साइबर आक्रमणका पीडितहरूको अधिकार: सूचना कर्तव्य, क्षतिपूर्ति र बीमा

टम मेभिस द्वारा, वकिल मा Law & More

ransomware, phising, DDoS आक्रमण र कम्प्युटर घुसपैठ जस्ता साइबर आक्रमणहरूले आक्रमणमा परेको संस्थालाई मात्र विरलै असर गर्छन्। साइबर आक्रमणका पीडितहरूमा ग्राहकहरू, कर्मचारीहरू, बिरामीहरू, आपूर्तिकर्ताहरू र अन्य आपूर्ति श्रृंखला साझेदारहरू पनि समावेश छन् जसले क्षति भोग्न सक्छन्, र तिनीहरूको कानुनी स्थिति समूह-समूहमा फरक हुन्छ। आक्रमण पछि, कुन दायित्वहरू लागू हुन्छन् र कुन दावीहरू अवस्थित छन् भनेर स्थापित गर्न खोज्ने जो कोहीलाई पहिले को प्रभावित भएको छ र के क्षति भएको छ भनेर ठ्याक्कै निर्धारण गर्न सल्लाह दिइन्छ।

यस लेखले पीडितको रूपमा को योग्य हुन्छ, डेटा उल्लङ्घनको बारेमा कहिले सूचित गर्नुपर्छ, क्षतिपूर्तिको अधिकार कस्ता सर्तहरूमा अवस्थित छ, कुन पक्षहरू जिम्मेवार हुन सक्छन्, फौजदारी कानूनले कस्तो भूमिका खेल्छ, साइबर बीमा नीतिले सामान्यतया के कभर गर्छ, र आक्रमण पछि तुरुन्तै कस्ता कदमहरू चाल्नुपर्छ भन्ने कुराहरूलाई सम्बोधन गर्दछ।

साइबर आक्रमणका पीडितहरू को हुन्?

साइबर आक्रमणमा तीन समूह छुट्याउन सकिन्छ।

• प्रभावित संस्था आफैं, जसले प्रणाली डाउनटाइम, गुमाएको कारोबार, रिकभरी लागत, फोरेन्सिक अनुसन्धानको लागत र प्रतिष्ठामा क्षतिको सामना गरिरहेको छ।
• ग्राहक, कर्मचारी र बिरामी जस्ता व्यक्तिगत डेटा उजागर भएका प्राकृतिक व्यक्तिहरू। उनीहरूले वित्तीय क्षति भोग्न सक्छन्, तर आफ्नो डेटामाथि नियन्त्रण गुमाउनु, अनिश्चितता वा पहिचान ठगीको डरले गर्दा गैर-भौतिक क्षति पनि हुन सक्छ।
• तेस्रो पक्षहरू सम्झौता वा आपूर्ति श्रृंखला सम्बन्ध मार्फत प्रभावित हुन्छन्, उदाहरणका लागि किनभने तिनीहरू आपूर्तिकर्तामा निर्भर हुन्छन् जसको प्रणालीहरू बिग्रिएका छन्।

यो वर्गीकरण कानुनी रूपमा सान्दर्भिक छ। कुनै पनि दावीको आधार, र यो कुन पक्ष विरुद्ध ल्याउन सकिन्छ, पीडितको स्थितिमा निर्भर गर्दछ। प्रभावित संस्थाले सामान्यतया आफ्नो IT आपूर्तिकर्तालाई सम्झौता अन्तर्गत जवाफदेही बनाउँछ, जबकि डेटा विषयले GDPR ले प्रदान गर्ने दायित्वको लागि प्रत्यक्ष रूपमा स्ट्यान्डअलोन आधारमा भर पर्न सक्छ।

डेटा उल्लङ्घनको बारेमा कहिले सूचित गर्नुपर्छ?

जहाँ व्यक्तिगत डेटा साइबर आक्रमणमा संलग्न छ, त्यहाँ व्यक्तिगत डेटा उल्लङ्घन छ कि छैन र सूचना अनिवार्य छ कि छैन भनेर मूल्याङ्कन गर्नुपर्छ। धारा ३३ GDPR ले उल्लङ्घनलाई अनावश्यक ढिलाइ नगरी पर्यवेक्षक अधिकारीलाई सूचित गर्न आवश्यक छ र, जहाँ सम्भव छ, बहात्तर घण्टा भित्र, जबसम्म उल्लङ्घनले प्राकृतिक व्यक्तिहरूको अधिकार र स्वतन्त्रतामा जोखिम निम्त्याउने सम्भावना हुँदैन।

यसको अतिरिक्त, धारा ३४ GDPR ले संस्थालाई डेटा विषयहरूलाई आफैं जानकारी गराउन आवश्यक हुन सक्छ। त्यो दायित्व त्यहाँ उत्पन्न हुन्छ जहाँ उल्लङ्घनले उनीहरूको अधिकार र स्वतन्त्रतामा उच्च जोखिम निम्त्याउने सम्भावना हुन्छ। जहाँ उपयुक्त प्राविधिक उपायहरू जस्तै इन्क्रिप्शन स्थानमा थिए, जहाँ पछिल्ला उपायहरूले उच्च जोखिम अब साकार नहुने सुनिश्चित गर्दछ, वा जहाँ व्यक्तिगत सञ्चारमा असमान प्रयास समावेश हुनेछ, त्यहाँ सञ्चारलाई बेवास्ता गर्न सकिन्छ; त्यो अन्तिम अवस्थामा सार्वजनिक सञ्चार पर्याप्त हुन्छ।

डेटा विषयको लागि त्यो सञ्चार औपचारिकता भन्दा बढी हो। यसले उनीहरूलाई आफ्नै उपायहरू लिन सक्षम बनाउँछ, उदाहरणका लागि पासवर्ड परिवर्तन गरेर वा शंकास्पद लेनदेनहरूको निगरानी गरेर, र व्यवहारमा यो प्रायः क्षतिपूर्तिको लागि कुनै पनि दाबीको सुरुवात बिन्दु हो।

त्यसकारण, कुनै पनि संस्थाले आक्रमण भएको मात्र होइन, तर कुन डेटा प्रभावित भएको थियो, वास्तवमा डेटा हटाइएको थियो कि थिएन र त्यसबाट कस्ता जोखिमहरू उत्पन्न हुन्छन् भन्ने कुरा पनि स्थापित गर्नुपर्छ। त्यस उद्देश्यका लागि स्वतन्त्र फोरेन्सिक अनुसन्धान प्रायः अपरिहार्य हुन्छ।

यो कुरा संस्थामा भन्दा प्रोसेसरमा आक्रमण भएको ठाउँमा बढी लागू हुन्छ। ब्लाउ रिसर्च र नेबु (रोटरडम जिल्ला अदालत, ६ अप्रिल २०२३, ECLI:NL:RBROT:२०२३:२९३१) बीचको सारांश कार्यवाहीमा अन्तरिम राहत न्यायाधीशले पक्षहरू बीच सम्पन्न डाटा प्रशोधन सम्झौता अन्तर्गत, नियन्त्रकलाई आक्रमण, यसको परिणाम र सुरुमा प्रदान गरिएको भन्दा बढी जानकारीको हकदार रहेको ठहर गरे। प्रोसेसरलाई स्वतन्त्र फोरेन्सिक अनुसन्धान गर्न र समय-समयमा रिपोर्ट गर्न पनि आदेश दिइएको थियो। फैसलाले देखाउँछ कि राम्रोसँग मस्यौदा गरिएको डाटा प्रशोधन सम्झौता व्यवहारमा घटना पछि समयमै जानकारी प्राप्त गर्नको लागि सबैभन्दा महत्त्वपूर्ण साधन हो, ठ्याक्कै किनभने नियन्त्रकलाई आफ्नो सूचना कर्तव्यहरू पूरा गर्न त्यो जानकारी चाहिन्छ।

क्षतिपूर्तिको अधिकार कहिले उत्पन्न हुन्छ?

डेटा विषयहरूले धारा ८२ GDPR अन्तर्गत नियन्त्रक वा प्रोसेसरबाट क्षतिपूर्ति दाबी गर्न सक्छन्। यद्यपि, साइबर आक्रमणले स्वचालित रूपमा दाबीलाई जन्म दिँदैन। यसलाई प्रमाणित गर्नुपर्छ:

• GDPR उल्लङ्घन भएको छ कि छैन;
• क्षति वास्तवमा भएको छ; र
• त्यो उल्लङ्घन र त्यो क्षति बीच कारणात्मक सम्बन्ध छ।

भौतिक क्षतिमा वित्तीय क्षति, पुनर्प्राप्ति लागत वा पहिचान ठगीबाट हुने क्षति समावेश हुन सक्छ। गैर-भौतिक क्षतिको सन्दर्भमा, युरोपेली संघको न्याय अदालतले Österreichische Post (CJEU ४ मे २०२३, C-३००/२१) मा निर्णय गर्‍यो कि गम्भीरताको कुनै न्यूनतम सीमा छैन, तर GDPR को उल्लङ्घन मात्र पुरस्कारको लागि पर्याप्त छैन।

साइबर आक्रमण पछि हुने डेटा उल्लंघनको लागि विशेष सान्दर्भिकता राष्ट्रिय एजेन्सीहरू prihodite (CJEU १४ डिसेम्बर २०२३, C-३४०/२१) हो। त्यहाँ अदालतले भन्यो कि चुहावट भएको व्यक्तिगत डेटाको सम्भावित भविष्यको दुरुपयोगको डर आफैंमा गैर-भौतिक क्षति हुन सक्छ। यद्यपि, डेटा विषयले त्यो डर र यसको परिणामहरूलाई ठोस रूपमा प्रमाणित गर्नुपर्छ; डेटा चुहावट भएको तथ्यलाई औंल्याउनु मात्र पर्याप्त छैन। सोही फैसलामा अदालतले पुष्टि गर्‍यो कि लिइएका सुरक्षा उपायहरू उपयुक्त थिए भनेर प्रमाणित गर्नु नियन्त्रकको हो, र तेस्रो पक्षद्वारा गरिएको आक्रमणले आफैंमा नियन्त्रकलाई दायित्वबाट मुक्त गर्दैन।

GDPR अन्तर्गत दायित्व सम्झौता उल्लङ्घन र यातनाको नागरिक कानून आधारहरूसँगै अवस्थित छ। डच नागरिक संहिताको धारा ६:१६२(१) अन्तर्गत, गैरकानूनी कार्य गर्ने पक्षले भएको क्षतिको क्षतिपूर्ति दिनुपर्छ। धारा ६:१६३ को सापेक्षता आवश्यकता लागू हुन्छ: उल्लङ्घन गरिएको मानकले घाइते पक्षले भोगेको क्षतिको प्रकारबाट जोगाउन काम गर्नुपर्छ।

महत्त्वपूर्ण कुरा के छ भने, धारा ८२ GDPR यी आधारहरूसँगै अवस्थित छ। त्यसैले डेटा विषय केवल सम्झौता उल्लङ्घन वा अपराधको आधारमा दावी फेला पार्न बाध्य छैन, तर GDPR ले प्रदान गर्ने दायित्वको लागि सिधै स्ट्यान्डअलोन आधारमा भर पर्न सक्छ। प्रभावित संस्थाको लागि, आधारहरूको यो संयोजनको अर्थ आक्रमण पछि धेरै पक्षहरूले एकै समयमा दावीहरू ल्याउन सक्छन्।

को जिम्मेवार हुन सक्छ?

प्रभावित संस्थाले आफ्नो करारीय दायित्वहरू पूरा गर्न असफल भएमा वा अपर्याप्त सुरक्षा उपायहरू अपनाएको खण्डमा उत्तरदायी हुन सक्छ। एक IT सेवा प्रदायक वा प्रोसेसरलाई पनि जवाफदेही बनाउन सकिन्छ। त्यो सेवा प्रदायकबाट के अपेक्षा गर्न सकिन्छ भन्ने कुरा सर्वप्रथम सम्झौताद्वारा निर्धारण गरिन्छ।

प्रशोधन सम्बन्ध भित्र डेटा प्रशोधन सम्झौताले केन्द्रीय भूमिका खेल्छ। धारा २८ GDPR ले नियन्त्रक र प्रोसेसरलाई यस्तो सम्झौता गर्न आवश्यक छ, अन्य कुराहरूका साथै सुरक्षा उपायहरू र डेटा उल्लङ्घनको ह्यान्डलिङलाई नियन्त्रण गर्दछ। जहाँ आक्रमण प्रोसेसरमा अपर्याप्त सुरक्षाको परिणामस्वरूप हुन्छ, नियन्त्रकले परिणामस्वरूप हुने क्षतिको लागि प्रोसेसरलाई त्यो सम्झौता अन्तर्गत जवाफदेही बनाउन सक्छ।

यो कुरा होफ भ्यान ट्वेन्टे नगरपालिकामा भएको साइबर आक्रमण सम्बन्धी मुद्दाबाट स्पष्ट रूपमा बाहिर आएको छ (ओभरिजसेल जिल्ला अदालत, १० मे २०२३, ECLI:NL:RBOVE:२०२३:१७३१)। पक्षहरूले सुरक्षा अनुगमन होइन, कार्यात्मक अनुगमनमा सहमति जनाएका थिए। अदालतले IT प्रशासकको हेरचाहको कर्तव्य सुरक्षा अनुगमनले कार्यात्मक अनुगमनको लागि असाइनमेन्टको मौन भाग बनाउने गरी विस्तार नगर्ने ठहर गर्‍यो, र नगरपालिकाको दाबीलाई खारेज गर्‍यो। यसले यो पनि तौल गर्‍यो कि नगरपालिकाले आफैंले जोखिम बढाउने निर्णयहरू लिएको थियो, जसमा यसको पासवर्ड नीति र RDP पोर्ट खोल्ने समावेश छ।

ऐना छवि ओ'क्लान्स मुद्दा हो (जिल्ला अदालत Amsterdam, १४ नोभेम्बर २०१८, ECLI:NL:RBAMS:२०१८:१०१२४)। त्यहाँ आपूर्तिकर्ताले पूर्ण IT पूर्वाधार स्थापना गरेको थियो र यसको व्यवस्थापनको जिम्मा लिएको थियो। ब्याकअपहरू पनि इन्क्रिप्ट गरिएको र्यान्समवेयर आक्रमण पछि, अदालतले यस्तो कुल प्याकेजको आपूर्तिमा हेरचाहको दूरगामी कर्तव्य रहेको र सीधा उपायहरू छोडिएको ठहर गर्‍यो। यद्यपि, पूर्ण रूपमा दायित्व प्रदान गरिएको थिएन: ग्राहकको योगदानकारी गल्तीको कारण, क्षतिको दुई तिहाइ आपूर्तिकर्ताको खातामा रह्यो।

उपयुक्त सुरक्षामा प्रमाणको बोझ कति गह्रौं हुन सक्छ भन्ने कुरा कार डिलरको ह्याक गरिएको इमेल खाताको मामलाले देखाउँछ। ५ नोभेम्बर २०२४ को अन्तरिम फैसलामा (अर्न्हेम-लिउवार्डेनको पुनरावेदन अदालत, ECLI:NL:GHARL:2024:6812) एक ह्याकरले खरिदकर्तालाई गलत भुक्तानी निर्देशन पठाउन त्यो खाता प्रयोग गरेपछि डिलरलाई GDPR को अर्थ भित्र आफ्नो इमेल खाता उचित रूपमा सुरक्षित गरिएको प्रमाणित गर्ने अवसर दिइएको थियो। २२ जुलाई २०२५ को फलो-अप फैसलामा (ECLI:NL:GHARL:2025:4556) अदालतले यो प्रमाण डेलिभर नभएको पत्ता लगायो, त्यसपछि पनि पक्षहरूले खरिदकर्ताको योगदान गल्तीलाई सम्बोधन गर्न बाँकी थियो। त्यसैले दुवै फैसला एउटै कार्यवाहीको सरोकार राख्छन्।

साझा सूत्र यो हो कि सम्झौताको व्यवस्था, प्रशोधनको जोखिम, वास्तवमा लिइएका उपायहरू, दुवै पक्षले दिएका चेतावनीहरू र घाइते पक्षको आफ्नै आचरण सबै महत्त्वपूर्ण छन्। नागरिक दायित्वको साथसाथै, डच डाटा संरक्षण प्राधिकरणले EUR २० मिलियन वा विश्वव्यापी वार्षिक कारोबारको ४ प्रतिशत, जुन बढी हुन्छ, प्रशासनिक जरिवाना लगाउन सक्छ। ती जरिवानाहरू व्यक्तिगत डाटा विषयहरूलाई क्षति पुगेको छ कि छैन भन्ने कुरामा स्वतन्त्र छन्।

फौजदारी कानूनको बाटो

साइबर आक्रमणले कम्प्युटर घुसपैठ, पहुँचयोग्य डेटा प्रदान गर्ने वा गैर-सार्वजनिक डेटा विनियोजन गर्ने जस्ता आपराधिक अपराध पनि हुन सक्छ। डच फौजदारी संहिताको धारा १३८ab(१) ले जानाजानी र गैरकानूनी रूपमा स्वचालित प्रणालीमा पहुँच प्राप्त गर्नुलाई अपराध बनाउँछ।

पीडितहरूले प्रहरीलाई अपराधको रिपोर्ट गर्न सक्छन्, जसमा विशेष साइबर अपराध टोलीहरू छन्। जहाँ संदिग्धलाई मुद्दा चलाइन्छ, पीडितले घाइते पक्षको रूपमा आपराधिक कार्यवाहीमा सामेल हुन सक्छ र त्यहाँ क्षतिपूर्ति दाबी गर्न सक्छ। यो मार्गले छुट्टै नागरिक कार्यवाहीको बेवास्ता गर्दछ, तर परिणाम पत्ता लगाउने, अभियोजन र प्रमाणमा निर्भर गर्दछ, जुन अन्तर्राष्ट्रिय रूपमा सञ्चालन हुने अपराधीहरूले प्रायः कुनै परिणाम दिँदैनन्। संस्थाहरूको लागि, रिपोर्टिङ प्रायः व्यावहारिक आवश्यकता पनि हुन्छ, किनभने बीमाकर्ताहरू र आपूर्ति श्रृंखला साझेदारहरूले यसको लागि सोध्छन्।

साइबर बीमाले के कभर गर्छ?

साइबर बीमा पोलिसीले अन्य कुराहरूका साथै निम्न कुराहरूको लागि कभर प्रदान गर्न सक्छ:

• घटना प्रतिक्रिया र फोरेन्सिक अनुसन्धान;
• प्रणाली र डेटाको पुनर्स्थापना;
• व्यापार अवरोध घाटा र गुमेको कारोबार;
• संकट सञ्चार;
• तेस्रो पक्षहरू प्रति दायित्व;
• कानुनी लागत; र
• केही अवस्थामा जरिवाना, सम्झौता भुक्तानी वा फिरौती, लागू कानून अन्तर्गत बीमायोग्य हदसम्म।

सटीक कभर नीतिमा निर्भर गर्दछ। बहिष्करण, सुरक्षा अवस्था, सूचना अवधि, कटौती योग्यता र संलग्न विशेषज्ञहरूको आवश्यकताहरूमा ध्यान दिनुहोस्। डच नागरिक संहिताको धारा ७:९५७(१) ले पनि बीमित पक्षलाई क्षति रोक्न वा सीमित गर्न उचित उपायहरू लिन बाध्य पार्छ। जहाँ उद्धारको त्यो कर्तव्य पालना गरिएको छैन, बीमाकर्ताले भुक्तानी घटाउन सक्छ।

त्यसैले साइबर बीमाकर्तालाई सकेसम्म चाँडो जानकारी गराउनुपर्छ। बीमाकर्ताको सहमति बिना बाह्य विशेषज्ञहरूलाई संलग्न गराउनु वा फिरौती तिर्नुले बीमालाई असर गर्न सक्छ।

साइबर आक्रमण भएपछि तुरुन्तै के गर्नुपर्छ?

• घटना र सबै सान्दर्भिक कार्यहरू ध्यानपूर्वक रेकर्ड गर्नुहोस्।
• प्रमाण नगुमाई प्रभावित प्रणालीहरूलाई अलग गर्नुहोस्।
• फोरेन्सिक विशेषज्ञलाई संलग्न गर्नुहोस्।
• सूचनायोग्य डेटा उल्लङ्घन छ कि छैन भनेर मूल्याङ्कन गर्नुहोस्।
• डेटा विषयहरूलाई जानकारी गराउनुपर्छ कि पर्दैन भनेर मूल्याङ्कन गर्नुहोस्।
• अपराधको बारेमा प्रहरीलाई रिपोर्ट गर्नुहोस्।
• आफ्नो साइबर बीमाकर्तालाई घटनाको बारेमा जानकारी दिनुहोस्।
• लगहरू, ब्याकअपहरू, इमेलहरू र अन्य सान्दर्भिक डेटा सुरक्षित गर्नुहोस्।
• क्षति र सम्भावित रूपमा जिम्मेवार पक्षहरूको नक्साङ्कन गर्नुहोस्।
• ग्राहकहरू, कर्मचारीहरू र आपूर्ति श्रृंखला साझेदारहरूलाई सावधानीपूर्वक र समयमै जानकारी दिनुहोस्।

त्यसैले साइबर आक्रमण केवल प्राविधिक घटना मात्र होइन। यो डेटा सुरक्षा, नागरिक कानून, फौजदारी कानून र बीमा कानूनको विषय पनि हो। द्रुत र राम्रोसँग दस्तावेज गरिएको प्रतिक्रियाले क्षतिलाई मात्र सीमित गर्दैन, तर सूचनाहरू, बीमा कभर र कुनै पनि कार्यवाहीमा तपाईंको प्रमाणिक स्थितिको लागि निर्णायक हुन्छ।

समापनमा

साइबर आक्रमण पछिका अधिकार र दायित्वहरू कानूनका धेरै क्षेत्रहरूमा फैलिएका छन्, र मुद्दाको नतिजा विशेष तथ्यहरू, सम्झौताको सामग्री र रेकर्डको गुणस्तरमा धेरै निर्भर गर्दछ। छलफल गरिएको मुद्दा कानूनले देखाउँछ कि आपूर्तिकर्ता र ग्राहक दुवैलाई उनीहरूको आफ्नै आचरणको आधारमा न्याय गरिन्छ, र बहात्तर घण्टा सूचना अवधि जस्ता समयसीमाले ढिलाइको लागि थोरै ठाउँ छोड्छ।

Law & More साइबर घटनाहरूको कानुनी ह्यान्डलिङमा संस्थाहरू र डेटा विषयहरूलाई सहयोग गर्दछ: सूचना कर्तव्यहरूको मूल्याङ्कन गर्ने र डेटा प्रशोधन सम्झौताहरूको समीक्षा गर्नेदेखि लिएर दायित्व स्थापित गर्ने, बीमा मुद्दाहरू र घाटा पुन: प्राप्ति गर्ने सम्म। के तपाईं साइबर आक्रमण वा डेटा उल्लंघनसँग व्यवहार गर्दै हुनुहुन्छ, वा के तपाईं हाम्रो द्वारा यी जोखिमहरू विरुद्ध तपाईंको सम्झौताहरू पहिले नै समीक्षा गर्न चाहनुहुन्छ? आईटी कानून टोली? कृपया सम्पर्क Law & More तपाईंको अवस्थाको बारेमा कुनै बाध्यता बिना छलफलको लागि।

बारम्बार सोधिने प्रश्नहरू

तल हामी यस विषयमा प्रायः सोधिने प्रश्नहरूको जवाफ दिन्छौं।

साइबर आक्रमणका पीडितहरू को हुन्?

तीन तहहरू छन्। पहिलो, प्रभावित संस्था आफैं, जसले प्रणाली डाउनटाइम, गुमाएको कारोबार, रिकभरी लागत, फोरेन्सिक अनुसन्धानको लागत र प्रतिष्ठामा हानि बेहोर्छ। दोस्रो, डेटा विषयहरू, प्राकृतिक व्यक्तिहरू जसको व्यक्तिगत डेटा उजागर भएको छ, जस्तै ग्राहकहरू, कर्मचारीहरू र बिरामीहरू। तेस्रो, तेस्रो पक्षहरूले सम्झौता वा आपूर्ति श्रृंखला सम्बन्ध मार्फत क्षति भोगिरहेका छन्, उदाहरणका लागि किनभने तिनीहरू आपूर्तिकर्तामा निर्भर छन् जुन तल गएको छ। त्यो वर्गीकरणले कुन आधारमा पक्षले दावी ल्याउन सक्छ र कसको विरुद्धमा दावी गर्न सक्छ भनेर निर्धारण गर्छ।

डेटा उल्लंघनको बारेमा मैले कति समय भित्र सूचित गर्नुपर्छ?

धारा ३३ GDPR ले अनुचित ढिलाइ नगरी र सम्भव भएसम्म, उल्लङ्घनको बारेमा सचेत भएको ७२ घण्टा भित्र पर्यवेक्षक अधिकारीलाई सूचना दिन आवश्यक छ। उल्लङ्घनले प्राकृतिक व्यक्तिहरूको अधिकार र स्वतन्त्रतामा जोखिम निम्त्याउने सम्भावना नभएको ठाउँमा यो कर्तव्य लागू हुँदैन। त्यो मूल्याङ्कनले उल्लङ्घनको प्रकृति, प्रभावित डेटाको वर्ग र सम्भावित परिणामहरूको विश्लेषणको लागि आह्वान गर्दछ।

मैले डेटा विषयहरूलाई कहिले जानकारी गराउनुपर्छ?

धारा ३४ GDPR अन्तर्गत, जहाँ उल्लङ्घनले डेटा विषयहरूको अधिकार र स्वतन्त्रतामा उच्च जोखिम निम्त्याउने सम्भावना हुन्छ। जहाँ उपयुक्त प्राविधिक उपायहरू जस्तै इन्क्रिप्शन स्थानमा थिए, जहाँ पछिल्ला उपायहरूले उच्च जोखिम अब वास्तविकतामा परिणत हुने छैन भन्ने सुनिश्चित गर्दछ, वा जहाँ व्यक्तिगत सञ्चारमा असमान प्रयास समावेश हुनेछ, त्यहाँ सञ्चारलाई बेवास्ता गर्न सकिन्छ। त्यो अन्तिम अवस्थामा सार्वजनिक सञ्चार पर्याप्त हुन्छ।

के म ह्याक गरिएको आपूर्तिकर्ताबाट जानकारी माग्न सक्छु?

हो, जहाँ डाटा प्रशोधन सम्झौताले यसको लागि व्यवस्था गर्दछ। ब्लाउ रिसर्च र नेबु (रोटरडम जिल्ला अदालत, ६ अप्रिल २०२३, ECLI:NL:RBROT:२०२३:२९३१) बीचको सारांश कार्यवाहीमा अन्तरिम राहत न्यायाधीशले डाटा प्रशोधन सम्झौता अन्तर्गत नियन्त्रकले आक्रमण, यसको परिणाम र प्रदान गरिएको भन्दा बढी जानकारीको हकदार भएको ठहर गरे, र प्रोसेसरलाई स्वतन्त्र फोरेन्सिक अनुसन्धान गर्न र आवधिक रूपमा रिपोर्ट गर्न आदेश दिए। त्यो जानकारी तपाईंको आफ्नै सूचना कर्तव्यहरू पूरा गर्न आवश्यक छ।

डेटा विषयको रूपमा, के म डेटा उल्लङ्घन पछि स्वतः क्षतिपूर्तिको हकदार हुन्छु?

होइन। धारा ८२ GDPR ले एकल आधार प्रदान गर्दछ, तर तपाईंले GDPR उल्लङ्घन गरिएको छ, तपाईंले वास्तवमा क्षति भोग्नुभएको छ, र उल्लङ्घन र त्यो क्षति बीच कारणात्मक सम्बन्ध छ भनेर प्रमाणित गर्नुपर्छ। प्रमाणको भार दावीकर्तामा निर्भर गर्दछ।

के पहिचान ठगीको डरलाई गैर-भौतिक क्षतिको रूपमा लिन सकिन्छ?

हुन सक्छ। राष्ट्रिय सुरक्षा एजेन्सी (CJEU १४ डिसेम्बर २०२३, C-३४०/२१) मा न्याय अदालतले भन्यो कि चुहावट भएको व्यक्तिगत डेटाको सम्भावित भविष्यको दुरुपयोगको डर आफैंमा गैर-भौतिक क्षति हुन सक्छ। यद्यपि, डेटा विषयले त्यो डर र यसको परिणामहरूलाई ठोस रूपमा प्रमाणित गर्नुपर्छ। Österreichische Post (CJEU ४ मे २०२३, C-३००/२१) ले थप्छ कि गम्भीरताको कुनै न्यूनतम सीमा छैन, तर GDPR को उल्लङ्घन मात्र पर्याप्त छैन।

सुरक्षा उपायहरू उचित थिए भनेर कसले प्रमाणित गर्नुपर्छ?

नियन्त्रक। C-340/21 मा न्याय अदालतले पुष्टि गर्‍यो कि लिइएका सुरक्षा उपायहरू उपयुक्त थिए भनेर देखाउनु नियन्त्रकको हो, र तेस्रो पक्षद्वारा गरिएको आक्रमणले आफैंमा दायित्वबाट मुक्त हुँदैन। नेदरल्याण्ड्समा यो कार डिलरको ह्याक गरिएको इमेल खाताको मामलामा भयो, जहाँ अर्नहेम-लिउवार्डेनको पुनरावेदन अदालतले पहिले डिलरलाई त्यो प्रमाण (ECLI:NL:GHARL:2024:6812) पेश गर्ने अवसर दियो र त्यसपछि यो पेश गरिएको थिएन भनेर ठहर गर्‍यो (ECLI:NL:GHARL:2025:4556)।

यदि मेरो IT आपूर्तिकर्ताले आक्रमण पत्ता लगाउन असफल भयो भने के त्यो जिम्मेवार हुन्छ?

त्यो के सहमति भयो भन्ने कुरामा निर्भर गर्दछ। होफ भ्यान ट्वेन्टे नगरपालिकामा भएको साइबर आक्रमण सम्बन्धी मुद्दामा (ओभरिजसेल जिल्ला अदालत, १० मे २०२३, ECLI:NL:RBOVE:२०२३:१७३१) पक्षहरूले सुरक्षा अनुगमन होइन, कार्यात्मक अनुगमनमा सहमति जनाएका थिए। अदालतले IT प्रशासकको हेरचाहको कर्तव्य सुरक्षा अनुगमनको मौन भाग बन्ने गरी विस्तार नहुने ठहर गर्‍यो, र दावीलाई खारेज गर्‍यो। जहाँ फराकिलो कुल प्याकेज आपूर्ति गरिएको छ, हेरचाहको कर्तव्य दूरगामी हुन सक्छ, जस्तै O'Cliance (जिल्ला अदालत अफ Amsterdam, १४ नोभेम्बर २०१८, ECLI:NL:RBAMS:2018:10124), जहाँ आपूर्तिकर्तालाई दुई तिहाइ नोक्सानको लागि जिम्मेवार ठहराइएको थियो।

के मेरो आफ्नै आचरणले क्षतिपूर्ति घटाउन सक्छ?

हो। यी केसहरूमा योगदानकर्ता गल्तीले बारम्बार भूमिका खेल्छ। O'Cliance मा घाटा को एक तिहाइ ग्राहकको खाताको लागि रह्यो, र ह्याक गरिएको इमेल खाताको मामलामा पक्षहरूलाई खरिदकर्ताको योगदानकर्ता गल्तीलाई सम्बोधन गर्न आवश्यक थियो। तपाईंको आफ्नै पासवर्ड नीति, खुला छोडिएको पोर्टहरू वा बेवास्ता गरिएको चेतावनीहरूले परिणाममा प्रत्यक्ष रूपमा फिड गर्न सक्छन्।

डेटा सुरक्षा प्राधिकरणले कस्तो जरिवाना लगाउन सक्छ?

GDPR को उल्लङ्घनको लागि पर्यवेक्षक अधिकारीले EUR २० मिलियन वा विश्वव्यापी वार्षिक कारोबारको ४ प्रतिशत, जुन बढी हुन्छ, प्रशासनिक जरिवाना लगाउन सक्छ। यी जरिवानाहरू व्यक्तिगत डेटा विषयहरूलाई वास्तवमा क्षति पुगेको छ कि छैन भन्ने कुराबाट स्वतन्त्र छन् र त्यसैले नागरिक दायित्वसँगै छुट्टै जोखिम प्रतिनिधित्व गर्दछ।

के म अपराधको रिपोर्ट गर्न सक्छु र फौजदारी कार्यवाही मार्फत मेरो क्षति दाबी गर्न सक्छु?

हो। डच फौजदारी संहिताको धारा १३८ab(१) ले जानाजानी र गैरकानूनी रूपमा स्वचालित प्रणालीमा पहुँच प्राप्त गर्नुलाई अपराध बनाउँछ। तपाईं प्रहरीलाई अपराधको रिपोर्ट गर्न सक्नुहुन्छ र, जहाँ कुनै संदिग्धलाई मुद्दा चलाइन्छ, त्यहाँ क्षतिपूर्ति दाबी गर्न घाइते पक्षको रूपमा फौजदारी कार्यवाहीमा सामेल हुन सक्नुहुन्छ। परिणाम पत्ता लगाउने, अभियोजन गर्ने र प्रमाणमा निर्भर गर्दछ, जुन अन्तर्राष्ट्रिय रूपमा सञ्चालन हुने अपराधीहरूले प्रायः कुनै परिणाम दिँदैनन्।

साइबर बीमाले सामान्यतया के कभर गर्छ?

सामान्यतया घटना प्रतिक्रिया र फोरेन्सिक अनुसन्धान, प्रणाली र डेटाको पुनर्स्थापना, व्यवसाय अवरोध घाटा र हराएको कारोबार, संकट सञ्चार, तेस्रो पक्षहरू प्रति दायित्व र कानुनी लागत, र केही अवस्थामा लागू कानून अन्तर्गत बीमायोग्य हदसम्म जरिवाना, सम्झौता भुक्तानी वा फिरौती। बहिष्करण, सुरक्षा अवस्था, सूचना अवधि र कटौतीयोग्यहरूको लागि हेर्नुहोस्, र घटना हुनु अघि नीति समीक्षा गर्नुहोस्।

के आक्रमण पछि गलत तरिकाले काम गरेर म आफ्नो आवरण गुमाउन सक्छु?

त्यो सम्भव छ। डच नागरिक संहिताको धारा ७:९५७(१) ले बीमित पक्षलाई क्षति रोक्न वा सीमित गर्न उचित उपायहरू अपनाउन बाध्य पार्छ; जहाँ उद्धारको त्यो कर्तव्य पालना गरिएको छैन, बीमाकर्ताले भुक्तानी घटाउन सक्छ। बाह्य विशेषज्ञहरूलाई संलग्न गराउनु वा बीमाकर्ताको सहमति बिना फिरौती तिर्नाले पनि कभरेजलाई असर गर्न सक्छ। आफ्नो बीमाकर्तालाई सकेसम्म चाँडो सूचित गर्नुहोस्।

साइबर आक्रमण पछि तुरुन्तै के कदम चाल्नु पर्छ?

घटना र गरिएका सबै कार्यहरू रेकर्ड गर्नुहोस्, प्रमाण नगुमाई प्रभावित प्रणालीहरूलाई अलग गर्नुहोस्, र फोरेन्सिक विशेषज्ञलाई संलग्न गर्नुहोस्। त्यसपछि सूचनायोग्य डेटा उल्लंघन छ कि छैन र डेटा विषयहरूलाई सूचित गर्नुपर्छ कि छैन भनेर मूल्याङ्कन गर्नुहोस्। अपराध रिपोर्ट गर्नुहोस्, आफ्नो साइबर बीमाकर्तालाई सूचित गर्नुहोस्, लगहरू, ब्याकअप र पत्राचार सुरक्षित गर्नुहोस्, क्षति र सम्भावित रूपमा उत्तरदायी पक्षहरूको नक्साङ्कन गर्नुहोस्, र ग्राहकहरू, कर्मचारीहरू र आपूर्ति श्रृंखला साझेदारहरूलाई सावधानीपूर्वक र राम्रो समयमा सूचित गर्नुहोस्।