حقوق ضحايا الهجمات الإلكترونية: واجبات الإبلاغ والتعويض والتأمين

بقلم توم ميفيس، محامٍ في Law & More

نادراً ما تقتصر الهجمات الإلكترونية، مثل برامج الفدية والتصيد الاحتيالي وهجمات الحرمان من الخدمة الموزعة واختراق أجهزة الكمبيوتر، على المؤسسة المستهدفة فقط. فضحايا هذه الهجمات يشملون أيضاً العملاء والموظفين والمرضى والموردين وغيرهم من شركاء سلسلة التوريد الذين قد يتكبدون خسائر، ويختلف وضعهم القانوني من مجموعة إلى أخرى. لذا، يُنصح بشدة أي شخص يسعى، بعد وقوع هجوم، إلى تحديد الالتزامات الواجبة والمطالبات القائمة، أن يحدد أولاً بدقة من تضرر وما هي الأضرار التي لحقت به.

تتناول هذه المقالة بدورها من هو المؤهل ليكون ضحية، ومتى يجب الإبلاغ عن اختراق البيانات، وما هي الشروط التي بموجبها يوجد الحق في التعويض، وما هي الأطراف التي قد تكون مسؤولة، وما هو دور القانون الجنائي، وما الذي تغطيه عادةً بوليصة التأمين الإلكتروني، وما هي الخطوات التي يجب اتخاذها فور وقوع الهجوم.

من هم ضحايا الهجمات الإلكترونية؟

يمكن تمييز ثلاث مجموعات في الهجوم الإلكتروني.

• المنظمة المتضررة نفسها، والتي تواجه تعطل النظام، وفقدان الإيرادات، وتكاليف التعافي، وتكاليف التحقيق الجنائي، والضرر الذي يلحق بسمعتها.
• الأشخاص الطبيعيون الذين تم الكشف عن بياناتهم الشخصية، مثل العملاء والموظفين والمرضى. قد يتكبدون خسائر مالية، بالإضافة إلى أضرار معنوية نتيجة فقدان السيطرة على بياناتهم، أو الشعور بعدم اليقين أو الخوف من سرقة الهوية.
• الأطراف الثالثة المتضررة من خلال علاقة تعاقدية أو علاقة سلسلة التوريد، على سبيل المثال لأنهم يعتمدون على مورد تعطلت أنظمته.

يُعدّ هذا التصنيف ذا أهمية قانونية. ويعتمد أساس أي دعوى، والجهة التي يمكن رفعها ضدها، على وضع الضحية. وعادةً ما تُحاسب المنظمة المتضررة مُورّد خدمات تكنولوجيا المعلومات التابع لها بموجب العقد، بينما يمكن لصاحب البيانات الاعتماد مباشرةً على الأساس المستقل للمسؤولية الذي ينص عليه النظام العام لحماية البيانات (GDPR).

متى يجب الإبلاغ عن اختراق البيانات؟

في حال تعرض البيانات الشخصية لهجوم إلكتروني، يجب تقييم ما إذا كان هناك خرق للبيانات الشخصية وما إذا كان الإبلاغ إلزاميًا. تنص المادة 33 من اللائحة العامة لحماية البيانات (GDPR) على ضرورة إبلاغ السلطة الإشرافية عن أي خرق دون تأخير لا مبرر له، وفي غضون 72 ساعة إن أمكن، ما لم يكن من غير المرجح أن يؤدي الخرق إلى خطر على حقوق وحريات الأفراد.

بالإضافة إلى ذلك، قد تنص المادة 34 من اللائحة العامة لحماية البيانات (GDPR) على إلزام المنظمة بإبلاغ أصحاب البيانات أنفسهم. وينشأ هذا الالتزام عندما يكون من المرجح أن يؤدي الخرق إلى خطر جسيم على حقوقهم وحرياتهم. ويجوز الاستغناء عن الإبلاغ في حال وجود تدابير تقنية مناسبة، مثل التشفير، أو في حال ضمان التدابير اللاحقة عدم تحقق الخطر الجسيم، أو في حال تطلب الإبلاغ الفردي جهدًا غير متناسب؛ وفي هذه الحالة الأخيرة، يكفي الإبلاغ العام.

بالنسبة لصاحب البيانات، فإن هذا التواصل يتجاوز كونه مجرد إجراء شكلي. فهو يمكّنه من اتخاذ تدابيره الخاصة، على سبيل المثال عن طريق تغيير كلمات المرور أو مراقبة المعاملات المشبوهة، وفي الواقع العملي، غالباً ما يكون نقطة البداية لأي مطالبة بالتعويض.

لذا، يتعين على المنظمة إثبات ليس فقط وقوع الهجوم، بل أيضاً تحديد البيانات المتأثرة، وما إذا تم تسريب البيانات بالفعل، والمخاطر المترتبة على ذلك. وغالباً ما يكون إجراء تحقيق جنائي مستقل أمراً لا غنى عنه لتحقيق هذا الغرض.

ينطبق هذا الأمر بشكل خاص عندما يقع الهجوم على معالج البيانات بدلاً من المؤسسة نفسها. في الدعوى الموجزة بين شركتي بلاو ريسيرش ونيبو (محكمة مقاطعة روتردام، 6 أبريل 2023، ECLI:NL:RBROT:2023:2931)، قضى قاضي الإغاثة المؤقتة بأنه بموجب اتفاقية معالجة البيانات المبرمة بين الطرفين، يحق للمتحكم الحصول على معلومات أكثر تفصيلاً حول الهجوم وعواقبه والتدابير المتخذة، مقارنةً بما تم تقديمه في البداية. كما أُمر معالج البيانات بإجراء تحقيق جنائي مستقل وتقديم تقرير دوري. يُظهر هذا الحكم أن اتفاقية معالجة البيانات المُصاغة جيدًا هي في الواقع الأداة الأهم للحصول على المعلومات في الوقت المناسب بعد وقوع الحادث، وذلك تحديدًا لأن المتحكم يحتاج إلى هذه المعلومات للوفاء بالتزاماته في الإبلاغ.

متى ينشأ الحق في التعويض؟

يحق للأفراد المعنيين بالبيانات المطالبة بالتعويض من المتحكم أو المعالج بموجب المادة 82 من اللائحة العامة لحماية البيانات. مع ذلك، لا يُعد الهجوم الإلكتروني سببًا تلقائيًا للمطالبة، بل يجب إثباته.

• أن اللائحة العامة لحماية البيانات قد تم انتهاكها؛
• وقد وقع الضرر بالفعل؛
• أن هناك علاقة سببية بين ذلك التعدي وذلك الضرر.

قد تشمل الأضرار المادية الخسائر المالية، وتكاليف التعويض، أو الخسائر الناجمة عن انتحال الهوية. أما فيما يتعلق بالأضرار غير المادية، فقد قضت محكمة العدل التابعة للاتحاد الأوروبي في قضية البريد النمساوي (CJEU، 4 مايو 2023، C-300/21) بأنه لا يوجد حد أدنى لخطورة الضرر، ولكن انتهاك اللائحة العامة لحماية البيانات (GDPR) وحده لا يكفي للحصول على تعويض.

تُعدّ قضية الوكالة الوطنية لحماية البيانات (محكمة العدل الأوروبية، 14 ديسمبر/كانون الأول 2023، C-340/21) ذات أهمية خاصة فيما يتعلق بانتهاكات البيانات التي تلي الهجمات الإلكترونية. فقد قضت المحكمة بأن الخوف من احتمال إساءة استخدام البيانات الشخصية المسربة في المستقبل يُمكن أن يُشكّل في حد ذاته ضررًا غير مادي. ومع ذلك، يجب على صاحب البيانات إثبات هذا الخوف وعواقبه بشكل ملموس؛ إذ لا يكفي مجرد الإشارة إلى تسريب البيانات. وفي الحكم نفسه، أكدت المحكمة أن على المتحكم بالبيانات إثبات ملاءمة التدابير الأمنية المتخذة، وأن هجومًا من طرف ثالث لا يُعفي المتحكم بالبيانات من المسؤولية.

تُوجد المسؤولية بموجب اللائحة العامة لحماية البيانات (GDPR) إلى جانب أسس القانون المدني المتعلقة بالإخلال بالعقد والضرر. وبموجب المادة 6:162(1) من القانون المدني الهولندي، يجب على الطرف الذي يرتكب فعلًا غير مشروع يُنسب إليه التعويض عن الضرر الناجم. وينطبق شرط النسبية الوارد في المادة 6:163: إذ يجب أن يكون المعيار المُنتهك بمثابة حماية من نوع الضرر الذي لحق بالطرف المتضرر.

من المهم الإشارة إلى أن المادة 82 من اللائحة العامة لحماية البيانات (GDPR) تُطبّق بالتوازي مع هذه الأسس. وبالتالي، لا يُلزم صاحب البيانات بتأسيس دعواه على أساس الإخلال بالعقد أو المسؤولية التقصيرية فقط، بل يمكنه الاعتماد مباشرةً على الأساس المستقل للمسؤولية الذي تنص عليه اللائحة العامة لحماية البيانات. بالنسبة للمؤسسة المتضررة، يعني هذا الجمع بين الأسس أنه يجوز لعدة أطراف رفع دعاوى في الوقت نفسه بعد وقوع هجوم.

من يتحمل المسؤولية؟

قد تتحمل المنظمة المتضررة المسؤولية في حال إخفاقها في الوفاء بالتزاماتها التعاقدية أو اتخاذها تدابير أمنية غير كافية. كما قد يُساءل مزود خدمة تكنولوجيا المعلومات أو معالج البيانات. ويُحدد العقد في المقام الأول ما يُمكن توقعه من مزود الخدمة.

في إطار علاقة معالجة البيانات، يلعب اتفاق معالجة البيانات دورًا محوريًا. تنص المادة 28 من اللائحة العامة لحماية البيانات (GDPR) على إلزام كل من المتحكم بالبيانات والمعالج بإبرام اتفاق من هذا القبيل، ينظم، من بين أمور أخرى، التدابير الأمنية والتعامل مع خروقات البيانات. وفي حال نتج الهجوم عن قصور أمني لدى المعالج، يحق للمتحكم بالبيانات محاسبة المعالج بموجب ذلك الاتفاق عن الخسائر الناجمة.

يتضح ذلك جليًا من قضية الهجوم الإلكتروني على بلدية هوف فان توينتي (محكمة مقاطعة أوفرايسل، 10 مايو 2023، ECLI:NL:RBOVE:2023:1731). فقد اتفق الطرفان على المراقبة الوظيفية، لا المراقبة الأمنية. ورأت المحكمة أن واجب العناية الذي يقع على عاتق مسؤول تقنية المعلومات لا يمتد إلى حد اعتبار المراقبة الأمنية جزءًا ضمنيًا من مهمة المراقبة الوظيفية، ورفضت دعوى البلدية. كما أخذت المحكمة في الاعتبار أن البلدية نفسها اتخذت قرارات زادت من المخاطر، بما في ذلك سياسة كلمات المرور وفتح منفذ بروتوكول سطح المكتب البعيد (RDP).

والصورة المعكوسة هي قضية أوكلاينس (محكمة المقاطعة) Amsterdamفي 14 نوفمبر 2018 (ECLI:NL:RBAMS:2018:10124)، قام المورّد بتثبيت بنية تحتية متكاملة لتكنولوجيا المعلومات وتولّى إدارتها. وبعد هجوم ببرنامج فدية إلكتروني، تم خلاله تشفير النسخ الاحتياطية أيضًا، رأت المحكمة أن توفير هذه الحزمة المتكاملة يستلزم واجب رعاية واسع النطاق، وأن إجراءات بسيطة قد أُهملت. ومع ذلك، لم تُمنح المسؤولية كاملةً: فبسبب خطأ العميل المساهم، بقي ثلثا الضرر على عاتق المورّد.

يتضح مدى ثقل عبء إثبات سلامة الأمن الإلكتروني من خلال قضية اختراق حساب بريد إلكتروني لأحد تجار السيارات. ففي الحكم المؤقت الصادر في 5 نوفمبر/تشرين الثاني 2024 (محكمة الاستئناف في أرنهيم-ليوواردن، ECLI:NL:GHARL:2024:6812)، أُتيحت للتاجر فرصة إثبات أن حسابه البريدي مؤمّن بشكل صحيح وفقًا للائحة العامة لحماية البيانات (GDPR)، وذلك بعد أن استخدمه مخترق لإرسال تعليمات دفع مزورة إلى أحد المشترين. وفي الحكم اللاحق الصادر في 22 يوليو/تموز 2025 (ECLI:NL:GHARL:2025:4556)، رأت المحكمة أن هذا الإثبات لم يُقدّم، وبالتالي كان على الطرفين معالجة مسؤولية المشتري. وعليه، فإن كلا الحكمين يتعلقان بالدعوى نفسها.

القاسم المشترك هو أن الترتيبات التعاقدية، ومخاطر المعالجة، والتدابير المتخذة فعلياً، والتحذيرات المقدمة من كلا الجانبين، وسلوك الطرف المتضرر نفسه، كلها أمور مهمة. إلى جانب المسؤولية المدنية، هيئة حماية البيانات الهولندية يجوز فرض غرامات إدارية تصل إلى 20 مليون يورو أو 4% من إجمالي الإيرادات السنوية العالمية، أيهما أعلى. وتُفرض هذه الغرامات بغض النظر عما إذا كان الأفراد المعنيون بالبيانات قد تعرضوا لأضرار أم لا.

مسار القانون الجنائي

قد يشكل الهجوم الإلكتروني جريمة جنائية، مثل اختراق الحاسوب، أو تعطيل الوصول إلى البيانات، أو الاستيلاء على بيانات غير عامة. وتنص المادة 138ab(1) من قانون العقوبات الهولندي على تجريم الوصول المتعمد وغير القانوني إلى نظام آلي.

يمكن للضحايا الإبلاغ عن الجريمة للشرطة، التي لديها فرق متخصصة في الجرائم الإلكترونية. وفي حال مقاضاة المشتبه به، يحق للضحية الانضمام إلى الإجراءات الجنائية كطرف متضرر والمطالبة بالتعويض. يجنب هذا المسار اللجوء إلى إجراءات مدنية منفصلة، ​​لكن النتيجة تعتمد على الكشف والملاحقة القضائية والأدلة، وهو ما لا يُسفر غالبًا عن أي نتيجة مع المجرمين الدوليين. بالنسبة للمؤسسات، يُعد الإبلاغ ضرورة عملية في كثير من الأحيان، لأن شركات التأمين وشركاء سلسلة التوريد يطلبونه.

ما الذي يغطيه التأمين الإلكتروني؟

قد توفر وثيقة التأمين السيبراني تغطية لأمور من بينها:

• الاستجابة للحوادث والتحقيقات الجنائية؛
• استعادة الأنظمة والبيانات؛
• خسائر انقطاع الأعمال وانخفاض الإيرادات؛
• التواصل في الأزمات؛
• المسؤولية تجاه الغير؛
• التكاليف القانونية؛ و
• وفي بعض الحالات غرامات أو مدفوعات تسوية أو فدية، وذلك في حدود ما يسمح به القانون المعمول به.

تختلف التغطية التأمينية الدقيقة باختلاف وثيقة التأمين. لذا، يُرجى الانتباه إلى الاستثناءات، وشروط الحماية، وفترات الإخطار، والمبالغ القابلة للخصم، ومتطلبات الاستعانة بالخبراء. كما تنص المادة 7:957(1) من القانون المدني الهولندي على إلزام المؤمَّن له باتخاذ التدابير المعقولة لمنع الخسارة أو الحد منها. وفي حال عدم الالتزام بهذا الواجب، يحق لشركة التأمين تخفيض مبلغ التعويض.

لذا، ينبغي إبلاغ شركة التأمين الإلكتروني في أسرع وقت ممكن. وقد يؤثر الاستعانة بخبراء خارجيين أو دفع فدية دون موافقة شركة التأمين على التغطية التأمينية.

ما الذي يجب عليك فعله فور وقوع هجوم إلكتروني؟

• سجل الحادثة وجميع الإجراءات ذات الصلة بعناية.
• عزل الأنظمة المتأثرة دون فقدان الأدلة.
• استعن بخبير في الطب الشرعي.
• قم بتقييم ما إذا كان هناك خرق للبيانات يستوجب الإبلاغ عنه.
• قم بتقييم ما إذا كان يجب إبلاغ أصحاب البيانات.
• أبلغ الشرطة عن المخالفة.
• أبلغ شركة التأمين الإلكتروني الخاصة بك عن الحادث.
• احتفظ بالسجلات والنسخ الاحتياطية ورسائل البريد الإلكتروني وغيرها من البيانات ذات الصلة.
• حدد الأضرار والأطراف التي قد تكون مسؤولة عنها.
• قم بإبلاغ العملاء والموظفين وشركاء سلسلة التوريد بعناية وفي الوقت المناسب.

لذا، لا يُعدّ الهجوم الإلكتروني مجرد حادث تقني، بل هو أيضاً مسألة تتعلق بحماية البيانات والقانون المدني والقانون الجنائي وقانون التأمين. فالاستجابة السريعة والموثقة جيداً لا تحدّ من الأضرار فحسب، بل تُعدّ حاسمة أيضاً فيما يخصّ الإخطارات والتغطية التأمينية وموقفك القانوني في أي إجراءات قانونية.

وفي الختام

تتوزع الحقوق والالتزامات المترتبة على الهجوم الإلكتروني على عدة فروع قانونية، وتعتمد نتيجة القضية بشكل كبير على الوقائع المحددة، ومضمون العقد، وجودة السجلات. وتُظهر السوابق القضائية التي نوقشت أن كلاً من المورد والعميل يُحاسب على سلوكه، وأن المواعيد النهائية، مثل فترة الإخطار البالغة 72 ساعة، لا تترك مجالاً يُذكر للتأخير.

Law & More نساعد المؤسسات والأفراد المعنيين بالبيانات في التعامل القانوني مع الحوادث الإلكترونية: بدءًا من تقييم واجبات الإبلاغ ومراجعة اتفاقيات معالجة البيانات، وصولًا إلى تحديد المسؤولية، وقضايا التأمين، واسترداد الخسائر. هل تواجهون هجومًا إلكترونيًا أو اختراقًا للبيانات؟ أو هل ترغبون في مراجعة عقودكم مسبقًا من قبلنا في ضوء هذه المخاطر؟ قانون تكنولوجيا المعلومات فريق؟ تفضلوا بالانضمام إلينا اتصال Law & More لمناقشة وضعك دون أي التزام.

الأسئلة المتكررة

فيما يلي نجيب على الأسئلة التي تُطرح علينا في أغلب الأحيان حول هذا الموضوع.

من هم ضحايا الهجمات الإلكترونية؟

هناك ثلاثة مستويات. أولاً، المنظمة المتضررة نفسها، التي تتحمل تبعات توقف النظام، وخسائر الإيرادات، وتكاليف التعافي، وتكاليف التحقيق الجنائي، والضرر الذي يلحق بسمعتها. ثانياً، أصحاب البيانات، وهم الأشخاص الطبيعيون الذين تم الكشف عن بياناتهم الشخصية، مثل العملاء والموظفين والمرضى. ثالثاً، الأطراف الثالثة التي تتكبد خسائر من خلال علاقة تعاقدية أو علاقة سلسلة التوريد، على سبيل المثال بسبب اعتمادها على مورد توقف عن العمل. يحدد هذا التصنيف الأساس الذي يمكن لأي طرف من خلاله تقديم مطالبة، ومن الجهة التي يمكنه مقاضاتها.

ما هي المدة التي يجب عليّ خلالها الإبلاغ عن اختراق البيانات؟

تنص المادة 33 من اللائحة العامة لحماية البيانات (GDPR) على ضرورة إخطار السلطة الإشرافية دون تأخير لا مبرر له، وفي غضون 72 ساعة من العلم بالانتهاك إن أمكن. ولا يسري هذا الواجب إذا كان من غير المرجح أن يُؤدي الانتهاك إلى خطر على حقوق وحريات الأفراد. ويتطلب هذا التقييم تحليل طبيعة الانتهاك، وفئات البيانات المتأثرة، والعواقب المحتملة.

متى يجب عليّ إبلاغ أصحاب البيانات أنفسهم؟

بموجب المادة 34 من اللائحة العامة لحماية البيانات، يجوز التغاضي عن الإبلاغ في حال كان من المرجح أن يؤدي الخرق إلى خطر جسيم على حقوق وحريات أصحاب البيانات. ويمكن الاستغناء عن الإبلاغ في الحالات التالية: إذا كانت هناك تدابير تقنية مناسبة، مثل التشفير، أو إذا ضمنت التدابير اللاحقة عدم تحقق الخطر الجسيم، أو إذا كان الإبلاغ الفردي سيتطلب جهدًا غير متناسب. في الحالة الأخيرة، يكفي الإبلاغ العام.

هل يمكنني الحصول على معلومات من مورد تعرض للاختراق؟

نعم، حيثما ينص اتفاق معالجة البيانات على ذلك. في الدعوى الموجزة بين بلاو ريسيرش ونيبو (محكمة مقاطعة روتردام، 6 أبريل 2023، ECLI:NL:RBROT:2023:2931)، قضى قاضي الإغاثة المؤقتة بأنه بموجب اتفاق معالجة البيانات، يحق للمتحكم الحصول على معلومات أكثر مما تم تقديمه حول الهجوم وعواقبه والتدابير المتخذة، وأمر المعالج بإجراء تحقيق جنائي مستقل وتقديم تقرير دوري. هذه المعلومات ضرورية للوفاء بالتزامات الإبلاغ الخاصة بك.

بصفتي صاحب بيانات، هل يحق لي تلقائيًا الحصول على تعويض بعد اختراق البيانات؟

لا. تنص المادة 82 من اللائحة العامة لحماية البيانات على أساس مستقل، ولكن يجب عليك إثبات انتهاك اللائحة، وأنك قد تكبدت ضرراً فعلياً، وأن هناك علاقة سببية بين الانتهاك وهذا الضرر. ويقع عبء الإثبات على المدعي.

هل يُعتبر الخوف من انتحال الهوية ضرراً غير مادي؟

قد يكون ذلك صحيحًا. في قضية الوكالة الوطنية لحماية البيانات (محكمة العدل الأوروبية، 14 ديسمبر/كانون الأول 2023، C-340/21)، قضت المحكمة بأن الخوف من احتمال إساءة استخدام البيانات الشخصية المسربة في المستقبل قد يشكل في حد ذاته ضررًا غير مادي. ومع ذلك، يجب على صاحب البيانات إثبات هذا الخوف وعواقبه بشكل ملموس. وتضيف قضية البريد النمساوي (محكمة العدل الأوروبية، 4 مايو/أيار 2023، C-300/21) أنه لا يوجد حد أدنى لخطورة الأمر، ولكن انتهاك اللائحة العامة لحماية البيانات وحده لا يكفي.

من المسؤول عن إثبات أن الإجراءات الأمنية كانت مناسبة؟

المتحكم. في القضية C-340/21، أكدت محكمة العدل أن على المتحكم إثبات ملاءمة التدابير الأمنية المتخذة، وأن هجومًا من طرف ثالث لا يعفيه من المسؤولية. وقد تجلى ذلك في هولندا في قضية اختراق حساب بريد إلكتروني لتاجر سيارات، حيث منحت محكمة الاستئناف في أرنهيم-ليوواردن التاجر فرصة لتقديم هذا الإثبات (ECLI:NL:GHARL:2024:6812)، ثم قضت بعدم تقديمه (ECLI:NL:GHARL:2025:4556).

هل يتحمل مورد خدمات تكنولوجيا المعلومات الخاص بي المسؤولية إذا فشل في اكتشاف هجوم؟

يعتمد ذلك على ما تم الاتفاق عليه. في قضية الهجوم الإلكتروني على بلدية هوف فان توينتي (محكمة مقاطعة أوفرايسل، 10 مايو 2023، ECLI:NL:RBOVE:2023:1731)، اتفق الطرفان على المراقبة الوظيفية، وليس المراقبة الأمنية. قضت المحكمة بأن واجب العناية الذي يقع على عاتق مسؤول تقنية المعلومات لا يمتد إلى حد أن تشكل المراقبة الأمنية جزءًا ضمنيًا منه، ورفضت الدعوى. أما في حال تقديم حزمة شاملة أوسع، فقد يكون واجب العناية أوسع نطاقًا، كما في قضية أوكلاينس (محكمة مقاطعة أوفرايسل). Amsterdam، 14 نوفمبر 2018، ECLI:NL:RBAMS:2018:10124)، حيث تم تحميل المورد المسؤولية عن ثلثي الخسارة.

هل يمكن لسلوكي أن يقلل من التعويض؟

نعم. يلعب الخطأ المشترك دورًا متكررًا في هذه الحالات. ففي قضية O'Cliance، تحمل حساب العميل ثلث الخسارة، وفي قضية اختراق حساب البريد الإلكتروني، طُلب من الطرفين معالجة الخطأ المشترك للمشتري. لذا، فإن سياسة كلمات المرور الخاصة بك، والمنافذ المفتوحة، أو تجاهل التحذيرات، كلها عوامل قد تؤثر بشكل مباشر على النتيجة.

ما هي الغرامات التي يمكن لهيئة حماية البيانات فرضها؟

في حالة انتهاك اللائحة العامة لحماية البيانات (GDPR)، يجوز للسلطة الإشرافية فرض غرامات إدارية تصل إلى 20 مليون يورو أو 4% من إجمالي الإيرادات السنوية العالمية، أيهما أعلى. وتُفرض هذه الغرامات بغض النظر عما إذا كان الأفراد المعنيون بالبيانات قد تعرضوا بالفعل لأضرار، وبالتالي فهي تمثل خطراً منفصلاً إلى جانب المسؤولية المدنية.

هل يمكنني الإبلاغ عن الجريمة والمطالبة بتعويض خسائري من خلال الإجراءات الجنائية؟

نعم. تنص المادة 138ab(1) من قانون العقوبات الهولندي على أن الدخول المتعمد وغير القانوني إلى نظام آلي يُعد جريمة. يمكنك الإبلاغ عن الجريمة للشرطة، وفي حال مقاضاة المشتبه به، يمكنك الانضمام إلى الإجراءات الجنائية كطرف متضرر للمطالبة بالتعويض. وتعتمد النتيجة على الكشف والملاحقة القضائية والأدلة، والتي غالبًا ما لا تُسفر عن أي نتيجة مع المجرمين الدوليين.

ماذا يغطي التأمين السيبراني عادةً؟

تشمل التغطية عادةً الاستجابة للحوادث والتحقيقات الجنائية الرقمية، واستعادة الأنظمة والبيانات، وخسائر انقطاع الأعمال وانخفاض الإيرادات، والتواصل في حالات الأزمات، والمسؤولية تجاه الأطراف الثالثة والتكاليف القانونية، وفي بعض الحالات الغرامات أو مدفوعات التسوية أو الفدية في حدود ما يسمح به القانون المعمول به. انتبه للاستثناءات، وشروط الأمان، وفترات الإخطار، والخصومات، وراجع وثيقة التأمين قبل وقوع أي حادث.

هل يمكنني أن أفقد غطاء الحماية إذا تصرفت بشكل خاطئ بعد الهجوم؟

هذا ممكن. تنص المادة 7:957(1) من القانون المدني الهولندي على إلزام المؤمَّن له باتخاذ تدابير معقولة لمنع الخسارة أو الحد منها؛ وفي حال عدم الالتزام بهذا الواجب، يحق لشركة التأمين تخفيض مبلغ التعويض. كما أن الاستعانة بخبراء خارجيين أو دفع فدية دون موافقة شركة التأمين قد يؤثر على التغطية التأمينية. لذا، يُرجى إبلاغ شركة التأمين في أسرع وقت ممكن.

ما هي الخطوات التي يجب عليّ اتخاذها فور وقوع هجوم إلكتروني؟

سجّل الحادثة وجميع الإجراءات المتخذة، واعزل الأنظمة المتضررة دون فقدان أي دليل، واستعن بخبير في الأدلة الجنائية الرقمية. ثم قيّم ما إذا كان هناك خرق بيانات يستوجب الإبلاغ، وما إذا كان يجب إبلاغ أصحاب البيانات. أبلغ عن المخالفة، وأخطر شركة التأمين الإلكتروني الخاصة بك، واحتفظ بالسجلات والنسخ الاحتياطية والمراسلات، وحدد نطاق الضرر والأطراف المسؤولة المحتملة، وأبلغ العملاء والموظفين وشركاء سلسلة التوريد بعناية وفي الوقت المناسب.