियेतील धोके, प्रत्यक्षात उचललेली पाऊले, दोन्ही बाजूंनी दिलेले इशारे आणि पीडित पक्षाचे स्वतःचे वर्तन या सर्व गोष्टी महत्त्वाच्या आहेत. दिवाणी दायित्वाबरोबरच, डच डेटा संरक्षण प्राधिकरण २० दशलक्ष युरो किंवा जागतिक वार्षिक उलाढालीच्या ४ टक्के, यापैकी जी रक्कम जास्त असेल, तेवढा प्रशासकीय दंड आकारू शकते. वैयक्तिक डेटा धारकांना नुकसान झाले आहे की नाही, यावर हे दंड अवलंबून नाहीत.

फौजदारी कायद्याचा मार्ग

सायबर हल्ला हा एक फौजदारी गुन्हा देखील असू शकतो, जसे की संगणकात घुसखोरी करणे, डेटा अनुपलब्ध करणे किंवा अप्रकाशित डेटाचा अपहार करणे. डच फौजदारी संहितेच्या कलम 138ab(1) नुसार, हेतुपुरस्सर आणि बेकायदेशीरपणे स्वयंचलित प्रणालीमध्ये प्रवेश मिळवणे हा गुन्हा आहे.

पीडित व्यक्ती पोलिसांकडे गुन्ह्याची तक्रार करू शकतात, ज्यांच्याकडे सायबर गुन्हेगारीसाठी विशेष पथके आहेत. जेव्हा संशयितावर खटला चालवला जातो, तेव्हा पीडित व्यक्ती पीडित पक्ष म्हणून फौजदारी कार्यवाहीत सामील होऊ शकते आणि तिथे नुकसान भरपाईचा दावा करू शकते. या मार्गामुळे स्वतंत्र दिवाणी कार्यवाही टाळता येते, परंतु त्याचा निकाल शोध, खटला चालवणे आणि पुराव्यावर अवलंबून असतो, जे आंतरराष्ट्रीय स्तरावर कार्यरत असलेल्या गुन्हेगारांच्या बाबतीत अनेकदा निष्फळ ठरते. संस्थांसाठी, तक्रार करणे ही अनेकदा एक व्यावहारिक गरज देखील असते, कारण विमा कंपन्या आणि पुरवठा साखळीतील भागीदार तशी मागणी करतात.

सायबर विम्यामध्ये काय समाविष्ट असते?

सायबर विमा पॉलिसीमध्ये इतर गोष्टींबरोबरच खालील बाबींसाठी संरक्षण मिळू शकते:

• घटनेला प्रतिसाद आणि न्यायवैद्यक तपास;
• प्रणाली आणि डेटाची पुनर्स्थापना;
• व्यवसाय खंडित झाल्यामुळे होणारे नुकसान आणि उलाढालीतील घट;
• संकटकालीन संवाद;
• तृतीय पक्षांप्रति असलेले दायित्व;
• कायदेशीर खर्च; आणि
• काही प्रकरणांमध्ये, लागू कायद्यानुसार विमायोग्य असेल त्या मर्यादेपर्यंत दंड, तडजोडीची रक्कम किंवा खंडणी.

नेमके संरक्षण पॉलिसीवर अवलंबून असते. अपवाद, सुरक्षा अटी, सूचना कालावधी, वजावट आणि तज्ञांना नियुक्त करण्याच्या आवश्यकतांकडे लक्ष द्या. डच नागरी संहितेचे कलम 7:957(1) विमाधारक पक्षाला नुकसान टाळण्यासाठी किंवा मर्यादित करण्यासाठी वाजवी उपाययोजना करण्यास देखील बंधनकारक करते. जेव्हा बचाव कार्याचे हे कर्तव्य पाळले जात नाही, तेव्हा विमा कंपनी भरपाईची रक्कम कमी करू शकते.

त्यामुळे सायबर विमा कंपनीला शक्य तितक्या लवकर कळवले पाहिजे. विमा कंपनीच्या संमतीशिवाय बाह्य तज्ञांना नियुक्त केल्यास किंवा खंडणी दिल्यास विम्याच्या संरक्षणावर परिणाम होऊ शकतो.

सायबर हल्ला झाल्यानंतर तुम्ही तात्काळ काय केले पाहिजे?

• घटनेची आणि त्यासंबंधित सर्व कृतींची काळजीपूर्वक नोंद करा.
• पुरावा न गमावता बाधित प्रणाली वेगळ्या करा.
• न्यायवैद्यक तज्ञाची मदत घ्या.
• कळवण्याजोगा डेटा भंग झाला आहे का याचे मूल्यांकन करा.
• डेटा धारकांना माहिती देणे आवश्यक आहे की नाही याचे मूल्यांकन करा.
• गुन्ह्याची तक्रार पोलिसांकडे करा.
• तुमच्या सायबर विमा कंपनीला या घटनेची माहिती द्या.
• लॉग, बॅकअप, ईमेल आणि इतर संबंधित डेटा जतन करा.
• झालेल्या नुकसानीचा आणि संभाव्य जबाबदार पक्षांचा नकाशा तयार करा.
• ग्राहकांना, कर्मचाऱ्यांना आणि पुरवठा साखळीतील भागीदारांना काळजीपूर्वक आणि वेळेवर माहिती द्या.

त्यामुळे सायबर हल्ला ही केवळ एक तांत्रिक घटना नाही. ही डेटा संरक्षण, दिवाणी कायदा, फौजदारी कायदा आणि विमा कायद्याची बाब देखील आहे. जलद आणि सुव्यवस्थितपणे नोंदवलेला प्रतिसाद केवळ नुकसान मर्यादित करत नाही, तर तो सूचना, विमा संरक्षण आणि कोणत्याही कार्यवाहीतील तुमच्या पुराव्याच्या स्थितीसाठी निर्णायक ठरतो.

बंद मध्ये

सायबर हल्ल्यानंतरचे हक्क आणि जबाबदाऱ्या कायद्याच्या अनेक क्षेत्रांमध्ये विभागलेल्या आहेत, आणि खटल्याचा निकाल हा विशिष्ट तथ्ये, करारातील मजकूर आणि नोंदींच्या गुणवत्तेवर मोठ्या प्रमाणावर अवलंबून असतो. चर्चा केलेल्या न्यायनिर्णयांमधून असे दिसून येते की, पुरवठादार आणि ग्राहक या दोघांनाही त्यांच्या स्वतःच्या वर्तनाच्या आधारावर पारखले जाते, आणि बहात्तर तासांच्या सूचनेच्या कालावधीसारख्या अंतिम मुदतींमुळे विलंबाला फारच कमी वाव राहतो.

Law & More संस्था आणि डेटा धारकांना सायबर घटनांच्या कायदेशीर हाताळणीमध्ये मदत करते: सूचना देण्याच्या कर्तव्यांचे मूल्यांकन करण्यापासून आणि डेटा प्रक्रिया करारांचे पुनरावलोकन करण्यापासून ते दायित्व निश्चित करणे, विम्याचे मुद्दे आणि नुकसान वसूल करण्यापर्यंत. तुम्ही सायबर हल्ला किंवा डेटा उल्लंघनाचा सामना करत आहात का, किंवा आमच्याकडून या जोखमींच्या पार्श्वभूमीवर तुमच्या करारांचे आगाऊ पुनरावलोकन करून घेऊ इच्छिता का? आयटी कायदा संघ? कृपया मोकळेपणाने संपर्क Law & More तुमच्या परिस्थितीवर कोणत्याही बंधनाशिवाय चर्चा करण्यासाठी.

सतत विचारले जाणारे प्रश्न

या विषयावर आम्हाला वारंवार विचारल्या जाणाऱ्या प्रश्नांची उत्तरे आम्ही खाली दिली आहेत.

सायबर हल्ल्याचे बळी कोण असतात?

यात तीन स्तर आहेत. पहिला, स्वतः बाधित संस्था, जिला सिस्टम डाउनटाइम, उलाढालीतील घट, पुनर्प्राप्तीचा खर्च, फॉरेन्सिक तपासाचा खर्च आणि प्रतिष्ठेचे नुकसान सोसावे लागते. दुसरा, डेटा धारक, म्हणजेच अशा नैसर्गिक व्यक्ती ज्यांचा वैयक्तिक डेटा उघड झाला आहे, जसे की ग्राहक, कर्मचारी आणि रुग्ण. तिसरा, करार किंवा पुरवठा साखळी संबंधातून नुकसान सोसणारे तृतीय पक्ष, उदाहरणार्थ, कारण ते अशा पुरवठादारावर अवलंबून असतात ज्याचा व्यवसाय बंद पडला आहे. हे वर्गीकरण ठरवते की एखादा पक्ष कोणत्या आधारावर आणि कोणाविरुद्ध दावा दाखल करू शकतो.

डेटा उल्लंघनाची सूचना मी किती कालावधीत दिली पाहिजे?

जीडीपीआरच्या कलम ३३ नुसार, पर्यवेक्षक प्राधिकरणाला विनाकारण विलंब न करता आणि शक्य असल्यास, उल्लंघनाची माहिती मिळाल्यापासून बहात्तर तासांच्या आत सूचित करणे आवश्यक आहे. जिथे उल्लंघनामुळे नैसर्गिक व्यक्तींच्या हक्कांना आणि स्वातंत्र्यांना धोका निर्माण होण्याची शक्यता कमी असते, तिथे हे कर्तव्य लागू होत नाही. त्या मूल्यांकनामध्ये उल्लंघनाचे स्वरूप, प्रभावित झालेल्या डेटाच्या श्रेणी आणि संभाव्य परिणामांचे विश्लेषण करणे आवश्यक असते.

मी डेटा धारकांना स्वतः केव्हा कळवले पाहिजे?

जीडीपीआरच्या कलम ३४ नुसार, जेव्हा डेटा उल्लंघनामुळे डेटा धारकांच्या हक्कांना आणि स्वातंत्र्यांना उच्च धोका निर्माण होण्याची शक्यता असते. जिथे एनक्रिप्शनसारख्या योग्य तांत्रिक उपाययोजना लागू होत्या, जिथे नंतरच्या उपाययोजनांमुळे उच्च धोका पुन्हा निर्माण होणार नाही याची खात्री होते, किंवा जिथे वैयक्तिक संवाद साधण्यात प्रमाणाबाहेर प्रयत्न करावे लागतील, तिथे संवाद वगळला जाऊ शकतो. शेवटच्या प्रकरणात, एक सार्वजनिक संवाद पुरेसा ठरतो.

हॅक झालेल्या पुरवठादाराकडून मी माहिती मिळवू शकतो का?

होय, जिथे डेटा प्रोसेसिंग करारामध्ये तशी तरतूद आहे. ब्लाउ रिसर्च आणि नेबू यांच्यातील संक्षिप्त कार्यवाहीमध्ये (रॉटरडॅम जिल्हा न्यायालय, ६ एप्रिल २०२३, ECLI:NL:RBROT:2023:2931) अंतरिम दिलासा न्यायाधीशांनी असे मत मांडले की, डेटा प्रोसेसिंग करारानुसार नियंत्रकाला हल्ल्याबद्दल, त्याच्या परिणामांबद्दल आणि घेतलेल्या उपाययोजनांबद्दल, प्रदान केलेल्या माहितीपेक्षा अधिक माहिती मिळण्याचा हक्क होता, आणि त्यांनी प्रोसेसरला एक स्वतंत्र फॉरेन्सिक तपासणी करून घेण्याचा आणि नियमितपणे अहवाल देण्याचा आदेश दिला. तुमच्या स्वतःच्या सूचना देण्याच्या कर्तव्यांचे पालन करण्यासाठी त्या माहितीची आवश्यकता असते.

डेटाचा विषय म्हणून, डेटा चोरीनंतर मला आपोआप नुकसानभरपाई मिळण्याचा हक्क आहे का?

नाही. GDPR चे कलम ८२ एक स्वतंत्र आधार प्रदान करते, परंतु तुम्हाला हे सिद्ध करावे लागेल की GDPR चे उल्लंघन झाले आहे, तुम्हाला प्रत्यक्षात नुकसान झाले आहे आणि त्या उल्लंघनाचा व त्या नुकसानीचा कार्यकारण संबंध आहे. पुरावा सादर करण्याची जबाबदारी दावा करणाऱ्यावर असते.

ओळख फसवणुकीची भीती ही अमूर्त नुकसान म्हणून गणली जाते का?

ते असू शकते. Natsionalna agentsia za prihodite (CJEU 14 डिसेंबर 2023, C-340/21) या प्रकरणात युरोपियन कोर्ट ऑफ जस्टिसने असे मत मांडले की, लीक झालेल्या वैयक्तिक डेटाच्या भविष्यातील संभाव्य गैरवापराची भीती ही स्वतःच एक अमूर्त नुकसान ठरू शकते. तथापि, डेटा धारकाने ती भीती आणि तिचे परिणाम ठोसपणे सिद्ध करणे आवश्यक आहे. Österreichische Post (CJEU 4 मे 2023, C-300/21) या प्रकरणात असेही म्हटले आहे की गंभीरतेची कोणतीही किमान मर्यादा नाही, परंतु केवळ GDPR चे उल्लंघन पुरेसे नाही.

सुरक्षा उपाययोजना योग्य होत्या हे कोणाला सिद्ध करावे लागेल?

नियंत्रक. C-340/21 मध्ये न्याय न्यायालयाने पुष्टी केली की घेतलेले सुरक्षा उपाय योग्य होते हे दाखवण्याची जबाबदारी नियंत्रकाची आहे, आणि केवळ त्रयस्थ पक्षाने केलेल्या हल्ल्यामुळे तो जबाबदारीतून मुक्त होत नाही. नेदरलँड्समध्ये, एका कार डीलरच्या हॅक झालेल्या ईमेल खात्याच्या प्रकरणात हे घडले, जिथे आर्नहेम-लीउवार्डनच्या अपील न्यायालयाने प्रथम डीलरला तो पुरावा सादर करण्याची संधी दिली (ECLI:NL:GHARL:2024:6812) आणि नंतर तो सादर केला गेला नाही असे ठरवले (ECLI:NL:GHARL:2025:4556).

जर माझा आयटी पुरवठादार हल्ला ओळखण्यात अयशस्वी ठरला, तर तो जबाबदार आहे का?

ते काय मान्य झाले होते यावर अवलंबून आहे. हॉफ व्हॅन ट्वेंटे नगरपालिकेवरील सायबर हल्ल्याच्या प्रकरणात (ओव्हरिजसेल जिल्हा न्यायालय, १० मे २०२३, ECLI:NL:RBOVE:2023:1731) पक्षांनी सुरक्षा देखरेखीऐवजी कार्यात्मक देखरेखीवर सहमती दर्शवली होती. न्यायालयाने असे मानले की आयटी प्रशासकाचे काळजी घेण्याचे कर्तव्य इतके विस्तारत नाही की सुरक्षा देखरेख हा त्याचा एक अंतर्भूत भाग बनेल, आणि दावा फेटाळून लावला. जिथे एक व्यापक संपूर्ण पॅकेज पुरवले जाते, तिथे काळजी घेण्याचे कर्तव्य याउलट दूरगामी असू शकते, जसे की ओ'क्लायन्स प्रकरणात (जिल्हा न्यायालय...) Amsterdam, 14 नोव्हेंबर 2018, ECLI:NL:RBAMS:2018:10124), जिथे पुरवठादाराला नुकसानीच्या दोन तृतीयांश भागासाठी जबाबदार धरण्यात आले.

माझ्या स्वतःच्या वागणुकीमुळे नुकसानभरपाई कमी होऊ शकते का?

होय. अशा प्रकरणांमध्ये सह-दोष वारंवार दिसून येतो. ओ'क्लायन्स प्रकरणात एक तृतीयांश नुकसान ग्राहकाच्या खात्यावर आले, आणि हॅक झालेल्या ईमेल खात्याच्या प्रकरणात दोन्ही पक्षांना खरेदीदाराच्या सह-दोषावर तोडगा काढणे आवश्यक होते. त्यामुळे, तुमचे स्वतःचे पासवर्ड धोरण, उघडे ठेवलेले पोर्ट्स किंवा दुर्लक्षित केलेले इशारे यांचा थेट परिणाम निकालावर होऊ शकतो.

डेटा संरक्षण प्राधिकरण कोणते दंड आकारू शकते?

जीडीपीआरच्या उल्लंघनासाठी, पर्यवेक्षक प्राधिकरण २० दशलक्ष युरो किंवा जागतिक वार्षिक उलाढालीच्या ४ टक्के, यापैकी जी रक्कम जास्त असेल, तेवढा प्रशासकीय दंड आकारू शकते. हे दंड, संबंधित डेटा धारकांना प्रत्यक्षात नुकसान झाले आहे की नाही यावर अवलंबून नसतात आणि म्हणूनच दिवाणी दायित्वाबरोबरच एक वेगळा धोका दर्शवतात.

मी गुन्ह्याची तक्रार करून फौजदारी कारवाईद्वारे माझ्या नुकसानीची भरपाई मागू शकतो का?

होय. डच फौजदारी संहितेच्या कलम 138ab(1) नुसार, स्वयंचलित प्रणालीमध्ये हेतुपुरस्सर आणि बेकायदेशीरपणे प्रवेश मिळवणे हा गुन्हा आहे. तुम्ही पोलिसांकडे या गुन्ह्याची तक्रार करू शकता आणि, जर संशयितावर खटला चालवला गेला, तर नुकसान भरपाईचा दावा करण्यासाठी पीडित पक्ष म्हणून फौजदारी कार्यवाहीत सामील होऊ शकता. याचा निकाल हा गुन्हा शोधणे, खटला चालवणे आणि पुरावे यांवर अवलंबून असतो, परंतु आंतरराष्ट्रीय स्तरावर कार्यरत असलेल्या गुन्हेगारांच्या बाबतीत यातून अनेकदा काहीच निष्पन्न होत नाही.

सायबर विमा सामान्यतः काय समाविष्ट करतो?

सामान्यतः, लागू कायद्यानुसार विमायोग्य मर्यादेपर्यंत, घटना प्रतिसाद आणि न्यायवैद्यक तपास, प्रणाली व डेटाची पुनर्स्थापना, व्यवसाय व्यत्ययामुळे होणारे नुकसान आणि उलाढालीतील घट, संकटकालीन संवाद, तृतीय पक्षांप्रति दायित्व आणि कायदेशीर खर्च, आणि काही प्रकरणांमध्ये दंड, तडजोडीची रक्कम किंवा खंडणी यांचा समावेश असतो. अपवाद, सुरक्षा अटी, सूचना कालावधी आणि वजावटीकडे लक्ष द्या आणि एखादी घटना घडण्यापूर्वी पॉलिसीचे पुनरावलोकन करा.

हल्ल्यानंतर चुकीची कृती केल्याने माझे संरक्षण धोक्यात येऊ शकते का?

ते शक्य आहे. डच नागरी संहितेच्या कलम 7:957(1) नुसार, विमाधारक पक्षावर नुकसान टाळण्यासाठी किंवा मर्यादित करण्यासाठी वाजवी उपाययोजना करणे बंधनकारक आहे; जर हे बचावकार्याचे कर्तव्य पाळले नाही, तर विमा कंपनी भरपाईची रक्कम कमी करू शकते. विमा कंपनीच्या संमतीशिवाय बाह्य तज्ञांना नियुक्त करणे किंवा खंडणी देणे याचाही विम्याच्या संरक्षणावर परिणाम होऊ शकतो. आपल्या विमा कंपनीला शक्य तितक्या लवकर कळवा.

सायबर हल्ला झाल्यानंतर मी तात्काळ कोणती पाऊले उचलावीत?

घटनेची आणि केलेल्या सर्व कारवाईची नोंद करा, पुरावा न गमावता बाधित झालेल्या सिस्टीम्स वेगळ्या करा आणि फॉरेन्सिक तज्ञाची मदत घ्या. त्यानंतर, कळवण्याजोगा डेटा भंग झाला आहे का आणि डेटा धारकांना माहिती देणे आवश्यक आहे का, याचे मूल्यांकन करा. गुन्ह्याची तक्रार करा, तुमच्या सायबर विमा कंपनीला सूचित करा, लॉग्स, बॅकअप्स आणि पत्रव्यवहार जतन करा, झालेल्या नुकसानीचा आणि संभाव्य जबाबदार पक्षांचा नकाशा तयार करा, आणि ग्राहक, कर्मचारी व पुरवठा साखळीतील भागीदारांना काळजीपूर्वक आणि वेळेवर माहिती द्या.