Том Мийвис, өмгөөлөгч Law & More
Кибер халдлага, тухайлбал ransomware, фишинг, DDoS халдлага, компьютерын халдлага нь зөвхөн халдлагад өртсөн байгууллагад ховорхон нөлөөлдөг. Кибер халдлагын хохирогчдод мөн алдагдалд орж болзошгүй үйлчлүүлэгчид, ажилчид, өвчтөнүүд, нийлүүлэгчид болон бусад хангамжийн сүлжээний түншүүд багтдаг бөгөөд тэдний хууль эрх зүйн байдал нь бүлэг бүрт харилцан адилгүй байдаг. Тиймээс халдлагын дараа ямар үүрэг хариуцлага үйлчилж, ямар нэхэмжлэл гарсныг тогтоохыг хүссэн хүн бүр эхлээд хэн өртсөн, ямар хохирол учирсныг тодорхойлохыг зөвлөж байна.
Энэ нийтлэлд хэн хохирогч болох, мэдээллийн алдагдлыг хэзээ мэдэгдэх ёстой, ямар нөхцөлд нөхөн төлбөр авах эрх байдаг, аль талууд хариуцлага хүлээх боломжтой, эрүүгийн хууль ямар үүрэг гүйцэтгэдэг, кибер даатгалын бодлого нь юуг хамардаг, халдлагын дараа нэн даруй ямар алхам хийх ёстой талаар авч үзэх болно.
Кибер халдлагын хохирогчид хэн бэ?
Кибер халдлагад гурван бүлгийг ялгаж салгаж болно.
- Нөлөөлөлд өртсөн байгууллага өөрөө системийн доголдол, алдагдсан ажилчдын эргэлт, нөхөн төлбөрийн зардал, шүүхийн мөрдөн байцаалтын зардал болон нэр хүндэд учирсан хохиролтой тулгардаг.
- Хувийн мэдээлэл нь ил болсон хувь хүмүүс, тухайлбал үйлчлүүлэгчид, ажилчид болон өвчтөнүүд. Тэд санхүүгийн алдагдалд орж болзошгүй төдийгүй өгөгдлөө хянах чадвараа алдах, тодорхойгүй байдал эсвэл хувийн мэдээлэл луйвардахаас айх зэргээс болж материаллаг бус хохирол амсах магадлалтай.
- Жишээлбэл, систем нь эвдэрсэн нийлүүлэгчээс хамааралтай тул гэрээний эсвэл хангамжийн сүлжээний харилцаагаар дамжуулан нөлөөлөлд өртсөн гуравдагч этгээдүүд.
Энэ ангилал нь хууль эрх зүйн хувьд хамааралтай. Аливаа нэхэмжлэлийн үндэслэл, түүнийг хэний эсрэг гаргаж болох нь хохирогчийн байр сууринаас хамаарна. Нөлөөлөлд өртсөн байгууллага нь ерөнхийдөө мэдээллийн технологийн нийлүүлэгчээ гэрээний дагуу хариуцлага хүлээлгэх бол өгөгдлийн субьект нь GDPR-ийн заасан хариуцлагын бие даасан үндэслэлд шууд найдаж болно.
Мэдээллийн алдагдлыг хэзээ мэдэгдэх ёстой вэ?
Хувийн мэдээлэл кибер халдлагад өртсөн тохиолдолд хувийн мэдээллийн алдагдал байгаа эсэх, мэдэгдэх шаардлагатай эсэхийг үнэлэх ёстой. GDPR-ийн 33 дугаар зүйлд зөрчлийн талаар хяналтын байгууллагад хэт хойшлуулалгүйгээр, боломжтой бол далан хоёр цагийн дотор мэдэгдэхийг заасан байдаг бөгөөд хэрэв зөрчил нь хувь хүний эрх, эрх чөлөөнд эрсдэл учруулах магадлал багатай бол үүнийг хийх боломжгүй юм.
Үүнээс гадна, GDPR-ийн 34 дүгээр зүйлд байгууллагаас өгөгдлийн эзэмшигчдэд өөрсдөө мэдэгдэхийг шаардаж болно. Энэхүү үүрэг нь зөрчил нь тэдний эрх, эрх чөлөөнд өндөр эрсдэл учруулах магадлалтай тохиолдолд үүсдэг. Шифрлэлт зэрэг зохих техникийн арга хэмжээ авсан, дараагийн арга хэмжээ нь өндөр эрсдэл цаашид хэрэгжихгүй байхыг баталгаажуулсан, эсвэл хувь хүний харилцаа холбоо нь хэт их хүчин чармайлт шаардах тохиолдолд харилцаа холбоог орхигдуулж болно; энэ тохиолдолд олон нийтэд мэдээлэл хүргэх нь хангалттай.
Өгөгдлийн субьектийн хувьд харилцаа холбоо нь зүгээр нэг ёс төдий зүйл биш юм. Энэ нь тэдэнд нууц үгээ солих эсвэл сэжигтэй гүйлгээг хянах гэх мэт өөрсдийн арга хэмжээг авах боломжийг олгодог бөгөөд практик дээр энэ нь нөхөн төлбөр авах аливаа нэхэмжлэлийн эхлэлийн цэг болдог.
Тиймээс байгууллага нь зөвхөн халдлага болсон төдийгүй ямар өгөгдөлд нөлөөлсөн, өгөгдөл үнэхээр шүүлтүүрээр устгагдсан эсэх, үүнээс үүдэлтэй ямар эрсдэлүүд байгааг тогтоох ёстой. Энэ зорилгоор бие даасан шүүх эмнэлгийн мөрдөн байцаалт зайлшгүй шаардлагатай байдаг.
Энэ нь халдлага байгууллагад биш харин процессор дээр гарсан тохиолдолд бүр ч хамаатай. Blauw Research болон Nebu-ийн хоорондох товч хэлэлцүүлгийн үеэр (Роттердамын дүүргийн шүүх, 2023 оны 4-р сарын 6, ECLI:NL:RBROT:2023:2931) түр шүүгч талуудын хооронд байгуулсан өгөгдөл боловсруулах гэрээний дагуу хянагч нь халдлага, түүний үр дагавар, авсан арга хэмжээний талаар анх өгөгдсөнөөс илүү их мэдээлэл авах эрхтэй гэж үзсэн. Мөн боловсруулагчид бие даасан шүүх эмнэлгийн мөрдөн байцаалт явуулж, үе үе тайлагнах үүрэг өгсөн. Шүүхийн шийдвэрээс харахад сайн боловсруулсан өгөгдөл боловсруулах гэрээ нь ослын дараа мэдээлэл авах хамгийн чухал хэрэгсэл бөгөөд яг л хянагч өөрийн мэдэгдлийн үүргээ биелүүлэхийн тулд уг мэдээлэл шаардлагатай байдаг.
Нөхөн төлбөр авах эрх хэзээ үүсдэг вэ?
Өгөгдлийн эзэд GDPR-ийн 82 дугаар зүйлийн дагуу хянагч эсвэл боловсруулагчаас нөхөн төлбөр нэхэмжилж болно. Гэсэн хэдий ч кибер халдлага нь автоматаар нэхэмжлэл гаргах шалтгаан болдоггүй. Үүнийг дараах байдлаар нотлох ёстой:
- GDPR-ийг зөрчсөн;
- тэр хохирол үнэхээр учирсан; мөн
- тухайн зөрчил болон хохирлын хооронд учир шалтгааны холбоо байгаа эсэхийг.
Материаллаг хохирол нь санхүүгийн алдагдал, нөхөн төлбөрийн зардал эсвэл хувийн мэдээллийг залилан мэхлэхээс үүдэлтэй алдагдал байж болно. Материаллаг бус хохирлын тухайд Европын Холбооны Шүүх Österreichische Post (CJEU 2023 оны 5-р сарын 4, C-300/21) хэрэгт ноцтой байдлын доод хэмжээ байхгүй боловч GDPR-ийг зөрчсөн нь зөвхөн шийдвэр гаргахад хангалтгүй гэж үзсэн.
Кибер халдлагын дараа гарсан мэдээллийн алдагдлыг шийдвэрлэхэд онцгой ач холбогдолтой зүйл бол Үндэсний эрх бүхий этгээдийн тухай хууль (CJEU 2023 оны 12-р сарын 14, C-340/21) юм. Тэнд шүүх алдагдсан хувийн мэдээллийг ирээдүйд буруугаар ашиглахаас айх нь өөрөө материаллаг бус хохирол учруулж болзошгүй гэж үзсэн. Гэсэн хэдий ч мэдээллийн эзэмшигч нь энэхүү айдас болон түүний үр дагаврыг тодорхой нотлох ёстой; зөвхөн мэдээлэл алдагдсан гэдгийг онцлох нь хангалтгүй юм. Мөн шүүх мөн адил шийдвэртээ авсан аюулгүй байдлын арга хэмжээ нь зохистой байсан гэдгийг хянагч нотлох үүрэгтэй бөгөөд гуравдагч этгээдийн халдлага нь хянагчийг хариуцлагаас чөлөөлөхгүй гэдгийг баталгаажуулсан.
GDPR-ийн дагуу хариуцлага нь гэрээ зөрчих болон гэмт хэргийн иргэний эрх зүйн үндэслэлтэй хамт оршдог. Нидерландын Иргэний хуулийн 6:162(1)-р зүйлийн дагуу хууль бус үйлдэл үйлдсэн тал учирсан хохирлыг нөхөн төлөх ёстой. 6:163-р зүйлийн харьцангуйн шаардлага хамаарна: зөрчигдсөн хэм хэмжээ нь хохирогч талын учирсан хохирлын төрлөөс хамгаалах ёстой.
Чухал зүйл бол GDPR-ийн 82 дугаар зүйл эдгээр үндэслэлтэй хамт байдаг. Тиймээс өгөгдлийн субьект нь зөвхөн гэрээ зөрчсөн эсвэл гэмт хэрэг үйлдсэн тохиолдолд нэхэмжлэл гаргах үүрэггүй бөгөөд GDPR-ийн заасан хариуцлагын бие даасан үндэслэлд шууд найдаж болно. Нөлөөлөлд өртсөн байгууллагын хувьд энэхүү үндэслэлийн хослол нь халдлагын дараа хэд хэдэн тал нэгэн зэрэг нэхэмжлэл гаргаж болно гэсэн үг юм.
Хэн хариуцлага хүлээж болох вэ?
Нөлөөлөлд өртсөн байгууллага гэрээний үүргээ биелүүлээгүй эсвэл аюулгүй байдлын арга хэмжээ хангалтгүй авсан тохиолдолд хариуцлага хүлээж болно. Мэдээллийн технологийн үйлчилгээ үзүүлэгч эсвэл боловсруулагчийг мөн хариуцлагад татаж болно. Тухайн үйлчилгээ үзүүлэгчээс юу хүлээж болохыг юуны түрүүнд гэрээгээр тодорхойлно.
Боловсруулалтын харилцааны хүрээнд өгөгдөл боловсруулах гэрээ нь гол үүрэг гүйцэтгэдэг. GDPR-ийн 28-р зүйлд хянагч болон боловсруулагч нь аюулгүй байдлын арга хэмжээ болон өгөгдлийн алдагдлыг зохицуулахтай холбоотой ийм гэрээ байгуулахыг шаарддаг. Хэрэв халдлага нь процессорын аюулгүй байдал хангалтгүй байгаагаас үүдэлтэй бол хянагч нь уг гэрээний дагуу процессорыг хохирлыг хариуцахаар шаардаж болно.
Энэ нь Хоф ван Твенте хотын захиргаанд гарсан кибер халдлагын талаарх хэрэгт (Оверейсселийн дүүргийн шүүх, 2023 оны 5-р сарын 10, ECLI:NL:RBOVE:2023:1731) тод харагдаж байна. Талууд аюулгүй байдлын хяналт биш, харин үйл ажиллагааны хяналт тавих талаар тохиролцсон. Шүүх мэдээллийн технологийн админы анхаарал халамж тавих үүрэг нь аюулгүй байдлын хяналт нь үйл ажиллагааны хяналт хийх даалгаврын нууц хэсэг болох хэмжээнд хүрээгүй гэж үзээд хотын захиргааны нэхэмжлэлийг хэрэгсэхгүй болгосон. Түүнчлэн хотын захиргаа өөрөө нууц үгийн бодлого, RDP порт нээх зэрэг эрсдэлийг нэмэгдүүлсэн шийдвэрүүдийг гаргасан гэж үзсэн.
Толин тусгал дүр зураг бол О'Клиансын хэрэг (Дүүргийн шүүх) юм. Amsterdam, 2018 оны 11-р сарын 14, ECLI:NL:RBAMS:2018:10124). Тэнд нийлүүлэгч нь бүрэн мэдээллийн технологийн дэд бүтцийг суурилуулж, түүний менежментийг хариуцаж авсан. Нөөцлөлтийг мөн шифрлэсэн ransomware халдлагын дараа шүүх ийм бүрэн багцын нийлүүлэлт нь маш их анхаарал халамж шаарддаг бөгөөд шууд арга хэмжээ аваагүй гэж үзсэн. Гэсэн хэдий ч хариуцлага бүрэн хэмжээгээр шийдэгдээгүй: үйлчлүүлэгчийн буруутай үйлдлээс болж хохирлын гуравны хоёр нь нийлүүлэгчийн дансанд үлдсэн.
Зохих аюулгүй байдлын нотлох баримтын ачаалал хэр их байгааг автомашины дилерийн имэйл хаягийг хакердсан хэрэг харуулж байна. 2024 оны 11-р сарын 5-ны өдрийн завсрын шийдвэрээр (Арнем-Леувардены Давж заалдах шатны шүүх, ECLI:NL:GHARL:2024:6812) хакер худалдан авагч руу хуурамч төлбөрийн заавар илгээхэд тухайн дансыг ашигласны дараа дилерт имэйл хаяг нь GDPR-ийн утгаар зохих ёсоор хамгаалагдсан болохыг нотлох боломжийг олгосон. 2025 оны 7-р сарын 22-ны өдрийн дараагийн шийдвэрээр (ECLI:NL:GHARL:2025:4556) шүүх энэхүү нотлох баримтыг хүргүүлээгүй бөгөөд үүний дараа талууд худалдан авагчийн оруулсан хувь нэмрийн бурууг шийдвэрлэх ёстой гэж үзсэн. Тиймээс хоёр шийдвэр хоёулаа ижил хэрэг хянан шийдвэрлэх ажиллагаанд хамаарна.
Нийтлэг зүйл бол гэрээний зохицуулалт, боловсруулалтын эрсдэл, бодитоор авсан арга хэмжээ, хоёр талын өгсөн анхааруулга, хохирогчийн өөрийнх нь зан байдал зэрэг нь бүгд чухал юм. Иргэний хариуцлагын зэрэгцээ Голландын Мэдээлэл Хамгаалах Газар дэлхийн жилийн эргэлтийн 4 хувь буюу 20 сая евро хүртэлх захиргааны торгууль ногдуулж болзошгүй бөгөөд аль өндөр байгаагаас хамаарна. Эдгээр торгууль нь тухайн өгөгдлийн субъектууд хохирол амссан эсэхээс үл хамаарна.
Эрүүгийн хуулийн чиглэл
Кибер халдлага нь компьютерт халдах, өгөгдөлд хандах боломжгүй болгох, олон нийтэд нээлттэй бус мэдээллийг ашиглах зэрэг гэмт хэрэгт тооцогдож болно. Нидерландын Эрүүгийн хуулийн 138ab(1) зүйлд автоматжуулсан системд санаатайгаар болон хууль бусаар нэвтрэхийг гэмт хэрэг гэж заасан байдаг.
Хохирогчид гэмт хэргийн талаар цагдаад мэдэгдэж болох бөгөөд цагдаагийн байгууллагад кибер гэмт хэрэгтэй тэмцэх тусгай баг ажилладаг. Сэжигтнийг эрүүгийн хэрэгт татсан тохиолдолд хохирогч эрүүгийн хэрэгт хохирогчийн хувиар оролцож, тэндээс нөхөн төлбөр нэхэмжлэх боломжтой. Энэ арга нь тусдаа иргэний хэрэг хянан шийдвэрлэх ажиллагаанаас зайлсхийх боловч үр дүн нь илрүүлэлт, яллах, нотлох баримтаас хамаардаг бөгөөд олон улсын хэмжээнд үйл ажиллагаа явуулдаг гэмт хэрэгтнүүдийн хувьд энэ нь ихэвчлэн үр дүнгүй байдаг. Байгууллагуудын хувьд мэдээлэх нь практик шаардлага болдог, учир нь даатгагчид болон нийлүүлэлтийн сүлжээний түншүүд үүнийг хүсдэг.
Кибер даатгал юуг хамардаг вэ?
Кибер даатгалын бодлого нь бусад зүйлсийн дотор дараахь зүйлийг хамруулж болно.
- ослын хариу арга хэмжээ болон шүүх эмнэлгийн мөрдөн байцаалт;
- систем болон өгөгдлийг сэргээх;
- бизнесийн тасалдал болон эргэлтийн алдагдал;
- хямралын харилцаа холбоо;
- гуравдагч этгээдийн өмнө хүлээх хариуцлага;
- хууль эрх зүйн зардал; болон
- зарим тохиолдолд холбогдох хуулийн дагуу даатгуулж болох хэмжээгээр торгууль, төлбөр тооцооны төлбөр эсвэл барьцаа.
Тодорхой хамгаалалт нь бодлогоос хамаарна. Хасалт, аюулгүй байдлын нөхцөл, мэдэгдлийн хугацаа, хасалт болон мэргэжилтнүүдийг татах шаардлагад анхаарлаа хандуулаарай. Нидерландын Иргэний хуулийн 7:957(1) зүйлд даатгуулагч тал алдагдлыг урьдчилан сэргийлэх эсвэл хязгаарлах зохих арга хэмжээ авах үүрэг хүлээсэн. Аврах үүргээ биелүүлээгүй тохиолдолд даатгагч төлбөрийг бууруулж болно.
Тиймээс кибер даатгагчид аль болох хурдан мэдэгдэх хэрэгтэй. Даатгагчийн зөвшөөрөлгүйгээр гадны мэргэжилтнүүдийг татах эсвэл барьцаа төлөх нь даатгалд нөлөөлж болзошгүй.
Кибер халдлагын дараа та нэн даруй юу хийх ёстой вэ?
- Болсон явдал болон холбогдох бүх үйлдлийг сайтар тэмдэглэ.
- Нотлох баримтаа алдалгүйгээр нөлөөлөлд өртсөн системийг тусгаарлах.
- Шүүх эмнэлгийн шинжээч ажилд авна.
- Мэдэгдэх боломжтой мэдээллийн алдагдал байгаа эсэхийг үнэлнэ үү.
- Өгөгдлийн субъектууд мэдээлэлтэй байх ёстой эсэхийг үнэл.
- Зөрчлийн талаар цагдаад мэдэгдэх.
- Энэ явдлын талаар кибер даатгагчдаа мэдэгдээрэй.
- Лог, нөөцлөлт, имэйл болон бусад холбогдох өгөгдлийг хадгалах.
- Хохирол болон хариуцлага хүлээх магадлалтай талуудын газрын зургийг зур.
- Үйлчлүүлэгчид, ажилчид болон хангамжийн сүлжээний түншүүддээ цаг тухайд нь, болгоомжтой мэдэгдэх.
Тиймээс кибер халдлага нь зөвхөн техникийн осол биш юм. Энэ нь мөн өгөгдөл хамгаалах, иргэний хууль, эрүүгийн хууль, даатгалын хуулийн асуудал юм. Хурдан бөгөөд сайн баримтжуулсан хариу арга хэмжээ нь хохирлыг хязгаарлаад зогсохгүй мэдэгдэл, даатгалын хамгаалалт болон аливаа хэрэг хянан шийдвэрлэх ажиллагааны нотлох баримтын байр сууринд шийдвэрлэх үүрэг гүйцэтгэдэг.
Хаалтын үед
Кибер халдлагын дараах эрх, үүрэг нь хуулийн хэд хэдэн салбарт тархсан бөгөөд хэргийн үр дүн нь тодорхой баримт, гэрээний агуулга, бүртгэлийн чанараас ихээхэн хамаардаг. Хэлэлцсэн шүүхийн практикт нийлүүлэгч болон үйлчлүүлэгчийг өөрсдийн үйлдлээр нь шүүдэг бөгөөд далан хоёр цагийн мэдэгдлийн хугацаа зэрэг хугацаа нь хойшлуулах зай багатай байдгийг харуулж байна.
Law & More байгууллага болон өгөгдлийн субьектуудад кибер ослыг хууль ёсны дагуу шийдвэрлэхэд тусалдаг: мэдэгдлийн үүргийг үнэлэх, өгөгдөл боловсруулах гэрээг хянахаас эхлээд хариуцлага тогтоох, даатгалын асуудал, алдагдлыг нөхөн төлүүлэх хүртэл. Та кибер халдлага эсвэл өгөгдлийн алдагдалтай тулгарч байна уу, эсвэл гэрээгээ эдгээр эрсдэлийн эсрэг манай байгууллага урьдчилан хянаж үзэхийг хүсч байна уу? Мэдээллийн технологийн хууль баг уу? Бүү эргэлзээрэй Холбоо барих Law & More таны нөхцөл байдлын талаар ямар ч үүрэггүй хэлэлцүүлэгт зориулав.
Түгээмэл асуултууд
Доор бид энэ сэдвээр хамгийн их асуудаг асуултуудад хариулна.
Кибер халдлагын хохирогчид хэн бэ?
Гурван давхарга байдаг. Нэгдүгээрт, системийн зогсолт, алдагдсан эргэлт, нөхөн төлбөрийн зардал, шүүхийн шинжилгээний зардал болон нэр хүндийн хохирлыг хариуцдаг нөлөөлөлд өртсөн байгууллага өөрөө. Хоёрдугаарт, өгөгдлийн субьектууд буюу хувийн мэдээлэл нь ил болсон хувь хүмүүс, тухайлбал үйлчлүүлэгчид, ажилчид, өвчтөнүүд. Гуравдугаарт, гэрээний эсвэл хангамжийн сүлжээний харилцаанаас болж хохирол амссан гуравдагч этгээдүүд, жишээлбэл, тэд дампуурсан нийлүүлэгчээс хамааралтай байдаг. Энэ ангилал нь тал ямар үндэслэлээр, хэний эсрэг нэхэмжлэл гаргаж болохыг тодорхойлдог.
Мэдээллийн алдагдлыг ямар хугацаанд мэдэгдэх ёстой вэ?
GDPR-ийн 33 дугаар зүйлд зөрчлийн талаар мэдсэнээс хойш далан хоёр цагийн дотор хяналтын байгууллагад мэдэгдэхийг шаарддаг. Зөрчил нь хувь хүний эрх, эрх чөлөөнд эрсдэл учруулах магадлал багатай тохиолдолд энэ үүрэг хамаарахгүй. Энэхүү үнэлгээнд зөрчлийн мөн чанар, нөлөөлөлд өртсөн мэдээллийн ангилал, болзошгүй үр дагаврыг шинжлэх шаардлагатай.
Өгөгдлийн субьектуудад хэзээ өөрсдөө мэдэгдэх ёстой вэ?
GDPR-ийн 34 дүгээр зүйлийн дагуу, зөрчил нь өгөгдлийн субьектуудын эрх, эрх чөлөөнд өндөр эрсдэл учруулах магадлалтай. Шифрлэлт зэрэг зохих техникийн арга хэмжээ авсан, дараагийн арга хэмжээ нь өндөр эрсдэл цаашид биелэхгүй байхыг баталгаажуулсан, эсвэл хувь хүний харилцаа холбоо нь хэт их хүчин чармайлт шаардах тохиолдолд харилцаа холбоог орхигдуулж болно. Энэ сүүлийн тохиолдолд олон нийтэд мэдээлэл хүргэх нь хангалттай.
Хакердуулсан нийлүүлэгчээс мэдээлэл авахыг би шаардаж болох уу?
Тийм ээ, өгөгдөл боловсруулах гэрээнд заасан тохиолдолд. Blauw Research болон Nebu-ийн хоорондох товч хэлэлцээрт (Роттердамын дүүргийн шүүх, 2023 оны 4-р сарын 6, ECLI:NL:RBROT:2023:2931) түр шүүгч өгөгдөл боловсруулах гэрээний дагуу хянагч нь халдлага, түүний үр дагавар, авсан арга хэмжээний талаар өгөгдсөнөөс илүү их мэдээлэл авах эрхтэй гэж үзээд боловсруулагчийг бие даасан шүүх эмнэлгийн мөрдөн байцаалт явуулж, үе үе мэдээлэхийг тушаасан. Энэ мэдээлэл нь таны өөрийн мэдэгдлийн үүргийг гүйцэтгэхэд шаардлагатай.
Өгөгдлийн субьектийн хувьд би өгөгдлийн алдагдлын дараа автоматаар нөхөн төлбөр авах эрхтэй юу?
Үгүй. GDPR-ийн 82 дугаар зүйл нь бие даасан үндэслэлийг өгдөг боловч та GDPR-ийг зөрчсөн, танд үнэхээр хохирол учирсан, зөрчил болон уг хохирлын хооронд учир шалтгааны холбоо байгааг нотлох ёстой. Нотлох үүрэг нь нэхэмжлэгч дээр байна.
Хувь хүний мэдээлэл залилан мэхлэхээс айх нь материаллаг бус хохирол гэж тооцогдох уу?
Энэ нь байж болно. Хувийн мэдээллийг алдагдуулахаас айх нь өөрөө материаллаг бус хохирол учруулж болзошгүй гэж Шүүхийн Үндэсний шүүх (CJEU 2023 оны 12-р сарын 14, C-340/21)-д үзсэн. Гэсэн хэдий ч мэдээллийн эзэмшигч нь энэхүү айдсаа болон түүний үр дагаврыг тодорхой нотлох ёстой. Österreichische Post (CJEU 2023 оны 5-р сарын 4, C-300/21)-д ноцтой байдлын хамгийн бага босго гэж байхгүй боловч зөвхөн GDPR-ийг зөрчих нь хангалтгүй гэж нэмж хэлэв.
Аюулгүй байдлын арга хэмжээ зохистой байсан гэдгийг хэн нотлох ёстой вэ?
Хянагч. C-340/21 хэрэгт Шүүх нь аюулгүй байдлын арга хэмжээ нь зохистой байсан бөгөөд гуравдагч этгээдийн халдлага нь өөрөө түүнийг хариуцлагаас чөлөөлөхгүй гэдгийг хянагчийн үүрэг гэдгийг баталгаажуулсан. Нидерландад энэ нь автомашины дилерийн хакердсан имэйл хаягийн хэрэгт тохиолдсон бөгөөд Арнем-Леувардены Давж заалдах шатны шүүх эхлээд дилерт уг нотлох баримтыг өгөх боломжийг олгосон (ECLI:NL:GHARL:2024:6812), дараа нь үүнийг өгөөгүй гэж шийдвэрлэсэн (ECLI:NL:GHARL:2025:4556).
Хэрэв миний мэдээллийн технологийн нийлүүлэгч халдлагыг илрүүлж чадаагүй бол хариуцлага хүлээх үү?
Энэ нь юу тохиролцсоноос хамаарна. Хоф ван Твенте хотын захиргаанд гарсан кибер халдлагын талаарх хэрэгт (Оверейсселийн дүүргийн шүүх, 2023 оны 5-р сарын 10, ECLI:NL:RBOVE:2023:1731) талууд аюулгүй байдлын хяналт биш харин үйл ажиллагааны хяналт тавих талаар тохиролцсон. Шүүх мэдээллийн технологийн админы халамжлах үүрэг нь аюулгүй байдлын хяналт нь түүний нууц хэсэг болох хэмжээнд хүрээгүй гэж үзээд нэхэмжлэлийг хэрэгсэхгүй болгосон. Илүү өргөн хүрээтэй багцыг нийлүүлсэн тохиолдолд халамжлах үүрэг нь О'Клианс (дүүргийн шүүх)-ийн хэрэгт дурдсан шиг өргөн хүрээтэй байж болно. Amsterdam, 2018 оны 11-р сарын 14, ECLI:NL:RBAMS:2018:10124), нийлүүлэгч нь алдагдлын гуравны хоёрыг хариуцах үүрэгтэй гэж үзсэн.
Миний өөрийн үйлдэл нөхөн төлбөрийг бууруулж чадах уу?
Тийм ээ. Эдгээр тохиолдолд нэмэлт алдаа давтагдах үүрэг гүйцэтгэдэг. O'Cliance-д алдагдлын гуравны нэг нь үйлчлүүлэгчийн дансанд үлдсэн бөгөөд имэйл хаягийг хакердсан тохиолдолд талууд худалдан авагчийн нэмэлт алдааг шийдвэрлэх шаардлагатай байв. Тиймээс таны өөрийн нууц үгийн бодлого, нээлттэй үлдээсэн портууд эсвэл анхааруулгыг үл тоомсорлосноор үр дүнд шууд нөлөөлж болно.
Мэдээлэл хамгаалах байгууллага ямар торгууль ногдуулж болох вэ?
GDPR-ийг зөрчсөн тохиолдолд хяналтын байгууллага нь дэлхийн хэмжээний жилийн эргэлтийн 4 хувь буюу 20 сая евро хүртэлх захиргааны торгууль ногдуулж болно, аль нь өндөр байгаагаас хамаарна. Эдгээр торгууль нь тухайн өгөгдлийн субъектууд үнэхээр хохирол амссан эсэхээс үл хамаарах тул иргэний хариуцлагын хамт тусдаа эрсдэл үүсгэдэг.
Би гэмт хэргийн талаар мэдээлж, эрүүгийн хэрэг хянан шийдвэрлэх ажиллагааны журмаар хохирлоо нэхэмжилж болох уу?
Тийм ээ. Нидерландын Эрүүгийн хуулийн 138ab(1) зүйлд автоматжуулсан системд санаатайгаар болон хууль бусаар нэвтрэхийг гэмт хэрэг гэж заасан байдаг. Та гэмт хэргийн талаар цагдаад мэдэгдэж, сэжигтнийг ялласан тохиолдолд хохирогчийн хувиар эрүүгийн хэрэгт холбогдож, тэнд нөхөн төлбөр нэхэмжлэх боломжтой. Үр дүн нь илрүүлэлт, яллах ажиллагаа, нотлох баримтаас хамаардаг бөгөөд олон улсын хэмжээнд үйл ажиллагаа явуулж буй гэмт хэрэгтнүүдийн хувьд энэ нь ихэвчлэн ямар ч үр дүнд хүргэдэггүй.
Кибер даатгал нь ихэвчлэн юуг хамардаг вэ?
Ихэвчлэн ослын хариу арга хэмжээ авах, шүүх эмнэлгийн мөрдөн байцаалт явуулах, систем болон өгөгдлийг сэргээх, бизнесийн тасалдлын алдагдал болон алдагдсан эргэлт, хямралын харилцаа холбоо, гуравдагч этгээдийн өмнө хүлээх хариуцлага болон хууль эрх зүйн зардал, зарим тохиолдолд холбогдох хуулийн дагуу даатгуулж болох хэмжээгээр торгууль, төлбөр тооцоо эсвэл барьцаа төлөх зэрэг орно. Үл хамаарах зүйлс, аюулгүй байдлын нөхцөл, мэдэгдлийн хугацаа болон хасалтуудыг анхаарч, ослын өмнө бодлогыг хянаж үзэх.
Довтолгооны дараа буруу үйлдэл хийснээр би хамгаалалтаа алдаж болох уу?
Энэ боломжтой. Нидерландын Иргэний хуулийн 7:957(1) зүйлд даатгуулагч тал алдагдлыг урьдчилан сэргийлэх эсвэл хязгаарлах зохих арга хэмжээ авах үүрэг хүлээсэн; аврах үүргээ биелүүлээгүй тохиолдолд даатгагч төлбөрийг бууруулж болно. Даатгагчийн зөвшөөрөлгүйгээр гадны мэргэжилтнүүдийг татах эсвэл барьцаа төлөх нь хамгаалалтад нөлөөлж болзошгүй. Даатгагчдаа аль болох хурдан мэдэгдээрэй.
Кибер халдлагын дараа би ямар алхамуудыг нэн даруй хийх ёстой вэ?
Ослын болон авсан бүх арга хэмжээг тэмдэглэж, нөлөөлөлд өртсөн системийг нотлох баримтаа алдалгүйгээр тусгаарлаж, шүүх эмнэлгийн мэргэжилтэн хөлслөх. Дараа нь мэдэгдэх ёстой мэдээллийн алдагдал байгаа эсэх, мэдээллийн субъектуудад мэдэгдэх шаардлагатай эсэхийг үнэлэх. Зөрчлийн талаар мэдээлэх, кибер даатгагчдаа мэдэгдэх, бүртгэл, нөөц хуулбар, захидал харилцааг хадгалах, хохирол болон хариуцлага хүлээх магадлалтай талуудыг зураглах, үйлчлүүлэгчид, ажилчид болон хангамжийн сүлжээний түншүүдэд цаг тухайд нь болгоомжтой мэдэгдэх.
