Ofre for cyberangreb: anmeldelsespligt, erstatning og forsikring

Efter et cyberangreb skal den ramte organisation inden for 72 timer vurdere, om den skal anmelde et brud på persondatasikkerheden til den hollandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens) i henhold til artikel 33 i den generelle forordning om databeskyttelse (GDPR). Personer, hvis data er lækket, kan kræve erstatning i henhold til artikel 82 i GDPR, men kun hvis de kan påvise en krænkelse, faktisk skade og en årsagssammenhæng; en lækage alene er ikke nok.

Hvem der kan kræve erstatning fra hvem, afhænger af din stilling. Den organisation, der blev ramt, henvender sig normalt til sin IT-leverandør i henhold til kontrakten, mens kunder, medarbejdere og patienter kan støtte sig direkte til GDPR. Denne artikel forklarer underretningspligten, retten til erstatning, leverandørernes ansvar, den strafferetlige vej og cyberforsikringens rolle.

Hvem tæller som offer for et cyberangreb?

Der er tre grupper af ofre, og hver har et forskelligt retsgrundlag for et krav. Den gruppe, du tilhører, afgør, om du påberåber dig en kontrakt, en erstatningsretlig handling i henhold til artikel 6:162 i den hollandske borgerlige lovbog (BW) eller artikel 82 i GDPR.

• Den organisation, der blev ramt: systemnedetid, tabt omsætning, genopretningsomkostninger, retsmedicinsk undersøgelse og omdømmeskade.
• Registrerede: kunder, medarbejdere eller patienter, hvis personoplysninger er blevet eksponeret, med økonomisk tab eller ikke-materielle skader, såsom frygt for identitetssvindel.
• Tredjeparter i forsyningskæden: virksomheder, der er afhængige af en leverandør, hvis systemer er gået ned.

Hvornår skal man anmelde et databrud?

Du skal anmelde et brud på persondatasikkerheden til den hollandske databeskyttelsesmyndighed uden unødig forsinkelse og, hvor det er muligt, inden for 72 timer efter, at du er blevet opmærksom på det. Den eneste undtagelse i henhold til artikel 33 i GDPR er et brud, der sandsynligvis ikke vil medføre en risiko for fysiske personers rettigheder og friheder.

Artikel 34 i GDPR tilføjer en anden pligt: ​​Du skal selv informere de registrerede, hvis bruddet sandsynligvis vil medføre en høj risiko for dem. Du kan springe dette over, hvis dataene blev krypteret, hvis senere foranstaltninger fjerner den høje risiko, eller hvis individuelle meddelelser ville kræve en uforholdsmæssig stor indsats; i sidstnævnte tilfælde kræves der i stedet en offentlig meddelelse.

For at kunne foretage disse vurderinger skal du vide, hvilke data der blev påvirket, og om de rent faktisk blev taget. En uafhængig retsmedicinsk undersøgelse giver normalt dette svar. Hvis angrebet ramte din processor i stedet for dine egne systemer, er du afhængig af processoren for at få disse oplysninger.

Kan du tvinge en hacket leverandør til at give dig oplysninger?

Ja, hvis din databehandleraftale indeholder bestemmelser om det. I sagen Blauw Research v. Nebu (Rotterdams byret, 6. april 2023, ECLI:NL:RBROT:2023:2931) beordrede den midlertidige dommer (voorzieningenrechter) den hackede databehandler til at fremlægge alle tilgængelige oplysninger inden for to arbejdsdage og iværksætte en uafhængig retsmedicinsk undersøgelse inden for fem arbejdsdage, under en bøde på €25,000 pr. dag.

Dommeren baserede disse kendelser på hændelsesklausulen i databehandleraftalen . Artikel 28 i GDPR kræver, at enhver dataansvarlig og databehandler indgår en sådan aftale, så kvaliteten af ​​denne klausul afgør direkte, hvor hurtigt du får de oplysninger, du har brug for til dine egne underretninger.

Hvornår har du ret til erstatning?

I henhold til artikel 82(1) i GDPR kan enhver, der lider materiel eller immateriel skade som følge af en overtrædelse af GDPR, kræve erstatning fra den dataansvarlige eller databehandleren. Du skal påvise tre ting: en overtrædelse, faktisk skade og en årsagssammenhæng mellem de to.

Materiel skade omfatter økonomisk tab, omkostninger til inddrivelse og tab forårsaget af identitetssvindel. For ikke-økonomisk skade fastslog Den Europæiske Unions Domstol i Österreichische Post (4. maj 2023, C-300/21), at der ikke er nogen tærskel for alvorlighed, men at en overtrædelse i sig selv ikke giver ret til erstatning.

I sagen Natsionalna agentsia za prihodite (14. december 2023, C-340/21) tilføjede Domstolen, at frygt for fremtidig misbrug af lækkede data i sig selv kan være ikke-økonomisk skade. Du skal dog påvise de konkrete negative konsekvenser af denne frygt. Domstolen fastslog også, at et vellykket angreb ikke i sig selv beviser, at sikkerheden var utilstrækkelig, men at den dataansvarlige skal bevise, at dens foranstaltninger var passende.

GDPR-kravet eksisterer sideløbende med kontraktbrud og erstatning uden for kontrakt. I henhold til artikel 6:162 i BW giver en ulovlig handling, der kan tilskrives den ansvarlige, ret til erstatning, forudsat at den tilsidesatte regel beskytter mod den lidte skade (relativitet, artikel 6:163 i BW).

Hvem kan holdes ansvarlig?

Den organisation, der blev ramt, kan være ansvarlig over for sine kunder og registrerede, og dens IT-leverandør kan være ansvarlig over for organisationen. Hvad leverandøren skylder, afgøres først af kontrakten og derefter af en god entreprenørs generelle omsorgspligt.

I sagen om cyberangrebet på Hof van Twente kommune (Overijssel byret, 10. maj 2023, ECLI:NL:RBOVE:2023:1731) blev kravet på næsten 4 millioner euro afvist. Leverandøren havde accepteret funktionel overvågning, ikke sikkerhedsovervågning, og kommunen havde selv åbnet en RDP-port og tilladt adgangskoden "Welkom2020". Appelretten i Arnhem-Leeuwarden stadfæstede dette resultat den 25. februar 2025 (ECLI:NL:GHARL:2025:1046).

Det modsatte resultat fulgte i O'Cliance (distriktsretten i Amsterdam, 14. november 2018, ECLI:NL:RBAMS:2018:10124). Leverandøren havde leveret og administreret en komplet IT-pakke uden firewall eller eksterne sikkerhedskopier, og ransomware krypterede også sikkerhedskopierne. Fordi kunden havde bedt om enklere adgangskoder og afvist foranstaltninger, reducerede retten ansvaret for medvirkende skyld (eigen schuld): leverandøren betalte to tredjedele af €15,407.90.

Bevisbyrden kan afgøre sagen. I en tvist om en bilforhandlers hackede e-mailkonto sendte en hacker en falsk betalingsinstruktion, og køberen betalte €26,900 til den forkerte konto. Appelretten i Arnhem-Leeuwarden tillod forhandleren at bevise, at dens e-mailkonto var tilstrækkeligt sikret (5. november 2024, ECLI:NL:GHARL:2024:6812) og fastslog derefter, at den ikke havde gjort det (22. juli 2025, ECLI:NL:GHARL:2025:4556). Køberens egen medvirkende skyld blev overladt til en senere afgørelse.

Udover civilretlige krav kan den hollandske databeskyttelsesmyndighed pålægge bøder på op til 20 millioner euro eller 4 % af den globale årlige omsætning, alt efter hvad der er højest, i henhold til artikel 83 i GDPR. En sådan bøde afhænger ikke af, om enkeltpersoner har lidt skade.

Kan du anmelde overfaldet til politiet?

Ja. Hacking af et computersystem er en strafbar handling (computervredebreuk) i henhold til artikel 138ab i den hollandske straffelov (Sr), og du kan anmelde det til politiet. Hvis anklagemyndigheden (Openbaar Ministerie) retsforfølger en mistænkt, kan du indtræde i straffesagen som skadelidt (benadeelde partij) og kræve din erstatning der.

Med angribere, der opererer fra udlandet, mislykkes det ofte med afsløring og retsforfølgning, så den strafferetlige vej erstatter sjældent et civilt søgsmål. En politirapport er stadig nyttig i praksis, fordi cyberforsikringsselskaber og partnere i forsyningskæden regelmæssigt beder om en.

Hvad dækker cyberforsikring?

En cyberforsikring dækker typisk håndtering af hændelser, retsmedicinsk undersøgelse, datagendannelse, driftsafbrydelse, krisekommunikation, ansvar over for tredjepart og sagsomkostninger. Om bøder, forlig eller løsepenge er dækket, afhænger af forsikringen og om de overhovedet kan forsikres.

I henhold til artikel 7:957 i BW skal du træffe rimelige foranstaltninger for at forhindre eller begrænse skaden, når hændelsen er indtruffet. Hvis du ikke gør det, kan forsikringsselskabet reducere udbetalingen. Forsikringer indeholder også deres egne varslingsfrister og kræver ofte forsikringsselskabets samtykke, før du engagerer eksperter eller betaler løsepenge, så anmeld hændelsen til forsikringsselskabet med det samme.

Hvad skal man som ramt organisation kontrollere?

Som den organisation, der blev ramt, har du underretningspligten og bevisbyrden for at bevise, at din sikkerhed var passende. Tjek først følgende.

• Er 72-timersperioden i henhold til artikel 33 i GDPR begyndt, og er meddelelsen til den hollandske databeskyttelsesmyndighed blevet givet eller begrundet skriftligt?
• Skaber bruddet en høj risiko for de registrerede, således at du skal informere dem i henhold til artikel 34 i GDPR?
• Er cyberforsikringsselskabet blevet underrettet inden for policeperioden, og har det accepteret de eksperter, I engagerer?
• Hvad siger kontrakten eller databehandleraftalen om sikkerhedsovervågning, hændelsesrapportering og ansvarslofter for din IT-leverandør?
• Bevares logfiler, sikkerhedskopier, e-mails og beslutninger, så du senere kan bevise, at dine foranstaltninger var passende?

Hvad skal du som registreret person kontrollere?

Som registreret person skal du selv bevise krænkelse, skade og årsagssammenhæng. Tjek følgende, før du fremsætter et krav.

• Hvilke af dine data blev eksponeret: kun kontaktoplysninger, eller også økonomiske, sundhedsmæssige eller identitetsoplysninger?
• Har organisationen informeret jer, og hvilke foranstaltninger har den sagt, at den har truffet?
• Kan du dokumentere konkrete konsekvenser, såsom forsøg på svindel, omkostninger eller påviselig stress?
• Har du skiftet adgangskoder og advaret din bank, så din egen adfærd ikke reducerer dit krav?
• Er kravet rettet mod den organisation, der opbevarer dine data, dens databehandler eller begge?

Hvad kan vi gøre for dig ved et cyberangreb?

Vores IT-juridiske team bistår organisationer og registrerede fra de første timer efter en hændelse.

• Vi vurderer inden for 72-timersperioden, om bruddet skal anmeldes til den hollandske databeskyttelsesmyndighed og de registrerede.
• Vi gennemgår din databehandleraftale og IT-kontrakt for informationsrettigheder, sikkerhedsforpligtelser og ansvarslofter.
• Vi kræver oplysninger og en retsmedicinsk rapport fra din leverandør og ansøger om nødvendigt om foreløbige retsmidler.
• Vi tjekker jeres cyberpolitik for varslingsperioder, samtykkekrav og undtagelser.
• Vi vurderer og udarbejder et erstatningskrav i henhold til artikel 82 i GDPR eller kontrakten, eller forsvarer dig mod et.

Resumé

• Et brud på persondatasikkerheden skal anmeldes til den hollandske databeskyttelsesmyndighed inden for 72 timer, hvor det er muligt, medmindre det er usandsynligt, at det vil skabe en risiko.
• Erstatning i henhold til artikel 82 i GDPR kræver en overtrædelse, faktisk skade og en årsagssammenhæng; en lækage alene er ikke tilstrækkelig.
• Den dataansvarlige skal bevise, at dens sikkerhedsforanstaltninger var passende; et angreb fra en tredjepart fritager ikke i sig selv den.
• En IT-leverandørs ansvar afhænger af, hvad der er aftalt, som Hof ​​van Twente- og O'Cliance-sagerne viser, og medvirkende skyld kan reducere et krav.
• Underret dit cyberforsikringsselskab med det samme og begræns skaden, ellers kan udbetalingen blive reduceret.

Ofte stillede spørgsmål