નેધરલેન્ડ્સમાં સાયબર સુરક્ષા અને જવાબદારી: ડેટા ભંગ પછી કોણ જવાબદાર છે

જાન્યુઆરી ૫, ૨૦૨૧
વાંચન સમય: ૧૫ મિનિટ

નેધરલેન્ડ્સમાં દરરોજ ડેટા ભંગ થાય છે. જ્યારે તેઓ થાય છે, ત્યારે કોઈને તો લેવું જ પડે છે જવાબદારી.ડચ કાયદા અને GDPR હેઠળ, વ્યક્તિગત ડેટાને નિયંત્રિત કરતી સંસ્થાઓ મુખ્યત્વે તેના રક્ષણ અને સામનો કરવા માટે જવાબદાર છે નોંધપાત્ર જવાબદારી જ્યારે ઉલ્લંઘન થાય છે. જો તમારા વ્યવસાયને નુકસાન થાય છે cyberattack, તમને €20 મિલિયન અથવા તમારા વૈશ્વિક વાર્ષિક ટર્નઓવરના 4% સુધીનો દંડ થઈ શકે છે, જે રકમ વધારે છે તેના આધારે. નેધરલેન્ડ્સમાં કાર્યરત કોઈપણ સંસ્થા માટે ડેટા ભંગ પછી કોણ જવાબદારી નિભાવે છે તે સમજવું જરૂરી છે. જવાબ હંમેશા સીધો હોતો નથી, કારણ કે જવાબદારી તમારી કંપનીથી આગળ વધીને તૃતીય-પક્ષ સેવા પ્રદાતાઓ, કર્મચારીઓ અને ડેટા પ્રોસેસિંગમાં સામેલ અન્ય પક્ષોનો સમાવેશ કરી શકે છે. ડચ ડેટા પ્રોટેક્શન ઓથોરિટી અને અન્ય નિયમનકારો ડેટા કંટ્રોલર અથવા પ્રોસેસર તરીકેની તમારી ભૂમિકા, તમે કયા સુરક્ષા પગલાં લીધા હતા અને તમે ઘટનાનો કેટલી ઝડપથી જવાબ આપ્યો તેના આધારે જવાબદારી નક્કી કરે છે. આ લેખ નેધરલેન્ડ્સમાં સાયબર સુરક્ષાને સંચાલિત કરતા કાનૂની માળખાને તોડી નાખે છે અને સમજાવે છે કે ભંગ પછી જવાબદારી કેવી રીતે સોંપવામાં આવે છે. તમે તમારી સૂચના જવાબદારીઓ, બિન-પાલન માટે તમને મળતા દંડ અને સાયબર હુમલાઓ અને કાનૂની પરિણામો બંનેથી તમારી સંસ્થાને બચાવવા માટે તમે જે વ્યવહારુ પગલાં લઈ શકો છો તે વિશે શીખી શકશો.

સાયબર સુરક્ષા અને ડેટા સુરક્ષા માટે કાનૂની માળખું

ઓફિસમાં સાયબર સુરક્ષા અને કાનૂની બાબતોની ચર્ચા કરતા વ્યાવસાયિકોનું એક જૂથ લેપટોપ અને નેટવર્ક કનેક્શન દર્શાવતા નેધરલેન્ડના ડિજિટલ નકશા સાથે.

નેધરલેન્ડ્સ સાયબર સુરક્ષા અને ડેટા સુરક્ષા કાયદાના અનેક સ્તરો હેઠળ કાર્ય કરે છે, જે EU-વ્યાપી નિયમોને રાષ્ટ્રીય અમલીકરણ કાયદાઓ સાથે જોડે છે. આ કાયદાઓ વ્યક્તિગત ડેટાનું સંચાલન કરતી અને મહત્વપૂર્ણ માળખાગત સુવિધાઓનું સંચાલન કરતી સંસ્થાઓ માટે સ્પષ્ટ જવાબદારીઓ સ્થાપિત કરે છે. તેઓ ટેલિકોમ્યુનિકેશન, ફાઇનાન્સ અને કાયદા અમલીકરણ સહિત વિવિધ ક્ષેત્રો માટે ચોક્કસ આવશ્યકતાઓ બનાવે છે.

જનરલ ડેટા પ્રોટેક્શન રેગ્યુલેશન (GDPR) અને ડચ અમલીકરણ

આ GDPR પ્રાથમિક તરીકે સેવા આપે છે ડેટા સુરક્ષા માળખું નેધરલેન્ડ્સ સહિત સમગ્ર EU માં. તે વ્યક્તિગત ડેટાની પ્રક્રિયા માટે વ્યાપક નિયમો સ્થાપિત કરે છે અને સંસ્થાઓને માહિતીને સુરક્ષિત રાખવા માટે યોગ્ય તકનીકી અને સંગઠનાત્મક પગલાં અમલમાં મૂકવાની જરૂર છે. નેધરલેન્ડ્સે GDPR ને ડચ GDPR અમલીકરણ કાયદો (સરેરાશ), જે EU જરૂરિયાતોને ડચ કાયદા અનુસાર અનુકૂલિત કરે છે. આ અધિનિયમ યુરોપિયન ધોરણો સાથે સંરેખણ જાળવી રાખીને રાષ્ટ્રીય પરિસ્થિતિઓ માટે ચોક્કસ જોગવાઈઓ પ્રદાન કરે છે. તે ડચ ડેટા પ્રોટેક્શન ઓથોરિટી (Autoriteit Personsgegevens) અમલીકરણ માટે જવાબદાર સુપરવાઇઝરી સંસ્થા તરીકે. GDPR હેઠળ, તમારે જાણ કરવી આવશ્યક છે માહિતી ભંગ તેમના વિશે જાગૃત થયાના 72 કલાકની અંદર સુપરવાઇઝરી ઓથોરિટીને. જ્યારે ઉલ્લંઘનો વ્યક્તિઓના અધિકારો અને સ્વતંત્રતાઓ માટે ઉચ્ચ જોખમો ઉભા કરે છે, ત્યારે તમારે અસરગ્રસ્ત વ્યક્તિઓને પણ અનુચિત વિલંબ કર્યા વિના સૂચિત કરવું આવશ્યક છે. આ સૂચના આવશ્યકતાઓ નેધરલેન્ડ્સમાં ઉલ્લંઘન જવાબદારીનો પાયો બનાવે છે. Verzamelwet Gegevensbescherming (કલેક્ટિવ ડેટા પ્રોટેક્શન એક્ટ) GDPR ધોરણો સાથે સુસંગત થવા માટે વિવિધ ડચ કાયદાઓને વધુ સુધારે છે. આ વિવિધ કાનૂની ક્ષેત્રોમાં સુસંગતતા સુનિશ્ચિત કરે છે.

સાયબર સુરક્ષા કાયદો અને NIS2 નિર્દેશ

આ NIS2 નિર્દેશ સમગ્ર EU માં આવશ્યક અને મહત્વપૂર્ણ સંસ્થાઓ માટે સાયબર સુરક્ષા આવશ્યકતાઓને નોંધપાત્ર રીતે વિસ્તૃત કરે છે. નેધરલેન્ડ્સે તેને સાયબરબેવેઇલીંગ્સવેટ (ડચ સાયબર સુરક્ષા કાયદો), જે 15 ઓગસ્ટ 2026 ના રોજ ક્રિટિકલ એન્ટિટીઝ રેઝિલિયન્સ એક્ટ (ભીની વીરબારહીદ કૃતિકે એન્ટાઇટેટેન). કોઈ ગ્રેસ પીરિયડ નથી: તે તારીખથી જવાબદારીઓ લાગુ પડે છે. ત્રણ ફરજો સૌથી મહત્વપૂર્ણ છે. તમારે તમારા સંગઠનને રાષ્ટ્રીય એન્ટિટી રજિસ્ટરમાં નોંધણી કરાવવી આવશ્યક છે જે નેશનલ સાયબર સિક્યોરિટી સેન્ટર. તમારે તમારા નેટવર્ક અને માહિતી પ્રણાલીઓ માટેના જોખમોનું સંચાલન કરવા માટે યોગ્ય તકનીકી અને સંગઠનાત્મક પગલાં લેવા જોઈએ, જે કાયદામાં બજાર પર છોડવાને બદલે કાળજી રાખવાની ફરજ છે. અને તમારે કોઈ મહત્વપૂર્ણ ઘટનાની જાણ થયાના 24 કલાકની અંદર જાણ કરવી જોઈએ, ત્યારબાદ 72 કલાકની અંદર સંપૂર્ણ સૂચના અને ત્યારબાદ અંતિમ અહેવાલ આપવો જોઈએ. નેધરલેન્ડ્સમાં આશરે આઠ હજાર સંસ્થાઓ આવશ્યક અથવા મહત્વપૂર્ણ સંસ્થાઓ તરીકે કાર્યક્ષેત્રમાં આવે છે, જેમાંથી ઘણી બધી અગાઉના શાસનની બહાર હતી. તમે કાર્યક્ષેત્રમાં છો કે નહીં તે તમે છાપ પર નિર્ણય લેતા નથી. તે કાયદામાં ક્ષેત્ર અને કદના માપદંડો પરથી અનુસરે છે, અને જે સપ્લાયર કાર્યક્ષેત્રની બહાર આવે છે તેને હજુ પણ એવા ગ્રાહક દ્વારા કરાર દ્વારા ખેંચી શકાય છે જે તેમ કરતું નથી. સાયબર સુરક્ષા કાયદાએ નેટવર્ક અને માહિતી સિસ્ટમ્સ સુરક્ષા કાયદાને બદલ્યો (વેટ બેવિલિગિંગ નેટવર્ક- એન માહિતી સિસ્ટમ્સ, Wbni), તેથી જૂના કરારો, નીતિઓ અને ઓડિટ રિપોર્ટ્સમાં Wbni ના સંદર્ભો હવે એવા શાસન તરફ નિર્દેશ કરે છે જે હવે અસ્તિત્વમાં નથી. તેમને તપાસો. દેખરેખ એક નિયમનકારમાં કેન્દ્રિત થવાને બદલે ક્ષેત્ર દ્વારા વિતરિત કરવામાં આવે છે. ડિજિટલ ઇન્ફ્રાસ્ટ્રક્ચર માટે નેધરલેન્ડ્સ ઓથોરિટી (ડિજિટલ ઈન્ફ્રાસ્ટ્રક્ચરની તપાસ, RDI) ડિજિટલ ઈન્ફ્રાસ્ટ્રક્ચર, ICT સેવા વ્યવસ્થાપન, ડિજિટલ પ્રદાતા અને સરકારી ક્ષેત્રોનું નિરીક્ષણ કરે છે, જ્યારે અન્ય ક્ષેત્રોના પોતાના નિયુક્ત સુપરવાઈઝર હોય છે. કોઈ ઘટના પહેલાં તમારા સુપરવાઈઝરને ઓળખો, કોઈ ઘટના દરમિયાન નહીં.

અન્ય સંબંધિત કાયદા અને નિર્દેશો

આ EU ઇ-પ્રાઇવસી ડાયરેક્ટિવ ઇલેક્ટ્રોનિક સંદેશાવ્યવહાર ગોપનીયતાને સંબોધિત કરીને GDPR ને પૂરક બનાવે છે. તેને કૂકીઝ અને સમાન તકનીકો માટે સંમતિની જરૂર છે, અને સંદેશાવ્યવહાર ડેટાની ગુપ્તતાનું રક્ષણ કરે છે. ટેલિકોમ્યુનિકેશન એક્ટ (ટેલિકોમવેટ) ટેલિકોમ પ્રદાતાઓ પર ચોક્કસ સુરક્ષા જવાબદારીઓ લાદે છે, જેમાં નેટવર્ક અખંડિતતા અને વપરાશકર્તા ડેટાને સુરક્ષિત રાખવા માટેની આવશ્યકતાઓનો સમાવેશ થાય છે. આ અધિનિયમ સંદેશાવ્યવહાર ક્ષેત્રમાં વ્યાપક સુરક્ષા સુનિશ્ચિત કરવા માટે ડેટા સુરક્ષા કાયદાઓ સાથે કામ કરે છે. ક્રિટિકલ એન્ટિટીઝ રેઝિલિયન્સ એક્ટ (ભીની વીરબારહીદ કૃતિકે એન્ટાઇટેટેન), જે નિર્દેશ (EU) 2022/2557 લાગુ કરે છે અને સાયબર સુરક્ષા કાયદાના દિવસે જ અમલમાં આવ્યો હતો, તે ડિજિટલ સુરક્ષાને બદલે ભૌતિક સ્થિતિસ્થાપકતાને સંબોધિત કરે છે. તે જોખમ મૂલ્યાંકન હાથ ધરવા, સ્થિતિસ્થાપકતાના પગલાં લેવા અને વિક્ષેપકારક ઘટનાઓની જાણ કરવા માટે મહત્વપૂર્ણ તરીકે નિયુક્ત સંસ્થાઓને ફરજ પાડે છે. એક સંસ્થા એકસાથે બંને કાયદાઓ દ્વારા પકડાઈ શકે છે, અને જવાબદારીઓના બે સેટ મર્જ થતા નથી. આ માળખા ઓવરલેપિંગ જવાબદારીઓ બનાવે છે. બહુવિધ ક્ષેત્રોમાં કાર્ય કરતી વખતે અથવા વિવિધ પ્રકારના ડેટાને હેન્ડલ કરતી વખતે તમારે તેમને નેવિગેટ કરવું આવશ્યક છે.

ક્ષેત્ર-વિશિષ્ટ નિયમન

આ નાણાકીય દેખરેખ કાયદો (Wet op het financieel toezicht) નાણાકીય સંસ્થાઓ માટે કડક સાયબર સુરક્ષા અને ડેટા સુરક્ષા આવશ્યકતાઓ સ્થાપિત કરે છે. નાણાકીય ક્ષેત્રમાં કાર્યરત હોય ત્યારે તમારે મજબૂત સુરક્ષા નિયંત્રણો, ઘટના પ્રતિભાવ પ્રક્રિયાઓ અને નિયમિત પરીક્ષણ પ્રોટોકોલનો અમલ કરવો આવશ્યક છે. કાયદા અમલીકરણ સંસ્થાઓને પોલીસ ડેટા એક્ટ (ભીનું રાજકારણી) અને વેટ justitiële en strafvorderlijke gegevens (ન્યાયિક અને ફોજદારી કાર્યવાહી ડેટા અધિનિયમ). આ કાયદાઓ પોલીસ અને ન્યાયિક સત્તાવાળાઓ તપાસ અને ફોજદારી કાર્યવાહી દરમિયાન વ્યક્તિગત ડેટા કેવી રીતે એકત્રિત કરે છે, પ્રક્રિયા કરે છે અને સુરક્ષિત કરે છે તેનું સંચાલન કરે છે. આરોગ્યસંભાળ પ્રદાતાઓએ માનક GDPR આવશ્યકતાઓ ઉપરાંત વધારાના ગોપનીયતા સુરક્ષા પગલાંનું પાલન કરવું આવશ્યક છે. આ તબીબી માહિતીના સંવેદનશીલ સ્વભાવને પ્રતિબિંબિત કરે છે. ઊર્જા, પરિવહન અને પાણી ક્ષેત્રો NIS2 અમલીકરણ હેઠળ ચોક્કસ જવાબદારીઓનો સામનો કરે છે, જેમાં તેમના કાર્યકારી જોખમોને અનુરૂપ સુરક્ષા પગલાં લેવામાં આવે છે. દરેક ક્ષેત્ર-વિશિષ્ટ નિયમન અનન્ય પાલન બોજ લાદે છે. તમારી સંસ્થાની ચોક્કસ પ્રવૃત્તિઓ અને ડેટા પ્રોસેસિંગ કામગીરી પર કયા કાયદા લાગુ પડે છે તે ઓળખવું આવશ્યક છે.

ડેટા ભંગ પછી જવાબદારી સોંપવી

આધુનિક ઓફિસમાં સાયબર સુરક્ષા અને જવાબદારી અંગે ચર્ચા કરતા વ્યાવસાયિકોનું એક જૂથ, ડિજિટલ સ્ક્રીનો સાથે ડેટા ભંગના ગ્રાફિક્સ દર્શાવે છે.

નેધરલેન્ડ્સમાં, ડેટા ભંગ માટેની જવાબદારી વ્યક્તિગત ડેટાની પ્રક્રિયા કરવામાં તમારી ભૂમિકા પર આધારિત છે, સુરક્ષા પગલાં તમે અમલમાં મૂક્યો છે, અને તમે રિપોર્ટિંગ આવશ્યકતાઓનું પાલન કર્યું છે કે કેમ. ડચ ડેટા પ્રોટેક્શન ઓથોરિટી અને અન્ય સુપરવાઇઝરી સંસ્થાઓ જવાબદારી નક્કી કરે છે તેના આધારે કાનૂની જવાબદારીઓ GDPR અને રાષ્ટ્રીય સાયબર સુરક્ષા કાયદા હેઠળ.

જવાબદારી વ્યાખ્યાયિત કરવી: નિયંત્રકો, પ્રોસેસર્સ અને તૃતીય પક્ષો

તમારી જવાબદારી પછી વ્યક્તિગત ડેટા ભંગ તમે એક તરીકે કાર્ય કરો છો કે નહીં તેના પર આધાર રાખે છે ડેટા નિયંત્રક અથવા પ્રોસેસર. નિયંત્રકો નક્કી કરે છે કે વ્યક્તિગત ડેટા કેવી રીતે અને શા માટે પ્રક્રિયા કરવામાં આવે છે, જેના કારણે તેઓ મુખ્યત્વે સુરક્ષા ઘટનાઓ માટે જવાબદાર બને છે. પ્રોસેસર્સ નિયંત્રકો વતી ડેટા હેન્ડલ કરે છે અને જો તેઓ સૂચનાઓ ઓળંગે છે અથવા પર્યાપ્ત સુરક્ષા પગલાં લાગુ કરવામાં નિષ્ફળ જાય છે તો જવાબદારીનો સામનો કરે છે. ડિજિટલ સેવા પ્રદાતાઓ જેવા તૃતીય પક્ષો અલગ જવાબદારીઓ ધરાવે છે. જો તમે બાહ્ય સપ્લાયર્સનો ઉપયોગ કરો છો, તો જ્યારે તેઓ તમારા વતી ડેટા પર પ્રક્રિયા કરે છે ત્યારે તમે તેમની ક્રિયાઓ માટે જવાબદાર રહેશો. તમારા કરારોમાં સુરક્ષા જવાબદારીઓ અને ઘટના સંભાળવાની પ્રક્રિયાઓનો ઉલ્લેખ કરવો આવશ્યક છે. જ્યારે બહુવિધ પક્ષો સામેલ હોય છે, ત્યારે જવાબદારી શેર કરી શકાય છે. જો તમે અને તમારા પ્રોસેસર બંને તકનીકી અને સંગઠનાત્મક પગલાં લાગુ કરવામાં નિષ્ફળ ગયા છો, તો તમે બંનેને Autoriteit Persoonsgegevens તરફથી દંડનો સામનો કરવો પડી શકે છે. જવાબદારી સોંપવા માટે સુપરવાઇઝરી ઓથોરિટી ઉલ્લંઘનમાં દરેક પક્ષની ભૂમિકાની તપાસ કરે છે.

સુપરવાઇઝરી ઓથોરિટીઝ અને નિયમનકારી ભૂમિકાઓ

ઓટોરાઇટ પર્સૂનગેવેન્સ ડચ ડેટા પ્રોટેક્શન ઓથોરિટી તરીકે સેવા આપે છે જે GDPR પાલન લાગુ કરવા માટે જવાબદાર છે. તમારે ઘટનાની જાણ થયાના 72 કલાકની અંદર આ સુપરવાઇઝરી ઓથોરિટીને વ્યક્તિગત ડેટા ભંગની જાણ કરવી આવશ્યક છે. ઘટનાની જાણ કરવાની સમયમર્યાદા પૂરી કરવામાં નિષ્ફળતા તમારી જવાબદારીમાં વધારો કરે છે. રાષ્ટ્રીય સાયબર સુરક્ષા કેન્દ્ર (NCSC) વ્યાપક સંભાળે છે સાયબર સલામતીની ધમકીઓ આવશ્યક સેવાઓના સંચાલકોને અસર કરે છે. જો તમે મહત્વપૂર્ણ માળખાગત સુવિધાઓ અથવા ડિજિટલ સેવાઓ પ્રદાન કરો છો, તો તમારે NCSC ને મહત્વપૂર્ણ સુરક્ષા ઘટનાઓની પણ જાણ કરવી આવશ્યક છે. આ અહેવાલો સાયબર ધમકીઓ પ્રત્યે રાષ્ટ્રીય પ્રતિભાવોનું સંકલન કરવામાં મદદ કરે છે. બંને સત્તાવાળાઓ સુરક્ષા ઘટનાઓ પછી તપાસ કરે છે. ઓટોરાઇટ પર્સૂન્સગેવેન્સ €20 મિલિયન અથવા તમારા વાર્ષિક વૈશ્વિક ટર્નઓવરના 4%, જે પણ વધારે હોય તે દંડ જારી કરી શકે છે. તેઓ ભંગની પ્રકૃતિ, અસરગ્રસ્ત વ્યક્તિઓની સંખ્યા અને તમારા પ્રતિભાવ પગલાં જેવા પરિબળોને ધ્યાનમાં લે છે. ENISA માર્ગદર્શિકા ડચ સત્તાવાળાઓ સાયબર સુરક્ષા આવશ્યકતાઓ સાથે તમારા પાલનનું મૂલ્યાંકન કેવી રીતે કરે છે તે પ્રભાવિત કરે છે.

સંગઠનાત્મક અને તકનીકી પગલાં

તકનીકી અને સંગઠનાત્મક પગલાંના તમારા અમલીકરણથી જવાબદારી નિર્ધારણ પર સીધી અસર પડે છે. આ પગલાંમાં એન્ક્રિપ્શન, ઍક્સેસ નિયંત્રણો, નિયમિત સુરક્ષા પરીક્ષણ અને સ્ટાફ તાલીમનો સમાવેશ થાય છે. અદાલતો અને સુપરવાઇઝરી ઓથોરિટી મૂલ્યાંકન કરે છે કે શું તમારી સુરક્ષા સામેલ જોખમો માટે યોગ્ય હતી. તમારે તમારા સુરક્ષા પગલાંનું દસ્તાવેજીકરણ કરવું જોઈએ અને વ્યવસાય સાતત્ય આયોજન દર્શાવવું જોઈએ. જો તમે પૂરતી સાવચેતી સાબિત કરી શકતા નથી, તો જવાબદારી નોંધપાત્ર રીતે વધે છે. નિયમિત જોખમ મૂલ્યાંકન તમને ભંગ થાય તે પહેલાં નબળાઈઓને ઓળખવામાં મદદ કરે છે. ઘટના સંભાળવાની પ્રક્રિયાઓ મહત્વપૂર્ણ છે. વ્યક્તિગત ડેટા ભંગ શોધવા, તપાસ કરવા અને તેનો જવાબ આપવા માટે તમારે સ્પષ્ટ પ્રોટોકોલની જરૂર છે. સુરક્ષા ઘટનાઓને રોકવામાં તમારો પ્રતિભાવ સમય અને અસરકારકતા દંડના નિર્ણયોને પ્રભાવિત કરે છે. ઓટોરાઇટ પર્સૂનગેગેન્સ અપેક્ષા રાખે છે કે તમે તમારા સુરક્ષા માળખાના પુરાવા જાળવી રાખો. યોગ્ય દસ્તાવેજો વિના, તપાસ દરમિયાન વાજબી કાળજી સાબિત કરવી મુશ્કેલ બની જાય છે.

સપ્લાય ચેઇન અને સેવા પ્રદાતાઓ

સપ્લાય ચેઇન સુરક્ષા જટિલ જવાબદારી સમસ્યાઓ બનાવે છે. જ્યારે તમારા સેવા પ્રદાતાઓ તમારા ડેટાને અસર કરતા ભંગનો અનુભવ કરે છે, ત્યારે પણ તમારે પરિણામોનો સામનો કરવો પડી શકે છે. તમારે સપ્લાયર્સ પર યોગ્ય ખંત રાખવો જોઈએ અને તેમની સુરક્ષા પ્રથાઓનું સતત નિરીક્ષણ કરવું જોઈએ. આવશ્યક સેવાઓના સંચાલકો વિક્રેતા સંચાલન માટે કડક આવશ્યકતાઓનો સામનો કરે છે. તમારે ખાતરી કરવી જોઈએ કે તમારી સપ્લાય ચેઇનમાં ડિજિટલ સેવા પ્રદાતાઓ તમારી પોતાની જવાબદારીઓ સાથે મેળ ખાતા ધોરણો જાળવી રાખે છે. કરાર કરારોમાં ઘટના રિપોર્ટિંગ ફરજો અને જવાબદારી ફાળવણીને સ્પષ્ટ રીતે વ્યાખ્યાયિત કરવી જોઈએ. જો ભંગ તમારી સપ્લાય ચેઇનમાંથી ઉદ્ભવે છે, તો Autoriteit Persoonsgegevens તપાસ કરે છે કે તમે પર્યાપ્ત વિક્રેતા મૂલ્યાંકન કર્યું છે કે કેમ. તમારી જવાબદારી તેના પર નિર્ભર કરે છે કે તમે સપ્લાયર સુરક્ષા ચકાસવા માટે વાજબી પગલાં લીધાં છે કે નહીં. તમે તૃતીય-પક્ષ પ્રોસેસર્સનો ઉપયોગ કરતી વખતે પણ સંપૂર્ણપણે જવાબદારી સોંપી શકતા નથી. બહુ-સ્તરીય સપ્લાય ચેઇન્સની વધારાની તકેદારીની જરૂર છે. બહુવિધ સંસ્થાઓમાં વ્યક્તિગત ડેટા સાથે ચેડા કરતી કાસ્કેડિંગ નિષ્ફળતાઓ સામે રક્ષણ આપવા માટે તમારે સબ-પ્રોસેસર અને તેમના સુરક્ષા પગલાંમાં દૃશ્યતાની જરૂર છે.

ડેટા ભંગ સૂચના જવાબદારીઓ

નેધરલેન્ડ્સ GDPR અને રાષ્ટ્રીય સાયબર સુરક્ષા કાયદા હેઠળ બહુ-સ્તરીય સૂચના માળખું લાગુ કરે છે. નિયંત્રકોએ આવશ્યક છે ભંગની જાણ કરો જ્યારે જોખમ હોય ત્યારે 72 કલાકની અંદર ડચ ડેટા પ્રોટેક્શન ઓથોરિટી (AP) ને ડેટા વિષય અધિકારો.ઉચ્ચ જોખમી ભંગ અસરગ્રસ્ત વ્યક્તિઓને સીધી સૂચના આપવાની જરૂર છે.

સમયરેખા અને પ્રક્રિયાગત આવશ્યકતાઓ

તમારે વ્યક્તિગત ડેટા ભંગની જાણ થયાના 72 કલાક પછી અને શક્ય હોય ત્યાં સુધી, વ્યક્તિગત ડેટા ભંગની જાણ થયાના 72 કલાક પછી AP ને જાણ કરવી જોઈએ. આ જવાબદારી લાગુ પડે છે સિવાય કે ઉલ્લંઘન કુદરતી વ્યક્તિઓના અધિકારો અને સ્વતંત્રતાઓ માટે જોખમમાં પરિણમવાની શક્યતા ન હોય. સૂચનામાં શક્ય હોય ત્યાં ચોક્કસ માહિતી શામેલ હોવી જોઈએ. તમારે સંબંધિત ડેટા વિષયોની શ્રેણીઓ અને અંદાજિત સંખ્યાઓ, અસરગ્રસ્ત વ્યક્તિગત ડેટા રેકોર્ડની શ્રેણીઓ અને અંદાજિત સંખ્યાઓ અને તમારા ડેટા પ્રોટેક્શન ઓફિસર અથવા અન્ય સંપર્ક બિંદુનું નામ પ્રદાન કરવાની જરૂર છે. તમારે ભંગના સંભવિત પરિણામો અને તેને સંબોધવા માટે લેવામાં આવેલા અથવા પ્રસ્તાવિત પગલાંનું પણ વર્ણન કરવું આવશ્યક છે. જો તમે 72-કલાકની વિંડોમાં બધી જરૂરી માહિતી પ્રદાન કરી શકતા નથી, તો તમે તેને તબક્કાવાર સબમિટ કરી શકો છો. તમારે તમારી પ્રારંભિક સૂચનામાં કોઈપણ વિલંબના કારણો સમજાવવા આવશ્યક છે.

કોને અને ક્યારે જાણ કરવી જોઈએ

જ્યારે વ્યક્તિગત ડેટા ભંગ તેમના અધિકારો અને સ્વતંત્રતાઓ માટે ઉચ્ચ જોખમમાં પરિણમવાની શક્યતા હોય ત્યારે તમારે અસરગ્રસ્ત ડેટા વિષયોને સીધી સૂચના આપવી જોઈએ. આ સૂચના બિનજરૂરી વિલંબ વિના આપવી જોઈએ અને સ્પષ્ટ અને સરળ ભાષાનો ઉપયોગ કરવો જોઈએ. ત્રણ ચોક્કસ પરિસ્થિતિઓમાં ડેટા વિષયોને સીધી સૂચના આપવી જરૂરી નથી. જો તમે યોગ્ય તકનીકી અને સંગઠનાત્મક સુરક્ષા પગલાં (જેમ કે એન્ક્રિપ્શન) લાગુ કર્યા છે જે ડેટાને અનધિકૃત વ્યક્તિઓ માટે અગમ્ય બનાવે છે તો તમારે સૂચિત કરવાની જરૂર નથી. જો તમે ડેટા વિષયના અધિકારો માટે ઉચ્ચ જોખમ હવે સાકાર થવાની શક્યતા નથી, અથવા જો સીધા સંદેશાવ્યવહારમાં અપ્રમાણસર પ્રયાસ શામેલ હશે તો તમારે અનુગામી પગલાં લીધાં છે કે કેમ તે પણ તમારે સૂચિત કરવાની જરૂર નથી. આવા કિસ્સાઓમાં, જાહેર સંદેશાવ્યવહાર અથવા સમાન પગલાં જરૂરી છે. ડેટા વિષયોને જાણ કરવાની ફરજમાંથી કોઈ ક્ષેત્રીય મુક્તિ નથી; જૂના વ્યક્તિગત ડેટા સુરક્ષા કાયદા હેઠળ નાણાકીય ઉપક્રમો માટે એક સમયે અસ્તિત્વમાં રહેલી મુક્તિ GDPR માં ટકી શકી ન હતી. પ્રોસેસર્સની અલગ જવાબદારીઓ હોય છે. જોખમ સ્તરને ધ્યાનમાં લીધા વિના, કોઈપણ વ્યક્તિગત ડેટા ભંગ વિશે જાગૃત થયા પછી તમારે બિનજરૂરી વિલંબ વિના નિયંત્રકને સૂચિત કરવું જોઈએ. આ GDPR હેઠળ એક કાનૂની જરૂરિયાત છે અને તમારા પ્રોસેસિંગ કરારમાં શામેલ હોવી જોઈએ.

ક્ષેત્રીય અને રાષ્ટ્રીય સૂચના આવશ્યકતાઓ

GDPR જવાબદારીઓ ઉપરાંત, તમારા ક્ષેત્રના આધારે તમારે વધારાની રિપોર્ટિંગ આવશ્યકતાઓનો સામનો કરવો પડી શકે છે. સાયબર સુરક્ષા કાયદા અનુસાર આવશ્યક અને મહત્વપૂર્ણ સંસ્થાઓએ તેમના ક્ષેત્રના સુપરવાઇઝર અને CSIRT ને 24 કલાકની અંદર કોઈ મહત્વપૂર્ણ ઘટનાની જાણ કરવી જરૂરી છે, 72 કલાકમાં સંપૂર્ણ સૂચના સાથે, ભલે કોઈ વ્યક્તિગત ડેટા સામેલ ન હોય. જાહેર ઇલેક્ટ્રોનિક સંચાર નેટવર્કના પ્રદાતાઓ ડિજિટલ ઇન્ફ્રાસ્ટ્રક્ચર ક્ષેત્રનું નિરીક્ષણ કરતી નેધરલેન્ડ્સ ઓથોરિટી ફોર ડિજિટલ ઇન્ફ્રાસ્ટ્રક્ચર (RDI) ને રિપોર્ટ કરે છે. આરોગ્યસંભાળ સંસ્થાઓ તબીબી ઉપકરણ સલામતી અથવા દર્દીના ડેટાને અસર કરતી ઘટનાઓ અંગે આરોગ્ય અને યુવા સંભાળ નિરીક્ષકને સૂચિત કરવાની જવાબદારીઓનો સામનો કરે છે. નાણાકીય સેવા કંપનીઓએ નાણાકીય દેખરેખ કાયદા હેઠળ ક્ષેત્ર-વિશિષ્ટ આવશ્યકતાઓનું પાલન કરવું આવશ્યક છે. મહત્વપૂર્ણ તરીકે નિયુક્ત સંસ્થાઓ પણ ક્રિટિકલ એન્ટિટીઝ રેઝિલિયન્સ એક્ટ હેઠળ જવાબદારીઓ વહન કરે છે. તમારે કમ્પ્યુટર સિક્યુરિટી ઇન્સિડેન્ટ રિસ્પોન્સ ટીમ (CSIRT) ને નોંધપાત્ર ઘટનાઓની જાણ કરવી આવશ્યક છે જે આવશ્યક સેવાઓને નોંધપાત્ર રીતે વિક્ષેપિત કરી શકે છે. જાહેર કંપનીઓને સુરક્ષા ઘટનાઓની જાણ કરવાની જરૂર પડી શકે છે જે રોકાણકારોના નિર્ણયોને ભૌતિક રીતે અસર કરી શકે છે. આ ક્ષેત્રીય આવશ્યકતાઓ ઘણીવાર GDPR જવાબદારીઓને બદલવાને બદલે સાથે કાર્ય કરે છે. તમારી સંસ્થાની પ્રવૃત્તિઓ અને ઉલ્લંઘનની પ્રકૃતિના આધારે, તમારે એક જ ઘટના માટે વિવિધ અધિકારીઓને બહુવિધ સૂચનાઓ આપવાની જરૂર પડી શકે છે.

અમલ અને પ્રતિબંધો

ડચ સત્તાવાળાઓ પાસે સાયબર સુરક્ષા નિષ્ફળતાઓની તપાસ કરવાની અને વ્યક્તિગત ડેટાને સુરક્ષિત કરવામાં અથવા સુરક્ષા આવશ્યકતાઓને પૂર્ણ કરવામાં નિષ્ફળ રહેતી સંસ્થાઓ પર નોંધપાત્ર નાણાકીય દંડ લાદવાની સ્પષ્ટ સત્તાઓ છે. અમલીકરણ માળખામાં ચોક્કસ દેખરેખ જવાબદારીઓ, માળખાગત દંડ યોજનાઓ અને પ્રતિબંધોનો સામનો કરતી સંસ્થાઓ માટે વ્યાખ્યાયિત અપીલ પ્રક્રિયાઓ ધરાવતા બહુવિધ નિયમનકારોનો સમાવેશ થાય છે.

તપાસ અને દેખરેખની સત્તાઓ

ડચ ડેટા પ્રોટેક્શન ઓથોરિટી (Autoriteit Persoonsgegevens, અથવા AP) ડેટા ભંગ અને GDPR ઉલ્લંઘનની તપાસ કરવાની પ્રાથમિક જવાબદારી ધરાવે છે. AP ફરિયાદો, મીડિયા રિપોર્ટ્સ અથવા નિયમિત ઓડિટના આધારે તપાસ શરૂ કરી શકે છે. તપાસ દરમિયાન, ઓથોરિટી દસ્તાવેજોની વિનંતી કરી શકે છે, સ્થળ પર નિરીક્ષણ કરી શકે છે અને સ્ટાફ સભ્યોનો ઇન્ટરવ્યુ લઈ શકે છે. નવા Cyberbeveiligingswet હેઠળ સાયબર સુરક્ષા જવાબદારીઓ માટે, ક્ષેત્ર-વિશિષ્ટ નિયમનકારો દેખરેખ રાખે છે. નેધરલેન્ડ્સ ઓથોરિટી ફોર ડિજિટલ ઇન્ફ્રાસ્ટ્રક્ચર (RDI) ડિજિટલ ઇન્ફ્રાસ્ટ્રક્ચર, ICT સેવા વ્યવસ્થાપન, ડિજિટલ પ્રદાતા અને સરકારી ક્ષેત્રોનું નિરીક્ષણ કરે છે. ડચ સેન્ટ્રલ બેંક (DNB) નાણાકીય સંસ્થાઓનું નિરીક્ષણ કરે છે. અન્ય ક્ષેત્રોમાં તેમના પોતાના નિયુક્ત સુપરવાઇઝર હોય છે, જેમાં અમલીકરણ સત્તાઓ જવાબદાર મંત્રી અથવા મંત્રી વતી કાર્ય કરતી નિરીક્ષક પાસે રહે છે. આ નિયમનકારો તમારી સિસ્ટમ્સનું ઓડિટ કરી શકે છે, ઘટના પ્રતિભાવ પ્રક્રિયાઓની સમીક્ષા કરી શકે છે અને મૂલ્યાંકન કરી શકે છે કે શું તમારું જોખમ સંચાલન કાનૂની ધોરણોને પૂર્ણ કરે છે. જો ઉલ્લંઘન જોવા મળે તો તેઓ તમારી સંસ્થા પાસેથી અમલીકરણ ખર્ચ પણ વસૂલ કરી શકે છે. નેશનલ સાયબર સિક્યુરિટી સેન્ટરમ (NCSC) નિયમનકારો વચ્ચે સંકલન કરે છે પરંતુ સીધા દંડ લાદતું નથી.

વહીવટી અને નાણાકીય દંડ

કાનૂની માળખા અને ઉલ્લંઘનની ગંભીરતાના આધારે નાણાકીય દંડ બદલાય છે. GDPR અમલીકરણ હેઠળ, AP €20 મિલિયન અથવા તમારા વાર્ષિક વૈશ્વિક ટર્નઓવરના 4%, જે પણ વધારે હોય તે દંડ લાદી શકે છે. સત્તાધિકારી ઉલ્લંઘનની પ્રકૃતિ, અસરગ્રસ્ત વ્યક્તિઓની સંખ્યા અને તપાસ દરમિયાન તમારા સહકાર જેવા પરિબળોને ધ્યાનમાં લે છે. Cyberbeveiligingswet હેઠળ, દંડ એક સ્તરીય માળખાને અનુસરે છે:

એન્ટિટી વર્ગીકરણ	મહત્તમ દંડ	ટર્નઓવર વૈકલ્પિક
આવશ્યક એન્ટિટીઇટેન (EE)	€ 10 મિલિયન	૧.૪% વૈશ્વિક ટર્નઓવર
બેલાંગ્રિજકે એન્ટિટેઇટેન (BE)	€ 7 મિલિયન	૧.૪% વૈશ્વિક ટર્નઓવર

નિયમનકારો સુધારાત્મક આદેશો પણ જારી કરી શકે છે જેમાં તમને નિર્ધારિત સમયમર્યાદામાં ચોક્કસ સુરક્ષા પગલાં લાગુ કરવાની જરૂર પડે છે. વારંવાર નિષ્ફળતાઓના પરિણામે ઉલ્લંઘનોની જાહેર જાહેરાત દ્વારા નામકરણ અને શરમજનક સ્થિતિ થઈ શકે છે. આવશ્યક સંસ્થાઓ તરીકે વર્ગીકૃત કરાયેલી સંસ્થાઓના ડિરેક્ટરોને ગંભીર કિસ્સાઓમાં બોર્ડના પદ પરથી વ્યક્તિગત ગેરલાયક ઠેરવવામાં આવી શકે છે. જાહેર સંસ્થાને દંડ કેવી રીતે અને કેવી રીતે ફટકારી શકાય તે સંબંધિત કાયદા પર આધાર રાખે છે; સુધારાત્મક અમલીકરણ કોઈપણ સંજોગોમાં જાહેર સંસ્થાઓ સામે ઉપલબ્ધ છે.

કાનૂની આશ્રય અને અપીલો

તમને અમલીકરણના નિર્ણયોને પડકારવાનો અધિકાર છે વહીવટી અપીલો.દંડની સૂચના મળ્યા પછી, તમે છ અઠવાડિયાની અંદર જારી કરનાર અધિકારીને વાંધો (બિનજવાબ) સબમિટ કરી શકો છો. નિયમનકારે તેના નિર્ણય પર પુનર્વિચાર કરવો જોઈએ અને ઔપચારિક પ્રતિભાવ આપવો જોઈએ. જો તમે પુનર્વિચારણાના પરિણામ સાથે અસંમત છો, તો તમે જિલ્લા અદાલત (રેક્સબેંક) માં અપીલ કરી શકો છો. કોર્ટ સમીક્ષા કરે છે કે નિયમનકારે યોગ્ય પ્રક્રિયાઓનું પાલન કર્યું છે અને કાયદાને યોગ્ય રીતે લાગુ કર્યો છે કે નહીં. પછી તમે અપીલ કોર્ટના નિર્ણયો રાજ્ય પરિષદના વહીવટી અધિકારક્ષેત્ર વિભાગને (Afdeling bestuursrechtspraak van de Raad van State) જ્યાં GDPR અમલીકરણ અધિનિયમ હેઠળ નિર્ણય લેવામાં આવ્યો હતો. કઈ અપીલ કોર્ટ સક્ષમ છે તે નિર્ણય કયા કાયદા હેઠળ લેવામાં આવ્યો હતો તેના પર આધાર રાખે છે, તેથી છ અઠવાડિયાનો સમયગાળો ચાલે તે પહેલાં સ્થાપિત કરો. અપીલ પ્રક્રિયા દરમ્યાન, તમારે નિયમનકારો દ્વારા આદેશિત કોઈપણ સુધારાત્મક પગલાંનો અમલ ચાલુ રાખવો જોઈએ. અપીલના પરિણામો સુધી અદાલતો નાણાકીય દંડને સ્થગિત કરી શકે છે, પરંતુ આ આપમેળે નથી.

સાયબર સુરક્ષા વ્યવસ્થાપનમાં મુખ્ય ભૂમિકાઓ અને જવાબદારીઓ

સંસ્થાઓએ સ્પષ્ટપણે વ્યાખ્યાયિત કરવું જોઈએ કે સાયબર સુરક્ષા કાર્યોનું સંચાલન કોણ કરે છે, જેમાં ડેટા પ્રોટેક્શન અધિકારીઓની નિમણૂકથી લઈને બોર્ડ-સ્તરની જવાબદારી સ્થાપિત કરવા અને કર્મચારીઓને સુરક્ષા પ્રોટોકોલ પર તાલીમ આપવાનો સમાવેશ થાય છે.

ડેટા સુરક્ષા અધિકારીઓ

જો તમારી સંસ્થા સંવેદનશીલ વ્યક્તિગત ડેટાને મોટા પાયે પ્રક્રિયા કરે છે અથવા વ્યક્તિઓનું વ્યવસ્થિત રીતે નિરીક્ષણ કરે છે, તો તમારે ડેટા પ્રોટેક્શન ઓફિસર (DPO) ની નિમણૂક કરવી આવશ્યક છે. ડેટા પ્રોટેક્શન અધિકારીઓ અને ડેટા વિષયો માટે DPO તમારા સંપર્કના પ્રાથમિક બિંદુ તરીકે સેવા આપે છે. તમારા DPO ને ડેટા પ્રોટેક્શન કાયદા અને માહિતી સુરક્ષા પ્રથાઓમાં ચોક્કસ લાયકાતની જરૂર છે. તેમણે સીધા તમારા ઉચ્ચતમ મેનેજમેન્ટ સ્તરને રિપોર્ટ કરવો જોઈએ અને તેમની ફરજો બજાવવા બદલ તેમને બરતરફ કરી શકાતા નથી. ભૂમિકામાં GDPR પાલનનું નિરીક્ષણ કરવું, ડેટા પ્રોટેક્શન અસર મૂલ્યાંકન કરવું અને એન્ક્રિપ્શન અને ક્રિપ્ટોગ્રાફી આવશ્યકતાઓ પર સલાહ આપવી શામેલ છે. તમારે DPO ની જવાબદારીઓનું સ્પષ્ટપણે દસ્તાવેજીકરણ કરવું જોઈએ. આમાં તમારા ડિજિટલ ઇન્ફ્રાસ્ટ્રક્ચરનું ઑડિટ કરવાનો અને તમારી ઘટના પ્રતિભાવ યોજનાની સમીક્ષા કરવાનો તેમનો અધિકાર શામેલ છે. જો તમે બહુવિધ EU દેશોમાં કાર્ય કરો છો, તો તમે તેમના વ્યાવસાયિક ગુણો અને સંબંધિત અધિકારક્ષેત્રોના જ્ઞાનના આધારે એક DPO નિયુક્ત કરી શકો છો.

કોર્પોરેટ ગવર્નન્સ અને જવાબદારી

તમારા ડિરેક્ટર બોર્ડ પાસે સાયબર સુરક્ષા જોખમ વ્યવસ્થાપન માટેની અંતિમ જવાબદારી છે. તેમણે સુરક્ષા પગલાંને મંજૂરી આપવી જોઈએ, પૂરતા સંસાધનો ફાળવવા જોઈએ અને સાયબર સ્થિતિસ્થાપકતાના પ્રયાસોનું યોગ્ય નિરીક્ષણ સુનિશ્ચિત કરવું જોઈએ. નેતૃત્વ જવાબદારીમાં શામેલ છે:

સુરક્ષા નીતિઓને મંજૂરી આપવી માહિતી સુરક્ષા માળખા માટે
જોખમ મૂલ્યાંકનનું નિરીક્ષણ કરવું અને ઓપરેશનલ સ્થિતિસ્થાપકતા આયોજન
ઓડિટ પાલનની ખાતરી કરવી સ્વતંત્ર સમીક્ષાઓ દ્વારા
બજેટ ફાળવણી સાયબર સુરક્ષા વ્યવસ્થાપન માટે અને કર્મચારી તાલીમ

સુરક્ષા નિર્ણય લેવા માટે તમારે સ્પષ્ટ સત્તા રેખાઓ સ્થાપિત કરવાની જરૂર છે. દસ્તાવેજ જે સુરક્ષા પગલાંને મંજૂરી આપે છે, જે અમલીકરણનું નિરીક્ષણ કરે છે અને જે ઓડિટ કરે છે. તમારા મેનેજમેન્ટે નિયમિતપણે સાયબર સુરક્ષા કામગીરીની સમીક્ષા કરવી જોઈએ અને તમારા ડિજિટલ ઇન્ફ્રાસ્ટ્રક્ચર માટે વિકસિત જોખમોના આધારે વ્યૂહરચનાઓ ગોઠવવી જોઈએ.

આંતરિક નીતિઓ અને કર્મચારી તાલીમ

તમારે દસ્તાવેજીકૃત નીતિઓ બનાવવી જોઈએ જે તમારા સંગઠનમાં સુરક્ષા ભૂમિકાઓને વ્યાખ્યાયિત કરે છે. આ નીતિઓમાં ડેટા સુરક્ષા, ઘટના પ્રતિભાવ અને સાયબર સ્થિતિસ્થાપકતા જાળવવા માટેની જવાબદારીઓનો ઉલ્લેખ કરવો જોઈએ. તમારી સુરક્ષા નીતિઓમાં આ બાબતો આવરી લેવાની જરૂર છે:

ઍક્સેસ નિયંત્રણો અને પ્રમાણીકરણ આવશ્યકતાઓ
ડેટા વર્ગીકરણ અને એન્ક્રિપ્શન ધોરણો
ઘટનાની જાણ કરવાની પ્રક્રિયાઓ
નિયમિત સુરક્ષા જાગૃતિ તાલીમ

તમારે બધા કર્મચારીઓને માહિતી સુરક્ષા પ્રથાઓ પર સતત તાલીમ આપવી જોઈએ. આમાં શામેલ છે ફિશિંગ ઓળખવું પ્રયાસો, સંવેદનશીલ ડેટાને યોગ્ય રીતે હેન્ડલ કરવો, અને તમારી ઘટના પ્રતિભાવ યોજનાનું પાલન કરવું. તાલીમ ચોક્કસ ભૂમિકાઓ અનુસાર હોવી જોઈએ, જેમાં ટેકનિકલ સ્ટાફને ક્રિપ્ટોગ્રાફી અને સુરક્ષા નિયંત્રણો પર અદ્યતન સૂચનાઓ પ્રાપ્ત થાય છે. જ્યારે નિયમો બદલાય છે અથવા નવા જોખમો બહાર આવે છે ત્યારે તમારી નીતિઓની નિયમિત સમીક્ષા અને અપડેટ થવી જોઈએ. સાયબર સુરક્ષા પ્રથાઓમાં નીતિ અમલીકરણ અને સ્ટાફ વિકાસ બંને માટે તમારે પૂરતા સંસાધનો સુનિશ્ચિત કરવાની જરૂર છે.

સાયબર સુરક્ષા ઘટનાઓના પ્રકારો અને ઉભરતા જોખમો

સાયબર સુરક્ષા ઘટનાઓમાં ભ્રામક ઇમેઇલ્સથી લઈને મોટા પાયે નેટવર્ક વિક્ષેપોનો સમાવેશ થાય છે જે સમગ્ર સંસ્થાઓને જોખમમાં મૂકી શકે છે. આ ધમકીઓને સમજવાથી તમને નબળાઈઓ ઓળખવામાં અને ઉલ્લંઘન થાય ત્યારે જવાબદારી ક્યાં છે તે નક્કી કરવામાં મદદ મળે છે.

ફિશિંગ, માલવેર અને રેન્સમવેર

ફિશીંગ તમે જે સૌથી સામાન્ય સાયબર સુરક્ષા ખતરાઓનો સામનો કરશો તેમાંથી એક છે. હુમલાખોરો તમારા પાસવર્ડ્સ, નાણાકીય માહિતી અથવા અન્ય સંવેદનશીલ ડેટા ચોરી કરવા માટે કાયદેસર કંપનીઓના હોવાનો ડોળ કરીને ઇમેઇલ્સ અથવા સંદેશાઓ મોકલે છે. ફિશિંગ એ રેન્સમવેર કેસોના મોટા હિસ્સા માટે પ્રવેશ બિંદુ પણ છે, તેથી જ સુપરવાઇઝરી ઓથોરિટી સફળ ફિશિંગ હુમલાને ખરાબ નસીબ તરીકે નહીં પણ તમારા નિયંત્રણો વિશે પુરાવા તરીકે માને છે.મૉલવેર હાનિકારક સોફ્ટવેરનો ઉલ્લેખ કરે છે જે તમારા કમ્પ્યુટર સિસ્ટમ્સ અથવા નેટવર્ક્સને નુકસાન પહોંચાડે છે. આમાં વાયરસ, ટ્રોજન અને અન્ય દૂષિત કોડનો સમાવેશ થાય છે જે તમારા ડેટાને ઍક્સેસ કરવા અથવા તમારા કાર્યોને વિક્ષેપિત કરવા માટે રચાયેલ છે.ransomware એક ચોક્કસ પ્રકારનો માલવેર છે જે તમારી ફાઇલોની ઍક્સેસને અવરોધે છે અને પુનઃસ્થાપિત કરવા માટે ચૂકવણીની માંગ કરે છે. જો તમે ખંડણી ચૂકવો છો, તો પણ કોઈ ગેરેંટી નથી કે હુમલાખોરો તમારી ઍક્સેસ પુનઃસ્થાપિત કરશે અથવા ચોરાયેલ ડેટા કાઢી નાખશે. ચૂકવણી તેના પોતાના કાનૂની પ્રશ્નો પણ ઉભા કરે છે, જેમાં પ્રાપ્તકર્તાની મંજૂરી તપાસ અને ચુકવણીના એકાઉન્ટિંગ અને ડિસ્ક્લોઝર ટ્રીટમેન્ટનો સમાવેશ થાય છે.

સેવાનો ઇનકાર અને વિતરિત સેવાનો ઇનકાર હુમલાઓ

ડોસ એટેક કાયદેસર વપરાશકર્તાઓ માટે સેવાઓ ઉપલબ્ધ ન થાય તે માટે તમારી સિસ્ટમને ટ્રાફિકથી ભરાઈ જાય છે. એક જ સ્ત્રોત તમારા નેટવર્કને વિનંતીઓથી ભરી દે છે જ્યાં સુધી તે ક્રેશ ન થાય અથવા કાર્ય કરવા માટે ખૂબ ધીમું ન થઈ જાય.ડીડીઓ હુમલો કરે છે તમારા ઇન્ફ્રાસ્ટ્રક્ચર સામે સંકલિત હુમલાઓ શરૂ કરવા માટે બહુવિધ ચેડા કરાયેલ સિસ્ટમોનો ઉપયોગ કરો. આ વિતરિત હુમલાઓને રોકવા મુશ્કેલ છે કારણ કે તે એકસાથે અનેક સ્થળોએથી આવે છે. DDoS હુમલાઓ સરકારી વેબસાઇટ્સથી લઈને ખાનગી ક્ષેત્રની કામગીરી સુધીની મહત્વપૂર્ણ સેવાઓને વિક્ષેપિત કરી શકે છે. શોધ અને ભૌતિક નુકસાન વચ્ચેનો સમય ટૂંકો છે, અને સાયબર સુરક્ષા કાયદા હેઠળ સૂચના ઘડિયાળ 24 કલાકથી શરૂ થાય છે. DoS અથવા DDoS હુમલાઓનો સામનો કરતી વખતે આ સાંકડી વિંડો ઝડપી પ્રતિભાવને આવશ્યક બનાવે છે.

છેતરપિંડી અને અનધિકૃત પ્રવેશ

છેતરપિંડી સાયબર સુરક્ષામાં તમારી સિસ્ટમ્સ અથવા ડેટાની અનધિકૃત ઍક્સેસ મેળવવા માટે છેતરપિંડીનો સમાવેશ થાય છે. આમાં ઓળખ ચોરી, ચુકવણી છેતરપિંડી અને ઓળખપત્ર સાથે ચેડાનો સમાવેશ થાય છે.અનધિકૃત પ્રવેશ જ્યારે કોઈ વ્યક્તિ પરવાનગી વિના નેટવર્ક, સિસ્ટમ અથવા ડેટાને ઍક્સેસ કરવા માટે તમારી સુરક્ષા નીતિઓનો ભંગ કરે છે ત્યારે થાય છે. આ આના દ્વારા થઈ શકે છે:

ચોરાયેલા લોગિન ઓળખપત્રો
શોષણ કરાયેલ સોફ્ટવેર નબળાઈઓ
સુરક્ષા નિયંત્રણોને બાયપાસ કર્યા
વર્તમાન અથવા ભૂતપૂર્વ કર્મચારીઓ તરફથી આંતરિક ધમકીઓ

આંતરિક ડેટા ચોરી ઘણીવાર અવગણવામાં આવે છે પરંતુ તે બાહ્ય હુમલાઓ જેટલી જ નુકસાનકારક હોઈ શકે છે. આંતરિક ઘટનાઓ સામાન્ય રીતે મોડી શોધાય છે, જે તેમને ખર્ચાળ બનાવે છે અને પછીથી પુરાવા મેળવવા મુશ્કેલ બનાવે છે. સિસ્ટમમાં ઇરાદાપૂર્વક અનધિકૃત પ્રવેશ એ નેધરલેન્ડ્સમાં ક્રિમિનલ કોડના આર્ટિકલ 138ab હેઠળ ફોજદારી ગુનો છે, પરંતુ કર્મચારી દ્વારા અજાણતાં લીક થવું એ ગુનો નથી; તે હજુ પણ એક સુરક્ષા ઘટના છે જે તમારી સૂચના ફરજોને ટ્રિગર કરી શકે છે.

ક્ષેત્ર અને પુરવઠા શૃંખલાની નબળાઈઓ

મહત્વપૂર્ણ માળખાગત ક્ષેત્રો સાયબર ક્રાઇમના વધતા જોખમોનો સામનો કરે છે, જેમાં આરોગ્યસંભાળ, ઊર્જા અને નાણાકીય સેવાઓ મુખ્ય લક્ષ્યો છે. વ્યાવસાયિક સેવાઓ કંપનીઓ વારંવાર લક્ષ્યાંક બને છે કારણ કે તેમની પાસે કેન્દ્રિત ક્લાયન્ટ ડેટા હોય છે.સપ્લાય ચેઇન સુરક્ષા હુમલાખોરો તમારા પર સીધા હુમલો કરવાને બદલે તમારા ભાગીદારો અને તૃતીય-પક્ષ વિક્રેતાઓને નિશાન બનાવે છે તે વધુને વધુ મહત્વપૂર્ણ બન્યું છે. આ તૃતીય-પક્ષ વિક્રેતા હુમલાઓ તમારા ગ્રાહકોના ડેટાને ઍક્સેસ કરવા માટે તમારા ભાગીદાર સંગઠનોમાં નબળા સુરક્ષા પગલાંનો ઉપયોગ કરે છે. સપ્લાય ચેઇન નબળાઈઓ હુમલાખોરોને એક જ ભંગ દ્વારા બહુવિધ સંસ્થાઓ સાથે ચેડા કરવાની મંજૂરી આપે છે. જ્યારે તમારા વિક્રેતાની સિસ્ટમો તમારી સાથે જોડાય છે, ત્યારે તેમની સુરક્ષા નબળાઈઓ તમારી સુરક્ષા નબળાઈઓ બની જાય છે. આ એકબીજા સાથે જોડાયેલા જોખમનો અર્થ એ છે કે તમારે ફક્ત તમારા પોતાના સાયબર સુરક્ષા પગલાં જ નહીં પરંતુ તમારી સપ્લાય ચેઇનમાં દરેક સંસ્થાના પગલાંનું પણ મૂલ્યાંકન કરવું જોઈએ. રાષ્ટ્ર-રાજ્યો વધુને વધુ હરીફ સાયબર સ્પેસનું પરીક્ષણ અને પ્રવેશ કરી રહ્યા છે, ઘણીવાર સરકારો વતી કાર્ય કરતી વખતે ખાનગી સંસ્થાઓના આડમાં કાર્યરત હોય છે.

વારંવાર પૂછાતા પ્રશ્નો

ડેટા ભંગ પછી ડચ કંપનીઓએ કડક રિપોર્ટિંગ આવશ્યકતાઓ અને પાલન ધોરણોનું પાલન કરવું જોઈએ, જેમાં તેમની ભૂમિકાઓ અને જવાબદારીઓના આધારે બહુવિધ પક્ષો પર જવાબદારી લંબાય છે. આ જવાબદારીઓને સમજવાથી સંસ્થાઓને રાષ્ટ્રીય અને યુરોપિયન નિયમોનું પાલન જાળવી રાખીને પોતાને અને અસરગ્રસ્ત વ્યક્તિઓને સુરક્ષિત રાખવામાં મદદ મળે છે.

ડેટા ભંગ બાદ ડચ કંપનીઓની કાનૂની જવાબદારીઓ શું છે?

ડેટા ભંગની જાણ થયાના 72 કલાકની અંદર તમારી સંસ્થાએ ડચ ડેટા પ્રોટેક્શન ઓથોરિટી (Autoriteit Persoonsgegevens) ને જાણ કરવી આવશ્યક છે.

આ જરૂરિયાત GDPR હેઠળ લાગુ પડે છે, જે સમગ્ર નેધરલેન્ડ્સમાં ડેટા સુરક્ષાનું સંચાલન કરે છે.

તમારે તમારા ભંગની સૂચનામાં ચોક્કસ માહિતી આપવાની જરૂર છે.

આમાં ભંગની પ્રકૃતિ, અસરગ્રસ્ત વ્યક્તિઓની સંખ્યા, સંભવિત પરિણામો અને તમે લીધેલા પગલાં અથવા લેવાની યોજનાનો સમાવેશ થાય છે.

જો તમે ૭૨ કલાકની અંદર બધી વિગતો આપી શકતા નથી, તો તમારે વિલંબનું કારણ સમજાવવું પડશે અને બાકીની માહિતી શક્ય તેટલી વહેલી તકે સબમિટ કરવી પડશે.

જ્યારે ઉલ્લંઘન વ્યક્તિઓના અધિકારો અને સ્વતંત્રતાઓ માટે ઉચ્ચ જોખમ ઊભું કરે છે, ત્યારે તમારે અસરગ્રસ્ત વ્યક્તિઓને સીધી જાણ કરવી જોઈએ.

તમે વાજબી કારણો વિના આ સૂચનામાં વિલંબ કરી શકતા નથી.

અસરગ્રસ્ત વ્યક્તિઓ સાથેનો તમારો સંદેશ સ્પષ્ટ હોવો જોઈએ અને ઉલ્લંઘનના સંભવિત પરિણામો અને તેઓ પોતાને બચાવવા માટે કયા પગલાં લઈ શકે છે તે સમજાવવું જોઈએ.

તમારે બધા ડેટા ભંગના વિગતવાર દસ્તાવેજો જાળવવા આવશ્યક છે, પછી ભલે તમે અધિકારીઓને તેની જાણ કરો કે નહીં.

આ દસ્તાવેજીકરણમાં ભંગ, તેની અસરો અને લેવામાં આવેલા ઉપચારાત્મક પગલાંની આસપાસના તથ્યોનો સમાવેશ થવો જોઈએ.

ડચ ડેટા પ્રોટેક્શન ઓથોરિટી નિરીક્ષણો અથવા તપાસ દરમિયાન આ દસ્તાવેજોની વિનંતી કરી શકે છે.

નેધરલેન્ડ કાયદા હેઠળ ડેટા ભંગ માટે જવાબદારી કેવી રીતે નક્કી કરવામાં આવે છે?

નેધરલેન્ડ્સમાં ડેટા ભંગ માટેની જવાબદારી ડેટા કંટ્રોલર અથવા ડેટા પ્રોસેસર તરીકેની તમારી ભૂમિકા પર આધારિત છે.

ડેટા નિયંત્રકો વ્યક્તિગત ડેટાની પ્રક્રિયા કરવાના હેતુઓ અને માધ્યમો નક્કી કરે છે, જ્યારે ડેટા પ્રોસેસર્સ નિયંત્રકો વતી ડેટાનું સંચાલન કરે છે.

આ વર્ગીકરણના આધારે તમારી કાનૂની જવાબદારીઓ અલગ અલગ હોય છે.

ડેટા કંટ્રોલર તરીકે, ડેટા સુરક્ષા નિયમોનું પાલન સુનિશ્ચિત કરવાની પ્રાથમિક જવાબદારી તમારી છે.

વ્યક્તિગત ડેટાને સુરક્ષિત રાખવા માટે તમારે યોગ્ય તકનીકી અને સંગઠનાત્મક પગલાં અમલમાં મૂકવા આવશ્યક છે.

અદાલતો મૂલ્યાંકન કરે છે કે શું તમે ભંગ અટકાવવા માટે વાજબી પગલાં લીધાં છે અને શું તમે તમારી સુરક્ષા પ્રથાઓમાં બેદરકારીપૂર્વક વર્ત્યા છે.

જો ડેટા પ્રોસેસર્સ નિયંત્રકની સૂચનાઓનું પાલન કરવામાં નિષ્ફળ જાય અથવા તેમની કરારની જવાબદારીઓનો ભંગ કરે તો તેઓ પણ જવાબદારીનો સામનો કરી શકે છે.

જોકે, પ્રોસેસર્સ સામાન્ય રીતે નિયંત્રકો કરતાં વધુ મર્યાદિત જવાબદારી ધરાવે છે.

જો તમે નિયંત્રકની યોગ્ય પરવાનગી વિના ડેટા પર પ્રક્રિયા કરો છો અથવા સંમત સુરક્ષા પગલાં લાગુ કરવામાં નિષ્ફળ જાઓ છો, તો તમને સીધા જવાબદાર ઠેરવવામાં આવી શકે છે.

ડચ અદાલતો જવાબદારી નક્કી કરતી વખતે ઘણા પરિબળો લાગુ કરે છે.

આમાં ભંગની ગંભીરતા, ચેડા થયેલા ડેટાની સંવેદનશીલતા, ભંગ પહેલાં તમારા સુરક્ષા પગલાં અને ઘટનાની જાણ થયા પછી તમારી પ્રતિક્રિયાનો સમાવેશ થાય છે.

તમારી સંસ્થાનું કદ અને સંસાધનો પણ અદાલતો કયા વાજબી સુરક્ષા પગલાં લે છે તેના પર અસર કરે છે.

જ્યારે બહુવિધ પક્ષો ડેટા ભંગમાં ફાળો આપે છે ત્યારે સંયુક્ત જવાબદારી ઊભી થઈ શકે છે.

જો તમે અન્ય નિયંત્રકો અથવા પ્રોસેસર્સ સાથે જવાબદારી શેર કરો છો, તો કોર્ટ દરેક પક્ષને સમગ્ર નુકસાન માટે જવાબદાર ઠેરવી શકે છે.

પછી તમે અન્ય જવાબદાર પક્ષો પાસેથી ભંગમાં તેમના યોગદાનના આધારે વળતર માંગી શકો છો.

નેધરલેન્ડ્સમાં ડેટા સુરક્ષા ઘટનાઓ માટે કયા પક્ષોને જવાબદાર ઠેરવી શકાય છે?

ડેટા સુરક્ષા ઘટનાઓ માટે ડેટા નિયંત્રકો પ્રાથમિક જવાબદારી ધરાવે છે.

એક નિયંત્રક તરીકે, તમે વ્યક્તિગત ડેટા કેવી રીતે પ્રક્રિયા કરવામાં આવે છે તે અંગે નિર્ણયો લો છો અને યોગ્ય સુરક્ષા પગલાંની ખાતરી કરવી આવશ્યક છે.

ઉલ્લંઘન બાદ તમારી સંસ્થાને વહીવટી દંડ, નાગરિક જવાબદારી અને પ્રતિષ્ઠાને નુકસાન થઈ શકે છે.

ડેટા પ્રોસેસર્સ જ્યારે તેમની કરાર અને કાનૂની જવાબદારીઓનું પાલન કરવામાં નિષ્ફળ જાય ત્યારે તેમને જવાબદાર ઠેરવી શકાય છે.

જો તમે નિયંત્રક વતી ડેટા પર પ્રક્રિયા કરો છો, તો તમારે તમારા કરારમાં ઉલ્લેખિત સુરક્ષા પગલાં અમલમાં મૂકવા પડશે અને નિયંત્રકની કાયદેસર સૂચનાઓનું પાલન કરવું પડશે.

જો તમે તમારા અધિકારનો ભંગ કરો છો અથવા પૂરતી સુરક્ષા જાળવવામાં નિષ્ફળ જાઓ છો, તો તમારે સીધી જવાબદારીનો સામનો કરવો પડશે.

ચોક્કસ સંજોગોમાં તમારી સંસ્થાના ડિરેક્ટરો અને અધિકારીઓ વ્યક્તિગત જવાબદારીનો સામનો કરી શકે છે.

નેધરલેન્ડ્સમાં NIS2 ડાયરેક્ટિવ અમલીકરણ હેઠળ, સાયબર સુરક્ષા શાસનમાં નિષ્ફળતાઓ માટે મેનેજમેન્ટને વ્યક્તિગત રીતે જવાબદાર ઠેરવી શકાય છે.

જો ગંભીર ઉલ્લંઘન થાય તો ડિરેક્ટર તરીકે સેવા આપવાથી સંભવિત ગેરલાયકાતનો આમાં સમાવેશ થાય છે.

સુરક્ષા ઘટનાઓ માટે તૃતીય-પક્ષ સેવા પ્રદાતાઓ પણ જવાબદારી સહન કરી શકે છે.

જો તમે ક્લાઉડ સેવાઓ , આઇટી સપોર્ટ અથવા અન્ય બાહ્ય પ્રદાતાઓ પર આધાર રાખતા હો, તો જ્યારે તેમની નિષ્ફળતા ભંગમાં ફાળો આપે છે ત્યારે તેઓ જવાબદારી શેર કરી શકે છે.

આ પ્રદાતાઓ સાથેના તમારા કરારોમાં સુરક્ષા જવાબદારીઓ અને જવાબદારીની શરતો સ્પષ્ટ રીતે વ્યાખ્યાયિત થવી જોઈએ.

ડચ ડેટા પ્રોટેક્શન ઓથોરિટી પ્રાથમિક અમલીકરણ સંસ્થા તરીકે સેવા આપે છે.

ઉલ્લંઘન માટે સીધી રીતે જવાબદાર ન હોવા છતાં, ઓથોરિટી ઘટનાઓની તપાસ કરે છે, સુધારાત્મક આદેશો જારી કરે છે અને પાલન ન કરતી સંસ્થાઓ પર વહીવટી દંડ લાદે છે.

ડચ ડેટા સુરક્ષા નિયમોનું પાલન ન કરવા બદલ સંસ્થાઓને કયા પરિણામોનો સામનો કરવો પડે છે?

તમારી સંસ્થાને €20 મિલિયન અથવા તમારા વૈશ્વિક વાર્ષિક ટર્નઓવરના 4%, જે રકમ વધારે હોય તે રકમ સુધી વહીવટી દંડનો સામનો કરવો પડી શકે છે. ડચ ડેટા પ્રોટેક્શન ઓથોરિટી ઉલ્લંઘનની પ્રકૃતિ, ગંભીરતા, અવધિ અને તપાસ દરમિયાન તમારા સહકારના આધારે દંડની રકમ નક્કી કરે છે.

નાણાકીય દંડ ઉપરાંત, ઓથોરિટી તમારા કામકાજમાં વિક્ષેપ પાડતા સુધારાત્મક પગલાં લાદી શકે છે. આ પગલાંમાં ડેટા પ્રોસેસિંગ પ્રવૃત્તિઓ પર કામચલાઉ પ્રતિબંધો, ચોક્કસ ઉલ્લંઘનોને સુધારવાના આદેશો અને ફરજિયાત ઓડિટનો સમાવેશ થાય છે.

જ્યાં સુધી તમે પાલન ન કરો ત્યાં સુધી તમારે અમુક વ્યવસાયિક પ્રવૃત્તિઓ સ્થગિત કરવાની જરૂર પડી શકે છે. પાલન ન કરવાથી તમારી સંસ્થાની પ્રતિષ્ઠાને નોંધપાત્ર નુકસાન થવાનું જોખમ રહેલું છે.

ડેટા ભંગ અને નિયમનકારી દંડની જાહેર જાહેરાત ગ્રાહકોના વિશ્વાસને નષ્ટ કરી શકે છે અને વ્યવસાયિક સંબંધોને નુકસાન પહોંચાડી શકે છે. ડચ ડેટા પ્રોટેક્શન ઓથોરિટી અમલીકરણના નિર્ણયો પ્રકાશિત કરે છે, જે જાહેર જનતા અને મીડિયા માટે સુલભ રહે છે.

તમને નુકસાન માટે વળતર મેળવવા માટે અસરગ્રસ્ત વ્યક્તિઓ તરફથી નાગરિક મુકદ્દમાનો સામનો કરવો પડી શકે છે. વ્યક્તિઓ ડેટા સુરક્ષા ઉલ્લંઘનના પરિણામે ભૌતિક અને બિન-ભૌતિક નુકસાનનો દાવો કરી શકે છે.

ડચ અદાલતોએ સીધા નાણાકીય નુકસાન વિના પણ, વ્યક્તિગત ડેટા પર તકલીફ અને નિયંત્રણ ગુમાવવાના દાવાઓને વધુને વધુ માન્યતા આપી છે. ગંભીર ઉલ્લંઘનો પછી તમારા વ્યવસાયની તકો પ્રતિબંધિત થઈ શકે છે.

કેટલાક ક્ષેત્રોને કરાર જાળવવા માટે સુરક્ષા પ્રમાણપત્રો અથવા પાલન રેકોર્ડની જરૂર પડે છે, ખાસ કરીને જ્યારે સરકારી સંસ્થાઓ અથવા નિયમન કરાયેલ ઉદ્યોગો સાથે વ્યવહાર કરવામાં આવે છે.

નેધરલેન્ડ્સમાં ડેટા ભંગ પછી અસરગ્રસ્ત વ્યક્તિઓ કઈ રીતે નિવારણ માંગી શકે છે?

જો તમને લાગે કે કોઈ સંસ્થાએ તમારા ડેટા સુરક્ષા અધિકારોનું ઉલ્લંઘન કર્યું છે, તો તમે ડચ ડેટા પ્રોટેક્શન ઓથોરિટીમાં ફરિયાદ નોંધાવી શકો છો. ઓથોરિટી ફરિયાદોની તપાસ કરે છે અને પાલન ન કરતી સંસ્થાઓ સામે કાર્યવાહી કરી શકે છે.

આ પ્રક્રિયામાં તમને કોઈ ખર્ચ થતો નથી અને કાનૂની પ્રતિનિધિત્વની જરૂર નથી. તમને જવાબદાર સંસ્થા સામે નાગરિક મુકદ્દમા ચલાવવાનો અધિકાર છે.

ડચ કાયદો તમને ડેટા સુરક્ષા ઉલ્લંઘનથી થતા ભૌતિક અને બિન-ભૌતિક બંને પ્રકારના નુકસાન માટે વળતરનો દાવો કરવાની મંજૂરી આપે છે. ભૌતિક નુકસાનમાં નાણાકીય નુકસાનનો સમાવેશ થાય છે, જ્યારે બિન-ભૌતિક નુકસાનમાં તકલીફ, ચિંતા અને તમારા વ્યક્તિગત ડેટા પર નિયંત્રણ ગુમાવવાનો સમાવેશ થાય છે.

ડચ વકીલો સામાન્ય રીતે નો-ક્યોર-નો-પે ધોરણે કામ ન કરી શકે, પરંતુ જો તમે લીગલ એઇડ બોર્ડ દ્વારા નિર્ધારિત આવક અને મૂડીના માપદંડોને પૂર્ણ કરો છો તો સબસિડીવાળી કાનૂની સહાય ઉપલબ્ધ છે.

વર્ગ કાર્યવાહીમાં માસ ડેમેજિસના નિવારણ કાયદા ( WAMCA ) હેઠળ સામૂહિક કાર્યવાહી ફાઉન્ડેશન અથવા સંગઠનને નિર્ધારિત જૂથ માટે દાવો લાવવાની મંજૂરી આપે છે, અને ડેટા ભંગ અંગે આવી ઘણી કાર્યવાહી ડચ કોર્ટમાં પહેલાથી જ છે. તમે કોર્ટમાં ગયા વિના સીધા સંસ્થા પાસેથી વળતર માંગી શકો છો.

ઘણી સંસ્થાઓ મુકદ્દમાના ખર્ચ અને નકારાત્મક પ્રચારથી બચવા માટે ખાનગી રીતે દાવાઓનું સમાધાન કરવાનું પસંદ કરે છે. જો સંસ્થાએ સ્પષ્ટપણે ડેટા સુરક્ષા નિયમોનું ઉલ્લંઘન કર્યું હોય અથવા જો ઉલ્લંઘનને કારણે નોંધપાત્ર નુકસાન થયું હોય તો તમારી વાટાઘાટોની સ્થિતિ મજબૂત બને છે.

જો ડેટા પ્રોસેસર્સ ભંગ માટે જવાબદાર હોય તો તમે તેમની સામે પણ દાવા કરી શકો છો. GDPR હેઠળ, નિયંત્રકો અને પ્રોસેસર્સ બંને નુકસાન માટે જવાબદાર હોઈ શકે છે.

જો બહુવિધ પક્ષોએ ભંગમાં ફાળો આપ્યો હોય, તો તમે કોઈપણ જવાબદાર પક્ષ પાસેથી સંપૂર્ણ રકમનો દાવો કરી શકો છો.