የሳይበር ጥቃቶች ሰለባዎች መብቶች፡ የማሳወቂያ ግዴታዎች፣ ካሳዎች እና ኢንሹራንስ

በቶም ሚቪስ፣ ጠበቃ Law & More

እንደ ራንሰምዌር፣ ፊሺንግ፣ የዲዶኤስ ጥቃቶች እና የኮምፒውተር ጣልቃ ገብነት ያሉ የሳይበር ጥቃቶች በጥቃት ላይ ያለውን ድርጅት ብቻ እምብዛም አያጠቁም። የሳይበር ጥቃቶች ሰለባዎች ኪሳራ ሊደርስባቸው የሚችሉ ደንበኞችን፣ ሰራተኞችን፣ ታካሚዎችን፣ አቅራቢዎችን እና ሌሎች የአቅርቦት ሰንሰለት አጋሮችን ያካትታሉ፣ እና ህጋዊ አቋማቸው ከቡድን ወደ ቡድን ይለያያል። ስለዚህ ጥቃት ከተፈጸመ በኋላ የትኞቹ ግዴታዎች ተፈጻሚ እንደሚሆኑ እና የትኞቹ የይገባኛል ጥያቄዎች እንዳሉ ለመወሰን የሚፈልግ ማንኛውም ሰው በመጀመሪያ ማን እንደተጎዳ እና ምን ጉዳት እንደደረሰ በትክክል መወሰን አለበት።

ይህ ጽሑፍ በተራው ማን ተጎጂ እንደሆነ፣ የውሂብ ጥሰት መቼ መታወቅ እንዳለበት፣ የካሳ መብት ምን አይነት ሁኔታዎች እንዳሉ፣ የትኞቹ ወገኖች ተጠያቂ ሊሆኑ እንደሚችሉ፣ የወንጀል ሕጉ ምን ሚና እንደሚጫወት፣ የሳይበር ኢንሹራንስ ፖሊሲ በተለምዶ ምን እንደሚሸፍን እና ጥቃት ከተፈጸመ በኋላ ወዲያውኑ የትኞቹን እርምጃዎች መውሰድ እንዳለበት ያብራራል።

የሳይበር ጥቃቶች ሰለባዎች እነማን ናቸው?

በሳይበር ጥቃት ሶስት ቡድኖች ሊለዩ ይችላሉ።

• የተጎዳው ድርጅት ራሱ፣ የስርዓት ጊዜ ማቋረጫ፣ የጠፋ የሰራተኛ ዝውውር፣ የማገገሚያ ወጪዎች፣ የፎረንሲክ ምርመራ ወጪ እና የዝና ጉዳት ይገጥመዋል።
• የግል መረጃቸው የተጋለጠባቸው የተፈጥሮ ሰዎች፣ ለምሳሌ ደንበኞች፣ ሰራተኞች እና ታካሚዎች። የገንዘብ ኪሳራ ሊደርስባቸው ይችላል፣ ነገር ግን በመረጃቸው ላይ ቁጥጥር በማጣት፣ እርግጠኛ ባለመሆን ወይም የማንነት ማጭበርበርን በመፍራት ምክንያት ቁሳዊ ያልሆነ ጉዳት ሊደርስባቸው ይችላል።
• ለምሳሌ በውል ወይም በአቅርቦት ሰንሰለት ግንኙነት ምክንያት የተጎዱ ሶስተኛ ወገኖች፣ ለምሳሌ ስርዓቱ በወደቀበት አቅራቢ ላይ ስለሚመሰረቱ።

ይህ ምደባ በህግ አግባብነት ያለው ነው። የማንኛውም የይገባኛል ጥያቄ መሰረት እና ሊቀርብበት የሚችል አካል በተጎጂው አቋም ላይ የተመሰረተ ነው። የተጎዳ ድርጅት በአጠቃላይ የአይቲ አቅራቢውን በውሉ መሰረት ተጠያቂ ያደርጋል፣ የውሂብ ጉዳይ ግን በቀጥታ በጂዲፒአር (GDPR) በሚሰጠው ተጠያቂነት ላይ ሊመሰረት ይችላል።

የውሂብ ጥሰት መቼ ማሳወቅ አለበት?

የግል መረጃ በሳይበር ጥቃት ውስጥ ከተሳተፈ፣ የግል መረጃ ጥሰት መኖሩ እና ማሳወቂያው ግዴታ መሆን አለመሆኑን መገምገም አለበት። አንቀጽ 33 GDPR ጥሰት ያለአግባብ መዘግየት ለተቆጣጣሪ ባለስልጣን እንዲያውቅ እና የሚቻል ከሆነ ደግሞ በሰባ ሁለት ሰዓታት ውስጥ ጥሰቱ የተፈጥሮ ሰዎችን መብቶች እና ነጻነቶች አደጋ ላይ የሚጥል ካልሆነ በስተቀር እንዲታወቅ ይጠይቃል።

በተጨማሪም፣ አንቀጽ 34 GDPR ድርጅቱ የመረጃውን ተገዢዎች እራሳቸውን እንዲያሳውቅ ሊጠይቅ ይችላል። ይህ ግዴታ የሚፈጠረው ጥሰቱ ለመብቶቻቸው እና ለነፃነቶቻቸው ከፍተኛ አደጋ ሊያስከትል በሚችልበት ጊዜ ነው። እንደ ምስጠራ ያሉ ተገቢ የቴክኒክ እርምጃዎች በተተገበሩበት፣ ቀጣይ እርምጃዎች ከፍተኛ አደጋው እንደማይከሰት የሚያረጋግጡበት ወይም የግለሰብ ግንኙነት ተመጣጣኝ ያልሆነ ጥረትን የሚያካትት ከሆነ ግንኙነት ሊወገድ ይችላል፤ በዚህ የመጨረሻ ጉዳይ ላይ የህዝብ ግንኙነት በቂ ነው።

ለመረጃው ባለቤት መግባባት ከመደበኛነት በላይ ነው። ለምሳሌ የይለፍ ቃላትን በመቀየር ወይም አጠራጣሪ ግብይቶችን በመመልከት የራሳቸውን እርምጃ እንዲወስዱ ያስችላቸዋል፣ እና በተግባር ግን ብዙውን ጊዜ ለማንኛውም የካሳ ጥያቄ መነሻ ነጥብ ነው።

ስለዚህ አንድ ድርጅት ጥቃት መፈጸሙን ብቻ ሳይሆን የትኞቹ መረጃዎች እንደተጎዱ፣ መረጃው በእርግጥ ተጠርጎ እንደሆነ እና ከዚያ ምን አደጋዎች እንደሚመጡ ማረጋገጥ አለበት። ገለልተኛ የፎረንሲክ ምርመራ ብዙውን ጊዜ ለዚያ ዓላማ የግድ አስፈላጊ ነው።

ይህ ጥቃቱ በድርጅቱ ራሱ ላይ ሳይሆን በፕሮሰሰር ላይ በሚከሰትበት ጊዜ የበለጠ ተፈጻሚ ይሆናል። በብላው ምርምር እና በኔቡ መካከል በተደረገው የማጠቃለያ ሂደት (የሮተርዳም ዲስትሪክት ፍርድ ቤት፣ ኤፕሪል 6፣ 2023፣ ECLI:NL:RBROT:2023:2931) ጊዜያዊ የእርዳታ ዳኛ በተዋዋይ ወገኖች መካከል በተጠናቀቀው የውሂብ ማቀነባበሪያ ስምምነት መሠረት ተቆጣጣሪው ስለ ጥቃቱ፣ ስለ ውጤቶቹ እና ስለተወሰዱት እርምጃዎች መጀመሪያ ላይ ከተሰጡት በላይ ተጨማሪ መረጃ የማግኘት መብት እንዳለው ወስነዋል። ፕሮሰሰሩም ገለልተኛ የፎረንሲክ ምርመራ እንዲያካሂድ እና በየጊዜው ሪፖርት እንዲያደርግ ታዟል። ፍርዱ እንደሚያሳየው በሚገባ የተዘጋጀ የውሂብ ማቀነባበሪያ ስምምነት በተግባር ከተከሰተ በኋላ መረጃን ለማግኘት በጣም አስፈላጊው መሣሪያ ነው፣ ምክንያቱም ተቆጣጣሪው ያንን መረጃ የራሱን የማሳወቂያ ተግባራት ለመወጣት ስለሚያስፈልገው።

የካሳ መብት መቼ ነው የሚፈጠረው?

የውሂብ ተገዢዎች በአንቀጽ 82 GDPR መሠረት ከተቆጣጣሪው ወይም ከፕሮሰሰሩ ካሳ ሊጠይቁ ይችላሉ። ሆኖም የሳይበር ጥቃት በራስ-ሰር የይገባኛል ጥያቄን አያመጣም። መረጋገጥ አለበት፡

• የ GDPR ጥሰት መፈጸሙን፤
• ጉዳት በእርግጥ ደርሶበታል፤ እና
• በዚያ ጥሰት እና በዚያ ጉዳት መካከል የምክንያት ግንኙነት እንዳለ።

የቁሳቁስ ጉዳት የገንዘብ ኪሳራ፣ የማገገሚያ ወጪዎች ወይም በማንነት ማጭበርበር ምክንያት የሚመጣ ኪሳራ ሊሆን ይችላል። ስለ ቁሳዊ ያልሆኑ ጉዳቶች የአውሮፓ ህብረት የፍትህ ፍርድ ቤት በኦስተርሬይቺቼ ፖስት (CJEU ግንቦት 4፣ 2023፣ C-300/21) ላይ ዝቅተኛው የክብደት ገደብ እንደሌለ፣ ነገር ግን የGDPR ጥሰት ብቻውን ለሽልማት በቂ እንዳልሆነ ወስኗል።

የሳይበር ጥቃትን ተከትሎ ለሚፈጸሙ የውሂብ ጥሰቶች ልዩ ጠቀሜታ የNatsionalna agentsia za prihodite (CJEU 14 ታህሳስ 2023፣ C-340/21) ነው። ፍርድ ቤቱ ወደፊት የተለቀቀውን የግል መረጃ አላግባብ መጠቀም መፍራት በራሱ ቁሳዊ ያልሆነ ጉዳት ሊያስከትል እንደሚችል ወስኗል። ሆኖም የመረጃው ባለቤት ያንን ፍርሃት እና ውጤቶቹን በተጨባጭ ማረጋገጥ አለበት፤ መረጃው መውጣቱን ብቻ ማመልከት ብቻ በቂ አይደለም። በተመሳሳይ ፍርድ ቤቱ የተወሰዱት የደህንነት እርምጃዎች ተገቢ መሆናቸውን ማረጋገጥ የተቆጣጣሪው ኃላፊነት መሆኑን እና በሶስተኛ ወገን የሚፈጸም ጥቃት ተቆጣጣሪውን ከተጠያቂነት ነፃ እንደማያደርገው አረጋግጧል።

በGDPR መሠረት ተጠያቂነት ከሲቪል ሕግ መሠረቶች ጎን ለጎን የውል መጣስ እና የጥፋት መሠረቶች አሉ። በኔዘርላንድስ የሲቪል ሕግ አንቀጽ 6:162(1) መሠረት፣ ሕገ-ወጥ ድርጊት የፈጸመ ወገን የደረሰውን ጉዳት ማካካስ አለበት። የአንቀጽ 6:163 አንጻራዊነት መስፈርት ተፈጻሚ ይሆናል፡ የተጣሰው ደንብ የተጎዳው ወገን የደረሰበትን ጉዳት ለመከላከል የሚያገለግል መሆን አለበት።

በአስፈላጊ ሁኔታ፣ አንቀጽ 82 GDPR ከእነዚህ መሰረቶች ጎን ለጎን ይገኛል። ስለዚህ የውሂብ ባለቤት የይገባኛል ጥያቄን በውል ወይም በጥፋት ጥሰት ብቻ የማግኘት ግዴታ የለበትም፣ ነገር ግን GDPR በሚያቀርበው ተጠያቂነት ላይ በቀጥታ ሊተማመን ይችላል። ለተጎዳው ድርጅት፣ ይህ የመሠረት ጥምረት ማለት ብዙ ወገኖች ጥቃት ከተፈጸመ በኋላ በተመሳሳይ ጊዜ የይገባኛል ጥያቄዎችን ሊያቀርቡ ይችላሉ ማለት ነው።

ተጠያቂ ሊሆን የሚችለው ማነው?

የተጎዳው ድርጅት የውል ግዴታዎቹን ሳይፈጽም ሲቀር ወይም በቂ የደህንነት እርምጃዎችን ካልወሰደ ተጠያቂ ሊሆን ይችላል። የአይቲ አገልግሎት አቅራቢ ወይም ፕሮሰሰርም ተጠያቂ ሊሆን ይችላል። ከዚያ አገልግሎት አቅራቢ የሚጠበቀው ነገር በመጀመሪያ የሚወሰነው በውሉ ነው።

በሂደት ግንኙነት ውስጥ የውሂብ ማቀነባበሪያ ስምምነቱ ማዕከላዊ ሚና ይጫወታል። አንቀጽ 28 GDPR ተቆጣጣሪው እና ፕሮሰሰሩ እንዲህ ዓይነቱን ስምምነት እንዲጨርሱ ይጠይቃል፣ ከሌሎች ነገሮች በተጨማሪ የደህንነት እርምጃዎችን እና የውሂብ ጥሰቶችን አያያዝን ይቆጣጠራሉ። ጥቃቱ የሚመጣው በማቀነባበሪያው ላይ በቂ ያልሆነ ደህንነት ከተገኘ፣ ተቆጣጣሪው ለተፈጠረው ኪሳራ በዚያ ስምምነት መሠረት ፕሮሰሰሩን ተጠያቂ ማድረግ ይችላል።

ይህ በሆፍ ቫን ትዌንቴ ማዘጋጃ ቤት ላይ ስለተፈፀመው የሳይበር ጥቃት ከሚለው ጉዳይ በግልጽ ይታያል (የኦቨርጅሰል ዲስትሪክት ፍርድ ቤት፣ ግንቦት 10 ቀን 2023፣ ECLI:NL:RBOVE:2023:1731)። ወገኖቹ የደህንነት ክትትል ሳይሆን ተግባራዊ ክትትልን ተስማምተዋል። ፍርድ ቤቱ የአይቲ አስተዳዳሪን የመንከባከብ ግዴታ የደህንነት ክትትል ተግባራዊ ክትትልን በተመለከተ በተሰጠ ምደባ ውስጥ ሚስጥራዊ አካል እስኪሆን ድረስ እንደማይዘልቅ ወስኗል፣ እና የማዘጋጃ ቤቱን ጥያቄ ውድቅ አድርጓል። እንዲሁም ማዘጋጃ ቤቱ ራሱ የይለፍ ቃል ፖሊሲውን እና የRDP ወደብ መክፈትን ጨምሮ አደጋውን የሚጨምሩ ውሳኔዎችን ወስዷል ሲል ገምግሟል።

የመስታወቱ ምስል የኦክሊን ክስ ነው (የዲስትሪክት ፍርድ ቤት) Amsterdam, 14 ህዳር 2018, ECLI:NL:RBAMS:2018:10124)። አቅራቢው የተሟላ የአይቲ መሠረተ ልማት ተጭኖ አስተዳደሩን ወስዷል። የመጠባበቂያ ቅጂዎቹም የተመሰጠሩበት የራንሰምዌር ጥቃት ከተፈጸመ በኋላ፣ ፍርድ ቤቱ እንዲህ ዓይነቱ አጠቃላይ ፓኬጅ አቅርቦት ሰፊ የእንክብካቤ ግዴታ እንዳለበት እና ቀጥተኛ እርምጃዎች እንደተተዉ ወስኗል። ሆኖም ግን፣ ሙሉ በሙሉ ተጠያቂነት አልተሰጠም፤ በደንበኛው አስተዋጽኦ ምክንያት፣ ሁለት ሶስተኛው የጉዳቱ መጠን ለአቅራቢው ሂሳብ ቀርቷል።

በተገቢ ደህንነት ላይ የማስረጃ ሸክም ምን ያህል ከባድ እንደሆነ በመኪና አከፋፋይ የተጠለፈ የኢሜይል አካውንት ጉዳይ ተብራርቷል። በኖቬምበር 5፣ 2024 በተሰጠ ጊዜያዊ ፍርድ (የአርንሄም-ሊዋርደን የይግባኝ ሰሚ ፍርድ ቤት፣ ECLI:NL:GHARL:2024:6812) አንድ ጠላፊ ያንን አካውንት ተጠቅሞ ለገዢ የተሳሳተ የክፍያ መመሪያ ከላከ በኋላ አከፋፋዩ የኢሜይል አካውንቱ በGDPR ትርጉም መሠረት በአግባቡ መያዙን የማረጋገጥ እድል ተሰጥቶታል። በጁላይ 22፣ 2025 በተሰጠ የተከታታይ ፍርድ (ECLI:NL:GHARL:2025:4556) ፍርድ ቤቱ ይህ ማስረጃ እንዳልቀረበ አረጋግጧል፣ ከዚያ በኋላ ወገኖቹ የገዢውን አስተዋጽኦ ያደረገበትን ስህተት አሁንም መፍታት ነበረባቸው። ስለዚህ ሁለቱም ፍርዶች ተመሳሳይ ሂደቶችን ይመለከታሉ።

የጋራው ክርክር የውል ዝግጅቶች፣ የሂደቱ አደጋዎች፣ የተወሰዱት እርምጃዎች፣ በሁለቱም ወገኖች የተሰጡ ማስጠንቀቂያዎች እና የተጎዳው ወገን የራሱ ድርጊት ሁሉም አስፈላጊ ናቸው። ከሲቪል ተጠያቂነት በተጨማሪ የደች የውሂብ ጥበቃ ባለስልጣን እስከ 20 ሚሊዮን ዩሮ ወይም 4 በመቶ የሚሆነውን የዓለም አቀፍ ዓመታዊ የዝውውር ቅጣት ሊጥል ይችላል፣ የትኛውም ከፍ ያለ ቢሆን። እነዚህ ቅጣቶች የግለሰብ የውሂብ ተገዢዎች ጉዳት ደርሶባቸው እንደሆነ ሳይወሰኑ ናቸው።

የወንጀል ሕግ መንገድ

የሳይበር ጥቃት እንደ የኮምፒውተር ጣልቃ ገብነት፣ መረጃ ተደራሽ እንዳይሆን ማድረግ ወይም ይፋዊ ያልሆኑ መረጃዎችን መጠቀምን የመሳሰሉ የወንጀል ጥፋቶችን ሊያመለክት ይችላል። የደች የወንጀል ሕግ አንቀጽ 138ab(1) ሆን ብሎ እና ሕገ-ወጥ በሆነ መንገድ አውቶማቲክ ሲስተምን ማግኘትን ወንጀል ያደርገዋል።

ተጎጂዎች ወንጀሉን ለፖሊስ ሪፖርት ማድረግ ይችላሉ፤ ይህም ልዩ የሳይበር ወንጀል ቡድኖችን ያቀፈ ነው። ተጠርጣሪ ክስ በሚመሰረትበት ጊዜ፣ ተጎጂው እንደ ጉዳት የደረሰበት ወገን ሆኖ የወንጀል ሂደቶቹን ሊቀላቀል እና እዚያ ካሳ ሊጠይቅ ይችላል። ይህ መንገድ የተለያዩ የሲቪል ሂደቶችን ያስወግዳል፣ ነገር ግን ውጤቱ የሚወሰነው በምርመራ፣ በክስ እና በማስረጃ ላይ ሲሆን ይህም በዓለም አቀፍ ደረጃ በሚንቀሳቀሱ ወንጀለኞች ላይ ብዙ ጊዜ ምንም ውጤት አያስገኝም። ለድርጅቶች ሪፖርት ማድረግ ብዙውን ጊዜ ተግባራዊ አስፈላጊነት ነው፣ ምክንያቱም የኢንሹራንስ ኩባንያዎች እና የአቅርቦት ሰንሰለት አጋሮች ስለዚህ ጉዳይ ይጠይቃሉ።

የሳይበር ኢንሹራንስ ምን ይሸፍናል?

የሳይበር ኢንሹራንስ ፖሊሲ ከሌሎች ነገሮች በተጨማሪ የሚከተሉትን ሊሸፍን ይችላል፡

• የአደጋ ምላሽ እና የፎረንሲክ ምርመራ፤
• የስርዓት እና የውሂብ መልሶ ማቋቋም;
• የንግድ ሥራ መቆራረጥ ኪሳራዎች እና የጠፋ የዝውውር ክፍያ፤
• የአደጋ ጊዜ ግንኙነት፤
• ለሶስተኛ ወገኖች ተጠያቂነት፤
• የሕግ ወጪዎች፤ እና
• በአንዳንድ ሁኔታዎች በሚመለከተው ሕግ መሠረት ኢንሹራንስ በሚሰጥ መጠን ቅጣቶች፣ የክፍያ ክፍያዎች ወይም ቤዛ።

ትክክለኛው ሽፋን በፖሊሲው ላይ የተመሰረተ ነው። ለሚደረጉ ማግለያዎች፣ የደህንነት ሁኔታዎች፣ የማሳወቂያ ጊዜዎች፣ ተቀናሽ ክፍያዎች እና በተሳታፊ ባለሙያዎች ላይ ለሚያስፈልጉ መስፈርቶች ትኩረት ይስጡ። የደች ሲቪል ሕግ አንቀጽ 7:957(1) እንዲሁም ዋስትና ያለው አካል ኪሳራን ለመከላከል ወይም ለመገደብ ምክንያታዊ እርምጃዎችን እንዲወስድ ያስገድዳል። ያ የማዳን ግዴታ ካልተከበረ፣ ኢንሹራንስ ሰጪው ክፍያውን ሊቀንስ ይችላል።

ስለዚህ የሳይበር ኢንሹራንስ ሰጪው በተቻለ ፍጥነት ሊያውቀው ይገባል። የውጭ ባለሙያዎችን ማሳተፍ ወይም የኢንሹራንስ ሰጪውን ፈቃድ ሳያስፈልግ ቤዛ መክፈል የኢንሹራንስ ሰጪውን ሽፋን ሊጎዳ ይችላል።

የሳይበር ጥቃት ከተፈጸመ በኋላ ወዲያውኑ ምን ማድረግ አለብዎት?

• ክስተቱን እና ሁሉንም ተዛማጅ ድርጊቶች በጥንቃቄ ይመዝግቡ።
• ማስረጃውን ሳያጡ የተጎዱትን ስርዓቶች ለይ።
• የፎረንሲክ ባለሙያን ያማክሩ።
• ሊታወቅ የሚችል የውሂብ ጥሰት ካለ ይገምግሙ።
• የመረጃው ተሳታፊዎች መረጃ ማግኘት እንዳለባቸው ይገምግሙ።
• ጥፋቱን ለፖሊስ ሪፖርት ያድርጉ።
• ክስተቱን ለሳይበር ኢንሹራንስ ሰጪዎ ያሳውቁ።
• ምዝግብ ማስታወሻዎችን፣ ምትኬዎችን፣ ኢሜይሎችን እና ሌሎች ተዛማጅ መረጃዎችን ያስቀምጡ።
• ጉዳቱን እና ተጠያቂ ሊሆኑ የሚችሉ አካላትን ካርታ ያሳዩ።
• ደንበኞችን፣ ሰራተኞችን እና የአቅርቦት ሰንሰለት አጋሮችን በጥንቃቄ እና በጥሩ ጊዜ ያሳውቁ።

ስለዚህ የሳይበር ጥቃት የቴክኒክ ክስተት ብቻ አይደለም። የውሂብ ጥበቃ፣ የሲቪል ሕግ፣ የወንጀል ሕግ እና የኢንሹራንስ ሕግም ጭምር አስፈላጊ ነው። ፈጣን እና በሚገባ የተመዘገበ ምላሽ ጉዳቱን የሚገድብ ብቻ ሳይሆን፣ በማንኛውም ሂደት ውስጥ ለሚኖርዎት ማሳወቂያዎች፣ የኢንሹራንስ ሽፋን እና የማስረጃ አቋም ወሳኝ ነው።

በመዝጋት

የሳይበር ጥቃትን ተከትሎ የሚደረጉ መብቶችና ግዴታዎች በተለያዩ የሕግ ዘርፎች የተስፋፉ ሲሆን የአንድ ጉዳይ ውጤት በአብዛኛው የሚወሰነው በተወሰኑ እውነታዎች፣ በውሉ ይዘት እና በመዝገቦቹ ጥራት ላይ ነው። የተብራራው የጉዳይ ሕግ አቅራቢውም ሆነ ደንበኛው በራሳቸው ባህሪ እንደሚፈረድባቸው እና እንደ ሰባ ሁለት ሰዓት የማሳወቂያ ጊዜ ያሉ የጊዜ ገደቦች ለመዘግየት ትንሽ ቦታ እንደሚሰጡ ያሳያል።

Law & More ድርጅቶችን እና የውሂብ ጉዳዮችን የሳይበር ክስተቶችን ሕጋዊ አያያዝ ላይ ያግዛል፡- የማሳወቂያ ግዴታዎችን ከመገምገም እና የውሂብ ማቀነባበሪያ ስምምነቶችን ከመገምገም ጀምሮ ተጠያቂነትን እስከማቋቋም፣ የኢንሹራንስ ጉዳዮች እና ኪሳራዎችን መልሶ ማግኘት። የሳይበር ጥቃት ወይም የውሂብ ጥሰት እያጋጠምዎት ነው? ወይስ ኮንትራቶችዎ ከእነዚህ አደጋዎች ጋር አስቀድመው እንዲገመገሙ ይፈልጋሉ? በእኛ የአይቲ ህግ ቡድን? እባክዎን ነፃነት ይሰማዎ እውቂያ Law & More ስለሁኔታዎ ያለ ግዴታ ውይይት ለማድረግ።

ተደጋግሞ የሚነሱ ጥያቄዎች

ከዚህ በታች በዚህ ጉዳይ ላይ ብዙ ጊዜ የሚጠየቁንን ጥያቄዎች እንመልሳለን።

የሳይበር ጥቃት ሰለባዎች እነማን ናቸው?

ሶስት ንብርብሮች አሉ። በመጀመሪያ፣ የተጎዳው ድርጅት ራሱ፣ የስርዓት ጊዜ ማቆያ፣ የጠፋ የዝውውር ክፍያ፣ የማገገሚያ ወጪዎች፣ የፎረንሲክ ምርመራ ወጪ እና የዝና ጉዳት የሚሸከም። ሁለተኛ፣ የውሂብ ተሳታፊዎች፣ የግል መረጃቸው የተጋለጠባቸው የተፈጥሮ ሰዎች፣ እንደ ደንበኞች፣ ሰራተኞች እና ታካሚዎች። ሶስተኛ፣ ሶስተኛ ወገኖች በውል ወይም በአቅርቦት ሰንሰለት ግንኙነት ምክንያት ኪሳራ ይደርስባቸዋል፣ ለምሳሌ በወረደ አቅራቢ ላይ ስለሚመሰረቱ። ያ ምደባ አንድ ወገን የይገባኛል ጥያቄ ማቅረብ የሚችለው በምን መሠረት እና በማን ላይ እንደሆነ ይወስናል።

የውሂብ ጥሰትን በየትኛው ጊዜ ውስጥ ማሳወቅ አለብኝ?

አንቀጽ 33 GDPR ያለአግባብ መዘግየት ለተቆጣጣሪ ባለሥልጣኑ ማሳወቅ እና የሚቻል ከሆነ ጥሰቱን ካወቁ በኋላ በሰባ ሁለት ሰዓታት ውስጥ አስፈላጊ ነው። ጥሰቱ በተፈጥሮ ሰዎች መብቶች እና ነፃነቶች ላይ አደጋ የማያስከትል ዕድሉ ከፍተኛ ካልሆነ ግዴታው ተፈጻሚ አይሆንም። ያ ግምገማ የጥሰቱን ባህሪ፣ የተጎዱትን የውሂብ ምድቦች እና ሊሆኑ የሚችሉ ውጤቶችን ትንተና ይጠይቃል።

የውሂብ ተገዢዎችን እራሳቸው መቼ ማሳወቅ አለብኝ?

በአንቀጽ 34 GDPR መሠረት፣ ጥሰቱ ለመረጃ ተገዢዎች መብቶች እና ነጻነቶች ከፍተኛ አደጋ ሊያስከትል የሚችልበት ሁኔታ። እንደ ምስጠራ ያሉ ተገቢ የቴክኒክ እርምጃዎች በተተገበሩበት፣ ቀጣይ እርምጃዎች ከፍተኛ አደጋው ከአሁን በኋላ እንደማይከሰት የሚያረጋግጡበት ወይም የግለሰብ ግንኙነት ያልተመጣጠነ ጥረትን የሚጠይቅ ከሆነ ግንኙነት ሊወገድ ይችላል። በዚህ የመጨረሻ ጉዳይ ላይ የህዝብ ግንኙነት በቂ ነው።

የተጠለፈ አቅራቢ መረጃ እንዲደርስ ማስገደድ እችላለሁን?

አዎ፣ የውሂብ ማቀነባበሪያ ስምምነት የሚደነግግበት ቦታ። በብላው ምርምር እና በኔቡ መካከል በተደረገው የማጠቃለያ ሂደት (የሮተርዳም ዲስትሪክት ፍርድ ቤት፣ ኤፕሪል 6፣ 2023፣ ECLI:NL:RBROT:2023:2931) ጊዜያዊ የእርዳታ ዳኛ በውሂብ ማቀነባበሪያ ስምምነቱ መሠረት ተቆጣጣሪው ስለ ጥቃቱ፣ ስለሚያስከትለው ውጤት እና ከተሰጡት እርምጃዎች የበለጠ መረጃ የማግኘት መብት እንዳለው ወስነዋል፣ እና ፕሮሰሰሩ ገለልተኛ የፎረንሲክ ምርመራ እንዲካሄድ እና በየጊዜው ሪፖርት እንዲያደርግ አዘዘ። የራስዎን የማሳወቂያ ተግባራት ለመወጣት ይህ መረጃ ያስፈልጋል።

እንደ የውሂብ ባለቤት፣ የውሂብ ጥሰት ከተፈጸመ በኋላ በራስ-ሰር ካሳ የማግኘት መብት አለኝ?

ቁጥር፡ የGDPR አንቀጽ 82 ራሱን የቻለ መሠረት ይሰጣል፣ ነገር ግን የGDPR ጥሰት እንደተፈጸመ፣ በእርግጥ ጉዳት እንደደረሰብዎት እና በጥፋቱ እና በዚያ ጉዳት መካከል የምክንያት ግንኙነት እንዳለ ማረጋገጥ አለብዎት። የማስረጃው ሸክም በከሳሹ ላይ ነው።

የማንነት ማጭበርበር ፍርሃት እንደ ቁሳዊ ያልሆነ ጉዳት ይቆጠራል?

ሊሆን ይችላል። በNatsionalna agentsia za prihodite (CJEU ታህሳስ 14፣ 2023፣ C-340/21) የፍትህ ፍርድ ቤት ወደፊት የተለቀቀ የግል መረጃ አላግባብ መጠቀምን መፍራት በራሱ ቁሳዊ ያልሆነ ጉዳት ሊያስከትል እንደሚችል ወስኗል። ሆኖም የመረጃው ባለቤት ያንን ፍርሃት እና ውጤቶቹን በተጨባጭ ማረጋገጥ አለበት። Österreichische Post (CJEU ግንቦት 4፣ 2023፣ C-300/21) ዝቅተኛ የክብደት ደረጃ እንደሌለ ነገር ግን የGDPR ጥሰት ብቻውን በቂ እንዳልሆነ አክሏል።

የደህንነት እርምጃዎቹ ተገቢ መሆናቸውን ማረጋገጥ ያለበት ማነው?

ተቆጣጣሪው። በC-340/21 የፍትህ ፍርድ ቤት የተወሰዱት የደህንነት እርምጃዎች ተገቢ መሆናቸውን እና በሶስተኛ ወገን የሚሰነዘር ጥቃት በራሱ ከተጠያቂነት ነፃ እንደማያደርገው የተቆጣጣሪው አካል መሆኑን አረጋግጧል። በኔዘርላንድስ ይህ የመኪና አከፋፋይ የተጠለፈ የኢሜይል አካውንት ጉዳይ ላይ ታይቷል፣ የአርንሄም-ሊዋርደን የይግባኝ ሰሚ ፍርድ ቤት መጀመሪያ ለአከፋፋዩ ያንን ማስረጃ የማቅረብ እድል ሰጥቶታል (ECLI:NL:GHARL:2024:6812) እና ከዚያም እንዳልቀረበ ወስኗል (ECLI:NL:GHARL:2025:4556)።

የአይቲ አቅራቢዬ ጥቃትን መለየት ካልቻለ ተጠያቂ ነው?

ይህ በተስማሙበት ነገር ላይ የተመሰረተ ነው። በሆፍ ቫን ትዌንቴ ማዘጋጃ ቤት ላይ ስለተፈፀመው የሳይበር ጥቃት (የኦቨርጅሰል ዲስትሪክት ፍርድ ቤት፣ ግንቦት 10፣ 2023፣ ECLI:NL:RBOVE:2023:1731) ወገኖቹ የደህንነት ክትትል ሳይሆን ተግባራዊ ክትትልን ተስማምተዋል። ፍርድ ቤቱ የአይቲ አስተዳዳሪ እንክብካቤ ግዴታ የደህንነት ክትትል ሚስጥራዊ አካል እስኪሆን ድረስ እስከማይዘልቅ ድረስ እንደማይዘልቅ ወስኗል፣ እና ክሱን ውድቅ አደረገው። ሰፋ ያለ አጠቃላይ ፓኬጅ ሲቀርብ፣ የእንክብካቤ ግዴታው እንደ ኦክላንስ (የዲስትሪክት ፍርድ ቤት) ሰፋ ያለ ሊሆን ይችላል። Amsterdam, ህዳር 14, 2018, ECLI:NL:RBAMS:2018:10124)፣ አቅራቢው ለኪሳራው ሁለት ሶስተኛ ተጠያቂ ሆኖ ተይዟል።

የራሴ ድርጊት ካሳውን ሊቀንስ ይችላል?

አዎ። በእነዚህ ጉዳዮች ላይ የአስተዋጽኦ ስህተት ተደጋጋሚ ሚና ይጫወታል። በኦክሊንስ ውስጥ ከኪሳራው አንድ ሶስተኛ የሚሆነው ለደንበኛው መለያ የቀረ ሲሆን በተጠለፈው የኢሜይል መለያ ጉዳይ ላይ ወገኖቹ የገዢውን የአስተዋጽኦ ስህተት መፍታት ይጠበቅባቸው ነበር። ስለዚህ የራስዎ የይለፍ ቃል ፖሊሲ፣ ክፍት የተተዉ ወደቦች ወይም ችላ የተባሉ ማስጠንቀቂያዎች በቀጥታ ወደ ውጤቱ ሊገቡ ይችላሉ።

የውሂብ ጥበቃ ባለሥልጣኑ ምን ዓይነት ቅጣቶችን ሊጥል ይችላል?

የጂዲፒአር (GDPR) ጥሰቶችን በተመለከተ የተቆጣጣሪ ባለሥልጣኑ እስከ 20 ሚሊዮን ዩሮ ወይም 4 በመቶ የሚሆነውን የዓለም አቀፍ ዓመታዊ የዝውውር መጠን የአስተዳደር ቅጣቶችን ሊጥል ይችላል፣ የትኛውም ከፍ ያለ ቢሆን። እነዚህ ቅጣቶች የግለሰብ የውሂብ ተገዢዎች በእርግጥ ጉዳት ደርሶባቸው እንደሆነ ላይ የተመሰረቱ ናቸው፣ ስለዚህም ከሲቪል ተጠያቂነት ጎን ለጎን የተለየ አደጋን ይወክላሉ።

ጥፋቱን ሪፖርት ማድረግ እና የጥፋቴን በወንጀል ክስ በኩል መጠየቅ እችላለሁን?

አዎ። የደች የወንጀል ሕግ አንቀጽ 138ab(1) ሆን ተብሎ እና በሕገ-ወጥ መንገድ አውቶማቲክ ሲስተም ማግኘትን ወንጀል ያደርገዋል። ጥፋቱን ለፖሊስ ሪፖርት ማድረግ እና ተጠርጣሪ ክስ ሲመሰረትበት እንደ ጉዳት የደረሰበት አካል የወንጀል ችሎቱን በመቀላቀል እዚያ ካሳ ለመጠየቅ ይችላሉ። ውጤቱ የሚወሰነው በምርመራ፣ በክስ እና በማስረጃ ላይ ሲሆን ይህም በዓለም አቀፍ ደረጃ በሚንቀሳቀሱ ወንጀለኞች ላይ ብዙ ጊዜ ምንም ውጤት አያስገኝም።

የሳይበር ኢንሹራንስ በተለምዶ ምን ይሸፍናል?

አብዛኛውን ጊዜ የአደጋ ምላሽ እና የፎረንሲክ ምርመራ፣ የስርዓቶች እና የውሂብ እድሳት፣ የንግድ መቆራረጥ ኪሳራዎች እና የጠፋ የሰራተኛ ዝውውር፣ የችግር ግንኙነት፣ ለሶስተኛ ወገኖች ተጠያቂነት እና የህግ ወጪዎች፣ እና በአንዳንድ ሁኔታዎች በሚመለከተው ህግ መሰረት እስከ ኢንሹራንስ ድረስ ቅጣቶች፣ የክፍያ ክፍያዎች ወይም ቤዛዎች። ለሚደረጉ ማግለያዎች፣ የደህንነት ሁኔታዎች፣ የማሳወቂያ ጊዜዎች እና ተቀናሽ ክፍያዎች ይጠንቀቁ፣ እና አንድ ክስተት ከመከሰቱ በፊት ፖሊሲውን ይገምግሙ።

ጥቃት ከተፈጸመ በኋላ በተሳሳተ መንገድ በመሥራት መጠለያ ማጣት እችላለሁን?

ይህ ሊሆን ይችላል። የደች የሲቪል ሕግ አንቀጽ 7:957(1) አንድ የተሸከመ አካል ኪሳራን ለመከላከል ወይም ለመገደብ ምክንያታዊ እርምጃዎችን እንዲወስድ ያስገድዳል፤ ያ የመዳን ግዴታ ካልተከበረ፣ ኢንሹራንስ ሰጪው ክፍያውን ሊቀንስ ይችላል። የውጭ ባለሙያዎችን ማሳተፍ ወይም የኢንሹራንስ ሰጪውን ፈቃድ ሳያስፈልግ ቤዛ መክፈልም ሽፋኑን ሊጎዳ ይችላል። ኢንሹራንስ ሰጪዎን በተቻለ ፍጥነት ያሳውቁ።

የሳይበር ጥቃት ከተፈጸመ በኋላ ወዲያውኑ ምን እርምጃዎችን መውሰድ አለብኝ?

ክስተቱን እና የተወሰዱትን እርምጃዎች በሙሉ ይመዝግቡ፣ የተጎዱትን ስርዓቶች ማስረጃ ሳያጡ ለይተው ያማክሩ እና የፎረንሲክ ባለሙያ ያማክሩ። ከዚያም ሊታወቅ የሚችል የውሂብ ጥሰት መኖሩን እና የውሂብ ተሳታፊዎች መረጃ ማግኘት እንዳለባቸው ይገምግሙ። ጥፋቱን ሪፖርት ያድርጉ፣ የሳይበር ኢንሹራንስ ሰጪዎን ያሳውቁ፣ መዝገቦችን፣ ምትኬዎችን እና ደብዳቤዎችን ያስቀምጡ፣ ጉዳቱን እና ተጠያቂ ሊሆኑ የሚችሉ አካላትን ካርታ ይስሩ እና ደንበኞችን፣ ሰራተኞችን እና የአቅርቦት ሰንሰለት አጋሮችን በጥንቃቄ እና በጥሩ ጊዜ ያሳውቁ።