साइबर हमलों के पीड़ितों के अधिकार: सूचना देने की बाध्यताएँ, मुआवज़ा और बीमा

टॉम मीविस द्वारा, वकील Law & More

रैंसमवेयर, फ़िशिंग, डीडीओएस हमले और कंप्यूटर घुसपैठ जैसे साइबर हमले अक्सर केवल पीड़ित संगठन को ही प्रभावित नहीं करते। साइबर हमलों के शिकार ग्राहकों, कर्मचारियों, रोगियों, आपूर्तिकर्ताओं और अन्य आपूर्ति श्रृंखला भागीदारों भी होते हैं, जिन्हें नुकसान हो सकता है, और उनकी कानूनी स्थिति प्रत्येक समूह के लिए अलग-अलग होती है। इसलिए, किसी भी हमले के बाद यह पता लगाने के लिए कि कौन से दायित्व लागू होते हैं और कौन से दावे मौजूद हैं, यह सलाह दी जाती है कि पहले यह निर्धारित करें कि वास्तव में कौन प्रभावित हुआ है और क्या नुकसान हुआ है।

यह लेख बारी-बारी से इस बात पर चर्चा करता है कि पीड़ित कौन माना जाता है, डेटा उल्लंघन की सूचना कब देनी चाहिए, किन शर्तों पर मुआवजे का अधिकार मौजूद है, कौन से पक्ष उत्तरदायी हो सकते हैं, आपराधिक कानून की क्या भूमिका है, साइबर बीमा पॉलिसी में आमतौर पर क्या शामिल होता है, और हमले के तुरंत बाद कौन से कदम उठाए जाने चाहिए।

साइबर हमलों के शिकार कौन होते हैं?

साइबर हमले में तीन समूहों को अलग-अलग पहचाना जा सकता है।

• प्रभावित संगठन को सिस्टम में रुकावट, कारोबार में कमी, वसूली लागत, फोरेंसिक जांच की लागत और प्रतिष्ठा को नुकसान जैसी समस्याओं का सामना करना पड़ता है।
• जिन व्यक्तियों का व्यक्तिगत डेटा लीक हुआ है, जैसे कि ग्राहक, कर्मचारी और मरीज़, उन्हें आर्थिक नुकसान के साथ-साथ अपने डेटा पर नियंत्रण खोने, अनिश्चितता या पहचान धोखाधड़ी के डर से होने वाली गैर-भौतिक क्षति भी हो सकती है।
• संविदात्मक या आपूर्ति श्रृंखला संबंध के माध्यम से प्रभावित होने वाले तीसरे पक्ष, उदाहरण के लिए क्योंकि वे एक ऐसे आपूर्तिकर्ता पर निर्भर हैं जिसके सिस्टम ठप हो गए हैं।

यह वर्गीकरण कानूनी दृष्टि से महत्वपूर्ण है। किसी भी दावे का आधार और वह पक्ष जिसके विरुद्ध दावा किया जा सकता है, पीड़ित की स्थिति पर निर्भर करता है। प्रभावित संगठन आमतौर पर अनुबंध के तहत अपने आईटी आपूर्तिकर्ता को जवाबदेह ठहराएगा, जबकि डेटा विषय सीधे GDPR द्वारा प्रदान किए गए दायित्व के स्वतंत्र आधार पर निर्भर कर सकता है।

डेटा लीक की सूचना कब देनी आवश्यक है?

साइबर हमले में व्यक्तिगत डेटा शामिल होने की स्थिति में, यह आकलन करना आवश्यक है कि क्या व्यक्तिगत डेटा का उल्लंघन हुआ है और क्या इसकी सूचना देना अनिवार्य है। GDPR के अनुच्छेद 33 के अनुसार, उल्लंघन की सूचना बिना किसी अनावश्यक देरी के और संभव होने पर बहत्तर घंटों के भीतर पर्यवेक्षी प्राधिकरण को दी जानी चाहिए, बशर्ते कि उल्लंघन से व्यक्तियों के अधिकारों और स्वतंत्रता को कोई खतरा होने की संभावना न हो।

इसके अतिरिक्त, GDPR के अनुच्छेद 34 के तहत संगठन को डेटा प्राप्तकर्ताओं को स्वयं सूचित करना आवश्यक हो सकता है। यह दायित्व तब उत्पन्न होता है जब डेटा उल्लंघन से उनके अधिकारों और स्वतंत्रता को गंभीर खतरा होने की संभावना हो। यदि उपयुक्त तकनीकी उपाय, जैसे एन्क्रिप्शन, लागू हों, या बाद के उपायों से यह सुनिश्चित हो जाए कि गंभीर खतरा अब नहीं रहेगा, या व्यक्तिगत संचार में अत्यधिक प्रयास करना पड़े, तो संचार को छोड़ा जा सकता है; अंतिम मामले में सार्वजनिक संचार पर्याप्त है।

डेटा प्राप्तकर्ता के लिए यह संचार महज एक औपचारिकता से कहीं अधिक है। यह उन्हें अपने स्तर पर उपाय करने में सक्षम बनाता है, उदाहरण के लिए पासवर्ड बदलना या संदिग्ध लेनदेन पर नज़र रखना, और व्यवहार में यह अक्सर मुआवजे के दावे का प्रारंभिक बिंदु होता है।

इसलिए किसी संगठन को न केवल यह साबित करना होगा कि हमला हुआ है, बल्कि यह भी कि कौन सा डेटा प्रभावित हुआ, क्या वास्तव में डेटा लीक हुआ और इससे क्या जोखिम उत्पन्न होते हैं। इसके लिए अक्सर एक स्वतंत्र फोरेंसिक जांच अपरिहार्य होती है।

यह बात तब और भी ज़्यादा लागू होती है जब हमला किसी संगठन के बजाय प्रोसेसर पर होता है। ब्लाउ रिसर्च और नेबू के बीच संक्षिप्त कार्यवाही (रॉटरडैम जिला न्यायालय, 6 अप्रैल 2023, ECLI:NL:RBROT:2023:2931) में अंतरिम राहत न्यायाधीश ने फैसला सुनाया कि पक्षों के बीच हुए डेटा प्रोसेसिंग समझौते के तहत, नियंत्रक को हमले, उसके परिणामों और उठाए गए कदमों के बारे में शुरू में दी गई जानकारी से कहीं अधिक जानकारी प्राप्त करने का अधिकार था। प्रोसेसर को एक स्वतंत्र फोरेंसिक जांच कराने और समय-समय पर रिपोर्ट देने का भी आदेश दिया गया। यह निर्णय दर्शाता है कि व्यवहार में, एक सुव्यवस्थित डेटा प्रोसेसिंग समझौता किसी घटना के बाद समय पर जानकारी प्राप्त करने का सबसे महत्वपूर्ण साधन है, क्योंकि नियंत्रक को अपनी सूचना संबंधी जिम्मेदारियों को पूरा करने के लिए उस जानकारी की आवश्यकता होती है।

मुआवजे का अधिकार कब उत्पन्न होता है?

डेटा विषय GDPR के अनुच्छेद 82 के तहत नियंत्रक या प्रोसेसर से मुआवजे का दावा कर सकते हैं। हालांकि, साइबर हमले से स्वतः ही दावा उत्पन्न नहीं होता है। इसे प्रमाणित किया जाना चाहिए:

• कि जीडीपीआर का उल्लंघन हुआ है;
• वास्तव में नुकसान हुआ है; और
• कि उस उल्लंघन और उस क्षति के बीच एक कारण-कार्य संबंध है।

भौतिक क्षति में वित्तीय हानि, वसूली लागत या पहचान धोखाधड़ी के कारण हुई हानि शामिल हो सकती है। जहां तक ​​गैर-भौतिक क्षति का संबंध है, यूरोपीय संघ के न्यायालय ने ऑस्ट्रियाई डाक मामले (CJEU 4 मई 2023, C-300/21) में कहा है कि गंभीरता की कोई न्यूनतम सीमा नहीं है, लेकिन केवल GDPR का उल्लंघन ही मुआवजे के लिए पर्याप्त नहीं है।

साइबर हमले के बाद डेटा उल्लंघन के संदर्भ में विशेष रूप से प्रासंगिक मामला Natsionalna agentsia za prihodite (CJEU 14 दिसंबर 2023, C-340/21) है। इसमें न्यायालय ने माना कि लीक हुए व्यक्तिगत डेटा के भविष्य में संभावित दुरुपयोग का डर अपने आप में गैर-भौतिक क्षति हो सकता है। हालांकि, डेटा विषय को उस डर और उसके परिणामों को ठोस रूप से साबित करना होगा; केवल डेटा लीक होने की बात कहना पर्याप्त नहीं है। इसी फैसले में न्यायालय ने पुष्टि की कि यह नियंत्रक का दायित्व है कि वह साबित करे कि अपनाए गए सुरक्षा उपाय उचित थे, और किसी तीसरे पक्ष द्वारा किया गया हमला अपने आप में नियंत्रक को दायित्व से मुक्त नहीं करता है।

अनुबंध उल्लंघन और अपकृत्य के दीवानी कानून आधारों के साथ-साथ GDPR के अंतर्गत दायित्व भी निहित है। डच नागरिक संहिता के अनुच्छेद 6:162(1) के तहत, किसी भी प्रकार का गैरकानूनी कृत्य करने वाले पक्ष को हुई क्षति की भरपाई करनी होगी। अनुच्छेद 6:163 की सापेक्षता संबंधी आवश्यकता लागू होती है: उल्लंघन किया गया नियम पीड़ित पक्ष को हुई क्षति से सुरक्षा प्रदान करने के लिए होना चाहिए।

महत्वपूर्ण बात यह है कि इन आधारों के साथ-साथ GDPR का अनुच्छेद 82 भी मौजूद है। इसलिए, डेटा विषय केवल अनुबंध उल्लंघन या अपकृत्य के आधार पर दावा करने के लिए बाध्य नहीं है, बल्कि GDPR द्वारा प्रदान किए गए दायित्व के स्वतंत्र आधार पर सीधे भरोसा कर सकता है। प्रभावित संगठन के लिए, आधारों का यह संयोजन यह दर्शाता है कि हमले के बाद कई पक्ष एक ही समय में दावे दायर कर सकते हैं।

इसके लिए कौन उत्तरदायी हो सकता है?

यदि प्रभावित संगठन अपने संविदात्मक दायित्वों को पूरा करने में विफल रहता है या उसने अपर्याप्त सुरक्षा उपाय किए हैं, तो वह उत्तरदायी हो सकता है। आईटी सेवा प्रदाता या प्रोसेसर को भी जवाबदेह ठहराया जा सकता है। उस सेवा प्रदाता से क्या अपेक्षा की जा सकती है, यह मुख्य रूप से अनुबंध द्वारा निर्धारित होता है।

डेटा प्रोसेसिंग संबंध में डेटा प्रोसेसिंग समझौता एक केंद्रीय भूमिका निभाता है। GDPR के अनुच्छेद 28 के अनुसार, नियंत्रक और प्रोसेसर को ऐसा समझौता करना अनिवार्य है, जिसमें सुरक्षा उपायों और डेटा उल्लंघनों से निपटने के तरीके जैसे प्रावधान शामिल हों। यदि प्रोसेसर की अपर्याप्त सुरक्षा के कारण हमला होता है, तो नियंत्रक उस समझौते के तहत प्रोसेसर को परिणामी नुकसान के लिए उत्तरदायी ठहरा सकता है।

होफ वैन ट्वेंटे नगर पालिका पर हुए साइबर हमले से संबंधित मामले (ओवरिजसेल जिला न्यायालय, 10 मई 2023, ECLI:NL:RBOVE:2023:1731) से यह बात स्पष्ट रूप से सामने आती है। पक्षों ने कार्यात्मक निगरानी पर सहमति जताई थी, न कि सुरक्षा निगरानी पर। न्यायालय ने माना कि एक आईटी प्रशासक का कर्तव्य इतना व्यापक नहीं है कि सुरक्षा निगरानी कार्यात्मक निगरानी के दायित्व का एक अंतर्निहित हिस्सा बन जाए, और नगर पालिका के दावे को खारिज कर दिया। न्यायालय ने यह भी ध्यान में रखा कि नगर पालिका ने स्वयं ऐसे निर्णय लिए थे जिनसे जोखिम बढ़ गया था, जिनमें उसकी पासवर्ड नीति और एक आरडीपी पोर्ट खोलना शामिल है।

इसका प्रतिरूप ओ'क्लिआंसे मामला है (जिला न्यायालय)। Amsterdam(14 नवंबर 2018, ECLI:NL:RBAMS:2018:10124)। वहां आपूर्तिकर्ता ने एक संपूर्ण आईटी अवसंरचना स्थापित की थी और उसका प्रबंधन अपने हाथ में ले लिया था। रैंसमवेयर हमले के बाद, जिसमें बैकअप भी एन्क्रिप्ट हो गए थे, अदालत ने माना कि इस तरह के संपूर्ण पैकेज की आपूर्ति में व्यापक स्तर पर देखभाल का दायित्व निहित था और कुछ सरल उपायों की अनदेखी की गई थी। हालांकि, पूरी जिम्मेदारी आपूर्तिकर्ता को नहीं सौंपी गई: ग्राहक की सहभागिता के कारण, क्षति का दो-तिहाई हिस्सा आपूर्तिकर्ता को वहन करना पड़ा।

उचित सुरक्षा के प्रमाण का भार कितना भारी हो सकता है, यह एक कार डीलर के हैक किए गए ईमेल खाते के मामले से स्पष्ट होता है। 5 नवंबर 2024 के अंतरिम फैसले (आर्नहेम-लीउवार्डन की अपील अदालत, ECLI:NL:GHARL:2024:6812) में डीलर को यह साबित करने का अवसर दिया गया था कि उसका ईमेल खाता GDPR के अर्थ के अनुसार उचित रूप से सुरक्षित था, क्योंकि एक हैकर ने उस खाते का उपयोग करके एक खरीदार को गलत भुगतान निर्देश भेजा था। 22 जुलाई 2025 के अनुवर्ती फैसले (ECLI:NL:GHARL:2025:4556) में अदालत ने पाया कि यह प्रमाण प्रस्तुत नहीं किया गया था, जिसके बाद पक्षों को खरीदार की सहभागितापूर्ण गलती पर विचार करना था। इसलिए दोनों फैसले एक ही कार्यवाही से संबंधित हैं।

इन सभी मामलों में एक समान बात यह है कि संविदात्मक व्यवस्थाएं, प्रसंस्करण के जोखिम, वास्तव में उठाए गए कदम, दोनों पक्षों द्वारा दी गई चेतावनियां और पीड़ित पक्ष का स्वयं का आचरण, सभी मायने रखते हैं। नागरिक दायित्व के साथ-साथ, डच डेटा संरक्षण प्राधिकरण 20 मिलियन यूरो तक या वैश्विक वार्षिक कारोबार के 4 प्रतिशत तक, जो भी अधिक हो, प्रशासनिक जुर्माना लगा सकता है। ये जुर्माने इस बात से स्वतंत्र हैं कि व्यक्तिगत डेटा विषयों को कोई नुकसान हुआ है या नहीं।

आपराधिक कानून मार्ग

साइबर हमला भी आपराधिक अपराध हो सकता है, जैसे कि कंप्यूटर में घुसपैठ करना, डेटा को अनुपलब्ध बनाना या गैर-सार्वजनिक डेटा का दुरुपयोग करना। डच आपराधिक संहिता के अनुच्छेद 138ab(1) के तहत जानबूझकर और गैरकानूनी रूप से स्वचालित प्रणाली तक पहुंच प्राप्त करना अपराध है।

पीड़ित पुलिस को अपराध की रिपोर्ट कर सकते हैं, जिसके पास साइबर अपराध के लिए विशेष टीमें हैं। यदि किसी संदिग्ध पर मुकदमा चलाया जाता है, तो पीड़ित पीड़ित पक्ष के रूप में आपराधिक कार्यवाही में शामिल हो सकता है और वहां मुआवजे का दावा कर सकता है। इस प्रक्रिया से अलग से दीवानी कार्यवाही की आवश्यकता नहीं होती, लेकिन परिणाम अपराध का पता लगाने, मुकदमा चलाने और सबूतों पर निर्भर करता है, जो अंतरराष्ट्रीय स्तर पर सक्रिय अपराधियों के मामले में अक्सर व्यर्थ साबित होते हैं। संगठनों के लिए, रिपोर्ट करना अक्सर एक व्यावहारिक आवश्यकता भी होती है, क्योंकि बीमाकर्ता और आपूर्ति श्रृंखला भागीदार इसकी मांग करते हैं।

साइबर बीमा में क्या-क्या शामिल होता है?

साइबर बीमा पॉलिसी अन्य बातों के अलावा निम्नलिखित के लिए कवरेज प्रदान कर सकती है:

• घटना पर प्रतिक्रिया और फोरेंसिक जांच;
• प्रणालियों और डेटा की बहाली;
• व्यापार में व्यवधान से होने वाले नुकसान और कारोबार में हुई हानि;
• संकटकालीन संचार;
• तीसरे पक्ष के प्रति दायित्व;
• कानूनी लागतें; और
• कुछ मामलों में, लागू कानून के तहत बीमा योग्य सीमा तक जुर्माना, समझौता भुगतान या फिरौती भी शामिल हो सकती है।

सटीक कवरेज पॉलिसी पर निर्भर करता है। बहिष्करण, सुरक्षा शर्तें, सूचना अवधि, कटौती योग्य राशि और विशेषज्ञों की नियुक्ति संबंधी आवश्यकताओं पर ध्यान दें। डच नागरिक संहिता का अनुच्छेद 7:957(1) बीमित पक्ष को नुकसान को रोकने या सीमित करने के लिए उचित उपाय करने के लिए बाध्य करता है। यदि इस बचाव कर्तव्य का पालन नहीं किया जाता है, तो बीमाकर्ता भुगतान राशि कम कर सकता है।

इसलिए साइबर बीमा कंपनी को यथाशीघ्र सूचित किया जाना चाहिए। बीमा कंपनी की सहमति के बिना बाहरी विशेषज्ञों को नियुक्त करना या फिरौती देना बीमा कवर को प्रभावित कर सकता है।

साइबर हमले के तुरंत बाद आपको क्या करना चाहिए?

• घटना और उससे संबंधित सभी कार्रवाइयों को ध्यानपूर्वक रिकॉर्ड करें।
• सबूतों को खोए बिना प्रभावित प्रणालियों को अलग करें।
• किसी फोरेंसिक विशेषज्ञ से संपर्क करें।
• इस बात का आकलन करें कि क्या कोई सूचित करने योग्य डेटा उल्लंघन हुआ है।
• इस बात का आकलन करें कि क्या डेटा विषयों को सूचित किया जाना आवश्यक है।
• इस अपराध की सूचना पुलिस को दें।
• इस घटना की सूचना अपने साइबर बीमाकर्ता को दें।
• लॉग, बैकअप, ईमेल और अन्य प्रासंगिक डेटा को सुरक्षित रखें।
• नुकसान का नक्शा बनाएं और संभावित रूप से जिम्मेदार पक्षों की पहचान करें।
• ग्राहकों, कर्मचारियों और आपूर्ति श्रृंखला भागीदारों को सावधानीपूर्वक और समय रहते सूचित करें।

इसलिए साइबर हमला महज एक तकनीकी घटना नहीं है। यह डेटा सुरक्षा, नागरिक कानून, आपराधिक कानून और बीमा कानून से भी जुड़ा मामला है। त्वरित और सुव्यवस्थित प्रतिक्रिया न केवल नुकसान को सीमित करती है, बल्कि सूचनाओं, बीमा कवर और किसी भी कार्यवाही में आपकी साक्ष्य स्थिति के लिए निर्णायक होती है।

बंद होने को

साइबर हमले के बाद के अधिकार और दायित्व कानून के कई क्षेत्रों में फैले हुए हैं, और किसी मामले का परिणाम विशिष्ट तथ्यों, अनुबंध की सामग्री और रिकॉर्ड की गुणवत्ता पर बहुत हद तक निर्भर करता है। चर्चा किए गए कानूनी मामलों से पता चलता है कि आपूर्तिकर्ता और ग्राहक दोनों का मूल्यांकन उनके अपने आचरण के आधार पर किया जाता है, और बहत्तर घंटे की सूचना अवधि जैसी समयसीमा देरी के लिए बहुत कम गुंजाइश छोड़ती है।

Law & More हम संगठनों और डेटा विषयों को साइबर घटनाओं के कानूनी प्रबंधन में सहायता प्रदान करते हैं: अधिसूचना संबंधी कर्तव्यों का आकलन करने और डेटा प्रोसेसिंग समझौतों की समीक्षा करने से लेकर देयता निर्धारण, बीमा संबंधी मुद्दों और नुकसान की भरपाई तक। क्या आप किसी साइबर हमले या डेटा उल्लंघन का सामना कर रहे हैं, या क्या आप चाहते हैं कि हमारे द्वारा इन जोखिमों के विरुद्ध आपके अनुबंधों की पहले से समीक्षा की जाए? आईटी कानून टीम? कृपया बेझिझक संपर्क करें। संपर्क करें Law & More आपकी स्थिति पर बिना किसी बाध्यता के चर्चा करने के लिए।

ज़्यादातर पूछे जाने वाले सवाल

नीचे हम इस विषय पर हमसे अक्सर पूछे जाने वाले प्रश्नों के उत्तर दे रहे हैं।

साइबर हमले के शिकार कौन होते हैं?

इसमें तीन स्तर हैं। पहला, प्रभावित संगठन स्वयं, जिसे सिस्टम डाउनटाइम, कारोबार में नुकसान, वसूली लागत, फोरेंसिक जांच की लागत और प्रतिष्ठा को हुए नुकसान का सामना करना पड़ता है। दूसरा, डेटा विषय, यानी वे व्यक्ति जिनका व्यक्तिगत डेटा लीक हुआ है, जैसे ग्राहक, कर्मचारी और मरीज। तीसरा, संविदात्मक या आपूर्ति श्रृंखला संबंध के माध्यम से नुकसान झेलने वाले तीसरे पक्ष, उदाहरण के लिए, क्योंकि वे किसी ऐसे आपूर्तिकर्ता पर निर्भर थे जो बंद हो गया है। यह वर्गीकरण निर्धारित करता है कि कोई पक्ष किस आधार पर और किसके खिलाफ दावा कर सकता है।

मुझे डेटा उल्लंघन की सूचना कितने समय के भीतर देनी होगी?

GDPR के अनुच्छेद 33 के अनुसार, उल्लंघन की जानकारी प्राप्त होने के बाद बिना किसी अनुचित देरी के और जहाँ संभव हो, बहत्तर घंटों के भीतर पर्यवेक्षी प्राधिकरण को सूचित करना अनिवार्य है। यह दायित्व तब लागू नहीं होता जब उल्लंघन से प्राकृतिक व्यक्तियों के अधिकारों और स्वतंत्रता को कोई खतरा होने की संभावना न हो। इस आकलन के लिए उल्लंघन की प्रकृति, प्रभावित डेटा की श्रेणियों और संभावित परिणामों का विश्लेषण आवश्यक है।

मुझे डेटा विषयों को स्वयं कब सूचित करना चाहिए?

GDPR के अनुच्छेद 34 के तहत, जहां डेटा के उल्लंघन से डेटा विषयों के अधिकारों और स्वतंत्रता को गंभीर खतरा होने की संभावना है, वहां संचार को टाला जा सकता है, यदि उपयुक्त तकनीकी उपाय जैसे एन्क्रिप्शन लागू हों, या बाद के उपायों से यह सुनिश्चित हो जाए कि गंभीर खतरा अब नहीं रहेगा, या व्यक्तिगत संचार में अत्यधिक प्रयास करना पड़े। अंतिम मामले में, सार्वजनिक संचार पर्याप्त है।

क्या मैं किसी ऐसे आपूर्तिकर्ता से जानकारी प्राप्त करने के लिए बाध्य कर सकता हूँ जिसका खाता हैक हो गया हो?

जी हां, जहां डेटा प्रोसेसिंग समझौते में इसका प्रावधान हो। ब्लाउ रिसर्च और नेबू के बीच संक्षिप्त कार्यवाही (रॉटरडैम जिला न्यायालय, 6 अप्रैल 2023, ECLI:NL:RBROT:2023:2931) में अंतरिम राहत न्यायाधीश ने माना कि डेटा प्रोसेसिंग समझौते के तहत नियंत्रक को हमले, उसके परिणामों और उठाए गए उपायों के बारे में दी गई जानकारी से अधिक जानकारी प्राप्त करने का अधिकार था, और प्रोसेसर को एक स्वतंत्र फोरेंसिक जांच कराने और समय-समय पर रिपोर्ट करने का आदेश दिया। यह जानकारी आपके स्वयं के अधिसूचना कर्तव्यों के निर्वहन के लिए आवश्यक है।

एक डेटा विषय के रूप में, क्या डेटा उल्लंघन के बाद मुझे स्वतः ही मुआवजे का अधिकार है?

नहीं। GDPR का अनुच्छेद 82 एक स्वतंत्र आधार प्रदान करता है, लेकिन आपको यह साबित करना होगा कि GDPR का उल्लंघन हुआ है, आपको वास्तव में नुकसान हुआ है, और उल्लंघन तथा उस नुकसान के बीच एक कारण-कार्य संबंध है। सबूत पेश करने का भार दावेदार पर है।

क्या पहचान धोखाधड़ी का डर गैर-भौतिक क्षति की श्रेणी में आता है?

ऐसा हो सकता है। Natsionalna agentsia za prihodite (CJEU 14 दिसंबर 2023, C-340/21) मामले में न्यायालय ने माना कि लीक हुए व्यक्तिगत डेटा के भविष्य में संभावित दुरुपयोग का डर अपने आप में गैर-भौतिक क्षति हो सकता है। हालांकि, डेटा विषय को उस डर और उसके परिणामों को ठोस रूप से साबित करना होगा। Österreichische Post (CJEU 4 मई 2023, C-300/21) में यह भी कहा गया है कि गंभीरता की कोई न्यूनतम सीमा नहीं है, लेकिन केवल GDPR का उल्लंघन ही पर्याप्त नहीं है।

यह साबित करने की जिम्मेदारी किसकी है कि सुरक्षा उपाय उचित थे?

नियंत्रक। सी-340/21 मामले में न्याय न्यायालय ने पुष्टि की कि यह नियंत्रक का दायित्व है कि वह यह साबित करे कि अपनाए गए सुरक्षा उपाय उचित थे, और किसी तीसरे पक्ष द्वारा किया गया हमला उसे दायित्व से मुक्त नहीं करता है। नीदरलैंड्स में यह मामला एक कार डीलर के हैक किए गए ईमेल खाते के मामले में सामने आया, जहां अर्नहेम-लीउवार्डन की अपील अदालत ने पहले डीलर को वह सबूत प्रस्तुत करने का अवसर दिया (ECLI:NL:GHARL:2024:6812) और फिर यह माना कि वह सबूत प्रस्तुत नहीं किया गया था (ECLI:NL:GHARL:2025:4556)।

यदि मेरा आईटी प्रदाता किसी हमले का पता लगाने में विफल रहता है तो क्या वह उत्तरदायी होगा?

यह इस बात पर निर्भर करता है कि क्या सहमति हुई थी। हॉफ वैन ट्वेंटे नगर पालिका पर साइबर हमले से संबंधित मामले में (ओवरिजसेल जिला न्यायालय, 10 मई 2023, ECLI:NL:RBOVE:2023:1731) पक्षों ने कार्यात्मक निगरानी पर सहमति व्यक्त की थी, न कि सुरक्षा निगरानी पर। न्यायालय ने माना कि एक आईटी प्रशासक का कर्तव्य इतना व्यापक नहीं है कि सुरक्षा निगरानी उसका एक अंतर्निहित हिस्सा बन जाए, और दावे को खारिज कर दिया। जहां एक व्यापक संपूर्ण पैकेज प्रदान किया जाता है, वहां कर्तव्य इसके बजाय दूरगामी हो सकता है, जैसा कि ओ'क्लिआंसे (जिला न्यायालय) के मामले में हुआ था। Amsterdam(14 नवंबर 2018, ECLI:NL:RBAMS:2018:10124), जहां आपूर्तिकर्ता को नुकसान के दो तिहाई हिस्से के लिए उत्तरदायी ठहराया गया था।

क्या मेरे आचरण से मुआवजे में कमी आ सकती है?

जी हाँ। इन मामलों में सहभागी दोष एक महत्वपूर्ण भूमिका निभाता है। ओ'क्लिआंसे मामले में ग्राहक के खाते को हुए नुकसान का एक तिहाई हिस्सा था, और हैक किए गए ईमेल खाते के मामले में पक्षों को खरीदार के सहभागी दोष को स्वीकार करना पड़ा। इसलिए, आपकी अपनी पासवर्ड नीति, खुले छोड़े गए पोर्ट या अनदेखी की गई चेतावनियाँ सीधे परिणाम को प्रभावित कर सकती हैं।

डेटा संरक्षण प्राधिकरण क्या-क्या जुर्माना लगा सकता है?

GDPR के उल्लंघन के लिए, पर्यवेक्षी प्राधिकरण 20 मिलियन यूरो तक या वैश्विक वार्षिक कारोबार के 4 प्रतिशत तक, जो भी अधिक हो, प्रशासनिक जुर्माना लगा सकता है। ये जुर्माने इस बात से स्वतंत्र हैं कि व्यक्तिगत डेटा विषयों को वास्तव में कोई नुकसान हुआ है या नहीं, और इसलिए नागरिक दायित्व के साथ-साथ एक अलग जोखिम का प्रतिनिधित्व करते हैं।

क्या मैं अपराध की रिपोर्ट कर सकता हूं और आपराधिक कार्यवाही के माध्यम से अपने नुकसान की भरपाई कर सकता हूं?

जी हाँ। डच आपराधिक संहिता की धारा 138ab(1) के तहत जानबूझकर और गैरकानूनी रूप से स्वचालित प्रणाली तक पहुंच प्राप्त करना अपराध है। आप इस अपराध की रिपोर्ट पुलिस में कर सकते हैं और यदि किसी संदिग्ध पर मुकदमा चलाया जाता है, तो आप पीड़ित पक्ष के रूप में आपराधिक कार्यवाही में शामिल होकर मुआवजे का दावा कर सकते हैं। हालांकि, परिणाम का पता लगाने, मुकदमा चलाने और सबूतों पर निर्भर करता है, जो अंतरराष्ट्रीय स्तर पर सक्रिय अपराधियों के मामले में अक्सर परिणामहीन साबित होते हैं।

साइबर बीमा में आमतौर पर क्या-क्या शामिल होता है?

आमतौर पर, घटना प्रतिक्रिया और फोरेंसिक जांच, सिस्टम और डेटा की बहाली, व्यावसायिक व्यवधान से होने वाले नुकसान और कारोबार में आई हानि, संकटकालीन संचार, तीसरे पक्ष के प्रति दायित्व और कानूनी लागतें, और कुछ मामलों में लागू कानून के तहत बीमा योग्य सीमा तक जुर्माना, निपटान भुगतान या फिरौती शामिल होती है। बहिष्करण, सुरक्षा शर्तें, सूचना अवधि और कटौती योग्य राशि पर ध्यान दें और घटना घटित होने से पहले पॉलिसी की समीक्षा करें।

क्या हमले के बाद गलत तरीके से काम करने पर मैं अपनी सुरक्षा खो सकता हूँ?

यह संभव है। डच नागरिक संहिता के अनुच्छेद 7:957(1) के तहत बीमित पक्ष को नुकसान को रोकने या सीमित करने के लिए उचित उपाय करने का दायित्व है; यदि इस दायित्व का पालन नहीं किया जाता है, तो बीमाकर्ता भुगतान राशि कम कर सकता है। बीमाकर्ता की सहमति के बिना बाहरी विशेषज्ञों को नियुक्त करना या फिरौती देना भी बीमा कवर को प्रभावित कर सकता है। अपने बीमाकर्ता को यथाशीघ्र सूचित करें।

साइबर हमले के तुरंत बाद मुझे क्या कदम उठाने चाहिए?

घटना और की गई सभी कार्रवाइयों को रिकॉर्ड करें, सबूतों को नष्ट किए बिना प्रभावित सिस्टमों को अलग करें और एक फोरेंसिक विशेषज्ञ से संपर्क करें। फिर आकलन करें कि क्या कोई सूचित करने योग्य डेटा उल्लंघन हुआ है और क्या डेटा विषयों को सूचित करना आवश्यक है। अपराध की रिपोर्ट करें, अपने साइबर बीमाकर्ता को सूचित करें, लॉग, बैकअप और पत्राचार को सुरक्षित रखें, नुकसान और संभावित रूप से उत्तरदायी पक्षों का मानचित्रण करें और ग्राहकों, कर्मचारियों और आपूर्ति श्रृंखला भागीदारों को सावधानीपूर्वक और समय रहते सूचित करें।