இணையவழித் தாக்குதல்களால் பாதிக்கப்பட்டவர்களின் உரிமைகள்: அறிவிப்புக் கடமைகள், இழப்பீடு மற்றும் காப்பீடு

டாம் மீவிஸ், வழக்கறிஞர் Law & More

ransomware, phishing, DDoS தாக்குதல்கள் மற்றும் கணினி ஊடுருவல் போன்ற இணையவழித் தாக்குதல்கள், தாக்கப்பட்ட நிறுவனத்தை மட்டும் அரிதாகவே பாதிக்கின்றன. இணையவழித் தாக்குதல்களால் பாதிக்கப்படுபவர்களில் வாடிக்கையாளர்கள், ஊழியர்கள், நோயாளிகள், விநியோகஸ்தர்கள் மற்றும் பிற விநியோகச் சங்கிலிப் பங்காளர்களும் அடங்குவர்; அவர்கள் இழப்பைச் சந்திக்க நேரிடலாம், மேலும் அவர்களின் சட்ட நிலை ஒவ்வொரு குழுவிற்கும் மாறுபடும். எனவே, ஒரு தாக்குதலுக்குப் பிறகு, எந்தெந்தக் கடமைகள் பொருந்தும் மற்றும் என்னென்ன உரிமைகோரல்கள் உள்ளன என்பதை நிறுவ முற்படும் எவரும், முதலில் யார் பாதிக்கப்பட்டுள்ளனர் மற்றும் என்ன சேதம் ஏற்பட்டுள்ளது என்பதைத் துல்லியமாகத் தீர்மானிப்பது நல்லது.

இந்தக் கட்டுரை, யார் பாதிக்கப்பட்டவர் எனக் கருதப்படுகிறார், தரவு மீறல் குறித்து எப்போது தெரிவிக்க வேண்டும், எந்தெந்த நிபந்தனைகளின் கீழ் இழப்பீடு கோரும் உரிமை உள்ளது, எந்தெந்தத் தரப்பினர் பொறுப்பேற்க நேரிடலாம், குற்றவியல் சட்டத்தின் பங்கு என்ன, ஒரு இணையக் காப்பீட்டுத் திட்டம் பொதுவாக எவற்றை உள்ளடக்கும், மற்றும் ஒரு தாக்குதலுக்குப் பிறகு உடனடியாக என்னென்ன நடவடிக்கைகள் எடுக்கப்பட வேண்டும் என்பனவற்றை ஒவ்வொன்றாக விவரிக்கிறது.

இணையவழித் தாக்குதல்களால் பாதிக்கப்படுபவர்கள் யார்?

இணையவழித் தாக்குதலில் மூன்று குழுக்களை வேறுபடுத்தி அறியலாம்.

• பாதிக்கப்பட்ட அந்த நிறுவனமே, கணினி அமைப்பு செயலிழப்பு, வருவாய் இழப்பு, மீட்புச் செலவுகள், தடயவியல் விசாரணைச் செலவு மற்றும் நற்பெயருக்கு ஏற்படும் பாதிப்பு ஆகியவற்றை எதிர்கொள்கிறது.
• வாடிக்கையாளர்கள், ஊழியர்கள் மற்றும் நோயாளிகள் போன்ற, தனிப்பட்ட தரவுகள் வெளிப்பட்ட இயல்பு நபர்கள். அவர்கள் நிதி இழப்பைச் சந்திக்க நேரிடலாம், ஆனால் தங்கள் தரவுகளின் மீதான கட்டுப்பாட்டை இழத்தல், நிச்சயமற்ற தன்மை அல்லது அடையாள மோசடி குறித்த அச்சம் ஆகியவற்றின் மூலம் பொருள்சாரா சேதங்களையும் சந்திக்க நேரிடலாம்.
• ஒப்பந்தம் அல்லது விநியோகச் சங்கிலி உறவின் மூலம் பாதிக்கப்பட்ட மூன்றாம் தரப்பினர், உதாரணமாக, அமைப்புகள் செயலிழந்த ஒரு விநியோகஸ்தரைச் சார்ந்திருப்பவர்கள்.

இந்த வகைப்பாடு சட்டப்பூர்வமாகப் பொருத்தமானது. எந்தவொரு கோரிக்கையின் அடிப்படையும், மற்றும் யாருக்கு எதிராக அதைக் கொண்டு வரலாம் என்பதும், பாதிக்கப்பட்டவரின் நிலையைப் பொறுத்து அமையும். பாதிக்கப்பட்ட ஒரு நிறுவனம் பொதுவாக ஒப்பந்தத்தின் கீழ் தனது தகவல் தொழில்நுட்ப வழங்குநரைப் பொறுப்பேற்கச் செய்யும், அதேசமயம் ஒரு தரவு உரிமையாளர், GDPR வழங்கும் பொறுப்புக்கான தனித்த அடிப்படையை நேரடியாக நம்பியிருக்கலாம்.

தரவு மீறல் குறித்து எப்போது தெரிவிக்க வேண்டும்?

இணையவழித் தாக்குதலில் தனிப்பட்ட தரவுகள் சம்பந்தப்பட்டிருக்கும் பட்சத்தில், தனிப்பட்ட தரவு மீறல் ஏற்பட்டுள்ளதா மற்றும் அறிவிப்பு கட்டாயமானதா என்பது மதிப்பிடப்பட வேண்டும். தனிநபர்களின் உரிமைகள் மற்றும் சுதந்திரங்களுக்கு ஆபத்தை விளைவிக்க வாய்ப்பில்லாத பட்சத்தில் தவிர, GDPR-இன் பிரிவு 33-இன் படி, ஒரு மீறல் குறித்து தேவையற்ற தாமதமின்றி, சாத்தியமான இடங்களில் எழுபத்திரண்டு மணி நேரத்திற்குள் மேற்பார்வை அதிகாரியிடம் அறிவிக்கப்பட வேண்டும்.

மேலும், GDPR-இன் பிரிவு 34, தரவு உரிமையாளர்களுக்கு அவர்களே தகவல் தெரிவிக்க வேண்டும் என அமைப்பைக் கோரலாம். அந்த மீறலானது அவர்களின் உரிமைகளுக்கும் சுதந்திரங்களுக்கும் அதிக ஆபத்தை விளைவிக்க வாய்ப்புள்ள இடங்களில் இந்தக் கடமை எழுகிறது. குறியாக்கம் போன்ற பொருத்தமான தொழில்நுட்ப நடவடிக்கைகள் நடைமுறையில் இருந்தாலோ, அடுத்தடுத்த நடவடிக்கைகள் அதிக ஆபத்து இனி ஏற்படாது என்பதை உறுதிசெய்தாலோ, அல்லது தனிப்பட்ட தகவல் தொடர்புக்கு விகிதாசாரமற்ற முயற்சி தேவைப்பட்டாலோ, தகவல் தொடர்பைத் தவிர்க்கலாம்; இந்தக் கடைசி நேர்வில், ஒரு பொதுத் தகவல் தொடர்பே போதுமானது.

தகவலுக்குரிய நபரைப் பொறுத்தவரை, அந்தத் தகவல் பரிமாற்றம் என்பது வெறும் சம்பிரதாயத்தை விட மேலானது. கடவுச்சொற்களை மாற்றுவது அல்லது சந்தேகத்திற்கிடமான பரிவர்த்தனைகளைக் கண்காணிப்பது போன்ற தங்களின் சொந்த நடவடிக்கைகளை எடுக்க அது அவர்களுக்கு உதவுகிறது. மேலும், நடைமுறையில், இழப்பீடு கோரும் எந்தவொரு வழக்கிற்கும் இதுவே பெரும்பாலும் தொடக்கப் புள்ளியாக அமைகிறது.

எனவே, ஒரு நிறுவனம் ஒரு தாக்குதல் நடந்துள்ளது என்பதை மட்டுமல்லாமல், எந்தெந்தத் தரவுகள் பாதிக்கப்பட்டன, தரவுகள் உண்மையில் திருடப்பட்டதா, மற்றும் அதனால் என்னென்ன அபாயங்கள் ஏற்படுகின்றன என்பதையும் நிறுவ வேண்டும். அந்த நோக்கத்திற்காக ஒரு சுதந்திரமான தடயவியல் விசாரணை பெரும்பாலும் இன்றியமையாததாகிறது.

தாக்குதல் ஒரு நிறுவனத்தின் மீது நிகழாமல், ஒரு தரவுச் செயலாக்க நிறுவனத்தின் மீது நிகழும்போது இது இன்னும் அதிகமாகப் பொருந்தும். ப்ளாவ் ரிசர்ச் மற்றும் நெபு இடையேயான சுருக்கமான நடவடிக்கைகளில் (ராட்டர்டாம் மாவட்ட நீதிமன்றம், 6 ஏப்ரல் 2023, ECLI:NL:RBROT:2023:2931), இடைக்கால நிவாரண நீதிபதி, இரு தரப்பினருக்கும் இடையில் செய்யப்பட்ட தரவுச் செயலாக்க ஒப்பந்தத்தின் கீழ், ஆரம்பத்தில் வழங்கப்பட்டதை விட, தாக்குதல், அதன் விளைவுகள் மற்றும் எடுக்கப்பட்ட நடவடிக்கைகள் குறித்து கூடுதல் தகவல்களைப் பெற கட்டுப்பாட்டாளருக்கு உரிமை உண்டு என்று தீர்ப்பளித்தார். மேலும், ஒரு சுயாதீனமான தடயவியல் விசாரணையை மேற்கொண்டு, அவ்வப்போது அறிக்கை சமர்ப்பிக்குமாறும் அந்தச் செயலாக்க நிறுவனத்திற்கு உத்தரவிடப்பட்டது. ஒரு சம்பவம் நடந்த பிறகு சரியான நேரத்தில் தகவல்களைப் பெறுவதற்கு, நன்கு வரையப்பட்ட தரவுச் செயலாக்க ஒப்பந்தமே நடைமுறையில் மிக முக்கியமான கருவியாகும் என்பதை இந்தத் தீர்ப்பு காட்டுகிறது; ஏனெனில், கட்டுப்பாட்டாளர் தனது சொந்த அறிவிப்புக் கடமைகளை நிறைவேற்றுவதற்கு அந்தத் தகவல்கள் தேவைப்படுகின்றன.

இழப்பீடு பெறுவதற்கான உரிமை எப்போது எழுகிறது?

தரவு உரிமையாளர்கள், GDPR-இன் பிரிவு 82-இன் கீழ், கட்டுப்பாட்டாளர் அல்லது செயலாக்குநரிடமிருந்து இழப்பீடு கோரலாம். இருப்பினும், ஒரு இணையவழித் தாக்குதல் தானாகவே ஒரு கோரிக்கைக்கு வழிவகுக்காது. அது நிரூபிக்கப்பட வேண்டும்:

• GDPR மீறப்பட்டுள்ளது;
• உண்மையில் சேதம் ஏற்பட்டுள்ளது; மற்றும்
• அந்த மீறலுக்கும் அந்த சேதத்திற்கும் இடையே ஒரு காரணத் தொடர்பு உள்ளது.

பொருள்சார் சேதத்தில் நிதி இழப்புகள், மீட்புச் செலவுகள் அல்லது அடையாள மோசடியால் ஏற்படும் இழப்பு ஆகியவை அடங்கும். பொருள்சாரா சேதத்தைப் பொறுத்தவரை, ஐரோப்பிய ஒன்றியத்தின் நீதி மன்றம், Österreichische Post (CJEU 4 மே 2023, C-300/21) வழக்கில், தீவிரத்தன்மைக்கு குறைந்தபட்ச வரம்பு எதுவும் இல்லை என்றும், ஆனால் GDPR மீறல் மட்டுமே இழப்பீடு வழங்கப் போதுமானதல்ல என்றும் தீர்ப்பளித்துள்ளது.

இணையவழித் தாக்குதலைத் தொடர்ந்து ஏற்படும் தரவு மீறல்களுக்கு குறிப்பாகப் பொருத்தமானது Natsionalna agentsia za prihodite (CJEU 14 டிசம்பர் 2023, C-340/21) வழக்கு ஆகும். அதில், கசிந்த தனிப்பட்ட தரவுகள் எதிர்காலத்தில் தவறாகப் பயன்படுத்தப்படலாம் என்ற அச்சமே, அதுவாகவே ஒரு பொருளற்ற சேதமாக அமையக்கூடும் என்று நீதிமன்றம் தீர்ப்பளித்தது. இருப்பினும், தரவு உரிமையாளர் அந்த அச்சத்தையும் அதன் விளைவுகளையும் உறுதியாக நிரூபிக்க வேண்டும்; தரவுகள் கசிந்துவிட்டன என்ற உண்மையை மட்டும் சுட்டிக்காட்டுவது போதுமானதல்ல. அதே தீர்ப்பில், எடுக்கப்பட்ட பாதுகாப்பு நடவடிக்கைகள் பொருத்தமானவை என்பதை நிரூபிப்பது தரவுக் கட்டுப்பாட்டாளரின் பொறுப்பு என்றும், மூன்றாம் தரப்பினரின் தாக்குதல் மட்டுமே தரவுக் கட்டுப்பாட்டாளரைப் பொறுப்பிலிருந்து விடுவிக்காது என்றும் நீதிமன்றம் உறுதிப்படுத்தியது.

ஒப்பந்த மீறல் மற்றும் சிவில் தவறு ஆகிய சிவில் சட்ட அடிப்படைகளுடன் GDPR-இன் கீழ் பொறுப்பும் உள்ளது. டச்சு சிவில் சட்டத்தின் பிரிவு 6:162(1)-இன் கீழ், ஒரு சட்டவிரோத செயலைச் செய்யும் தரப்பினர் அதனால் ஏற்பட்ட சேதத்திற்கு இழப்பீடு வழங்க வேண்டும். பிரிவு 6:163-இன் சார்புநிலைத் தேவை பொருந்தும்: மீறப்பட்ட விதிமுறையானது, பாதிக்கப்பட்ட தரப்பினர் அனுபவித்த சேதத்தின் வகைக்கு எதிராகப் பாதுகாக்க உதவ வேண்டும்.

முக்கியமாக, GDPR-இன் பிரிவு 82 இந்த அடிப்படைகளுடன் இணைந்தே உள்ளது. எனவே, ஒரு தரவு உரிமையாளர், ஒப்பந்த மீறல் அல்லது சிவில் தவறின் அடிப்படையில் மட்டுமே ஒரு கோரிக்கையைத் தொடங்க வேண்டிய கட்டாயமில்லை, மாறாக GDPR வழங்கும் பொறுப்புக்கான தனித்த அடிப்படையை நேரடியாகச் சார்ந்திருக்கலாம். பாதிக்கப்பட்ட நிறுவனத்தைப் பொறுத்தவரை, இந்த அடிப்படைகளின் கலவையானது, ஒரு தாக்குதலுக்குப் பிறகு பல தரப்பினர் ஒரே நேரத்தில் கோரிக்கைகளை முன்வைக்கலாம் என்று பொருள்படுகிறது.

யார் பொறுப்பேற்க முடியும்?

பாதிக்கப்பட்ட நிறுவனம் தனது ஒப்பந்தக் கடமைகளை நிறைவேற்றத் தவறினாலோ அல்லது போதுமான பாதுகாப்பு நடவடிக்கைகளை எடுக்காத பட்சத்திலோ பொறுப்பேற்க நேரிடலாம். ஒரு தகவல் தொழில்நுட்பச் சேவை வழங்குநர் அல்லது செயலாக்க நிறுவனமும் பொறுப்பேற்க வேண்டியிருக்கும். அந்தச் சேவை வழங்குநரிடமிருந்து என்ன எதிர்பார்க்கலாம் என்பது முதன்மையாக ஒப்பந்தத்தின் மூலமே தீர்மானிக்கப்படுகிறது.

ஒரு செயலாக்க உறவில், தரவு செயலாக்க ஒப்பந்தம் ஒரு மையப் பாத்திரத்தை வகிக்கிறது. GDPR-இன் பிரிவு 28, கட்டுப்பாட்டாளரும் செயலாக்குநரும் அத்தகைய ஒரு ஒப்பந்தத்தை முடிவுக்குக் கொண்டுவர வேண்டும் எனக் கோருகிறது; இது மற்றவற்றுடன், பாதுகாப்பு நடவடிக்கைகள் மற்றும் தரவு மீறல்களைக் கையாளுதல் ஆகியவற்றை நிர்வகிக்கிறது. செயலாக்குநரிடம் உள்ள போதிய பாதுகாப்பின்மையால் தாக்குதல் ஏற்பட்டால், அதன் விளைவாக ஏற்படும் இழப்பிற்காக, கட்டுப்பாட்டாளர் அந்த ஒப்பந்தத்தின் கீழ் செயலாக்குநரைப் பொறுப்பேற்கச் செய்யலாம்.

ஹோஃப் வான் ட்வென்டே நகராட்சி மீதான இணையவழித் தாக்குதல் தொடர்பான வழக்கிலிருந்து இது தெளிவாக வெளிப்படுகிறது (ஓவர்ஐசெல் மாவட்ட நீதிமன்றம், 10 மே 2023, ECLI:NL:RBOVE:2023:1731). சம்பந்தப்பட்ட தரப்பினர் பாதுகாப்பு கண்காணிப்பை அல்ல, செயல்பாட்டுக் கண்காணிப்பையே ஒப்புக்கொண்டிருந்தனர். ஒரு தகவல் தொழில்நுட்ப நிர்வாகியின் கவனக் கடமையானது, செயல்பாட்டுக் கண்காணிப்புக்கான ஒரு பொறுப்பின் மறைமுகமான பகுதியாகப் பாதுகாப்பு கண்காணிப்பை உருவாக்கும் அளவிற்கு விரிவடையாது என்று நீதிமன்றம் தீர்ப்பளித்து, நகராட்சியின் கோரிக்கையை நிராகரித்தது. மேலும், நகராட்சியே அதன் கடவுச்சொல் கொள்கை மற்றும் ஒரு RDP போர்ட்டைத் திறந்தது உட்பட, அபாயத்தை அதிகரிக்கும் முடிவுகளை எடுத்திருந்தது என்பதையும் அது கருத்தில் கொண்டது.

இதன் எதிர் பிம்பம் ஓ'க்ளையன்ஸ் வழக்கு (மாவட்ட நீதிமன்றம்) ஆகும். Amsterdam14 நவம்பர் 2018, ECLI:NL:RBAMS:2018:10124). அங்கு, வழங்குநர் ஒரு முழுமையான தகவல் தொழில்நுட்ப உள்கட்டமைப்பை நிறுவி, அதன் நிர்வாகத்தையும் ஏற்றுக்கொண்டிருந்தார். காப்புப்பிரதிகளும் மறைகுறியாக்கம் செய்யப்பட்டிருந்த ஒரு ரான்சம்வேர் தாக்குதலைத் தொடர்ந்து, அத்தகைய ஒரு முழுமையான தொகுப்பை வழங்குவது ஒரு விரிவான கவனக் கடமையைக் கொண்டிருந்ததாகவும், நேரடியான நடவடிக்கைகள் தவிர்க்கப்பட்டதாகவும் நீதிமன்றம் தீர்ப்பளித்தது. இருப்பினும், முழுப் பொறுப்பும் வழங்கப்படவில்லை: வாடிக்கையாளரின் பங்களிப்புத் தவறின் காரணமாக, சேதத்தில் மூன்றில் இரண்டு பங்கு வழங்குநரின் கணக்கில் சேர்ந்தது.

முறையான பாதுகாப்பு குறித்த நிரூபணச் சுமை எவ்வளவு கடுமையாக இருக்கக்கூடும் என்பதற்கு, ஒரு கார் விற்பனையாளரின் ஹேக் செய்யப்பட்ட மின்னஞ்சல் கணக்கு வழக்கு ஒரு சிறந்த எடுத்துக்காட்டாகும். 5 நவம்பர் 2024 தேதியிட்ட இடைக்காலத் தீர்ப்பில் (ஆர்ன்ஹெம்-லீவார்டன் மேல்முறையீட்டு நீதிமன்றம், ECLI:NL:GHARL:2024:6812), ஒரு ஹேக்கர் அந்த மின்னஞ்சல் கணக்கைப் பயன்படுத்தி ஒரு வாங்குபவருக்குப் போலியான பணம் செலுத்தும் அறிவுறுத்தலை அனுப்பியதைத் தொடர்ந்து, GDPR-இன் வரையறைக்குள் தனது மின்னஞ்சல் கணக்கு முறையாகப் பாதுகாக்கப்பட்டிருந்தது என்பதை நிரூபிக்க அந்த விற்பனையாளருக்கு வாய்ப்பு வழங்கப்பட்டது. 22 ஜூலை 2025 தேதியிட்ட தொடர் தீர்ப்பில் (ECLI:NL:GHARL:2025:4556), இந்த நிரூபணம் வழங்கப்படவில்லை என்று நீதிமன்றம் கண்டறிந்தது. அதன் பிறகு, வாங்குபவரின் பங்களிப்புத் தவறு குறித்து இரு தரப்பினரும் இன்னும் கவனம் செலுத்த வேண்டியிருந்தது. எனவே, இந்த இரண்டு தீர்ப்புகளும் ஒரே வழக்கு நடவடிக்கைகளைப் பற்றியவை.

ஒப்பந்த ஏற்பாடுகள், தரவு செயலாக்கத்தின் அபாயங்கள், உண்மையில் எடுக்கப்பட்ட நடவடிக்கைகள், இரு தரப்பிலும் வழங்கப்பட்ட எச்சரிக்கைகள் மற்றும் பாதிக்கப்பட்ட தரப்பினரின் சொந்த நடத்தை ஆகிய அனைத்தும் முக்கியமானவை என்பதே இதில் உள்ள பொதுவான அம்சமாகும். உரிமையியல் பொறுப்புடன், டச்சு தரவுப் பாதுகாப்பு ஆணையம் 20 மில்லியன் யூரோக்கள் வரை அல்லது உலகளாவிய ஆண்டு வருவாயில் 4 சதவீதம், இவற்றில் எது அதிகமோ அந்தத் தொகையை நிர்வாக அபராதமாக விதிக்கலாம். தனிப்பட்ட தரவு உரிமையாளர்கள் பாதிப்புக்கு உள்ளானார்களா இல்லையா என்பதைப் பொருட்படுத்தாமல் இந்த அபராதங்கள் விதிக்கப்படும்.

குற்றவியல் சட்ட வழிமுறை

கணினி ஊடுருவல், தரவை அணுக முடியாதபடி செய்தல் அல்லது பொது அல்லாத தரவைத் திருடுதல் போன்ற சைபர் தாக்குதலும் ஒரு குற்றச் செயலாக அமையலாம். டச்சு குற்றவியல் சட்டத்தின் பிரிவு 138ab(1), ஒரு தானியங்கி அமைப்பை வேண்டுமென்றே மற்றும் சட்டவிரோதமாக அணுகுவதை ஒரு குற்றமாக ஆக்குகிறது.

பாதிக்கப்பட்டவர்கள், சிறப்பு இணையக் குற்றக் குழுக்களைக் கொண்ட காவல்துறையிடம் இந்தக் குற்றத்தைப் புகாரளிக்கலாம். ஒரு சந்தேக நபர் மீது வழக்குத் தொடரப்படும்போது, ​​பாதிக்கப்பட்டவர் அந்தக் குற்றவியல் நடவடிக்கைகளில் பாதிக்கப்பட்ட தரப்பாகச் சேர்ந்து, அங்கு இழப்பீடு கோரலாம். இந்த வழிமுறை தனிப்பட்ட உரிமையியல் நடவடிக்கைகளைத் தவிர்க்கிறது, ஆனால் அதன் முடிவு, குற்றத்தைக் கண்டறிதல், வழக்குத் தொடருதல் மற்றும் ஆதாரங்களைச் சார்ந்துள்ளது; சர்வதேச அளவில் செயல்படும் குற்றவாளிகளிடம் இவை பெரும்பாலும் எந்தப் பலனையும் அளிப்பதில்லை. நிறுவனங்களைப் பொறுத்தவரை, புகாரளிப்பது என்பது பெரும்பாலும் ஒரு நடைமுறைத் தேவையாகவும் இருக்கிறது, ஏனெனில் காப்பீட்டாளர்களும் விநியோகச் சங்கிலிப் பங்காளர்களும் அதைக் கோருகின்றனர்.

சைபர் காப்பீடு எவற்றை உள்ளடக்கியது?

ஒரு இணையக் காப்பீட்டுத் திட்டம், மற்றவற்றுடன், பின்வருவனவற்றிற்கும் பாதுகாப்பு அளிக்கலாம்:

• சம்பவத்திற்குப் பதிலளித்தல் மற்றும் தடயவியல் விசாரணை;
• அமைப்புகள் மற்றும் தரவுகளை மீட்டமைத்தல்;
• வணிக இடையூறு இழப்புகள் மற்றும் வருவாய் இழப்பு;
• நெருக்கடி காலத் தொடர்பு;
• மூன்றாம் தரப்பினருக்கான பொறுப்பு;
• சட்டச் செலவுகள்; மற்றும்
• சில சமயங்களில், பொருந்தக்கூடிய சட்டத்தின் கீழ் காப்பீடு செய்யக்கூடிய அளவிற்கு அபராதங்கள், தீர்வுத் தொகைகள் அல்லது மீட்புத்தொகை விதிக்கப்படும்.

துல்லியமான காப்பீட்டுத் தொகை பாலிசியைப் பொறுத்தது. விலக்குகள், பாதுகாப்பு நிபந்தனைகள், அறிவிப்புக் காலங்கள், விலக்குகள் மற்றும் நிபுணர்களை ஈடுபடுத்துவதற்கான தேவைகள் ஆகியவற்றில் கவனம் செலுத்துங்கள். டச்சு சிவில் சட்டத்தின் பிரிவு 7:957(1), காப்பீடு செய்யப்பட்ட தரப்பினர் இழப்பைத் தடுக்க அல்லது குறைக்க நியாயமான நடவடிக்கைகளை எடுக்க வேண்டும் என்றும் கட்டாயப்படுத்துகிறது. அந்த மீட்புக் கடமை கடைப்பிடிக்கப்படாத பட்சத்தில், காப்பீட்டாளர் இழப்பீட்டுத் தொகையைக் குறைக்கலாம்.

எனவே, இணையக் காப்பீட்டு நிறுவனத்திற்கு முடிந்தவரை விரைவாகத் தெரிவிக்க வேண்டும். காப்பீட்டு நிறுவனத்தின் அனுமதியின்றி வெளி நிபுணர்களை ஈடுபடுத்துவது அல்லது மீட்புத்தொகை செலுத்துவது காப்பீட்டுப் பாதுகாப்பைப் பாதிக்கக்கூடும்.

இணையவழித் தாக்குதலுக்குப் பிறகு உடனடியாக என்ன செய்ய வேண்டும்?

• சம்பவத்தையும் அது தொடர்பான அனைத்து நடவடிக்கைகளையும் கவனமாகப் பதிவு செய்யவும்.
• ஆதாரங்களை இழக்காமல் பாதிக்கப்பட்ட அமைப்புகளைத் தனிமைப்படுத்துங்கள்.
• தடயவியல் நிபுணரை ஈடுபடுத்துங்கள்.
• அறிவிக்கப்பட வேண்டிய தரவுக் கசிவு உள்ளதா என மதிப்பிடவும்.
• தரவு உரிமையாளர்களுக்குத் தகவல் தெரிவிக்கப்பட வேண்டுமா என்பதை மதிப்பிடுங்கள்.
• குற்றத்தைப் பற்றி காவல்துறையிடம் புகார் அளிக்கவும்.
• இந்தச் சம்பவத்தை உங்கள் சைபர் காப்பீட்டு நிறுவனத்திற்குத் தெரிவிக்கவும்.
• பதிவேடுகள், காப்புப்பிரதிகள், மின்னஞ்சல்கள் மற்றும் பிற தொடர்புடைய தரவுகளைப் பாதுகாக்கவும்.
• சேதத்தையும், அதற்குப் பொறுப்பாக வாய்ப்புள்ள தரப்பினரையும் பட்டியலிடுங்கள்.
• வாடிக்கையாளர்கள், ஊழியர்கள் மற்றும் விநியோகச் சங்கிலிப் பங்காளர்களுக்கு கவனமாகவும் உரிய நேரத்திலும் தகவல் தெரிவிக்கவும்.

எனவே, இணையவழித் தாக்குதல் என்பது வெறும் தொழில்நுட்ப நிகழ்வு மட்டுமல்ல. அது தரவுப் பாதுகாப்பு, உரிமையியல் சட்டம், குற்றவியல் சட்டம் மற்றும் காப்பீட்டுச் சட்டம் சார்ந்த ஒரு விடயமும் ஆகும். விரைவான மற்றும் நன்கு ஆவணப்படுத்தப்பட்ட ஒரு பதில் நடவடிக்கையானது, சேதத்தைக் கட்டுப்படுத்துவதோடு மட்டுமல்லாமல், அறிவிப்புகள், காப்பீட்டுப் பாதுகாப்பு மற்றும் எந்தவொரு நடவடிக்கையிலும் உங்கள் சான்றியல் நிலைக்கும் தீர்க்கமானதாக அமைகிறது.

மூடுவதில்

இணையவழித் தாக்குதலைத் தொடர்ந்து எழும் உரிமைகளும் கடமைகளும் சட்டத்தின் பல துறைகளில் பரவியுள்ளன, மேலும் ஒரு வழக்கின் முடிவு குறிப்பிட்ட உண்மைகள், ஒப்பந்தத்தின் உள்ளடக்கம் மற்றும் பதிவுகளின் தரம் ஆகியவற்றைப் பெரிதும் சார்ந்துள்ளது. விவாதிக்கப்பட்ட வழக்குச் சட்டங்கள், வழங்குநர் மற்றும் வாடிக்கையாளர் இருவரும் அவரவர் நடத்தையின் அடிப்படையிலேயே மதிப்பிடப்படுகிறார்கள் என்பதையும், எழுபத்திரண்டு மணி நேர அறிவிப்புக் காலம் போன்ற கெடுதாயங்கள் தாமதத்திற்கு மிகக் குறைந்த இடத்தையே அளிக்கின்றன என்பதையும் காட்டுகின்றன.

Law & More சைபர் சம்பவங்களின் சட்டரீதியான கையாளுதலில் நிறுவனங்களுக்கும் தரவு உரிமையாளர்களுக்கும் நாங்கள் உதவுகிறோம்: அறிவிப்புக் கடமைகளை மதிப்பிடுவது, தரவு செயலாக்க ஒப்பந்தங்களை மறுஆய்வு செய்வது முதல் பொறுப்பை நிறுவுதல், காப்பீட்டுச் சிக்கல்கள் மற்றும் இழப்புகளை மீட்பது வரை இதில் அடங்கும். நீங்கள் ஒரு சைபர் தாக்குதல் அல்லது தரவு மீறலை எதிர்கொள்கிறீர்களா, அல்லது இந்த அபாயங்களுக்கு எதிராக உங்கள் ஒப்பந்தங்களை எங்கள் மூலம் முன்கூட்டியே மதிப்பாய்வு செய்ய விரும்புகிறீர்களா? டி சட்டம் அணியா? தயங்காமல் கேளுங்கள். தொடர்பு Law & More உங்கள் நிலைமை குறித்து எந்தவிதக் கட்டாயமுமின்றி கலந்துரையாட.

அடிக்கடி கேட்கப்படும் கேள்விகள்

இப்பொருள் தொடர்பாக எங்களிடம் அடிக்கடி கேட்கப்படும் கேள்விகளுக்குக் கீழே பதிலளிக்கிறோம்.

இணையவழித் தாக்குதலால் பாதிக்கப்பட்டவர்கள் யார்?

இதில் மூன்று அடுக்குகள் உள்ளன. முதலாவதாக, பாதிக்கப்பட்ட நிறுவனம்; இது கணினி செயலிழப்பு, வருவாய் இழப்பு, மீட்புச் செலவுகள், தடயவியல் விசாரணைச் செலவு மற்றும் நற்பெயருக்கு ஏற்படும் பாதிப்பு ஆகியவற்றை ஏற்கிறது. இரண்டாவதாக, தரவு உரிமையாளர்கள்; அதாவது, வாடிக்கையாளர்கள், ஊழியர்கள் மற்றும் நோயாளிகள் போன்ற, தனிப்பட்ட தரவுகள் அம்பலப்படுத்தப்பட்ட இயல்பு நபர்கள். மூன்றாவதாக, ஒரு ஒப்பந்தம் அல்லது விநியோகச் சங்கிலி உறவின் மூலம் இழப்பைச் சந்திக்கும் மூன்றாம் தரப்பினர்; உதாரணமாக, செயலிழந்த ஒரு விநியோகஸ்தரைச் சார்ந்திருப்பதால் ஏற்படும் இழப்பு. இந்த வகைப்பாடு, ஒரு தரப்பினர் எந்த அடிப்படையில், யாருக்கு எதிராக ஒரு கோரிக்கையை முன்வைக்க முடியும் என்பதைத் தீர்மானிக்கிறது.

தரவு மீறலை நான் எவ்வளவு காலத்திற்குள் தெரிவிக்க வேண்டும்?

GDPR-இன் பிரிவு 33-இன் படி, மீறல் குறித்து அறிந்த எழுபத்திரண்டு மணி நேரத்திற்குள், தேவையற்ற தாமதமின்றி மேற்பார்வை அதிகாரியிடம் அறிவிக்க வேண்டும். மீறலானது தனிநபர்களின் உரிமைகளுக்கும் சுதந்திரங்களுக்கும் ஆபத்தை விளைவிக்க வாய்ப்பில்லாத பட்சத்தில் இந்தக் கடமை பொருந்தாது. அந்த மதிப்பீட்டிற்கு, மீறலின் தன்மை, பாதிக்கப்பட்ட தரவுகளின் வகைகள் மற்றும் ஏற்படக்கூடிய விளைவுகள் ஆகியவற்றின் பகுப்பாய்வு தேவைப்படுகிறது.

தரவு உரிமையாளர்களுக்கு நான் எப்போது தகவல் தெரிவிக்க வேண்டும்?

GDPR-இன் பிரிவு 34-இன் கீழ், தரவு மீறலானது தரவு உரிமையாளர்களின் உரிமைகளுக்கும் சுதந்திரங்களுக்கும் அதிக ஆபத்தை விளைவிக்க வாய்ப்புள்ள இடங்களில், தகவல் தொடர்பைத் தவிர்க்கலாம். குறியாக்கம் போன்ற பொருத்தமான தொழில்நுட்ப நடவடிக்கைகள் நடைமுறையில் இருந்தாலோ, அடுத்தடுத்த நடவடிக்கைகள் அந்த அதிக ஆபத்து இனி ஏற்படாது என்பதை உறுதிசெய்தாலோ, அல்லது தனிப்பட்ட தகவல் தொடர்புக்குத் தேவைக்கு அதிகமான முயற்சி தேவைப்பட்டாலோ இந்தத் தகவல் தொடர்பு தவிர்க்கப்படலாம். இந்தக் கடைசி நேர்வில், ஒரு பொதுத் தகவல் தொடர்பே போதுமானது.

ஹேக் செய்யப்பட்ட ஒரு சப்ளையரிடமிருந்து தகவல்களை வலுக்கட்டாயமாகப் பெற முடியுமா?

ஆம், தரவு செயலாக்க ஒப்பந்தத்தில் அதற்கான வழிவகை இருக்கும் பட்சத்தில். ப்ளாவ் ரிசர்ச் மற்றும் நெபு இடையேயான சுருக்கமான நடவடிக்கைகளில் (ராட்டர்டாம் மாவட்ட நீதிமன்றம், 6 ஏப்ரல் 2023, ECLI:NL:RBROT:2023:2931), இடைக்கால நிவாரண நீதிபதி, தரவு செயலாக்க ஒப்பந்தத்தின் கீழ், தாக்குதல், அதன் விளைவுகள் மற்றும் எடுக்கப்பட்ட நடவடிக்கைகள் குறித்து வழங்கப்பட்டதை விட கூடுதல் தகவல்களைப் பெற கட்டுப்பாட்டாளருக்கு உரிமை உண்டு என்று தீர்ப்பளித்தார். மேலும், ஒரு சுயாதீனமான தடயவியல் விசாரணையை மேற்கொண்டு, அவ்வப்போது அறிக்கை சமர்ப்பிக்குமாறு செயலாக்க நிறுவனத்திற்கு உத்தரவிட்டார். உங்கள் சொந்த அறிவிப்புக் கடமைகளை நிறைவேற்றுவதற்கு அந்தத் தகவல் தேவைப்படுகிறது.

ஒரு தரவு உரிமையாளர் என்ற முறையில், தரவு மீறலுக்குப் பிறகு இழப்பீடு பெற எனக்குத் தானாகவே உரிமை உண்டா?

இல்லை. GDPR-இன் பிரிவு 82 ஒரு தனித்த அடிப்படையை வழங்குகிறது, ஆனால் GDPR மீறப்பட்டுள்ளது என்பதையும், நீங்கள் உண்மையில் பாதிப்பைச் சந்தித்துள்ளீர்கள் என்பதையும், அந்த மீறலுக்கும் பாதிப்பிற்கும் இடையே ஒரு காரணத் தொடர்பு உள்ளது என்பதையும் நீங்கள் நிரூபிக்க வேண்டும். நிரூபிக்கும் பொறுப்பு கோரிக்கைதாரரையே சாரும்.

அடையாள மோசடி குறித்த அச்சம், பொருள்சாரா சேதமாகக் கருதப்படுமா?

அது இருக்கலாம். Natsionalna agentsia za prihodite (CJEU 14 டிசம்பர் 2023, C-340/21) வழக்கில், கசிந்த தனிப்பட்ட தரவுகள் எதிர்காலத்தில் தவறாகப் பயன்படுத்தப்படலாம் என்ற அச்சமே, அதுவாகவே ஒரு பொருளற்ற சேதமாக அமையக்கூடும் என்று ஐரோப்பிய ஒன்றிய நீதிமன்றம் தீர்ப்பளித்தது. இருப்பினும், தரவு உரிமையாளர் அந்த அச்சத்தையும் அதன் விளைவுகளையும் உறுதியான முறையில் நிரூபிக்க வேண்டும். Österreichische Post (CJEU 4 மே 2023, C-300/21) வழக்கில், தீவிரத்தன்மைக்கு குறைந்தபட்ச வரம்பு எதுவும் இல்லை என்றும், ஆனால் GDPR மீறல் மட்டுமே போதுமானதல்ல என்றும் மேலும் கூறப்பட்டுள்ளது.

பாதுகாப்பு நடவடிக்கைகள் பொருத்தமானவை என்பதை யார் நிரூபிக்க வேண்டும்?

கட்டுப்பாட்டாளர். C-340/21 வழக்கில், எடுக்கப்பட்ட பாதுகாப்பு நடவடிக்கைகள் பொருத்தமானவை என்பதை நிரூபிப்பது கட்டுப்பாட்டாளரின் கடமை என்றும், மூன்றாம் தரப்பினரின் தாக்குதல் மட்டுமே அவரைப் பொறுப்பிலிருந்து விடுவிக்காது என்றும் ஐரோப்பிய ஒன்றிய நீதிமன்றம் உறுதிப்படுத்தியது. நெதர்லாந்தில், ஒரு கார் விற்பனையாளரின் ஹேக் செய்யப்பட்ட மின்னஞ்சல் கணக்கு வழக்கில் இது வெளிப்பட்டது. அங்கு, ஆர்ன்ஹெம்-லீவார்டன் மேல்முறையீட்டு நீதிமன்றம் முதலில் அந்த ஆதாரத்தைச் சமர்ப்பிக்க விற்பனையாளருக்கு வாய்ப்பளித்தது (ECLI:NL:GHARL:2024:6812), பின்னர் அது சமர்ப்பிக்கப்படவில்லை என்று தீர்ப்பளித்தது (ECLI:NL:GHARL:2025:4556).

ஒரு தாக்குதலைக் கண்டறியத் தவறினால், எனது தகவல் தொழில்நுட்பச் சேவை வழங்குநர் பொறுப்பேற்க வேண்டுமா?

அது என்ன ஒப்புக்கொள்ளப்பட்டது என்பதைப் பொறுத்தது. ஹோஃப் வான் ட்வென்டே நகராட்சி மீதான இணையவழித் தாக்குதல் தொடர்பான வழக்கில் (ஓவர்ஐசெல் மாவட்ட நீதிமன்றம், 10 மே 2023, ECLI:NL:RBOVE:2023:1731), சம்பந்தப்பட்ட தரப்பினர் பாதுகாப்பு கண்காணிப்பை அல்ல, செயல்பாட்டுக் கண்காணிப்பையே ஒப்புக்கொண்டிருந்தனர். ஒரு தகவல் தொழில்நுட்ப நிர்வாகியின் கவனக் கடமையானது, பாதுகாப்பு கண்காணிப்பை அதன் ஒரு மறைமுகமான பகுதியாகக் கருதும் அளவிற்கு விரிவடையாது என்று நீதிமன்றம் தீர்ப்பளித்து, அந்த வழக்கைத் தள்ளுபடி செய்தது. ஒரு பரந்த முழுமையான தொகுப்பு வழங்கப்படும்போது, ​​அதற்குப் பதிலாக கவனக் கடமையானது மிகவும் விரிவானதாக இருக்கலாம், ஓ'க்லியன்ஸ் வழக்கில் உள்ளது போல (மாவட்ட நீதிமன்றம்). Amsterdam(14 நவம்பர் 2018, ECLI:NL:RBAMS:2018:10124), இதில் ஏற்பட்ட இழப்பில் மூன்றில் இரண்டு பங்கிற்கு வழங்குநர் பொறுப்பேற்க வேண்டியிருந்தது.

என் சொந்த நடத்தை இழப்பீட்டைக் குறைக்க முடியுமா?

ஆம். இந்த வழக்குகளில் பங்களிப்புத் தவறு ஒரு தொடர்ச்சியான பங்கைக் கொண்டுள்ளது. ஓ'கிளையன்ஸ் வழக்கில், மூன்றில் ஒரு பங்கு இழப்பு வாடிக்கையாளரின் கணக்கிற்கே சென்றது. மேலும், ஹேக் செய்யப்பட்ட மின்னஞ்சல் கணக்கு வழக்கில், வாங்குபவரின் பங்களிப்புத் தவறை இரு தரப்பினரும் சரிசெய்ய வேண்டியிருந்தது. எனவே, உங்களுடைய கடவுச்சொல் கொள்கை, திறந்தே விடப்பட்ட போர்ட்கள் அல்லது புறக்கணிக்கப்பட்ட எச்சரிக்கைகள் ஆகியவை வழக்கின் முடிவில் நேரடியாகப் பங்களிக்கக்கூடும்.

தரவுப் பாதுகாப்பு ஆணையம் என்னென்ன அபராதங்களை விதிக்க முடியும்?

GDPR மீறல்களுக்காக, மேற்பார்வை ஆணையம் 20 மில்லியன் யூரோக்கள் வரை அல்லது உலகளாவிய ஆண்டு வருவாயில் 4 சதவீதம், இவற்றில் எது அதிகமோ அந்தத் தொகையை நிர்வாக அபராதமாக விதிக்கலாம். இந்த அபராதங்கள், தனிப்பட்ட தரவு உரிமையாளர்கள் உண்மையில் பாதிப்பைச் சந்தித்தார்களா இல்லையா என்பதைச் சாராதவை; எனவே, இவை உரிமையியல் பொறுப்புடன் ஒரு தனிப்பட்ட இடரையும் குறிக்கின்றன.

குற்றவியல் நடவடிக்கைகள் மூலம் நான் இந்தக் குற்றத்தைப் புகாரளித்து, எனது இழப்பைக் கோர முடியுமா?

ஆம். டச்சு குற்றவியல் சட்டத்தின் பிரிவு 138ab(1), ஒரு தானியங்கி அமைப்பை வேண்டுமென்றே மற்றும் சட்டவிரோதமாக அணுகுவதை ஒரு குற்றமாக ஆக்குகிறது. நீங்கள் இந்தக் குற்றத்தைப் பற்றி காவல்துறையிடம் புகாரளிக்கலாம், மேலும் ஒரு சந்தேக நபர் மீது வழக்குத் தொடரப்பட்டால், அங்கு இழப்பீடு கோருவதற்காக பாதிக்கப்பட்ட தரப்பாக குற்றவியல் நடவடிக்கைகளில் சேரலாம். இதன் விளைவு, கண்டறிதல், வழக்குத் தொடருதல் மற்றும் ஆதாரங்களைப் பொறுத்தது, ஆனால் சர்வதேச அளவில் செயல்படும் குற்றவாளிகளிடம் இவை பெரும்பாலும் எந்தப் பலனையும் தருவதில்லை.

சைபர் காப்பீடு பொதுவாக எவற்றை உள்ளடக்கியது?

வழக்கமாக, சம்பவத்திற்குப் பதிலளித்தல் மற்றும் தடயவியல் விசாரணை, அமைப்புகள் மற்றும் தரவுகளை மீட்டெடுத்தல், வணிக இடையூறு இழப்புகள் மற்றும் வருவாய் இழப்பு, நெருக்கடி காலத் தொடர்பு, மூன்றாம் தரப்பினருக்கான பொறுப்பு மற்றும் சட்டச் செலவுகள், மேலும் சில சமயங்களில் பொருந்தக்கூடிய சட்டத்தின் கீழ் காப்பீடு செய்யக்கூடிய அளவிற்கு அபராதங்கள், தீர்வுத் தொகைகள் அல்லது மீட்புத்தொகை ஆகியவை இதில் அடங்கும். விலக்குகள், பாதுகாப்பு நிபந்தனைகள், அறிவிப்புக் காலங்கள் மற்றும் கழிவுத்தொகைகளைக் கவனிக்கவும், மேலும் ஒரு சம்பவம் நடப்பதற்கு முன்பு காப்பீட்டுக் கொள்கையை மதிப்பாய்வு செய்யவும்.

தாக்குதலுக்குப் பிறகு தவறாகச் செயல்படுவதால் நான் எனது மறைவிடத்தை இழக்க நேரிடுமா?

அது சாத்தியம். டச்சு சிவில் சட்டத்தின் பிரிவு 7:957(1), காப்பீடு செய்யப்பட்ட தரப்பினர் இழப்பைத் தடுக்க அல்லது குறைக்க நியாயமான நடவடிக்கைகளை எடுக்க வேண்டும் என்று கட்டாயப்படுத்துகிறது; அந்த மீட்புக் கடமை கடைப்பிடிக்கப்படாத பட்சத்தில், காப்பீட்டாளர் இழப்பீட்டுத் தொகையைக் குறைக்கலாம். காப்பீட்டாளரின் அனுமதியின்றி வெளி நிபுணர்களை ஈடுபடுத்துவது அல்லது மீட்புத்தொகை செலுத்துவதும் காப்பீட்டுப் பாதுகாப்பைப் பாதிக்கலாம். முடிந்தவரை விரைவாக உங்கள் காப்பீட்டாளருக்குத் தெரிவிக்கவும்.

இணையவழித் தாக்குதலுக்குப் பிறகு உடனடியாக நான் என்னென்ன நடவடிக்கைகளை எடுக்க வேண்டும்?

சம்பவத்தையும் எடுக்கப்பட்ட அனைத்து நடவடிக்கைகளையும் பதிவுசெய்து, ஆதாரங்களை இழக்காமல் பாதிக்கப்பட்ட கணினி அமைப்புகளைத் தனிமைப்படுத்தி, ஒரு தடயவியல் நிபுணரை ஈடுபடுத்துங்கள். பின்னர், அறிவிக்கப்பட வேண்டிய தரவு மீறல் உள்ளதா என்பதையும், தரவு உரிமையாளர்களுக்குத் தெரிவிக்கப்பட வேண்டுமா என்பதையும் மதிப்பிடுங்கள். குற்றத்தைப் புகாரளித்து, உங்கள் இணையக் காப்பீட்டாளருக்குத் தெரிவித்து, பதிவேடுகள், காப்புப் பிரதிகள் மற்றும் கடிதப் பரிமாற்றங்களைப் பாதுகாத்து, சேதத்தையும் அதற்குப் பொறுப்பாக இருக்கக்கூடிய தரப்பினரையும் வரைபடமாக்கி, வாடிக்கையாளர்கள், ஊழியர்கள் மற்றும் விநியோகச் சங்கிலிப் பங்காளர்களுக்குக் கவனமாகவும் உரிய நேரத்திலும் தகவல் தெரிவியுங்கள்.