સાયબર હુમલાના ભોગ બનેલા લોકોના અધિકારો: સૂચના ફરજો, વળતર અને વીમો

ટોમ મીવિસ દ્વારા, એટર્ની ખાતે Law & More

રેન્સમવેર, ફિશિંગ, DDoS હુમલા અને કોમ્પ્યુટર ઘુસણખોરી જેવા સાયબર હુમલા ભાગ્યે જ ફક્ત હુમલા હેઠળની સંસ્થાને અસર કરે છે. સાયબર હુમલાના ભોગ બનેલા લોકોમાં ગ્રાહકો, કર્મચારીઓ, દર્દીઓ, સપ્લાયર્સ અને અન્ય સપ્લાય ચેઇન ભાગીદારોનો પણ સમાવેશ થાય છે જેમને નુકસાન થઈ શકે છે, અને તેમની કાનૂની સ્થિતિ જૂથથી જૂથમાં અલગ અલગ હોય છે. હુમલા પછી, કઈ જવાબદારીઓ લાગુ પડે છે અને કયા દાવાઓ અસ્તિત્વમાં છે તે સ્થાપિત કરવા માંગતા કોઈપણ વ્યક્તિ માટે સલાહ આપવામાં આવે છે કે તેઓ પહેલા નક્કી કરે કે કોને અસર થઈ છે અને શું નુકસાન થયું છે.

આ લેખ બદલામાં, પીડિત તરીકે કોણ લાયક ઠરે છે, ડેટા ભંગની જાણ ક્યારે કરવી જોઈએ, વળતરનો અધિકાર કઈ શરતો પર અસ્તિત્વમાં છે, કયા પક્ષો જવાબદાર હોઈ શકે છે, ફોજદારી કાયદો શું ભૂમિકા ભજવે છે, સાયબર વીમા પૉલિસી સામાન્ય રીતે શું આવરી લે છે અને હુમલા પછી તરત જ કયા પગલાં લેવા જોઈએ તે અંગે ચર્ચા કરે છે.

સાયબર હુમલાનો ભોગ કોણ બને છે?

સાયબર હુમલામાં ત્રણ જૂથોને ઓળખી શકાય છે.

• અસરગ્રસ્ત સંસ્થા પોતે, જે સિસ્ટમ ડાઉનટાઇમ, ટર્નઓવર ગુમાવવા, પુનઃપ્રાપ્તિ ખર્ચ, ફોરેન્સિક તપાસનો ખર્ચ અને પ્રતિષ્ઠાને નુકસાનનો સામનો કરે છે.
• કુદરતી વ્યક્તિઓ જેમનો વ્યક્તિગત ડેટા ખુલ્લો પડ્યો છે, જેમ કે ગ્રાહકો, કર્મચારીઓ અને દર્દીઓ. તેમને નાણાકીય નુકસાન થઈ શકે છે, પરંતુ તેમના ડેટા પર નિયંત્રણ ગુમાવવાથી, અનિશ્ચિતતા અથવા ઓળખ છેતરપિંડીના ભયથી બિન-ભૌતિક નુકસાન પણ થઈ શકે છે.
• કરાર અથવા સપ્લાય ચેઇન સંબંધ દ્વારા પ્રભાવિત તૃતીય પક્ષો, ઉદાહરણ તરીકે કારણ કે તેઓ એવા સપ્લાયર પર આધાર રાખે છે જેની સિસ્ટમ ખોરવાઈ ગઈ છે.

આ વર્ગીકરણ કાયદેસર રીતે સુસંગત છે. કોઈપણ દાવાનો આધાર, અને તે પક્ષ જેની સામે લાવી શકાય છે, તે પીડિતની સ્થિતિ પર આધાર રાખે છે. અસરગ્રસ્ત સંસ્થા સામાન્ય રીતે તેના IT સપ્લાયરને કરાર હેઠળ જવાબદાર ઠેરવશે, જ્યારે ડેટા વિષય GDPR દ્વારા પૂરી પાડવામાં આવતી જવાબદારી માટે સીધા સ્વતંત્ર આધાર પર આધાર રાખી શકે છે.

ડેટા ભંગની જાણ ક્યારે કરવી જોઈએ?

જ્યાં વ્યક્તિગત ડેટા સાયબર હુમલામાં સામેલ હોય, ત્યાં વ્યક્તિગત ડેટા ભંગ થયો છે કે કેમ અને સૂચના ફરજિયાત છે કે કેમ તેનું મૂલ્યાંકન કરવું આવશ્યક છે. કલમ 33 GDPR મુજબ, ઉલ્લંઘનની જાણ સુપરવાઇઝરી ઓથોરિટીને અનુચિત વિલંબ વિના અને જ્યાં શક્ય હોય ત્યાં, બત્તેર કલાકની અંદર કરવાની જરૂર છે, સિવાય કે ભંગથી કુદરતી વ્યક્તિઓના અધિકારો અને સ્વતંત્રતાઓ માટે જોખમ હોવાની શક્યતા ન હોય.

વધુમાં, કલમ 34 GDPR સંસ્થાને ડેટા વિષયોને પોતે જ જાણ કરવાની જરૂર પાડી શકે છે. આ જવાબદારી ત્યારે ઊભી થાય છે જ્યારે ઉલ્લંઘન તેમના અધિકારો અને સ્વતંત્રતાઓ માટે ઉચ્ચ જોખમમાં પરિણમવાની સંભાવના ધરાવે છે. જ્યાં યોગ્ય તકનીકી પગલાં જેમ કે એન્ક્રિપ્શન સ્થાને હોય, જ્યાં અનુગામી પગલાં ખાતરી કરે કે ઉચ્ચ જોખમ હવે સાકાર થશે નહીં, અથવા જ્યાં વ્યક્તિગત સંદેશાવ્યવહારમાં અપ્રમાણસર પ્રયાસનો સમાવેશ થશે ત્યાં સંદેશાવ્યવહારને અવગણી શકાય છે; તે છેલ્લા કિસ્સામાં જાહેર સંદેશાવ્યવહાર પૂરતો છે.

ડેટા વિષય માટે, વાતચીત ફક્ત ઔપચારિકતા કરતાં વધુ છે. તે તેમને પોતાના પગલાં લેવા સક્ષમ બનાવે છે, ઉદાહરણ તરીકે પાસવર્ડ બદલીને અથવા શંકાસ્પદ વ્યવહારો પર નજર રાખીને, અને વ્યવહારમાં તે ઘણીવાર વળતર માટેના કોઈપણ દાવાનો પ્રારંભિક બિંદુ હોય છે.

તેથી, સંસ્થાએ ફક્ત એ જ સ્થાપિત કરવું જોઈએ નહીં કે હુમલો થયો છે, પણ કયા ડેટાને અસર થઈ હતી, શું ડેટા ખરેખર બહાર કાઢવામાં આવ્યો હતો, અને તેનાથી કયા જોખમો ઉદ્ભવે છે તે પણ સ્થાપિત કરવું જોઈએ. આ હેતુ માટે સ્વતંત્ર ફોરેન્સિક તપાસ ઘણીવાર અનિવાર્ય હોય છે.

આ વાત સંસ્થા કરતાં પ્રોસેસર પર હુમલો થાય છે ત્યાં વધુ લાગુ પડે છે. બ્લાઉ રિસર્ચ અને નેબુ (રોટરડેમની ડિસ્ટ્રિક્ટ કોર્ટ, 6 એપ્રિલ 2023, ECLI:NL:RBROT:2023:2931) વચ્ચેની સારાંશ કાર્યવાહીમાં, વચગાળાના રાહત ન્યાયાધીશે ઠરાવ્યું હતું કે, પક્ષકારો વચ્ચે થયેલા ડેટા પ્રોસેસિંગ કરાર હેઠળ, નિયંત્રક હુમલા, તેના પરિણામો અને શરૂઆતમાં પૂરી પાડવામાં આવેલી માહિતી કરતાં વધુ માહિતી મેળવવા માટે હકદાર છે. પ્રોસેસરને સ્વતંત્ર ફોરેન્સિક તપાસ હાથ ધરવા અને સમયાંતરે રિપોર્ટ કરવાનો પણ આદેશ આપવામાં આવ્યો હતો. ચુકાદો દર્શાવે છે કે સારી રીતે તૈયાર કરાયેલ ડેટા પ્રોસેસિંગ કરાર વ્યવહારમાં ઘટના પછી સમયસર માહિતી મેળવવા માટે સૌથી મહત્વપૂર્ણ સાધન છે, કારણ કે નિયંત્રકને તેની પોતાની સૂચના ફરજો નિભાવવા માટે તે માહિતીની જરૂર હોય છે.

વળતરનો અધિકાર ક્યારે ઉદ્ભવે છે?

ડેટા વિષયો કલમ 82 GDPR હેઠળ નિયંત્રક અથવા પ્રોસેસર પાસેથી વળતરનો દાવો કરી શકે છે. જોકે, સાયબર હુમલો આપમેળે દાવો પેદા કરતો નથી. તે સાબિત કરવું આવશ્યક છે:

• GDPR નું ઉલ્લંઘન થયું છે;
• ખરેખર નુકસાન થયું છે; અને
• કે તે ઉલ્લંઘન અને તે નુકસાન વચ્ચે કારણભૂત જોડાણ છે.

ભૌતિક નુકસાનમાં નાણાકીય નુકસાન, પુનઃપ્રાપ્તિ ખર્ચ અથવા ઓળખ છેતરપિંડીને કારણે થયેલ નુકસાનનો સમાવેશ થઈ શકે છે. બિન-ભૌતિક નુકસાન અંગે, યુરોપિયન યુનિયનની ન્યાયાલયે Österreichische Post (CJEU 4 મે 2023, C-300/21) માં ચુકાદો આપ્યો કે ગંભીરતાની કોઈ લઘુત્તમ મર્યાદા નથી, પરંતુ GDPR નું ઉલ્લંઘન જ એવોર્ડ માટે પૂરતું નથી.

સાયબર હુમલા પછી ડેટા ભંગ માટે ખાસ સુસંગતતા રાષ્ટ્રીય એજન્ટો (CJEU 14 ડિસેમ્બર 2023, C-340/21) છે. ત્યાં કોર્ટે ઠરાવ્યું હતું કે લીક થયેલા વ્યક્તિગત ડેટાના ભવિષ્યમાં સંભવિત દુરુપયોગનો ભય પોતે જ બિન-ભૌતિક નુકસાનનું કારણ બની શકે છે. જોકે, ડેટા વિષયે તે ભય અને તેના પરિણામોને નક્કર રીતે સાબિત કરવું જોઈએ; ફક્ત એ હકીકત તરફ ધ્યાન દોરવું પૂરતું નથી કે ડેટા લીક થયો છે. તે જ ચુકાદામાં કોર્ટે પુષ્ટિ આપી હતી કે નિયંત્રકનું કામ એ સાબિત કરવું છે કે લેવામાં આવેલા સુરક્ષા પગલાં યોગ્ય હતા, અને તૃતીય પક્ષ દ્વારા હુમલો પોતે જ નિયંત્રકને જવાબદારીમાંથી મુક્તિ આપતો નથી.

GDPR હેઠળ જવાબદારી કરાર ભંગ અને અપરાધના નાગરિક કાયદાના આધારો સાથે અસ્તિત્વમાં છે. ડચ નાગરિક સંહિતાના કલમ 6:162(1) હેઠળ, ગેરકાયદેસર કૃત્ય કરનાર પક્ષે થયેલા નુકસાનની ભરપાઈ કરવી આવશ્યક છે. કલમ 6:163 ની સાપેક્ષતાની આવશ્યકતા લાગુ પડે છે: ઉલ્લંઘન કરાયેલ ધોરણ ઘાયલ પક્ષને જે પ્રકારના નુકસાન થયું છે તેનાથી રક્ષણ આપવા માટે સેવા આપવી જોઈએ.

મહત્વપૂર્ણ રીતે, કલમ 82 GDPR આ આધારો સાથે અસ્તિત્વમાં છે. તેથી, ડેટા વિષય ફક્ત કરારના ભંગ અથવા અપરાધ પર દાવો શોધવા માટે બંધાયેલો નથી, પરંતુ GDPR દ્વારા પૂરી પાડવામાં આવતી જવાબદારી માટે તે સીધા સ્વતંત્ર આધાર પર આધાર રાખી શકે છે. અસરગ્રસ્ત સંગઠન માટે, આધારોના આ સંયોજનનો અર્થ એ છે કે હુમલા પછી એક જ સમયે અનેક પક્ષો દાવાઓ લાવી શકે છે.

કોણ જવાબદાર હોઈ શકે?

અસરગ્રસ્ત સંસ્થા તેના કરારની જવાબદારીઓ પૂર્ણ કરવામાં નિષ્ફળ જાય અથવા અપૂરતા સુરક્ષા પગલાં લીધા હોય તો તે જવાબદાર હોઈ શકે છે. IT સેવા પ્રદાતા અથવા પ્રોસેસરને પણ જવાબદાર ઠેરવી શકાય છે. તે સેવા પ્રદાતા પાસેથી શું અપેક્ષા રાખી શકાય તે સૌ પ્રથમ કરાર દ્વારા નક્કી કરવામાં આવે છે.

પ્રોસેસિંગ સંબંધમાં ડેટા પ્રોસેસિંગ કરાર એક મુખ્ય ભૂમિકા ભજવે છે. કલમ 28 GDPR મુજબ નિયંત્રક અને પ્રોસેસર વચ્ચે સુરક્ષા પગલાં અને ડેટા ભંગના સંચાલન સહિતનો કરાર કરવો જરૂરી છે. જ્યાં પ્રોસેસર પર અપૂરતી સુરક્ષાને કારણે હુમલો થાય છે, ત્યાં નિયંત્રક તે કરાર હેઠળ પરિણામી નુકસાન માટે પ્રોસેસરને જવાબદાર ઠેરવી શકે છે.

હોફ વાન ટ્વેન્ટે નગરપાલિકા પર થયેલા સાયબર હુમલા અંગેના કેસમાંથી આ સ્પષ્ટ થાય છે (ઓવરજસેલ જિલ્લા અદાલત, 10 મે 2023, ECLI:NL:RBOVE:2023:1731). પક્ષકારો સુરક્ષા દેખરેખ નહીં, પરંતુ કાર્યાત્મક દેખરેખ પર સંમત થયા હતા. કોર્ટે ઠરાવ્યું કે IT સંચાલકની સંભાળની ફરજ એટલી હદ સુધી વિસ્તરતી નથી કે સુરક્ષા દેખરેખ કાર્યાત્મક દેખરેખ માટે સોંપણીનો એક ગુપ્ત ભાગ બને, અને નગરપાલિકાના દાવાને ફગાવી દીધો. તેણે એ પણ ભાર મૂક્યો કે નગરપાલિકાએ પોતે જ એવા નિર્ણયો લીધા છે જેનાથી જોખમ વધ્યું છે, જેમાં તેની પાસવર્ડ નીતિ અને RDP પોર્ટ ખોલવાનો સમાવેશ થાય છે.

આ પ્રતિબિંબ ઓ'ક્લાયન્સ કેસ (જિલ્લા કોર્ટ ઓફ Amsterdam, ૧૪ નવેમ્બર ૨૦૧૮, ECLI:NL:RBAMS:૨૦૧૮:૧૦૧૨૪). ત્યાં સપ્લાયરે સંપૂર્ણ IT ઇન્ફ્રાસ્ટ્રક્ચર સ્થાપિત કર્યું હતું અને તેનું સંચાલન સંભાળી લીધું હતું. રેન્સમવેર હુમલા બાદ, જેમાં બેકઅપ્સ પણ એન્ક્રિપ્ટેડ હતા, કોર્ટે ઠરાવ્યું કે આવા કુલ પેકેજના સપ્લાયમાં કાળજીની દૂરગામી ફરજ હતી અને સીધા પગલાં અવગણવામાં આવ્યા હતા. જોકે, સંપૂર્ણ જવાબદારી આપવામાં આવી ન હતી: ગ્રાહકના ફાળો આપનાર દોષને કારણે, નુકસાનનો બે તૃતીયાંશ ભાગ સપ્લાયરના ખાતામાં રહ્યો.

યોગ્ય સુરક્ષા પર પુરાવાનો બોજ કેટલો ભારે હોઈ શકે છે તે કાર ડીલરના હેક થયેલા ઇમેઇલ એકાઉન્ટના કિસ્સા દ્વારા દર્શાવવામાં આવ્યું છે. 5 નવેમ્બર 2024 ના વચગાળાના ચુકાદામાં (આર્નેહેમ-લીયુવર્ડનની અપીલ કોર્ટ, ECLI:NL:GHARL:2024:6812) ડીલરને સાબિત કરવાની તક આપવામાં આવી હતી કે તેનું ઇમેઇલ એકાઉન્ટ GDPR ના અર્થમાં યોગ્ય રીતે સુરક્ષિત કરવામાં આવ્યું હતું, કારણ કે એક હેકરે ખરીદનારને ખોટી ચુકવણી સૂચના મોકલવા માટે તે એકાઉન્ટનો ઉપયોગ કર્યો હતો. 22 જુલાઈ 2025 ના રોજ (ECLI:NL:GHARL:2025:4556) ના ફોલો-અપ ચુકાદામાં કોર્ટે શોધી કાઢ્યું કે આ પુરાવા પહોંચાડવામાં આવ્યા નથી, જેના પછી પક્ષકારોએ ખરીદનારના ફાળો આપનાર દોષને સંબોધવાનો બાકી હતો. તેથી બંને ચુકાદાઓ સમાન કાર્યવાહીને લગતા છે.

સામાન્ય મુદ્દો એ છે કે કરારની ગોઠવણો, પ્રક્રિયાના જોખમો, ખરેખર લેવામાં આવેલા પગલાં, બંને પક્ષો દ્વારા આપવામાં આવેલી ચેતવણીઓ અને ઘાયલ પક્ષનું પોતાનું વર્તન, બધું જ મહત્વપૂર્ણ છે. નાગરિક જવાબદારી ઉપરાંત, ડચ ડેટા પ્રોટેક્શન ઓથોરિટી 20 મિલિયન EUR અથવા વિશ્વભરમાં વાર્ષિક ટર્નઓવરના 4 ટકા, જે પણ વધારે હોય તે વહીવટી દંડ લાદી શકે છે. તે દંડ વ્યક્તિગત ડેટા વિષયોને નુકસાન થયું છે કે નહીં તેનાથી સ્વતંત્ર છે.

ફોજદારી કાયદાનો માર્ગ

સાયબર હુમલો પણ ફોજદારી ગુનો બની શકે છે, જેમ કે કમ્પ્યુટર ઘૂસણખોરી, ડેટાને અપ્રાપ્ય બનાવવો અથવા બિન-જાહેર ડેટાનો ઉપયોગ કરવો. ડચ ક્રિમિનલ કોડની કલમ 138ab(1) ઇરાદાપૂર્વક અને ગેરકાયદેસર રીતે ઓટોમેટેડ સિસ્ટમમાં પ્રવેશ મેળવવાને ગુનો બનાવે છે.

પીડિતો પોલીસને ગુનાની જાણ કરી શકે છે, જેમાં વિશેષ સાયબર ક્રાઇમ ટીમો છે. જ્યાં શંકાસ્પદ વ્યક્તિ પર કાર્યવાહી કરવામાં આવે છે, ત્યાં પીડિત ઘાયલ પક્ષ તરીકે ફોજદારી કાર્યવાહીમાં જોડાઈ શકે છે અને ત્યાં વળતરનો દાવો કરી શકે છે. આ માર્ગ અલગ સિવિલ કાર્યવાહી ટાળે છે, પરંતુ પરિણામ શોધ, કાર્યવાહી અને પુરાવા પર આધાર રાખે છે, જે આંતરરાષ્ટ્રીય સ્તરે કાર્યરત ગુનેગારો સાથે વારંવાર કોઈ પરિણામ આપતું નથી. સંસ્થાઓ માટે, રિપોર્ટિંગ ઘણીવાર વ્યવહારુ જરૂરિયાત પણ હોય છે, કારણ કે વીમા કંપનીઓ અને સપ્લાય ચેઇન ભાગીદારો તેની માંગ કરે છે.

સાયબર વીમો શું આવરી લે છે?

સાયબર વીમા પૉલિસી અન્ય બાબતોની સાથે, આ માટે કવર પૂરું પાડી શકે છે:

• ઘટના પ્રતિભાવ અને ફોરેન્સિક તપાસ;
• સિસ્ટમો અને ડેટાની પુનઃસ્થાપના;
• વ્યવસાયમાં વિક્ષેપ, નુકસાન અને ટર્નઓવરમાં ઘટાડો;
• કટોકટી સંદેશાવ્યવહાર;
• તૃતીય પક્ષો પ્રત્યે જવાબદારી;
• કાનૂની ખર્ચ; અને
• કેટલાક કિસ્સાઓમાં દંડ, સમાધાન ચુકવણી અથવા ખંડણી, લાગુ કાયદા હેઠળ વીમાપાત્ર હદ સુધી.

ચોક્કસ કવર પોલિસી પર આધાર રાખે છે. બાકાત, સુરક્ષા શરતો, સૂચના અવધિ, કપાતપાત્ર અને નિષ્ણાતોને જોડવાની આવશ્યકતાઓ પર ધ્યાન આપો. ડચ નાગરિક સંહિતાના કલમ 7:957(1) પણ વીમાધારક પક્ષને નુકસાન અટકાવવા અથવા મર્યાદિત કરવા માટે વાજબી પગલાં લેવાની ફરજ પાડે છે. જ્યાં બચાવની તે ફરજનું પાલન કરવામાં આવતું નથી, ત્યાં વીમાદાતા ચુકવણી ઘટાડી શકે છે.

તેથી, સાયબર વીમા કંપનીને શક્ય તેટલી વહેલી તકે જાણ કરવી જોઈએ. વીમા કંપનીની સંમતિ વિના બાહ્ય નિષ્ણાતોને સામેલ કરવાથી અથવા ખંડણી ચૂકવવાથી કવરેજ પર અસર પડી શકે છે.

સાયબર એટેક પછી તરત જ શું કરવું જોઈએ?

• ઘટના અને બધી સંબંધિત ક્રિયાઓ કાળજીપૂર્વક રેકોર્ડ કરો.
• પુરાવા ગુમાવ્યા વિના અસરગ્રસ્ત સિસ્ટમોને અલગ કરો.
• ફોરેન્સિક નિષ્ણાતને રોકો.
• કોઈ નોંધનીય ડેટા ભંગ થયો છે કે કેમ તેનું મૂલ્યાંકન કરો.
• ડેટા વિષયોને જાણ કરવી જોઈએ કે કેમ તેનું મૂલ્યાંકન કરો.
• ગુનાની જાણ પોલીસને કરો.
• તમારા સાયબર વીમા કંપનીને ઘટનાની જાણ કરો.
• લોગ, બેકઅપ, ઇમેઇલ અને અન્ય સંબંધિત ડેટા સાચવો.
• નુકસાન અને સંભવિત જવાબદાર પક્ષોનો નકશો બનાવો.
• ગ્રાહકો, કર્મચારીઓ અને સપ્લાય ચેઇન ભાગીદારોને કાળજીપૂર્વક અને યોગ્ય સમયે જાણ કરો.

તેથી સાયબર હુમલો ફક્ત તકનીકી ઘટના નથી. તે ડેટા સુરક્ષા, નાગરિક કાયદો, ફોજદારી કાયદો અને વીમા કાયદાનો પણ વિષય છે. ઝડપી અને સારી રીતે દસ્તાવેજીકૃત પ્રતિભાવ માત્ર નુકસાનને મર્યાદિત કરતું નથી, પરંતુ સૂચનાઓ, વીમા કવર અને કોઈપણ કાર્યવાહીમાં તમારી પુરાવાત્મક સ્થિતિ માટે નિર્ણાયક છે.

બંધ માં

સાયબર હુમલા પછીના અધિકારો અને જવાબદારીઓ કાયદાના અનેક ક્ષેત્રોમાં ફેલાયેલા છે, અને કેસનું પરિણામ ચોક્કસ તથ્યો, કરારની સામગ્રી અને રેકોર્ડની ગુણવત્તા પર ખૂબ આધાર રાખે છે. ચર્ચા કરાયેલ કેસ કાયદો દર્શાવે છે કે સપ્લાયર અને ગ્રાહક બંનેનો નિર્ણય તેમના પોતાના વર્તન પર કરવામાં આવે છે, અને બાત્તેર કલાકની સૂચના અવધિ જેવી સમયમર્યાદા વિલંબ માટે બહુ ઓછી જગ્યા છોડે છે.

Law & More સાયબર ઘટનાઓના કાનૂની સંચાલનમાં સંસ્થાઓ અને ડેટા વિષયોને સહાય કરે છે: સૂચના ફરજોનું મૂલ્યાંકન કરવાથી લઈને અને ડેટા પ્રોસેસિંગ કરારોની સમીક્ષા કરવાથી લઈને જવાબદારી સ્થાપિત કરવા, વીમા સમસ્યાઓ અને નુકસાનની વસૂલાત સુધી. શું તમે સાયબર હુમલા અથવા ડેટા ભંગનો સામનો કરી રહ્યા છો, અથવા શું તમે ઈચ્છો છો કે અમારા દ્વારા આ જોખમો સામે તમારા કરારોની અગાઉથી સમીક્ષા કરવામાં આવે. આઇટી કાયદો ટીમ? કૃપા કરીને નિઃસંકોચ સંપર્ક Law & More તમારી પરિસ્થિતિની કોઈ જવાબદારી વિના ચર્ચા માટે.

વારંવાર પૂછાતા પ્રશ્નો

નીચે આપણે આ વિષય પર સૌથી વધુ પૂછાતા પ્રશ્નોના જવાબ આપીએ છીએ.

સાયબર હુમલાનો ભોગ કોણ બને છે?

ત્રણ સ્તરો છે. પ્રથમ, અસરગ્રસ્ત સંસ્થા પોતે, જે સિસ્ટમ ડાઉનટાઇમ, ટર્નઓવર ગુમાવ્યો, પુનઃપ્રાપ્તિ ખર્ચ, ફોરેન્સિક તપાસનો ખર્ચ અને પ્રતિષ્ઠાને નુકસાન સહન કરે છે. બીજું, ડેટા વિષયો, કુદરતી વ્યક્તિઓ જેમનો વ્યક્તિગત ડેટા ખુલ્લો પડ્યો છે, જેમ કે ગ્રાહકો, કર્મચારીઓ અને દર્દીઓ. ત્રીજું, કરાર અથવા સપ્લાય ચેઇન સંબંધ દ્વારા નુકસાન સહન કરતા તૃતીય પક્ષો, ઉદાહરણ તરીકે કારણ કે તેઓ સપ્લાયર પર આધાર રાખે છે જે નીચે ગયો છે. તે વર્ગીકરણ નક્કી કરે છે કે પક્ષ કયા આધારે દાવો કરી શકે છે અને કોની સામે.

ડેટા ભંગની જાણ મારે કેટલા સમયગાળામાં કરવી જોઈએ?

કલમ 33 GDPR મુજબ, ઉલ્લંઘનની જાણ થયાના બાવન કલાકની અંદર અને જ્યાં શક્ય હોય ત્યાં, સુપરવાઇઝરી ઓથોરિટીને અનુચિત વિલંબ વિના સૂચના આપવી જરૂરી છે. જ્યાં ઉલ્લંઘનથી કુદરતી વ્યક્તિઓના અધિકારો અને સ્વતંત્રતાઓ માટે જોખમ થવાની શક્યતા ન હોય ત્યાં આ ફરજ લાગુ પડતી નથી. તે મૂલ્યાંકનમાં ઉલ્લંઘનની પ્રકૃતિ, અસરગ્રસ્ત ડેટાની શ્રેણીઓ અને સંભવિત પરિણામોનું વિશ્લેષણ કરવાની જરૂર છે.

મારે ડેટા વિષયોને ક્યારે જાણ કરવી જોઈએ?

કલમ 34 GDPR હેઠળ, જ્યાં ઉલ્લંઘનથી ડેટા વિષયોના અધિકારો અને સ્વતંત્રતાઓ માટે ઉચ્ચ જોખમ હોવાની સંભાવના છે. જ્યાં એન્ક્રિપ્શન જેવા યોગ્ય તકનીકી પગલાં અમલમાં હતા, જ્યાં અનુગામી પગલાં ખાતરી કરે છે કે ઉચ્ચ જોખમ હવે સાકાર થશે નહીં, અથવા જ્યાં વ્યક્તિગત સંદેશાવ્યવહારમાં અપ્રમાણસર પ્રયાસનો સમાવેશ થશે ત્યાં સંદેશાવ્યવહારને અવગણી શકાય છે. તે છેલ્લા કિસ્સામાં, જાહેર સંદેશાવ્યવહાર પૂરતો છે.

શું હું એવા સપ્લાયર પાસેથી માહિતી મજબૂર કરી શકું છું જે હેક થઈ ગયો હોય?

હા, જ્યાં ડેટા પ્રોસેસિંગ કરારમાં આની જોગવાઈ હોય. બ્લાઉ રિસર્ચ અને નેબુ (રોટરડેમની ડિસ્ટ્રિક્ટ કોર્ટ, 6 એપ્રિલ 2023, ECLI:NL:RBROT:2023:2931) વચ્ચેની સારાંશ કાર્યવાહીમાં, વચગાળાના રાહત ન્યાયાધીશે ઠરાવ્યું કે ડેટા પ્રોસેસિંગ કરાર હેઠળ નિયંત્રક હુમલા, તેના પરિણામો અને પૂરી પાડવામાં આવેલી માહિતી કરતાં વધુ માહિતી મેળવવાનો હકદાર છે, અને પ્રોસેસરને સ્વતંત્ર ફોરેન્સિક તપાસ કરાવવા અને સમયાંતરે રિપોર્ટ કરવાનો આદેશ આપ્યો. તે માહિતી તમારી પોતાની સૂચના ફરજો નિભાવવા માટે જરૂરી છે.

ડેટા વિષય તરીકે, શું હું ડેટા ભંગ પછી આપમેળે વળતર મેળવવા માટે હકદાર છું?

ના. કલમ 82 GDPR એક સ્વતંત્ર આધાર પૂરો પાડે છે, પરંતુ તમારે એ સાબિત કરવું આવશ્યક છે કે GDPRનું ઉલ્લંઘન થયું છે, તમને ખરેખર નુકસાન થયું છે, અને ઉલ્લંઘન અને તે નુકસાન વચ્ચે કારણભૂત જોડાણ છે. પુરાવાનો ભાર દાવેદાર પર રહે છે.

શું ઓળખ છેતરપિંડીનો ભય બિન-ભૌતિક નુકસાન તરીકે લાયક ઠરે છે?

તે શક્ય છે. રાષ્ટ્રીય એજન્સીઓ ઝા પ્રિહોડિટ (CJEU 14 ડિસેમ્બર 2023, C-340/21) માં ન્યાયાલયે ઠરાવ્યું હતું કે લીક થયેલા વ્યક્તિગત ડેટાના ભવિષ્યમાં દુરુપયોગનો ભય પોતે જ બિન-ભૌતિક નુકસાનનું કારણ બની શકે છે. જોકે, ડેટા વિષયે તે ભય અને તેના પરિણામોને નક્કર રીતે સાબિત કરવા જોઈએ. Österreichische Post (CJEU 4 મે 2023, C-300/21) ઉમેરે છે કે ગંભીરતાની કોઈ લઘુત્તમ મર્યાદા નથી, પરંતુ ફક્ત GDPR નું ઉલ્લંઘન પૂરતું નથી.

સુરક્ષા પગલાં યોગ્ય હતા તે કોણે સાબિત કરવું પડશે?

નિયંત્રક. C-340/21 માં ન્યાયાલયે પુષ્ટિ આપી કે નિયંત્રકનું કામ એ દર્શાવવાનું છે કે લેવામાં આવેલા સુરક્ષા પગલાં યોગ્ય હતા, અને તૃતીય પક્ષ દ્વારા હુમલો થવાથી તે જવાબદારીમાંથી મુક્તિ મેળવતો નથી. નેધરલેન્ડ્સમાં આ એક કાર ડીલરના હેક થયેલા ઇમેઇલ એકાઉન્ટના કિસ્સામાં બન્યું, જ્યાં આર્ન્હેમ-લીયુવર્ડનની અપીલ કોર્ટે પહેલા ડીલરને તે પુરાવો (ECLI:NL:GHARL:2024:6812) રજૂ કરવાની તક આપી અને પછી એવું ઠરાવ્યું કે તે રજૂ કરવામાં આવ્યું નથી (ECLI:NL:GHARL:2025:4556).

જો મારો IT સપ્લાયર હુમલો શોધી ન શકે તો શું તે જવાબદાર છે?

તે શું સંમત થયું તેના પર આધાર રાખે છે. હોફ વાન ટ્વેન્ટે નગરપાલિકા પર સાયબર હુમલા અંગેના કેસમાં (ઓવરજસેલ જિલ્લા અદાલત, 10 મે 2023, ECLI:NL:RBOVE:2023:1731) પક્ષકારોએ સુરક્ષા દેખરેખ નહીં, પરંતુ કાર્યાત્મક દેખરેખ પર સંમતિ આપી હતી. કોર્ટે ઠરાવ્યું કે IT સંચાલકની સંભાળની ફરજ એટલી હદ સુધી વિસ્તરતી નથી કે સુરક્ષા દેખરેખ તેનો એક ગુપ્ત ભાગ બને, અને દાવાને ફગાવી દીધો. જ્યાં વ્યાપક કુલ પેકેજ પૂરું પાડવામાં આવે છે, ત્યાં સંભાળની ફરજ દૂરગામી હોઈ શકે છે, જેમ કે O'Cliance (જિલ્લા અદાલત ઓફ Amsterdam, ૧૪ નવેમ્બર ૨૦૧૮, ECLI:NL:RBAMS:2018:10124), જ્યાં સપ્લાયરને બે તૃતીયાંશ નુકસાન માટે જવાબદાર ઠેરવવામાં આવ્યો હતો.

શું મારા પોતાના વર્તનથી વળતર ઘટાડી શકાય છે?

હા. આ કિસ્સાઓમાં કોન્ટ્રિબ્યુટરી ફોલ્ટ વારંવાર ભૂમિકા ભજવે છે. ઓ'ક્લાયન્સમાં ગ્રાહકના ખાતામાં નુકસાનનો ત્રીજો ભાગ રહેતો હતો, અને હેક થયેલા ઇમેઇલ એકાઉન્ટના કિસ્સામાં પક્ષકારોએ ખરીદનારના કોન્ટ્રિબ્યુટરી ફોલ્ટને સંબોધિત કરવાની જરૂર હતી. તેથી, તમારી પોતાની પાસવર્ડ નીતિ, ખુલ્લા છોડી દેવામાં આવેલા પોર્ટ્સ અથવા અવગણવામાં આવેલી ચેતવણીઓ સીધા પરિણામમાં ફીડ કરી શકે છે.

ડેટા પ્રોટેક્શન ઓથોરિટી કયા દંડ લાદી શકે છે?

GDPR ના ઉલ્લંઘન માટે સુપરવાઇઝરી ઓથોરિટી 20 મિલિયન EUR અથવા વિશ્વભરમાં વાર્ષિક ટર્નઓવરના 4 ટકા, જે વધારે હોય તે વહીવટી દંડ લાદી શકે છે. આ દંડ વ્યક્તિગત ડેટા વિષયોને ખરેખર નુકસાન થયું છે કે કેમ તેનાથી સ્વતંત્ર છે અને તેથી નાગરિક જવાબદારીની સાથે એક અલગ જોખમનું પ્રતિનિધિત્વ કરે છે.

શું હું ગુનાની જાણ કરી શકું છું અને ફોજદારી કાર્યવાહી દ્વારા મારા નુકસાનનો દાવો કરી શકું છું?

હા. ડચ ક્રિમિનલ કોડની કલમ 138ab(1) મુજબ ઇરાદાપૂર્વક અને ગેરકાયદેસર રીતે ઓટોમેટેડ સિસ્ટમનો ઉપયોગ કરવો ગુનો બને છે. તમે પોલીસને ગુનાની જાણ કરી શકો છો અને જ્યાં શંકાસ્પદ વ્યક્તિ પર કાર્યવાહી કરવામાં આવે છે, ત્યાં વળતરનો દાવો કરવા માટે ઘાયલ પક્ષ તરીકે ફોજદારી કાર્યવાહીમાં જોડાઈ શકો છો. પરિણામ શોધ, કાર્યવાહી અને પુરાવા પર આધાર રાખે છે, જે આંતરરાષ્ટ્રીય સ્તરે કાર્યરત ગુનેગારો સાથે ઘણીવાર કોઈ પરિણામ આપતું નથી.

સાયબર વીમો સામાન્ય રીતે શું આવરી લે છે?

સામાન્ય રીતે ઘટના પ્રતિભાવ અને ફોરેન્સિક તપાસ, સિસ્ટમ્સ અને ડેટાની પુનઃસ્થાપના, વ્યવસાયમાં વિક્ષેપ નુકસાન અને ખોવાયેલો ટર્નઓવર, કટોકટી સંદેશાવ્યવહાર, તૃતીય પક્ષો પ્રત્યે જવાબદારી અને કાનૂની ખર્ચ, અને કેટલાક કિસ્સાઓમાં દંડ, સમાધાન ચુકવણીઓ અથવા લાગુ કાયદા હેઠળ વીમાપાત્ર હદ સુધી ખંડણી. બાકાત, સુરક્ષા શરતો, સૂચના સમયગાળા અને કપાતપાત્ર બાબતો પર નજર રાખો અને ઘટના બને તે પહેલાં નીતિની સમીક્ષા કરો.

શું હુમલા પછી ખોટી રીતે વર્તવાથી હું આત્મવિશ્વાસ ગુમાવી શકું છું?

તે શક્ય છે. ડચ નાગરિક સંહિતાના કલમ 7:957(1) વીમાધારક પક્ષને નુકસાન અટકાવવા અથવા મર્યાદિત કરવા માટે વાજબી પગલાં લેવાની ફરજ પાડે છે; જ્યાં બચાવની ફરજનું પાલન કરવામાં આવતું નથી, ત્યાં વીમાદાતા ચૂકવણી ઘટાડી શકે છે. બાહ્ય નિષ્ણાતોને સામેલ કરવાથી અથવા વીમાદાતાની સંમતિ વિના ખંડણી ચૂકવવાથી પણ કવરેજ પર અસર પડી શકે છે. શક્ય તેટલી વહેલી તકે તમારા વીમાદાતાને જાણ કરો.

સાયબર એટેક પછી તરત જ મારે કયા પગલાં લેવા જોઈએ?

ઘટના અને લેવામાં આવેલી બધી કાર્યવાહી રેકોર્ડ કરો, પુરાવા ગુમાવ્યા વિના અસરગ્રસ્ત સિસ્ટમોને અલગ કરો અને ફોરેન્સિક નિષ્ણાતનો સંપર્ક કરો. પછી મૂલ્યાંકન કરો કે શું કોઈ નોંધનીય ડેટા ભંગ થયો છે અને શું ડેટા વિષયોને જાણ કરવી આવશ્યક છે. ગુનાની જાણ કરો, તમારા સાયબર વીમાદાતાને સૂચિત કરો, લોગ, બેકઅપ અને પત્રવ્યવહાર સાચવો, નુકસાન અને સંભવિત જવાબદાર પક્ષોનો નકશો બનાવો, અને ગ્રાહકો, કર્મચારીઓ અને સપ્લાય ચેઇન ભાગીદારોને કાળજીપૂર્વક અને યોગ્ય સમયે જાણ કરો.