Od Toma Meevisa, advokáta v Law & More
Kybernetické útoky, ako napríklad ransomvér, phishing, DDoS útoky a počítačové prieniky, zriedkakedy postihujú iba napadnutú organizáciu. Obeťami kybernetických útokov sú aj zákazníci, zamestnanci, pacienti, dodávatelia a ďalší partneri v dodávateľskom reťazci, ktorí môžu utrpieť straty, a ich právne postavenie sa v jednotlivých skupinách líši. Každý, kto sa po útoku snaží zistiť, aké povinnosti sa uplatňujú a aké nároky existujú, by mal najprv presne určiť, kto bol postihnutý a aká škoda vznikla.
Tento článok sa postupne zaoberá tým, kto sa kvalifikuje ako obeť, kedy je potrebné oznámiť porušenie údajov, za akých podmienok existuje právo na odškodnenie, ktoré strany môžu byť zodpovedné, akú úlohu zohráva trestné právo, čo zvyčajne kryje kybernetická poistka a aké kroky by sa mali podniknúť ihneď po útoku.
Kto sú obeťami kybernetických útokov?
Pri kybernetickom útoku možno rozlíšiť tri skupiny.
- Samotná postihnutá organizácia, ktorá čelí výpadkom systému, strate fluktuácie, nákladom na obnovu, nákladom na forenzné vyšetrovanie a poškodeniu reputácie.
- Fyzické osoby, ktorých osobné údaje boli odhalené, ako napríklad zákazníci, zamestnanci a pacienti. Môžu utrpieť finančnú stratu, ale aj nemajetkovú ujmu v dôsledku straty kontroly nad svojimi údajmi, neistoty alebo strachu z podvodu s identitou.
- Tretie strany dotknuté prostredníctvom zmluvného vzťahu alebo vzťahu v dodávateľskom reťazci, napríklad preto, že sú závislé od dodávateľa, ktorého systémy zlyhali.
Táto klasifikácia je právne relevantná. Základ akéhokoľvek nároku a strana, proti ktorej môže byť vznesený, závisia od postavenia obete. Dotknutá organizácia bude vo všeobecnosti brať svojho IT dodávateľa na zodpovednosť podľa zmluvy, zatiaľ čo dotknutá osoba sa môže priamo odvolávať na samostatný základ zodpovednosti, ktorý poskytuje GDPR.
Kedy je potrebné oznámiť porušenie ochrany údajov?
Ak sú osobné údaje súčasťou kybernetického útoku, musí sa posúdiť, či došlo k porušeniu ochrany osobných údajov a či je oznámenie povinné. Článok 33 GDPR vyžaduje, aby sa porušenie oznámilo dozornému orgánu bez zbytočného odkladu a podľa možnosti do sedemdesiatich dvoch hodín, pokiaľ nie je pravdepodobné, že porušenie povedie k riziku pre práva a slobody fyzických osôb.
Okrem toho môže článok 34 GDPR vyžadovať, aby organizácia informovala samotné dotknuté osoby. Táto povinnosť vzniká, ak porušenie pravdepodobne povedie k vysokému riziku pre ich práva a slobody. Komunikácia sa môže vynechať, ak boli zavedené vhodné technické opatrenia, ako je šifrovanie, ak následné opatrenia zabezpečia, že vysoké riziko sa už nebude prejavovať, alebo ak by individuálna komunikácia vyžadovala neprimerané úsilie; v tomto druhom prípade postačuje verejná komunikácia.
Pre dotknutú osobu je táto komunikácia viac než len formalita. Umožňuje jej prijať vlastné opatrenia, napríklad zmenou hesla alebo sledovaním podozrivých transakcií, a v praxi je často východiskovým bodom akejkoľvek žiadosti o odškodnenie.
Organizácia preto musí preukázať nielen to, že k útoku došlo, ale aj to, ktoré údaje boli ovplyvnené, či boli údaje skutočne uniknuté a aké riziká z toho vyplývajú. Na tento účel je často nevyhnutné nezávislé forenzné vyšetrovanie.
Toto platí o to viac, ak k útoku dôjde na spracovateľa, a nie na samotnú organizáciu. V skrátenom konaní medzi Blauw Research a Nebu (Okresný súd v Rotterdame, 6. apríla 2023, ECLI:NL:RBROT:2023:2931) sudca pre predbežné opatrenia rozhodol, že podľa dohody o spracovaní údajov uzavretej medzi stranami mal prevádzkovateľ nárok na viac informácií o útoku, jeho dôsledkoch a prijatých opatreniach, ako mu bolo pôvodne poskytnutých. Spracovateľovi bolo tiež nariadené, aby vykonal nezávislé forenzné vyšetrovanie a pravidelne podával správy. Rozsudok ukazuje, že dobre vypracovaná dohoda o spracovaní údajov je v praxi najdôležitejším nástrojom na získanie informácií včas po incidente, a to práve preto, že prevádzkovateľ potrebuje tieto informácie na splnenie svojich vlastných oznamovacích povinností.
Kedy vzniká právo na odškodnenie?
Dotknuté osoby môžu požadovať od prevádzkovateľa alebo sprostredkovateľa náhradu škody podľa článku 82 GDPR. Kybernetický útok však automaticky nezakladá nárok na náhradu škody. Nárok musí byť preukázaný:
- že bolo porušené GDPR;
- že škoda skutočne vznikla; a
- že medzi týmto porušením a touto škodou existuje príčinná súvislosť.
Majetková ujma môže pozostávať z finančných strát, nákladov na vymáhanie alebo straty spôsobenej podvodom s identitou. Pokiaľ ide o nemajetkovú ujmu, Súdny dvor Európskej únie v prípade Österreichische Post (Súdny dvor EÚ 4. mája 2023, C-300/21) rozhodol, že neexistuje minimálna hranica závažnosti, ale že samotné porušenie GDPR nestačí na priznanie odškodnenia.
Obzvlášť dôležitý pre úniky údajov po kybernetickom útoku je prípad Národná agentúra za prichodite (Súdny dvor EÚ 14. decembra 2023, C-340/21). V ňom Súdny dvor rozhodol, že obava z možného budúceho zneužitia uniknutých osobných údajov môže sama o sebe predstavovať nemajetkovú ujmu. Dotknutá osoba však musí túto obavu a jej dôsledky konkrétne preukázať; samotné poukázanie na skutočnosť, že došlo k úniku údajov, nestačí. V tom istom rozsudku Súdny dvor potvrdil, že je úlohou prevádzkovateľa preukázať, že prijaté bezpečnostné opatrenia boli primerané, a že útok tretej strany sám o sebe nezbavuje prevádzkovateľa zodpovednosti.
Zodpovednosť podľa GDPR existuje popri občianskoprávnych základoch porušenia zmluvy a deliktu. Podľa článku 6:162(1) holandského Občianskeho zákonníka musí strana, ktorá sa dopustí pripísateľného protiprávneho konania, nahradiť spôsobenú škodu. Uplatňuje sa požiadavka relativity podľa článku 6:163: porušená norma musí slúžiť na ochranu pred druhom škody, ktorú poškodená strana utrpela.
Dôležité je, že článok 82 GDPR existuje popri týchto základoch. Dotknutá osoba preto nie je povinná zakladať nárok výlučne na porušení zmluvy alebo občianskoprávnom delikte, ale môže sa priamo odvolať na samostatný základ zodpovednosti, ktorý GDPR poskytuje. Pre dotknutú organizáciu táto kombinácia základov znamená, že po útoku môže nároky uplatniť viacero strán súčasne.
Kto môže byť zodpovedný?
Dotknutá organizácia môže byť zodpovedná, ak si neplní svoje zmluvné povinnosti alebo ak prijala nedostatočné bezpečnostné opatrenia. Poskytovateľ alebo spracovateľ IT služieb môže byť tiež braný na zodpovednosť. To, čo sa od daného poskytovateľa služieb môže očakávať, je určené v prvom rade zmluvou.
V rámci spracovateľského vzťahu zohráva zmluva o spracovaní údajov ústrednú úlohu. Článok 28 GDPR vyžaduje, aby prevádzkovateľ a sprostredkovateľ uzavreli takúto zmluvu, ktorá okrem iného upravuje bezpečnostné opatrenia a riešenie porušení ochrany údajov. Ak je útok dôsledkom nedostatočného zabezpečenia u sprostredkovateľa, prevádzkovateľ môže podľa tejto zmluvy brať sprostredkovateľa na zodpovednosť za vzniknutú stratu.
To jasne vyplýva z prípadu týkajúceho sa kybernetického útoku na obec Hof van Twente (Okresný súd Overijssel, 10. mája 2023, ECLI:NL:RBOVE:2023:1731). Strany sa dohodli na funkčnom monitorovaní, nie na bezpečnostnom monitorovaní. Súd rozhodol, že povinnosť starostlivosti správcu IT nesiaha tak ďaleko, aby bezpečnostné monitorovanie tvorilo implicitnú súčasť úlohy funkčného monitorovania, a zamietol žalobu obce. Taktiež zvážil, že obec sama prijala rozhodnutia, ktoré zvýšili riziko, vrátane jej politiky hesiel a otvorenia portu RDP.
Zrkadlovým obrazom je prípad O'Cliance (Okresný súd Amsterdam, 14. novembra 2018, ECLI:NL:RBAMS:2018:10124). Dodávateľ tam nainštaloval kompletnú IT infraštruktúru a prevzal jej správu. Po útoku ransomvéru, pri ktorom boli šifrované aj zálohy, súd rozhodol, že dodanie takéhoto kompletného balíka nieslo rozsiahlu povinnosť starostlivosti a že neboli prijaté jednoduché opatrenia. Zodpovednosť však nebola priznaná v plnom rozsahu: z dôvodu spoluzavinenia zákazníka zostali dve tretiny škody na účte dodávateľa.
Akú veľkú váhu môže predstavovať dôkazné bremeno týkajúce sa primeraného zabezpečenia, ilustruje prípad napadnutia e-mailového účtu predajcu automobilov. V medzitýmnom rozsudku z 5. novembra 2024 (Odvolací súd Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812) mal predajca možnosť preukázať, že jeho e-mailový účet bol primerane zabezpečený v zmysle GDPR po tom, čo hacker použil tento účet na odoslanie falošného platobného pokynu kupujúcemu. V následnom rozsudku z 22. júla 2025 (ECLI:NL:GHARL:2025:4556) súd zistil, že tento dôkaz nebol doručený, a po čom sa strany stále museli zaoberať spoluzavinením kupujúceho. Oba rozsudky sa preto týkajú toho istého konania.
Spoločným prvkom je, že zmluvné dojednania, riziká spracovania, skutočne prijaté opatrenia, upozornenia poskytnuté obom stranám a vlastné konanie poškodenej strany sú všetko dôležité. Popri občianskoprávnej zodpovednosti môže holandský úrad na ochranu údajov uložiť správne pokuty až do výšky 20 miliónov EUR alebo 4 percentá celosvetového ročného obratu, podľa toho, ktorá suma je vyššia. Tieto pokuty sú nezávislé od toho, či jednotlivé dotknuté osoby utrpeli škodu.
Cesta trestného práva
Kybernetický útok môže tiež predstavovať trestný čin, ako napríklad narušenie počítača, zneprístupnenie údajov alebo privlastnenie si neverejných údajov. Článok 138ab(1) holandského trestného zákonníka stanovuje za trestný čin úmyselné a nezákonné získanie prístupu k automatizovanému systému.
Obete môžu nahlásiť trestný čin polícii, ktorá má špecializované tímy pre kybernetickú kriminalitu. Ak je podozrivý stíhaný, obeť sa môže zapojiť do trestného konania ako poškodená strana a tam požadovať odškodnenie. Táto cesta sa vyhýba samostatnému občianskoprávnemu konaniu, ale výsledok závisí od odhalenia, stíhania a dôkazov, čo v prípade medzinárodne pôsobiacich páchateľov často neprináša žiadny výsledok. Pre organizácie je nahlasovanie často aj praktickou nevyhnutnosťou, pretože o to žiadajú poisťovne a partneri v dodávateľskom reťazci.
Čo kryje kybernetické poistenie?
Kybernetické poistenie môže okrem iného poskytovať krytie pre:
- reakcia na incidenty a forenzné vyšetrovanie;
- obnova systémov a údajov;
- straty z prerušenia prevádzky a strata obratu;
- krízová komunikácia;
- zodpovednosť voči tretím stranám;
- právne náklady a
- v niektorých prípadoch pokuty, vyrovnania alebo výkupné, v rozsahu poistiteľnom podľa platných právnych predpisov.
Presné krytie závisí od poistky. Venujte pozornosť výnimkám, bezpečnostným podmienkam, oznamovacím lehotám, spoluúčasti a požiadavkám na zapojenie odborníkov. Článok 7:957(1) holandského Občianskeho zákonníka tiež zaväzuje poistenú stranu prijať primerané opatrenia na zabránenie strate alebo jej obmedzenie. Ak sa táto povinnosť zachraňovania nedodrží, poisťovateľ môže znížiť výšku poistného plnenia.
Kybernetická poisťovňa by preto mala byť informovaná čo najrýchlejšie. Zapojenie externých odborníkov alebo zaplatenie výkupného bez súhlasu poisťovne môže ovplyvniť krytie.
Čo by ste mali urobiť ihneď po kybernetickom útoku?
- Starostlivo zaznamenajte incident a všetky súvisiace kroky.
- Izolujte postihnuté systémy bez straty dôkazov.
- Zapojte súdneho znalca.
- Posúďte, či došlo k narušeniu ochrany údajov, ktoré podlieha oznamovaniu.
- Posúďte, či musia byť dotknuté osoby informované.
- Nahláste priestupok polícii.
- Oznámte incident svojej kybernetickej poisťovni.
- Uchovávajte protokoly, zálohy, e-maily a ďalšie relevantné údaje.
- Zmapujte škody a potenciálne zodpovedné strany.
- Starostlivo a včas informujte zákazníkov, zamestnancov a partnerov v dodávateľskom reťazci.
Kybernetický útok preto nie je len technický incident. Je to aj záležitosť ochrany údajov, občianskeho práva, trestného práva a poistného práva. Rýchla a dobre zdokumentovaná reakcia nielen obmedzuje škody, ale je rozhodujúca pre oznámenia, poistné krytie a vašu dôkaznú pozíciu v akomkoľvek konaní.
Na záver
Práva a povinnosti po kybernetickom útoku sú rozptýlené v niekoľkých oblastiach práva a výsledok prípadu vo veľkej miere závisí od konkrétnych skutočností, obsahu zmluvy a kvality záznamov. Z preberanej judikatúry vyplýva, že dodávateľ aj zákazník sú posudzovaní podľa svojho vlastného správania a že lehoty, ako je sedemdesiatdvahodinová lehota na oznámenie, nechávajú len malý priestor na omeškanie.
Law & More pomáha organizáciám a dotknutým osobám s právnym riešením kybernetických incidentov: od posúdenia oznamovacích povinností a preskúmania zmlúv o spracovaní údajov až po stanovenie zodpovednosti, poistné otázky a vymáhanie strát. Zaoberáte sa kybernetickým útokom alebo únikom údajov, alebo by ste chceli, aby vaše zmluvy vopred preskúmali z hľadiska týchto rizík našimi... IT zákon tím? Neváhajte a kontakt Law & More na nezáväznú diskusiu o vašej situácii.
Často kladené otázky
Nižšie odpovedáme na otázky, ktoré nám na túto tému kladú najčastejšie.
Kto sú obeťami kybernetického útoku?
Existujú tri úrovne. Po prvé, samotná dotknutá organizácia, ktorá znáša výpadky systému, stratu obratu, náklady na obnovu, náklady na forenzné vyšetrovanie a poškodenie reputácie. Po druhé, dotknuté osoby, fyzické osoby, ktorých osobné údaje boli odhalené, ako sú zákazníci, zamestnanci a pacienti. Po tretie, tretie strany, ktoré utrpeli stratu v dôsledku zmluvného vzťahu alebo vzťahu v dodávateľskom reťazci, napríklad preto, že sú závislé od dodávateľa, ktorý prestal fungovať. Táto klasifikácia určuje, na akom základe môže strana uplatniť nárok a proti komu.
V akej lehote musím oznámiť porušenie ochrany údajov?
Článok 33 GDPR vyžaduje oznámenie dozornému orgánu bez zbytočného odkladu a, ak je to možné, do sedemdesiatich dvoch hodín od zistenia porušenia. Táto povinnosť sa neuplatňuje, ak je nepravdepodobné, že porušenie povedie k riziku pre práva a slobody fyzických osôb. Toto posúdenie si vyžaduje analýzu povahy porušenia, kategórií dotknutých údajov a možných dôsledkov.
Kedy musím informovať samotné dotknuté osoby?
Podľa článku 34 GDPR, ak porušenie pravdepodobne povedie k vysokému riziku pre práva a slobody dotknutých osôb, od komunikácie sa môže upustiť, ak boli zavedené vhodné technické opatrenia, ako je šifrovanie, ak následné opatrenia zabezpečia, že vysoké riziko sa už nebude prejavovať, alebo ak by si individuálna komunikácia vyžadovala neprimerané úsilie. V tomto druhom prípade postačuje verejná komunikácia.
Môžem si vynútiť informácie od dodávateľa, ktorý bol napadnutý hackermi?
Áno, ak to umožňuje zmluva o spracovaní údajov. V skrátenom konaní medzi Blauw Research a Nebu (Okresný súd v Rotterdame, 6. apríla 2023, ECLI:NL:RBROT:2023:2931) sudca pre predbežné opatrenia rozhodol, že podľa zmluvy o spracovaní údajov mal prevádzkovateľ nárok na viac informácií o útoku, jeho dôsledkoch a prijatých opatreniach, ako mu bolo poskytnutých, a nariadil spracovateľovi, aby vykonal nezávislé forenzné vyšetrovanie a pravidelne podával správy. Tieto informácie sú potrebné na splnenie vašich vlastných oznamovacích povinností.
Mám ako dotknutá osoba automaticky nárok na odškodnenie po porušení ochrany údajov?
Nie. Článok 82 GDPR poskytuje samostatný základ, ale musíte preukázať, že GDPR bolo porušené, že ste skutočne utrpeli škodu a že existuje príčinná súvislosť medzi porušením a touto škodou. Dôkazné bremeno spočíva na žalobcovi.
Kvalifikuje sa strach z falšovania identity ako nemajetková ujma?
Môže. V prípade Natsionalna agentsia za prihodite (SDEÚ 14. decembra 2023, C-340/21) Súdny dvor rozhodol, že obava z možného budúceho zneužitia uniknutých osobných údajov môže sama o sebe predstavovať nemajetkovú ujmu. Dotknutá osoba však musí túto obavu a jej dôsledky konkrétne preukázať. Österreichische Post (SDEÚ 4. mája 2023, C-300/21) dodáva, že neexistuje minimálna hranica závažnosti, ale že samotné porušenie GDPR nestačí.
Kto musí dokázať, že bezpečnostné opatrenia boli primerané?
Prevádzkovateľ. Vo veci C-340/21 Súdny dvor potvrdil, že je úlohou prevádzkovateľa preukázať, že prijaté bezpečnostné opatrenia boli primerané, a že útok tretej strany ho sám o sebe nezbavuje zodpovednosti. V Holandsku sa to stalo v prípade napadnutia e-mailového účtu predajcu automobilov, kde Odvolací súd v Arnhem-Leeuwardene najprv dal predajcovi možnosť predložiť tento dôkaz (ECLI:NL:GHARL:2024:6812) a potom rozhodol, že nebol predložený (ECLI:NL:GHARL:2025:4556).
Je môj IT dodávateľ zodpovedný, ak útok neodhalil?
To závisí od toho, na čom sa dohodli. V prípade týkajúcom sa kybernetického útoku na obec Hof van Twente (Okresný súd Overijssel, 10. mája 2023, ECLI:NL:RBOVE:2023:1731) sa strany dohodli na funkčnom monitorovaní, nie na monitorovaní bezpečnosti. Súd rozhodol, že povinnosť starostlivosti správcu IT nesiaha tak ďaleko, aby monitorovanie bezpečnosti tvorilo jej implicitnú súčasť, a žalobu zamietol. Ak je poskytnutý širší celkový balík, povinnosť starostlivosti môže mať skôr ďalekosiahly dosah, ako v prípade O'Cliance (Okresný súd Overijssel, 10. mája 2023, ECLI:NL:RBOVE:2023:1731) Amsterdam, 14. novembra 2018, ECLI:NL:RBAMS:2018:10124), kde bol dodávateľ uznaný zodpovedným za dve tretiny straty.
Môže moje vlastné konanie znížiť odškodnenie?
Áno. V týchto prípadoch sa opakuje úloha spoluúčasti. V prípade O'Cliance zostala jedna tretina straty na účte zákazníka a v prípade napadnutia e-mailového účtu museli strany riešiť spoluúčasť kupujúceho. Vaše vlastné pravidlá pre heslá, porty ponechané otvorené alebo ignorované upozornenia preto môžu priamo ovplyvniť výsledok.
Aké pokuty môže uložiť úrad na ochranu údajov?
Za porušenia GDPR môže dozorný orgán uložiť správne pokuty až do výšky 20 miliónov EUR alebo 4 percent z celosvetového ročného obratu, podľa toho, ktorá suma je vyššia. Tieto pokuty sú nezávislé od toho, či jednotlivé dotknuté osoby skutočne utrpeli škodu, a preto predstavujú samostatné riziko popri občianskoprávnej zodpovednosti.
Môžem nahlásiť priestupok a uplatniť si náhradu škody prostredníctvom trestného konania?
Áno. Článok 138ab(1) holandského trestného zákonníka stanovuje trestný čin za úmyselné a nezákonné získanie prístupu k automatizovanému systému. Priestupok môžete nahlásiť polícii a v prípade, že je podozrivý stíhaný, pripojiť sa k trestnému konaniu ako poškodená strana a požadovať odškodnenie. Výsledok závisí od odhalenia, stíhania a dôkazov, čo v prípade medzinárodne pôsobiacich páchateľov často neprináša žiadny výsledok.
Čo zvyčajne kryje kybernetické poistenie?
Zvyčajne ide o reakciu na incidenty a forenzné vyšetrovanie, obnovu systémov a údajov, straty z prerušenia prevádzky a stratu obratu, krízovú komunikáciu, zodpovednosť voči tretím stranám a právne náklady a v niektorých prípadoch pokuty, vyrovnania alebo výkupné v rozsahu poistiteľnom podľa platných právnych predpisov. Sledujte výnimky, bezpečnostné podmienky, lehoty na oznámenie a spoluúčasť a pred vznikom incidentu si preštudujte poistku.
Môžem po útoku stratiť krytie nesprávnym konaním?
To je možné. Článok 7:957(1) holandského Občianskeho zákonníka zaväzuje poistenú stranu prijať primerané opatrenia na zabránenie alebo obmedzenie straty; ak sa táto povinnosť zachraňovania nedodrží, poisťovateľ môže znížiť výšku poistného plnenia. Zapojenie externých odborníkov alebo zaplatenie výkupného bez súhlasu poisťovateľa môže tiež ovplyvniť krytie. Čo najskôr informujte svoju poisťovateľa.
Aké kroky by som mal podniknúť ihneď po kybernetickom útoku?
Zaznamenajte incident a všetky prijaté opatrenia, izolujte postihnuté systémy bez straty dôkazov a zapojte forenzného experta. Následne posúďte, či došlo k oznamovaciemu úniku údajov a či je potrebné informovať dotknuté osoby. Nahláste priestupok, informujte svoju kybernetickú poisťovňu, uchovávajte protokoly, zálohy a korešpondenciu, zmapujte škody a potenciálne zodpovedné strany a starostlivo a včas informujte zákazníkov, zamestnancov a partnerov v dodávateľskom reťazci.
