Kiberhücum qurbanlarının hüquqları: bildiriş vəzifələri, kompensasiya və sığorta

Tom Meevis tərəfindən, vəkil Law & More

Ransomware, fişinq, DDoS hücumları və kompüter müdaxiləsi kimi kiberhücumlar nadir hallarda yalnız hücuma məruz qalan təşkilata təsir göstərir. Kiberhücumların qurbanları arasında zərər çəkə biləcək müştərilər, işçilər, xəstələr, təchizatçılar və digər təchizat zənciri tərəfdaşları da var və onların hüquqi mövqeyi qrupdan qrupa fərqlənir. Buna görə də, hücumdan sonra hansı öhdəliklərin tətbiq olunduğunu və hansı iddiaların mövcud olduğunu müəyyən etmək istəyən hər kəsə əvvəlcə kimin təsirləndiyini və hansı zərərin yarandığını dəqiq müəyyən etmək tövsiyə olunur.

Bu məqalədə öz növbəsində kimin zərərçəkmiş hesab edildiyi, məlumatların sızması barədə nə vaxt məlumat verilməli olduğu, kompensasiya hüququnun hansı şərtlərlə mövcud olduğu, hansı tərəflərin məsuliyyət daşıya biləcəyi, cinayət qanunvericiliyinin hansı rol oynadığı, kiber sığorta polisinin adətən nələri əhatə etdiyi və hücumdan dərhal sonra hansı addımların atılmalı olduğu müzakirə olunur.

Kiberhücumların qurbanları kimlərdir?

Kiberhücumda üç qrupu ayırd etmək olar.

• Təsirə məruz qalan təşkilatın özü sistemin dayanması, itirilmiş işçi sayı, bərpa xərcləri, məhkəmə araşdırmasının dəyəri və nüfuza dəyən ziyanla üzləşir.
• Müştərilər, işçilər və xəstələr kimi şəxsi məlumatları açıqlanmış fiziki şəxslər. Onlar maliyyə itkisi ilə yanaşı, məlumatları üzərində nəzarəti itirmək, qeyri-müəyyənlik və ya şəxsiyyət saxtakarlığından qorxmaq səbəbindən qeyri-maddi zərər də çəkə bilərlər.
• Müqavilə və ya təchizat zənciri münasibətləri vasitəsilə təsirlənən üçüncü tərəflər, məsələn, sistemləri sıradan çıxmış təchizatçıdan asılı olduqları üçün.

Bu təsnifat hüquqi cəhətdən əhəmiyyətlidir. İstənilən iddianın əsası və iddianın irəli sürülə biləcəyi tərəf zərərçəkənin mövqeyindən asılıdır. Təsirə məruz qalan təşkilat ümumiyyətlə İT təchizatçısını müqavilə çərçivəsində məsuliyyətə cəlb edəcək, məlumat subyekti isə GDPR-in təmin etdiyi məsuliyyət üçün birbaşa müstəqil əsasa etibar edə bilər.

Məlumatların sızması barədə nə vaxt məlumat verilməlidir?

Şəxsi məlumatlar kiberhücumda iştirak etdikdə, şəxsi məlumatların pozulmasının olub-olmadığı və bildirişin məcburi olub-olmadığı qiymətləndirilməlidir. GDPR-in 33-cü maddəsi pozuntu barədə nəzarət orqanına lazımsız gecikmə olmadan və mümkün olduqda, yetmiş iki saat ərzində məlumat verilməsini tələb edir, əgər pozuntunun fiziki şəxslərin hüquq və azadlıqlarına təhlükə yaratması ehtimalı azdırsa.

Bundan əlavə, GDPR-in 34-cü maddəsi təşkilatdan məlumat subyektlərinin özlərini məlumatlandırmağı tələb edə bilər. Bu öhdəlik pozuntunun onların hüquq və azadlıqlarına yüksək risk yarada biləcəyi hallarda yaranır. Şifrələmə kimi müvafiq texniki tədbirlərin tətbiq olunduğu, sonrakı tədbirlərin yüksək riskin artıq reallaşmayacağını təmin etdiyi və ya fərdi ünsiyyətin qeyri-mütənasib səy tələb edəcəyi hallarda ünsiyyət buraxıla bilər; bu sonuncu halda ictimai ünsiyyət kifayətdir.

Məlumat subyekti üçün ünsiyyət sadəcə bir formallıqdan daha çox şeydir. Bu, onlara öz tədbirlərini görməyə imkan verir, məsələn, parolları dəyişdirməklə və ya şübhəli əməliyyatları izləməklə və praktikada bu, tez-tez istənilən kompensasiya iddiasının başlanğıc nöqtəsidir.

Buna görə də, təşkilat yalnız hücumun baş verdiyini deyil, həm də hansı məlumatların təsirləndiyini, məlumatların həqiqətən süzülüb-süzülmədiyini və bundan hansı risklərin yarandığını müəyyən etməlidir. Bu məqsədlə müstəqil məhkəmə-tibbi araşdırma çox vaxt zəruridir.

Bu, hücumun təşkilatın özündə deyil, prosessorda baş verdiyi hallarda daha çox tətbiq olunur. Blauw Research və Nebu arasında aparılan qısa məhkəmə prosesində (Rotterdam Rayon Məhkəməsi, 6 aprel 2023, ECLI:NL:RBROT:2023:2931) müvəqqəti yardım hakimi qərara gəldi ki, tərəflər arasında bağlanmış məlumatların emalı müqaviləsinə əsasən , nəzarətçi hücum, onun nəticələri və görülən tədbirlər haqqında əvvəlcə veriləndən daha çox məlumat almaq hüququna malikdir. Prosessora həmçinin müstəqil məhkəmə araşdırması aparmaq və vaxtaşırı hesabat vermək tapşırılıb. Qərar göstərir ki, yaxşı hazırlanmış məlumatların emalı müqaviləsi praktikada hadisədən sonra vaxtında məlumat əldə etmək üçün ən vacib vasitədir, məhz ona görə ki, nəzarətçinin öz bildiriş vəzifələrini yerinə yetirməsi üçün həmin məlumata ehtiyacı var.

Kompensasiya hüququ nə vaxt yaranır?

Məlumat subyektləri 82-ci GDPR maddəsinə əsasən nəzarətçidən və ya prosessordan kompensasiya tələb edə bilərlər. Lakin kiberhücum avtomatik olaraq iddiaya səbəb olmur. Bu, əsaslandırılmalıdır:

• GDPR pozulduğunu;
• həqiqətən də zərər dəymişdir; və
• həmin pozuntu ilə həmin zərər arasında səbəbli əlaqənin olması.

Maddi ziyan maliyyə itkilərindən, bərpa xərclərindən və ya şəxsiyyət saxtakarlığından qaynaqlanan itkilərdən ibarət ola bilər. Qeyri-maddi ziyana gəldikdə, Avropa Birliyi Ədalət Məhkəməsi Österreichische Post (CJEU 4 may 2023, C-300/21) işində qərara aldı ki, ciddiliyin minimum həddi yoxdur, lakin təkcə GDPR-in pozulması mükafat üçün kifayət deyil.

Kiberhücumdan sonra məlumatların sızması ilə bağlı xüsusilə əhəmiyyətli olan Milli Agentlik İşidir (CJEU 14 Dekabr 2023, C-340/21). Məhkəmə qərara aldı ki, sızdırılmış şəxsi məlumatların gələcəkdə sui-istifadəsi qorxusu özü-özlüyündə qeyri-maddi zərər təşkil edə bilər. Lakin məlumat subyekti bu qorxunu və onun nəticələrini konkret şəkildə əsaslandırmalıdır; sadəcə məlumatların sızdırıldığına işarə etmək kifayət deyil. Eyni qərarda Məhkəmə təsdiqlədi ki, nəzarətçi görülən təhlükəsizlik tədbirlərinin məqsədəuyğun olduğunu sübut etməlidir və üçüncü tərəfin hücumu özlüyündə nəzarətçini məsuliyyətdən azad etmir.

GDPR-a əsasən məsuliyyət müqavilənin pozulması və mülki hüquqi zərərin əsasları ilə yanaşı mövcuddur. Hollandiya Mülki Məcəlləsinin 6:162(1)-ci maddəsinə əsasən, qanunsuz hərəkət edən tərəf dəymiş ziyanı ödəməlidir. 6:163-cü maddənin nisbilik tələbi tətbiq olunur: pozulmuş norma zərər çəkmiş tərəfin məruz qaldığı zərər növündən qorunmağa xidmət etməlidir.

Əhəmiyyətli olan odur ki, GDPR-in 82-ci maddəsi bu əsaslarla yanaşı mövcuddur. Buna görə də, məlumat subyekti yalnız müqavilənin pozulması və ya qanun pozuntusu ilə bağlı iddia qaldırmaq məcburiyyətində deyil, lakin GDPR-in təmin etdiyi məsuliyyət üçün birbaşa müstəqil əsasa etibar edə bilər. Təsirə məruz qalan təşkilat üçün əsasların bu kombinasiyası o deməkdir ki, hücumdan sonra bir neçə tərəf eyni anda iddia qaldıra bilər.

Kim məsuliyyət daşıya bilər?

Təsirə məruz qalan təşkilat müqavilə öhdəliklərini yerinə yetirmədikdə və ya kifayət qədər təhlükəsizlik tədbirləri görmədikdə məsuliyyət daşıya bilər. İT xidmət təminatçısı və ya prosessor da məsuliyyətə cəlb edilə bilər. Həmin xidmət təminatçısından nə gözlənilə biləcəyi ilk növbədə müqavilə ilə müəyyən edilir.

Emal münasibətləri daxilində məlumatların emalı müqaviləsi mərkəzi rol oynayır. GDPR-in 28-ci maddəsi nəzarətçidən və prosessordan belə bir müqavilə bağlamağı tələb edir ki, bu da digər məsələlərlə yanaşı təhlükəsizlik tədbirlərini və məlumat sızmalarının idarə olunmasını da tənzimləyir. Hücum prosessorda qeyri-kafi təhlükəsizlikdən qaynaqlandıqda, nəzarətçi prosessoru həmin müqaviləyə əsasən yaranan itkiyə görə məsuliyyətə cəlb edə bilər.

Bu, Hof van Tvente bələdiyyəsinə qarşı kiberhücumla bağlı işdən kəskin şəkildə ortaya çıxır (Overijssel Rayon Məhkəməsi, 10 may 2023, ECLI:NL:RBOVE:2023:1731). Tərəflər təhlükəsizlik monitorinqi deyil, funksional monitorinq barədə razılığa gəlmişdilər. Məhkəmə İT administratorunun qayğı vəzifəsinin təhlükəsizlik monitorinqinin funksional monitorinq tapşırığının gizli bir hissəsini təşkil edəcəyi qədər geniş olmadığını müəyyən etdi və bələdiyyənin iddiasını rədd etdi. O, həmçinin bələdiyyənin özünün parol siyasəti və RDP portunun açılması da daxil olmaqla riski artıran qərarlar qəbul etdiyini də nəzərə aldı.

Güzgüdəki görüntü O'Cliance işidir (Rayon Məhkəməsi Amsterdam, 14 Noyabr 2018, ECLI:NL:RBAMS:2018:10124). Orada təchizatçı tam bir İT infrastrukturu quraşdırmış və onun idarəçiliyini öz üzərinə götürmüşdü. Yedəkləmələrin də şifrələndiyi bir ransomware hücumundan sonra məhkəmə belə bir tam paketin tədarükünün genişmiqyaslı qayğı vəzifəsi daşıdığını və sadə tədbirlərin görülmədiyini qərara aldı. Lakin məsuliyyət tam olaraq ödənilmədi: müştərinin töhfəli günahı səbəbindən zərərin üçdə ikisi təchizatçının hesabına qaldı.

Müvafiq təhlükəsizlik üzrə sübut yükünün nə qədər ağır ola biləcəyi avtomobil satıcısının elektron poçt hesabının sındırılması işi ilə göstərilir. 5 noyabr 2024-cü il tarixli aralıq qərarda (Arnhem-Leeuwarden Apelyasiya Məhkəməsi, ECLI:NL:GHARL:2024:6812) haker alıcıya yalan ödəniş tapşırığı göndərmək üçün həmin hesabdan istifadə etdikdən sonra satıcıya elektron poçt hesabının GDPR mənasında müvafiq şəkildə qorunduğunu sübut etmək imkanı verildi. 22 iyul 2025-ci il tarixli sonrakı qərarda (ECLI:NL:GHARL:2025:4556) məhkəmə bu sübutun təqdim edilmədiyini və bundan sonra tərəflərin alıcının töhfə verən günahını həll etməli olduqlarını müəyyən etdi. Buna görə də hər iki qərar eyni icraata aiddir.

Ortaq məsələ ondan ibarətdir ki, müqavilə razılaşmaları, emal riskləri, faktiki olaraq görülən tədbirlər, hər iki tərəfə verilən xəbərdarlıqlar və zərər çəkmiş tərəfin öz davranışı hamısı vacibdir. Mülki məsuliyyətlə yanaşı, Hollandiyanın Məlumatların Mühafizəsi Orqanı hansı daha yüksəkdirsə, 20 milyon avroya və ya dünya miqyasında illik dövriyyənin 4 faizinə qədər inzibati cərimələr tətbiq edə bilər. Bu cərimələr fərdi məlumat subyektlərinin zərər çəkib-çəkməməsindən asılı deyil.

Cinayət hüququ yolu

Kiberhücum həmçinin kompüter müdaxiləsi, məlumatları əlçatmaz hala gətirmək və ya açıqlanmayan məlumatların mənimsənilməsi kimi cinayət əməli hesab edilə bilər. Hollandiya Cinayət Məcəlləsinin 138ab(1) maddəsi avtomatlaşdırılmış sistemə qəsdən və qanunsuz olaraq giriş əldə etməyi cinayət hesab edir.

Qurbanlar cinayət barədə ixtisaslaşmış kibercinayətkarlıq qrupları olan polisə məlumat verə bilərlər. Şübhəli şəxs məsuliyyətə cəlb edildikdə, zərərçəkmiş zərərçəkmiş zərərçəkmiş kimi cinayət prosesinə qoşula və orada kompensasiya tələb edə bilər. Bu yol ayrı-ayrı mülki məhkəmə proseslərindən yayınır, lakin nəticə aşkarlama, məhkəmə təqibi və sübutlardan asılıdır ki, beynəlxalq səviyyədə fəaliyyət göstərən cinayətkarlar üçün bu da tez-tez heç bir nəticə vermir. Təşkilatlar üçün məlumat vermək çox vaxt praktiki zərurətdir, çünki sığortaçılar və təchizat zənciri tərəfdaşları bunu istəyirlər.

Kiber sığorta nəyi əhatə edir?

Kiber sığorta polisi, digər şeylərlə yanaşı, aşağıdakıları əhatə edə bilər:

• hadisəyə reaksiya və məhkəmə-tibbi araşdırma;
• sistemlərin və məlumatların bərpası;
• işin dayandırılması nəticəsində yaranan itkilər və dövriyyənin itirilməsi;
• böhran kommunikasiyası;
• üçüncü tərəflərə qarşı məsuliyyət;
• hüquqi xərclər; və
• bəzi hallarda, tətbiq olunan qanunvericiliyə əsasən sığortalana bilən dərəcədə cərimələr, ödənişlər və ya fidyə.

Dəqiq sığorta polisdən asılıdır. İstisnalara, təhlükəsizlik şərtlərinə, bildiriş müddətlərinə, franşizalara və mütəxəssislərin cəlb edilməsi tələblərinə diqqət yetirin. Hollandiya Mülki Məcəlləsinin 7:957(1)-ci maddəsi də sığortalanmış tərəfi itkinin qarşısını almaq və ya məhdudlaşdırmaq üçün ağlabatan tədbirlər görməyə məcbur edir. Bu xilasetmə öhdəliyinə əməl edilmədikdə, sığortaçı ödənişi azalda bilər.

Buna görə də, kiber sığortaçıya mümkün qədər tez məlumat verilməlidir. Sığortaçının razılığı olmadan kənar mütəxəssislərin cəlb edilməsi və ya fidyə ödənilməsi sığortaya təsir göstərə bilər.

Kiberhücumdan dərhal sonra nə etməlisiniz?

• Hadisəni və bütün müvafiq hərəkətləri diqqətlə qeyd edin.
• Təsirə məruz qalan sistemləri sübutları itirmədən təcrid edin.
• Məhkəmə eksperti cəlb edin.
• Bildiriş verilə bilən məlumatların sızmasının olub olmadığını qiymətləndirin.
• Məlumat subyektlərinin məlumatlandırılmalı olub-olmadığını qiymətləndirin.
• Cinayət barədə polisə məlumat verin.
• Hadisə barədə kiber sığortaçınıza məlumat verin.
• Qeydləri, ehtiyat nüsxələrini, e-poçtları və digər müvafiq məlumatları qoruyun.
• Zərərin və potensial məsuliyyət daşıyan tərəflərin xəritəsini tərtib edin.
• Müştərilərə, işçilərə və təchizat zənciri tərəfdaşlarına diqqətlə və vaxtında məlumat verin.

Buna görə də kiberhücum sadəcə texniki hadisə deyil. Bu, həm də məlumatların qorunması, mülki hüquq, cinayət hüququ və sığorta hüququ məsələsidir. Sürətli və yaxşı sənədləşdirilmiş cavab yalnız zərəri məhdudlaşdırmır, həm də bildirişlər, sığorta əhatə dairəsi və istənilən məhkəmə prosesində sübut mövqeyiniz üçün həlledicidir.

Sonda

Kiberhücumdan sonra yaranan hüquq və vəzifələr bir neçə hüquq sahəsinə yayılmışdır və işin nəticəsi konkret faktlardan, müqavilənin məzmunundan və qeydlərin keyfiyyətindən çox asılıdır. Müzakirə olunan məhkəmə təcrübəsi göstərir ki, təchizatçı və müştəri öz davranışlarına görə mühakimə olunur və yetmiş iki saatlıq bildiriş müddəti kimi son tarixlər gecikməyə az yer qoyur.

Law & More təşkilatlara və məlumat subyektlərinə kiber insidentlərin hüquqi həllində kömək edir: bildiriş vəzifələrinin qiymətləndirilməsindən və məlumatların emalı müqavilələrinin nəzərdən keçirilməsindən tutmuş məsuliyyətin müəyyən edilməsinə, sığorta məsələlərinə və itkilərin ödənilməsinə qədər. Kiberhücum və ya məlumat sızması ilə qarşılaşırsınız, yoxsa müqavilələrinizin bu risklərə qarşı əvvəlcədən bizim tərəfimizdən nəzərdən keçirilməsini istəyirsiniz? İT Qanunu komanda? Zəhmət olmasa, çəkinməyin əlaqə Law & More Vəziyyətinizin öhdəliksiz müzakirəsi üçün.

Tez-tez soruşulan suallar

Aşağıda bu mövzuda bizə ən çox verilən sualları cavablandırırıq.