A kibertámadások áldozatainak jogai: értesítési kötelezettség, kártérítés és biztosítás

Tom Meevis, ügyvéd a cégtől Law & More

Az olyan kibertámadások, mint a zsarolóvírusok, az adathalászat, a DDoS-támadások és a számítógépes behatolások, ritkán csak a támadás alatt álló szervezetet érintik. A kibertámadások áldozatai között vannak ügyfelek, alkalmazottak, betegek, beszállítók és más ellátási láncbeli partnerek is, akik kárt szenvedhetnek el, és jogi helyzetük csoportonként eltérő. Ezért mindenkinek, aki egy támadás után meg akarja állapítani, hogy mely kötelezettségek vonatkoznak rá, és milyen követelések állnak fenn, tanácsos először pontosan meghatároznia, hogy kit érintett a támadás, és milyen kár keletkezett.

Ez a cikk sorra tárgyalja, hogy ki minősül áldozatnak, mikor kell bejelenteni az adatvédelmi incidenst, milyen feltételek mellett áll fenn a kártérítéshez való jog, mely felek vonhatók felelősségre, milyen szerepet játszik a büntetőjog, mit fedez jellemzően egy kiberbiztosítás, és milyen lépéseket kell tenni egy támadás után azonnal.

Kik a kibertámadások áldozatai?

Egy kibertámadás során három csoportot lehet megkülönböztetni.

• Maga az érintett szervezet is, amely rendszerleállással, kiesett forgalommal, helyreállítási költségekkel, a kriminalisztikai vizsgálat költségeivel és hírnévkárosodással néz szembe.
• Természetes személyek, akiknek a személyes adatai nyilvánosságra kerültek, például ügyfelek, alkalmazottak és betegek. Pénzügyi veszteséget, de nem vagyoni kárt is elszenvedhetnek az adataik feletti kontroll elvesztése, a bizonytalanság vagy a személyazonossággal való visszaéléstől való félelem miatt.
• Szerződéses vagy ellátási láncbeli kapcsolaton keresztül érintett harmadik felek, például azért, mert egy olyan beszállítótól függenek, akinek a rendszerei leálltak.

Ez a besorolás jogilag releváns. Bármely követelés alapja és az a fél, aki ellen azt indítani lehet, az áldozat helyzetétől függ. Az érintett szervezet általában a szerződés értelmében az informatikai beszállítóját vonja felelősségre, míg az érintett közvetlenül hivatkozhat a GDPR által biztosított önálló felelősségi alapra.

Mikor kell bejelenteni az adatvédelmi incidenst?

Amennyiben személyes adatok érintettek kibertámadásban, meg kell vizsgálni, hogy történt-e személyesadat-incidens, és hogy kötelező-e a bejelentés. Az általános adatvédelmi rendelet 33. cikke előírja, hogy az incidenst indokolatlan késedelem nélkül, és ha lehetséges, hetvenkét órán belül be kell jelenteni a felügyeleti hatóságnak, kivéve, ha az incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve.

Ezenkívül az Általános Adatvédelmi Rendelet 34. cikke előírhatja a szervezet számára, hogy maga tájékoztassa az érintetteket. Ez a kötelezettség akkor keletkezik, ha az incidens valószínűsíthetően magas kockázattal jár az érintettek jogaira és szabadságaira nézve. A kommunikáció mellőzhető, ha megfelelő technikai intézkedések, például titkosítás voltak érvényben, ha további intézkedések biztosítják, hogy a magas kockázat a továbbiakban ne valósuljon meg, vagy ha az egyéni kommunikáció aránytalanul nagy erőfeszítést igényelne; ez utóbbi esetben elegendő a nyilvános kommunikáció.

Az érintett számára ez a kommunikáció több mint formalitás. Lehetővé teszi számára, hogy saját intézkedéseket tegyen, például jelszóváltoztatással vagy gyanús tranzakciók megfigyelésével, és a gyakorlatban gyakran ez a kiindulópontja bármilyen kártérítési igénynek.

Egy szervezetnek ezért nemcsak azt kell megállapítania, hogy támadás történt, hanem azt is, hogy mely adatokat érintette a támadás, hogy valóban történt-e adatlopás, és milyen kockázatok származnak ebből. Ehhez gyakran elengedhetetlen egy független kriminalisztikai vizsgálat.

Ez különösen akkor érvényes, ha a támadás az adatfeldolgozónál, nem pedig magánál a szervezetnél történik. A Blauw Research és a Nebu közötti összefoglaló eljárásban (Rotterdami Kerületi Bíróság, 2023. április 6., ECLI:NL:RBROT:2023:2931) az ideiglenes intézkedésről eljáró bíró úgy ítélte meg, hogy a felek között létrejött adatfeldolgozási megállapodás értelmében az adatkezelő jogosult volt több információra a támadással, annak következményeivel és a megtett intézkedésekkel kapcsolatban, mint amennyit eredetileg közöltek. Az adatfeldolgozót arra is kötelezték, hogy független kriminalisztikai vizsgálatot végeztessen, és rendszeresen jelentést tegyen. Az ítélet azt mutatja, hogy egy jól megfogalmazott adatfeldolgozási megállapodás a gyakorlatban a legfontosabb eszköz az információk időben történő megszerzéséhez egy incidens után, pontosan azért, mert az adatkezelőnek szüksége van ezekre az információkra a saját értesítési kötelezettségeinek teljesítéséhez.

Mikor keletkezik a kártérítési igény?

Az érintettek a GDPR 82. cikke alapján kártérítést követelhetnek az adatkezelőtől vagy az adatfeldolgozótól. Egy kibertámadás azonban nem feltétlenül ad alapot kártérítési igény benyújtására. Azt indokolni kell:

• hogy a GDPR-t megsértették;
• hogy a kár ténylegesen bekövetkezett; és
• hogy okozati összefüggés áll fenn a jogsértés és a kár között.

A vagyoni kár magában foglalhatja a pénzügyi veszteséget, a behajtási költségeket vagy a személyazonossággal való visszaélés okozta veszteséget. A nem vagyoni kár tekintetében az Európai Unió Bírósága az Österreichische Post ügyben (EUB 2023. május 4., C-300/21) kimondta, hogy nincs minimális súlyossági küszöb, de a GDPR megsértése önmagában nem elegendő a kártérítés odaítéléséhez.

Különösen releváns a kibertámadást követő adatvédelmi incidensek szempontjából a Natsionalna agentsia za prihodite ügy (EUB 2023. december 14., C-340/21). Ebben a Bíróság kimondta, hogy a kiszivárgott személyes adatok esetleges jövőbeli visszaélésétől való félelem önmagában nem vagyoni kárt jelenthet. Az érintettnek azonban konkrétan alá kell támasztania ezt a félelmet és annak következményeit; az adatok kiszivárgásának puszta rámutatása nem elegendő. Ugyanebben az ítéletben a Bíróság megerősítette, hogy az adatkezelőnek kell bizonyítania, hogy a megtett biztonsági intézkedések megfelelőek voltak, és hogy egy harmadik fél általi támadás önmagában nem mentesíti az adatkezelőt a felelősség alól.

A GDPR szerinti felelősség a szerződésszegés és a szerződésen kívüli károkozás polgári jogi alapjai mellett létezik. A holland Polgári Törvénykönyv 6:162. cikkének (1) bekezdése értelmében a felróható jogellenes cselekményt elkövető fél köteles megtéríteni az okozott kárt. A 6:163. cikk relativitási követelménye érvényesül: a megsértett normának védelmet kell nyújtania a károsult által elszenvedett kár fajtájával szemben.

Fontos megjegyezni, hogy a GDPR 82. cikke ezen jogalapok mellett létezik. Az érintett ezért nem köteles kizárólag szerződésszegésre vagy szerződésen kívüli károkozásra alapozni a követelést, hanem közvetlenül hivatkozhat a GDPR által biztosított önálló felelősségi alapra. Az érintett szervezet számára ez az alapkombináció azt jelenti, hogy egy támadást követően több fél is benyújthat egyszerre követelést.

Ki vonható felelősségre?

Az érintett szervezet felelősségre vonható, ha nem teljesíti szerződéses kötelezettségeit, vagy nem tett elégséges biztonsági intézkedéseket. Egy informatikai szolgáltató vagy adatfeldolgozó is felelősségre vonható. Azt, hogy mit lehet elvárni az adott szolgáltatótól, elsősorban a szerződés határozza meg.

Egy adatfeldolgozási kapcsolatban az adatfeldolgozási megállapodás központi szerepet játszik. Az Általános Adatvédelmi Rendelet 28. cikke előírja az adatkezelő és az adatfeldolgozó számára, hogy ilyen megállapodást kössenek, amely többek között a biztonsági intézkedéseket és az adatvédelmi incidensek kezelését szabályozza. Amennyiben a támadás az adatfeldolgozó nem megfelelő biztonságából ered, az adatkezelő a megállapodás értelmében felelősségre vonhatja az adatfeldolgozót az ebből eredő veszteségért.

Ez élesen kitűnik a Hof van Twente önkormányzatát ért kibertámadással kapcsolatos ügyből (Overijsseli Kerületi Bíróság, 2023. május 10., ECLI:NL:RBOVE:2023:1731). A felek funkcionális felügyeletben állapodtak meg, nem pedig biztonsági felügyeletben. A bíróság úgy ítélte meg, hogy az informatikai rendszergazda gondossági kötelezettsége nem terjed ki odáig, hogy a biztonsági felügyelet hallgatólagosan a funkcionális felügyeletre való átruházás részét képezze, és elutasította az önkormányzat keresetét. Azt is mérlegelte, hogy az önkormányzat maga is hozott olyan döntéseket, amelyek növelték a kockázatot, beleértve a jelszópolitikáját és az RDP port megnyitását.

A tükörkép az O'Cliance-ügy (Kerületi Bíróság Amsterdam, 2018. november 14., ECLI:NL:RBAMS:2018:10124). Ott a szállító egy teljes informatikai infrastruktúrát telepített és átvette annak irányítását. Egy zsarolóvírus-támadást követően, amelyben a biztonsági mentéseket is titkosították, a bíróság úgy ítélte meg, hogy egy ilyen teljes csomag szállítása messzemenő gondossági kötelezettséggel járt, és hogy az egyszerű intézkedéseket elmulasztották. A felelősséget azonban nem ítélték meg teljes mértékben: az ügyfél közreható hibája miatt a kár kétharmada továbbra is a szállító számlájára maradt.

Azt, hogy milyen súlyos lehet a megfelelő biztonság bizonyítási terhe, egy autókereskedő feltört e-mail fiókjának esete szemlélteti. A 2024. november 5-i közbenső ítéletben (Arnhem-Leeuwarden Fellebbviteli Bíróság, ECLI:NL:GHARL:2024:6812) a kereskedőnek lehetősége nyílt bizonyítani, hogy e-mail fiókját a GDPR értelmében megfelelően biztosították, miután egy hacker ezt a fiókot felhasználva hamis fizetési utasítást küldött a vevőnek. A 2025. július 22-i utólagos ítéletben (ECLI:NL:GHARL:2025:4556) a bíróság megállapította, hogy ezt a bizonyítékot nem szolgáltatták, ezt követően a feleknek továbbra is foglalkozniuk kellett a vevő közreható hibájával. Mindkét ítélet tehát ugyanarra az eljárásra vonatkozik.

A közös vonás az, hogy a szerződéses megállapodások, az adatkezelés kockázatai, a ténylegesen megtett intézkedések, a mindkét fél által adott figyelmeztetések és a károsult saját magatartása mind számítanak. A polgári jogi felelősség mellett a Holland Adatvédelmi Hatóság akár 20 millió eurós vagy a világméretű éves forgalom 4 százalékának megfelelő közigazgatási bírságot is kiszabhat, attól függően, hogy melyik a magasabb. Ezek a bírságok függetlenek attól, hogy az egyes érintettek kárt szenvedtek-e.

A büntetőjogi út

A kibertámadás bűncselekménynek is minősülhet, például számítógépes behatolás, adatok hozzáférhetetlenné tétele vagy nem nyilvános adatok eltulajdonítása. A holland büntető törvénykönyv 138ab. cikkének (1) bekezdése bűncselekménynek minősíti az automatizált rendszerhez való szándékos és jogellenes hozzáférést.

Az áldozatok feljelentést tehetnek a bűncselekményről a rendőrségen, amelynek speciális kiberbűnözési csapatai vannak. Amennyiben a gyanúsítottat büntetőeljárás alá vonják, az áldozat sértettként csatlakozhat a büntetőeljáráshoz, és ott kártérítést követelhet. Ez az út elkerüli a külön polgári peres eljárást, de az eredmény a felderítéstől, a vádemeléstől és a bizonyítékoktól függ, amelyek a nemzetközileg működő bűnelkövetők esetében gyakran nem hoznak eredményt. A szervezetek számára a bejelentés gyakran gyakorlati szükségszerűség is, mivel a biztosítók és az ellátási lánc partnerei kérik.

Mit fedez a kiberbiztosítás?

Egy kiberbiztonsági kötvény többek között a következőkre nyújthat fedezetet:

• incidensekre való reagálás és kriminalisztikai vizsgálat;
• rendszerek és adatok helyreállítása;
• az üzleti tevékenység megszakadásából eredő veszteségek és az elmaradt forgalom;
• kríziskommunikáció;
• harmadik felekkel szembeni felelősség;
• jogi költségek; és
• bizonyos esetekben bírságok, kártérítések vagy váltságdíj, a vonatkozó jogszabályok által biztosítható mértékben.

A pontos fedezet a kötvénytől függ. Fordítson figyelmet a kizárásokra, a biztonsági feltételekre, az értesítési időszakokra, az önrészekre és a szakértők bevonására vonatkozó követelményekre. A Holland Polgári Törvénykönyv 7:957(1) cikke is kötelezi a biztosított felet, hogy ésszerű intézkedéseket tegyen a kár megelőzése vagy korlátozása érdekében. Amennyiben a mentési kötelezettséget nem teljesítik, a biztosító csökkentheti a kifizetést.

Ezért a kiberbiztosítót a lehető leghamarabb tájékoztatni kell. Külső szakértők bevonása vagy a biztosító beleegyezése nélküli váltságdíj kifizetése befolyásolhatja a fedezetet.

Mit kell tenni azonnal egy kibertámadás után?

• Gondosan jegyezze fel az esetet és az összes kapcsolódó intézkedést.
• Izolálja az érintett rendszereket bizonyítékok elvesztése nélkül.
• Bízzon meg egy igazságügyi szakértőt.
• Értékelje, hogy történt-e bejelentési kötelezettség alá eső adatvédelmi incidens.
• Értékelje, hogy az érintetteket tájékoztatni kell-e.
• Jelentse a bűncselekményt a rendőrségen.
• Értesítse az incidenst a kiberbiztonsági biztosítóját.
• Őrizze meg a naplókat, biztonsági mentéseket, e-maileket és egyéb releváns adatokat.
• Térképezze fel a károkat és a potenciálisan felelős feleket.
• Gondosan és időben tájékoztassa az ügyfeleket, alkalmazottakat és az ellátási láncban részt vevő partnereket.

A kibertámadás tehát nem pusztán technikai incidens. Adatvédelmi, polgári jogi, büntetőjogi és biztosítási jogi kérdés is. A gyors és jól dokumentált reagálás nemcsak a károkat korlátozza, hanem döntő fontosságú az értesítések, a biztosítási fedezet és az Ön bizonyítási pozíciója szempontjából az esetleges eljárásokban.

A záró

A kibertámadást követő jogok és kötelezettségek több jogterületre is kiterjednek, és egy ügy kimenetele nagymértékben függ a konkrét tényektől, a szerződés tartalmától és a nyilvántartások minőségétől. A tárgyalt esetjog azt mutatja, hogy a beszállítót és az ügyfelet egyaránt a saját magatartásuk alapján ítélik meg, és hogy az olyan határidők, mint a hetvenkét órás értesítési időszak, kevés mozgásteret hagynak a késedelemre.

Law & More Segítséget nyújt szervezeteknek és érintetteknek a kiberbiztonsági incidensek jogi kezelésében: az értesítési kötelezettségek felmérésétől és az adatfeldolgozási megállapodások felülvizsgálatától kezdve a felelősség megállapításáig, a biztosítási kérdésekig és a veszteségek megtérítéséig. Kibertámadással vagy adatvédelmi incidenssel néz szembe, vagy szeretné, hogy szerződéseit előzetesen felülvizsgáljuk ezekkel a kockázatokkal szemben? IT törvény csapat? Nyugodtan kapcsolat Law & More egy kötelezettségmentes megbeszélésre az Ön helyzetéről.

Gyakran Ismételt Kérdések

Az alábbiakban megválaszoljuk azokat a kérdéseket, amelyeket a témával kapcsolatban a leggyakrabban feltesznek nekünk.