Hak-hak korban serangan siber: tugas bewara, kompensasi sareng asuransi

Ku Tom Meevis, pangacara di Law & More

Serangan siber sapertos ransomware, phishing, serangan DDoS sareng panyusupan komputer jarang ngan ukur mangaruhan organisasi anu diserang. Korban serangan siber ogé kalebet konsumén, karyawan, pasien, supplier sareng mitra ranté suplai sanés anu tiasa ngalaman karugian, sareng posisi hukumna béda-béda ti hiji kelompok ka kelompok anu sanés. Saha waé anu hoyong nangtoskeun, saatos serangan, kawajiban mana anu berlaku sareng klaim mana anu aya, ku kituna disarankeun pikeun nangtukeun heula saha anu kapangaruhan sareng karusakan naon anu timbul.

Artikel ieu ngabahas saha waé anu mumpuni salaku korban, iraha palanggaran data kedah dibéjaan, naon waé sarat hak pikeun santunan, pihak mana anu tiasa nanggung jawab, peran naon anu dimaénkeun ku hukum pidana, naon anu biasana ditanggung ku polis asuransi siber, sareng léngkah-léngkah mana anu kedah dilaksanakeun langsung saatos serangan.

Saha waé anu janten korban serangan siber?

Aya tilu kelompok anu tiasa dibédakeun dina serangan siber.

• Organisasi anu kapangaruhan éta sorangan, anu bakal nyanghareupan downtime sistem, kaleungitan omzet, biaya pamulihan, biaya panalungtikan forensik sareng karusakan reputasi.
• Jalma-jalma anu data pribadina geus kakeunaan, sapertos konsumén, karyawan, sareng pasien. Aranjeunna tiasa ngalaman karugian finansial, tapi ogé karugian non-matériel ngalangkungan kaleungitan kontrol kana datana, kateupastian atanapi sieun kana panipuan idéntitas.
• Pihak katilu anu kapangaruhan ngaliwatan hubungan kontraktual atanapi ranté suplai, contona kusabab aranjeunna gumantung kana supplier anu sistemna parantos teu jalan.

Klasifikasi ieu relevan sacara hukum. Dasar tina sagala klaim, sareng pihak anu tiasa diajukeun, gumantung kana posisi korban. Organisasi anu kapangaruhan umumna bakal nanggung jawab supplier IT na dina kontrak, sedengkeun subjek data tiasa langsung ngandelkeun dasar mandiri pikeun tanggung jawab anu disayogikeun ku GDPR.

Iraha palanggaran data kedah dibéjaan?

Upami data pribadi kalibet dina serangan siber, éta kedah dipeunteun naha aya palanggaran data pribadi sareng naha béwara wajib. Pasal 33 GDPR ngabutuhkeun palanggaran pikeun dibéjaan ka otoritas pengawas tanpa reureuh anu teu perlu sareng, upami tiasa, dina tujuh puluh dua jam, kecuali upami palanggaran éta sigana moal nyababkeun résiko kana hak sareng kabébasan jalma.

Salian ti éta, Pasal 34 GDPR tiasa ngabutuhkeun organisasi pikeun ngawartosan subjek data nyalira. Kawajiban éta timbul nalika palanggaran kamungkinan bakal nyababkeun résiko anu luhur pikeun hak sareng kabébasanna. Komunikasi tiasa dileungitkeun upami ukuran téknis anu pas sapertos énkripsi parantos dilaksanakeun, dimana ukuran salajengna mastikeun résiko anu luhur moal deui kajadian, atanapi dimana komunikasi individu bakal ngalibatkeun usaha anu teu proporsional; dina kasus anu terakhir komunikasi umum cekap.

Pikeun subjek data, komunikasi téh leuwih ti saukur formalitas. Éta ngamungkinkeun aranjeunna pikeun ngalakukeun tindakan sorangan, contona ku cara ngarobih kecap akses atanapi ngawaskeun transaksi anu curiga, sareng dina praktékna éta sering janten titik awal tina sagala klaim kompensasi.

Ku kituna, hiji organisasi teu ngan ukur kedah nangtoskeun naha aya serangan anu parantos kajantenan, tapi ogé data mana anu kapangaruhan, naha data éta leres-leres dikaluarkeun tina panyumputan, sareng résiko naon anu timbul tina éta. Panalungtikan forensik mandiri sering teu tiasa dipisahkeun pikeun tujuan éta.

Ieu langkung lumaku upami serangan lumangsung di prosesor tinimbang di organisasi éta sorangan. Dina prosiding ringkesan antara Blauw Research sareng Nebu (Pangadilan Distrik Rotterdam, 6 April 2023, ECLI:NL:RBROT:2023:2931) hakim relief interim mutuskeun yén, dina perjanjian pangolahan data anu disimpulkeun antara pihak-pihak, controller gaduh hak pikeun kéngingkeun langkung seueur inpormasi ngeunaan serangan éta, akibatna sareng tindakan anu dicandak tibatan anu disayogikeun mimitina. Prosesor ogé diparentahkeun pikeun ngalaksanakeun panalungtikan forensik mandiri sareng ngalaporkeun sacara périodik. Putusan éta nunjukkeun yén perjanjian pangolahan data anu disusun kalayan saé dina praktékna mangrupikeun instrumen anu paling penting pikeun kéngingkeun inpormasi dina waktos saatos kajadian, justru kusabab controller peryogi inpormasi éta pikeun ngalaksanakeun tugas béwara sorangan.

Iraha hak pikeun meunangkeun kompensasi muncul?

Subjék data tiasa ngaklaim kompensasi ti pangontrol atanapi prosesor numutkeun Pasal 82 GDPR. Nanging, serangan siber henteu otomatis nimbulkeun klaim. Éta kedah dibuktikeun:

• yén GDPR parantos dilanggar;
• yén karusakan parantos leres-leres ditanggung; sareng
• yén aya hubungan sebab akibat antara palanggaran éta sareng karusakan éta.

Karusakan matéri tiasa kalebet karugian kauangan, biaya pamulihan atanapi karugian anu disababkeun ku panipuan idéntitas. Ngeunaan karusakan non-matéri, Pangadilan Kaadilan Uni Éropa mutuskeun dina Österreichische Post (CJEU 4 Méi 2023, C-300/21) yén teu aya ambang batas minimum pikeun kaseriusan, tapi palanggaran GDPR nyalira teu cekap pikeun meunangkeun putusan.

Anu penting pisan pikeun palanggaran data saatos serangan siber nyaéta Natsionalna agensia za prihodite (CJEU 14 Désémber 2023, C-340/21). Di dinya Pangadilan mutuskeun yén kasieunan kamungkinan panyalahgunaan data pribadi anu bocor ka hareupna tiasa janten karusakan non-matéri. Nanging, subjek data kedah ngabuktikeun kasieunan éta sareng akibatna sacara konkret; ngan ukur nunjukkeun kanyataan yén data parantos bocor teu cekap. Dina putusan anu sami Pangadilan mastikeun yén éta pikeun pangendali pikeun ngabuktikeun yén ukuran kaamanan anu dilaksanakeun pantes, sareng yén serangan ku pihak katilu henteu ngabébaskeun pangendali tina tanggung jawab.

Tanggung jawab dina GDPR aya sasarengan sareng dasar hukum sipil ngeunaan palanggaran kontrak sareng gugatan. Dina Pasal 6:162(1) Kitab Undang-Undang Hukum Perdata Walanda, pihak anu ngalakukeun tindakan anu teu sah anu disababkeun kedah ngimbangan karusakan anu disababkeun. Sarat relativitas Pasal 6:163 lumaku: norma anu dilanggar kedah ngajagi tina jinis karusakan anu diderita ku pihak anu cilaka.

Anu penting, Pasal 82 GDPR aya sasarengan sareng dasar-dasar ieu. Ku kituna, subjek data henteu wajib mendakan klaim ngan ukur dumasar kana palanggaran kontrak atanapi gugatan, tapi tiasa langsung ngandelkeun dasar mandiri pikeun tanggung jawab anu disayogikeun ku GDPR. Pikeun organisasi anu kapangaruhan, kombinasi dasar ieu hartosna sababaraha pihak tiasa ngajukeun klaim dina waktos anu sami saatos serangan.

Saha waé anu tiasa nanggung jawab?

Organisasi anu kapangaruhan tiasa nanggung jawab upami gagal ngalaksanakeun kawajiban kontraktualna atanapi parantos ngalakukeun tindakan kaamanan anu teu cekap. Panyadia jasa atanapi prosesor IT ogé tiasa dipertanggungjawabkeun. Naon anu tiasa dipiharep ti panyedia jasa éta ditangtukeun heula ku kontrak.

Dina hubungan pamrosésan, perjanjian pamrosésan data maénkeun peran sentral. Pasal 28 GDPR ngabutuhkeun pangontrol sareng prosesor pikeun ngadamel perjanjian sapertos kitu, anu ngatur antara sanés ukuran kaamanan sareng penanganan palanggaran data. Upami serangan éta disababkeun ku kaamanan anu teu cekap dina prosesor, pangontrol tiasa nanggung jawab prosesor dina perjanjian éta pikeun karugian anu dihasilkeun.

Éta muncul sacara seukeut tina kasus ngeunaan serangan siber ka kotamadya Hof van Twente (Pangadilan Distrik Overijssel, 10 Méi 2023, ECLI:NL:RBOVE:2023:1731). Para pihak parantos satuju kana pangawasan fungsional, sanés pangawasan kaamanan. Pangadilan mutuskeun yén tugas perawatan administrator IT henteu dugi ka pangawasan kaamanan ngabentuk bagian anu teu katingali tina pancén pikeun pangawasan fungsional, sareng nampik klaim kotamadya. Éta ogé nimbangkeun yén kotamadya sorangan parantos nyandak kaputusan anu ningkatkeun résiko, kalebet kawijakan kecap aksesna sareng bubuka port RDP.

Gambar eunteungna nyaéta kasus O'Cliance (Pangadilan Distrik Amsterdam, 14 Nopémber 2018, ECLI:NL:RBAMS:2018:10124). Di dinya supplier parantos masang infrastruktur IT anu lengkep sareng ngurusna. Saatos serangan ransomware dimana cadangan ogé dienkripsi, pangadilan mutuskeun yén suplai pakét total sapertos kitu ngagaduhan kawajiban perawatan anu jauh sareng tindakan langsung parantos dileungitkeun. Nanging, tanggung jawab henteu dileler sacara lengkep: kusabab kasalahan kontributor palanggan, dua per tilu tina karusakan tetep aya pikeun akun supplier.

Sabaraha beuratna beban bukti dina kaamanan anu pantes digambarkeun ku kasus akun email dealer mobil anu diretas. Dina putusan interim tanggal 5 Nopémber 2024 (Pangadilan Banding Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812) dealer dibéré kasempetan pikeun ngabuktikeun yén akun emailna parantos diamankeun sacara saksama dina harti GDPR, saatos peretas nganggo akun éta pikeun ngirim instruksi pamayaran palsu ka pembeli. Dina putusan susulan tanggal 22 Juli 2025 (ECLI:NL:GHARL:2025:4556) pangadilan mendakan yén bukti ieu teu acan dikirimkeun, saatos éta pihak-pihak masih kedah ngabahas kasalahan anu nyumbang ti pembeli. Ku kituna, duanana putusan museur kana prosiding anu sami.

Benang merahna nyaéta yén perjanjian kontraktual, résiko pamrosésan, tindakan anu saleresna dilaksanakeun, peringatan anu dipasihkeun ti dua sisi sareng kalakuan pihak anu cilaka sorangan sadayana penting. Salian ti tanggung jawab sipil, Otoritas Perlindungan Data Walanda tiasa maksa denda administratif dugi ka EUR 20 juta atanapi 4 persén tina omzet taunan di sakumna dunya, mana waé anu langkung luhur. Denda éta henteu gumantung kana naha subjek data individu ngalaman karusakan.

Jalur hukum pidana

Serangan siber ogé tiasa dianggap kajahatan, sapertos panyusupan komputer, ngajantenkeun data teu tiasa diaksés atanapi ngarampas data non-publik. Pasal 138ab(1) tina Kitab Undang-Undang Hukum Pidana Walanda ngajantenkeun éta kajahatan pikeun ngahaja sareng sacara teu sah kéngingkeun aksés kana sistem otomatis.

Korban tiasa ngalaporkeun pelanggaran ka pulisi, anu gaduh tim cybercrime khusus. Upami aya tersangka anu dituntut, korban tiasa ngiringan prosés pidana salaku pihak anu cilaka sareng ngaklaim santunan di dinya. Rute ieu nyingkahan prosés sipil anu misah, tapi hasilna gumantung kana deteksi, tuntutan, sareng bukti, anu kalayan palaku anu beroperasi sacara internasional sering henteu ngahasilkeun hasil. Pikeun organisasi, ngalaporkeun sering ogé janten kabutuhan praktis, sabab perusahaan asuransi sareng mitra ranté suplai nyuhunkeun éta.

Naon anu ditanggung ku asuransi siber?

Polis asuransi siber tiasa nyayogikeun panyalindungan pikeun, diantarana:

• réspon kajadian sareng panalungtikan forensik;
• pamulihan sistem sareng data;
• karugian gangguan bisnis sareng kaleungitan omzet;
• komunikasi krisis;
• tanggung jawab ka pihak katilu;
• biaya hukum; jeung
• dina sababaraha kasus denda, pamayaran penyelesaian atanapi tebusan, salami tiasa diasuransikeun dumasar kana hukum anu berlaku.

Panutup anu pasti gumantung kana polisna. Perhatikeun pengecualian, kaayaan kaamanan, période bewara, potongan sareng sarat pikeun ngalibetkeun ahli. Pasal 7:957(1) tina Kitab Undang-Undang Hukum Perdata Walanda ogé mewajibkeun pihak anu diasuransikeun pikeun ngalakukeun tindakan anu wajar pikeun nyegah atanapi ngawatesan karugian. Upami kawajiban nyalametkeun éta henteu diturutan, perusahaan asuransi tiasa ngirangan pembayaran.

Ku kituna, perusahaan asuransi siber kedah dibéjaan gancang-gancang. Ngalibatkeun ahli éksternal atanapi mayar tebusan tanpa idin ti perusahaan asuransi tiasa mangaruhan panangtayungan.

Naon anu kedah dilakukeun langsung saatos serangan siber?

• Catet kajadian sareng sadaya tindakan anu aya hubunganana kalayan saksama.
• Pisahkeun sistem anu kapangaruhan tanpa kaleungitan bukti.
• Ngajak ahli forensik.
• Pariksa naha aya palanggaran data anu kedah dibéjaan.
• Nileykeun naha subjek data kedah dibéjaan.
• Laporkeun kajahatan éta ka pulisi.
• Béjaan kajadian éta ka perusahaan asuransi siber anjeun.
• Simpen log, cadangan, email, sareng data anu sanés anu aya hubunganana.
• Petakeun karusakan sareng pihak-pihak anu berpotensi tanggung jawab.
• Bejakeun ka konsumén, karyawan, sareng mitra ranté suplai sacara saksama sareng dina waktos anu pas.

Ku kituna, serangan siber sanés ngan saukur kajadian téknis. Éta ogé mangrupikeun masalah panyalindungan data, hukum perdata, hukum pidana sareng hukum asuransi. Réspon anu gancang sareng didokumentasikeun kalayan saé henteu ngan ukur ngawatesan karusakan, tapi ogé penting pikeun béwara, panutup asuransi sareng posisi bukti anjeun dina sagala prosiding.

dina nutup

Hak sareng kawajiban saatos serangan siber sumebar di sababaraha widang hukum, sareng hasil tina hiji kasus gumantung pisan kana fakta khusus, eusi kontrak sareng kualitas rékaman. Hukum kasus anu dibahas nunjukkeun yén supplier sareng konsumén sami-sami ditilik dumasar kana kalakuanana nyalira, sareng yén tenggat waktos sapertos periode bewara tujuh puluh dua jam masihan sakedik rohangan pikeun reureuh.

Law & More ngabantosan organisasi sareng subjek data dina penanganan hukum insiden siber: ti mimiti meunteun tugas bewara sareng marios perjanjian pamrosésan data dugi ka netepkeun tanggung jawab, masalah asuransi sareng mulangkeun karugian. Naha anjeun nuju ngungkulan serangan siber atanapi palanggaran data, atanapi anjeun hoyong kontrak anjeun ditinjau ngalawan résiko ieu sateuacanna ku kami UU IT tim? Mangga ulah ragu kontak Law & More kanggo diskusi tanpa kawajiban ngeunaan kaayaan anjeun.

Remen ditanyakeun

Di handap ieu kami bakal ngajawab patarosan anu paling sering ditanyakeun ka kami ngeunaan topik ieu.