سائبر حملي جي متاثرين جا حق: نوٽيفڪيشن جا فرض، معاوضو ۽ انشورنس

ٽام ميويس پاران، وڪيل تي Law & More

سائبر حملي جهڙوڪ رينسم ويئر، فشنگ، ڊي ڊي او ايس حملا ۽ ڪمپيوٽر جي مداخلت گهٽ ۾ گهٽ صرف حملي هيٺ تنظيم کي متاثر ڪن ٿا. سائبر حملي جي متاثرين ۾ گراهڪ، ملازم، مريض، سپلائر ۽ ٻيا سپلائي چين پارٽنر پڻ شامل آهن جيڪي نقصان برداشت ڪري سگهن ٿا، ۽ انهن جي قانوني حيثيت هڪ گروپ کان ٻئي گروپ ۾ مختلف آهي. ڪو به ماڻهو جيڪو حملي کان پوءِ اهو طئي ڪرڻ چاهي ٿو ته ڪهڙيون ذميواريون لاڳو ٿين ٿيون ۽ ڪهڙا دعوائون موجود آهن، تنهن ڪري ان کي صلاح ڏني وڃي ته پهريان اهو طئي ڪري ته ڪير متاثر ٿيو آهي ۽ ڪهڙو نقصان ٿيو آهي.

هي مضمون موڙ ۾ ٻڌائي ٿو ته ڪير متاثر جي حيثيت سان اهل آهي، ڊيٽا جي ڀڃڪڙي کي ڪڏهن اطلاع ڏنو وڃي، ڪهڙن شرطن تي معاوضي جو حق موجود آهي، ڪهڙا پارٽيون ذميوار ٿي سگهن ٿيون، فوجداري قانون ڪهڙو ڪردار ادا ڪري ٿو، سائبر انشورنس پاليسي عام طور تي ڪهڙين شين کي ڍڪيندي آهي، ۽ حملي کان فوري طور تي ڪهڙا قدم کڻڻ گهرجن.

سائبر حملي جا متاثر ڪير آهن؟

سائبر حملي ۾ ٽن گروهن ۾ فرق ڪري سگهجي ٿو.

• متاثر ٿيل تنظيم پاڻ، جيڪا سسٽم جي بندش، نقصان جي ٽرن اوور، بحالي جي خرچن، فارنزڪ جاچ جي قيمت ۽ شهرت کي نقصان کي منهن ڏئي ٿي.
• قدرتي ماڻهو جن جي ذاتي ڊيٽا ظاهر ڪئي وئي آهي، جهڙوڪ گراهڪ، ملازم ۽ مريض. انهن کي مالي نقصان ٿي سگهي ٿو، پر انهن جي ڊيٽا تي ڪنٽرول جي نقصان، غير يقيني صورتحال يا سڃاڻپ جي جعلسازي جي خوف جي ڪري غير مادي نقصان پڻ ٿي سگهي ٿو.
• ٽئين پارٽيون هڪ معاهدي يا سپلائي چين جي رشتي ذريعي متاثر ٿيون، مثال طور ڇاڪاڻ ته اهي هڪ سپلائر تي ڀاڙين ٿيون جنهن جا سسٽم خراب ٿي ويا آهن.

هي درجه بندي قانوني طور تي لاڳاپيل آهي. ڪنهن به دعويٰ جو بنياد، ۽ اهو ڌر جنهن جي خلاف اهو آڻي سگهجي ٿو، متاثر جي موقف تي منحصر آهي. هڪ متاثر تنظيم عام طور تي پنهنجي آئي ٽي سپلائر کي معاهدي جي تحت جوابده بڻائيندي، جڏهن ته هڪ ڊيٽا موضوع سڌو سنئون ذميواري لاءِ اسٽينڊلون بنياد تي ڀروسو ڪري سگهي ٿو جيڪو GDPR مهيا ڪري ٿو.

ڊيٽا جي ڀڃڪڙي جي اطلاع ڪڏهن ڏيڻ گهرجي؟

جتي ذاتي ڊيٽا سائبر حملي ۾ شامل آهي، اهو جائزو وٺڻ گهرجي ته ڇا ذاتي ڊيٽا جي ڀڃڪڙي آهي ۽ ڇا اطلاع لازمي آهي. آرٽيڪل 33 GDPR جي ضرورت آهي ته ڀڃڪڙي کي نگران اختيارين کي بغير ڪنهن دير جي اطلاع ڏنو وڃي ۽، جتي ممڪن هجي، 72 ڪلاڪن اندر، جيستائين ڀڃڪڙي قدرتي ماڻهن جي حقن ۽ آزادين لاءِ خطرو پيدا ڪرڻ جو امڪان نه هجي.

ان کان علاوه، آرٽيڪل 34 GDPR تنظيم کي ڊيٽا جي موضوعن کي پاڻ کي آگاهي ڏيڻ جي ضرورت ڪري سگھي ٿو. اهو فرض تڏهن پيدا ٿئي ٿو جڏهن خلاف ورزي جي نتيجي ۾ انهن جي حقن ۽ آزادين لاءِ وڏو خطرو پيدا ٿيڻ جو امڪان آهي. رابطي کي ختم ڪري سگهجي ٿو جتي مناسب ٽيڪنيڪل قدمن جهڙوڪ انڪرپشن موجود هئا، جتي بعد ۾ قدم يقيني بڻائين ته اعلي خطرو هاڻي مادي نه ٿيندو، يا جتي انفرادي رابطي ۾ غير متناسب ڪوشش شامل هوندي؛ ان آخري صورت ۾ هڪ عوامي رابطي ڪافي آهي.

ڊيٽا جي موضوع لاءِ اهو رابطو صرف هڪ رسميت کان وڌيڪ آهي. اهو انهن کي پنهنجا اپاءَ وٺڻ جي قابل بڻائي ٿو، مثال طور پاسورڊ تبديل ڪرڻ يا مشڪوڪ ٽرانزيڪشن تي نظر رکڻ سان، ۽ عملي طور تي اهو اڪثر ڪري معاوضي جي ڪنهن به دعويٰ جو شروعاتي نقطو هوندو آهي.

تنهن ڪري، هڪ تنظيم کي نه رڳو اهو طئي ڪرڻ گهرجي ته حملو ٿيو آهي، پر اهو پڻ ته ڪهڙو ڊيٽا متاثر ٿيو، ڇا ڊيٽا حقيقت ۾ خارج ڪيو ويو هو، ۽ ان مان ڪهڙا خطرا پيدا ٿين ٿا. هڪ آزاد فارنزڪ جاچ اڪثر ڪري ان مقصد لاءِ ضروري آهي.

هي وڌيڪ لاڳو ٿئي ٿو جتي حملو ڪنهن پروسيسر تي ٿئي ٿو بجاءِ تنظيم تي. بلاؤ ريسرچ ۽ نيبو جي وچ ۾ خلاصي ڪارروائي ۾ (روٽرڊيم جي ضلعي عدالت، 6 اپريل 2023، ECLI:NL:RBROT:2023:2931) عبوري رليف جج فيصلو ڏنو ته، ڌرين جي وچ ۾ ٿيل ڊيٽا پروسيسنگ معاهدي جي تحت، ڪنٽرولر حملي، ان جي نتيجن ۽ ابتدائي طور تي مهيا ڪيل قدمن بابت وڌيڪ معلومات جو حقدار هو. پروسيسر کي اهو به حڪم ڏنو ويو ته هڪ آزاد فارنزڪ جاچ ڪرائي وڃي ۽ وقتي طور تي رپورٽ ڪري. فيصلو ڏيکاري ٿو ته هڪ چڱي طرح تيار ڪيل ڊيٽا پروسيسنگ معاهدو عملي طور تي ڪنهن واقعي کان پوءِ وقت تي معلومات حاصل ڪرڻ لاءِ سڀ کان اهم اوزار آهي، خاص طور تي ڇاڪاڻ ته ڪنٽرولر کي ان معلومات جي ضرورت آهي ته جيئن هو پنهنجي نوٽيفڪيشن جي فرضن کي انجام ڏئي سگهي.

معاوضي جو حق ڪڏهن پيدا ٿئي ٿو؟

ڊيٽا جا موضوع ڪنٽرولر يا پروسيسر کان آرٽيڪل 82 GDPR جي تحت معاوضي جي دعويٰ ڪري سگهن ٿا. تنهن هوندي به، سائبر حملو خود بخود دعويٰ کي جنم نٿو ڏئي. ان کي ثابت ڪرڻ گهرجي:

• ته GDPR جي خلاف ورزي ڪئي وئي آهي؛
• ته نقصان اصل ۾ ٿيو آهي؛ ۽
• ته ان خلاف ورزي ۽ ان نقصان جي وچ ۾ هڪ سببي تعلق آهي.

مادي نقصان ۾ مالي نقصان، وصولي جي خرچ يا سڃاڻپ جي جعلسازي جي ڪري نقصان شامل ٿي سگھي ٿو. غير مادي نقصان جي حوالي سان، يورپي يونين جي عدالت انصاف Österreichische Post (CJEU 4 مئي 2023، C-300/21) ۾ فيصلو ڏنو ته سنگيني جي ڪا به گهٽ ۾ گهٽ حد ناهي، پر اهو ته صرف GDPR جي خلاف ورزي هڪ ايوارڊ لاءِ ڪافي ناهي.

سائبر حملي کان پوءِ ڊيٽا جي ڀڃڪڙين لاءِ خاص طور تي لاڳاپيل آهي نيشنل ايجنٽس زا پرائيوڊائيٽ (CJEU 14 ڊسمبر 2023، C-340/21). اتي عدالت فيصلو ڏنو ته ليڪ ٿيل ذاتي ڊيٽا جي مستقبل ۾ ممڪن غلط استعمال جو خوف پاڻ ۾ غير مادي نقصان پيدا ڪري سگهي ٿو. بهرحال، ڊيٽا جي موضوع کي ان خوف ۽ ان جي نتيجن کي ٺوس طور تي ثابت ڪرڻ گهرجي؛ صرف ان حقيقت ڏانهن اشارو ڪرڻ ته ڊيٽا ليڪ ٿي چڪو آهي ڪافي ناهي. ساڳئي فيصلي ۾ عدالت تصديق ڪئي ته اهو ڪنٽرولر لاءِ آهي ته اهو ثابت ڪري ته کنيل سيڪيورٽي اپاءَ مناسب هئا، ۽ اهو ته ڪنهن ٽئين پارٽي پاران حملو پاڻ ۾ ڪنٽرولر کي ذميواري کان مستثنيٰ نٿو ڪري.

GDPR جي تحت ذميواري معاهدي جي ڀڃڪڙي ۽ تشدد جي سول قانون جي بنيادن سان گڏ موجود آهي. ڊچ سول ڪوڊ جي آرٽيڪل 6:162(1) جي تحت، هڪ پارٽي جيڪا منسوب غير قانوني عمل ڪري رهي آهي، ان کي نقصان جي تلافي ڪرڻ گهرجي. آرٽيڪل 6:163 جي اضافيت جي گهرج لاڳو ٿئي ٿي: خلاف ورزي ڪيل معيار کي زخمي پارٽي کي برداشت ڪيل نقصان جي قسم کان بچائڻ لاءِ ڪم ڪرڻ گهرجي.

اهم طور تي، آرٽيڪل 82 GDPR انهن بنيادن سان گڏ موجود آهي. تنهن ڪري هڪ ڊيٽا موضوع صرف معاهدي جي ڀڃڪڙي يا ٽوٽ تي دعويٰ ڳولڻ جو پابند ناهي، پر سڌو سنئون ذميواري لاءِ الڳ بنياد تي ڀروسو ڪري سگهي ٿو جيڪو GDPR مهيا ڪري ٿو. متاثر ٿيل تنظيم لاءِ، بنيادن جي هن ميلاپ جو مطلب آهي ته حملي کان پوءِ هڪ ئي وقت ڪيتريون ئي پارٽيون دعويٰ آڻي سگهن ٿيون.

ڪير ذميوار ٿي سگهي ٿو؟

متاثر ٿيل تنظيم ذميوار ٿي سگهي ٿي جتي اها پنهنجي معاهدي جي ذميدارين کي پورو ڪرڻ ۾ ناڪام ٿئي ٿي يا ڪافي حفاظتي اپاءَ نه ورتا آهن. هڪ آئي ٽي سروس فراهم ڪندڙ يا پروسيسر کي به جوابده قرار ڏئي سگهجي ٿو. ان سروس فراهم ڪندڙ کان ڇا توقع رکي سگهجي ٿي اهو سڀ کان پهريان معاهدي ذريعي طئي ڪيو ويندو آهي.

پروسيسنگ رشتي اندر ڊيٽا پروسيسنگ معاهدو مرڪزي ڪردار ادا ڪري ٿو. آرٽيڪل 28 GDPR ڪنٽرولر ۽ پروسيسر کي اهڙو معاهدو ڪرڻ جي ضرورت آهي، ٻين شين جي وچ ۾ سيڪيورٽي قدمن ۽ ڊيٽا جي ڀڃڪڙين کي سنڀالڻ. جتي حملو پروسيسر تي ناکافي سيڪيورٽي جي نتيجي ۾ ٿئي ٿو، ڪنٽرولر پروسيسر کي نتيجي ۾ ٿيندڙ نقصان لاءِ ان معاهدي تحت جوابده قرار ڏئي سگهي ٿو.

اهو هوف وان ٽوئنٽي جي ميونسپلٽي تي سائبر حملي بابت ڪيس مان واضح طور تي سامهون اچي ٿو (ڊسٽرڪٽ ڪورٽ آف اوورجيسل، 10 مئي 2023، ECLI:NL:RBOVE:2023:1731). ڌرين سيڪيورٽي نگراني جي بدران فنڪشنل نگراني تي اتفاق ڪيو هو. عدالت چيو ته آئي ٽي ايڊمنسٽريٽر جي سنڀال جو فرض ايترو پري نه ٿو وڌي ته سيڪيورٽي نگراني فنڪشنل نگراني جي تفويض جو هڪ خاموش حصو بڻجي، ۽ ميونسپلٽي جي دعويٰ کي رد ڪري ڇڏيو. ان اهو پڻ وزن ڪيو ته ميونسپلٽي پاڻ اهڙا فيصلا ڪيا هئا جيڪي خطري کي وڌائين ٿا، جنهن ۾ ان جي پاسورڊ پاليسي ۽ آر ڊي پي پورٽ کولڻ شامل آهن.

آئيني جي تصوير او ڪلينس ڪيس (ڊسٽرڪٽ ڪورٽ آف Amsterdam، 14 نومبر 2018، ECLI:NL:RBAMS:2018:10124). اتي سپلائر هڪ مڪمل آئي ٽي انفراسٽرڪچر نصب ڪيو هو ۽ ان جو انتظام سنڀاليو هو. هڪ رينسم ويئر حملي کان پوءِ جنهن ۾ بيڪ اپ پڻ انڪرپٽ ڪيا ويا هئا، عدالت اهو فيصلو ڪيو ته اهڙي ڪل پيڪيج جي فراهمي ۾ خيال جي هڪ وڏي ذميواري هئي ۽ سڌي طرح قدمن کي ڇڏي ڏنو ويو هو. بهرحال، مڪمل طور تي ذميواري نه ڏني وئي: گراهڪ جي تعاون واري غلطي جي ڪري، نقصان جو ٻه ٽيون حصو سپلائر جي اڪائونٽ ۾ رهيو.

مناسب سيڪيورٽي تي ثبوت جو بار ڪيترو ڳرو ٿي سگهي ٿو، اهو هڪ ڪار ڊيلر جي هيڪ ٿيل اي ميل اڪائونٽ جي ڪيس مان ظاهر ٿئي ٿو. 5 نومبر 2024 جي عبوري فيصلي ۾ (آرنهم-ليوورڊن جي اپيل ڪورٽ، ECLI:NL:GHARL:2024:6812) ڊيلر کي اهو ثابت ڪرڻ جو موقعو ڏنو ويو ته ان جو اي ميل اڪائونٽ GDPR جي معنيٰ اندر مناسب طور تي محفوظ ڪيو ويو هو، جڏهن هڪ هيڪر ان اڪائونٽ کي خريد ڪندڙ کي غلط ادائيگي جي هدايت موڪلڻ لاءِ استعمال ڪيو هو. 22 جولاءِ 2025 (ECLI:NL:GHARL:2025:4556) جي فالو اپ فيصلي ۾ عدالت ڏٺو ته هي ثبوت نه پهچايو ويو هو، جنهن کان پوءِ ڌرين کي اڃا تائين خريد ڪندڙ جي تعاون واري غلطي کي حل ڪرڻو هو. تنهن ڪري ٻئي فيصلا ساڳي ڪارروائي سان لاڳاپيل آهن.

عام موضوع اهو آهي ته معاهدي جا انتظام، پروسيسنگ جا خطرا، اصل ۾ کنيل قدم، ٻنهي طرفن کان ڏنل ڊيڄاريندڙ ۽ زخمي پارٽي جو پنهنجو رويو سڀ اهم آهن. سول ذميواري سان گڏ، ڊچ ڊيٽا پروٽيڪشن اٿارٽي 20 ملين يورو يا عالمي سالياني ٽرن اوور جو 4 سيڪڙو تائين انتظامي جرمانو لاڳو ڪري سگهي ٿي، جيڪو به وڌيڪ هجي. اهي جرمانا ان کان آزاد آهن ته انفرادي ڊيٽا مضمونن کي نقصان پهتو آهي يا نه.

فوجداري قانون جو رستو

سائبر حملو هڪ مجرمانه جرم پڻ ٿي سگهي ٿو، جهڙوڪ ڪمپيوٽر جي مداخلت، ڊيٽا کي رسائي لائق نه بڻائڻ يا غير عوامي ڊيٽا کي مختص ڪرڻ. ڊچ ڪرمنل ڪوڊ جي آرٽيڪل 138ab(1) ان کي ڄاڻي واڻي ۽ غير قانوني طور تي خودڪار نظام تائين رسائي حاصل ڪرڻ کي جرم بڻائي ٿو.

متاثرين پوليس کي ڏوهه جي رپورٽ ڪري سگهن ٿا، جنهن وٽ خاص سائبر ڪرائم ٽيمون آهن. جتي هڪ شڪي تي ڪيس هلايو ويندو آهي، هڪ متاثر زخمي پارٽي جي طور تي مجرمانه ڪارروائي ۾ شامل ٿي سگهي ٿو ۽ اتي معاوضي جو دعويٰ ڪري سگهي ٿو. هي رستو الڳ الڳ سول ڪارروائي کان پاسو ڪري ٿو، پر نتيجو ڳولڻ، ڪارروائي ۽ ثبوت تي منحصر آهي، جيڪو بين الاقوامي طور تي ڪم ڪندڙ مجرمن سان اڪثر ڪو به نتيجو نه ڏيندو آهي. تنظيمن لاءِ، رپورٽنگ اڪثر ڪري هڪ عملي ضرورت پڻ هوندي آهي، ڇاڪاڻ ته انشورنس ڪندڙ ۽ سپلائي چين پارٽنر ان لاءِ پڇندا آهن.

سائبر انشورنس ڇا ڍڪيندو آهي؟

سائبر انشورنس پاليسي ٻين شين جي وچ ۾، ڪوريج فراهم ڪري سگهي ٿي:

• واقعي جي جواب ۽ فارنزڪ جاچ؛
• سسٽم ۽ ڊيٽا جي بحالي؛
• ڪاروباري رڪاوٽ نقصان ۽ نقصان جو واپار؛
• بحراني رابطي؛
• ٽئين پارٽين جي ذميواري؛
• قانوني خرچ؛ ۽
• ڪجهه حالتن ۾ جرمانو، آبادڪاري جي ادائيگي يا تاوان، لاڳو قانون جي تحت بيمه جي حد تائين.

صحيح ڍڪ پاليسي تي منحصر آهي. خارج ڪرڻ، سيڪيورٽي حالتن، نوٽيفڪيشن جي مدت، ڪٽوتين ۽ ماهرن کي شامل ڪرڻ جي گهرجن تي ڌيان ڏيو. ڊچ سول ڪوڊ جو آرٽيڪل 7:957(1) پڻ هڪ بيمه ٿيل پارٽي کي نقصان کي روڪڻ يا محدود ڪرڻ لاءِ مناسب قدم کڻڻ جو پابند ڪري ٿو. جتي بچاءُ جو اهو فرض نه ڏٺو وڃي، انشورنس ڪندڙ ادائيگي گهٽائي سگهي ٿو.

تنهن ڪري سائبر انشورنس ڪندڙ کي جلد کان جلد اطلاع ڏنو وڃي. انشورنس ڪندڙ جي رضامندي کان سواءِ ٻاهرين ماهرن کي شامل ڪرڻ يا تاوان ادا ڪرڻ سان ڪوريج متاثر ٿي سگهي ٿي.

سائبر حملي کان فوري پوءِ توهان کي ڇا ڪرڻ گهرجي؟

• واقعي ۽ سڀني لاڳاپيل ڪاررواين کي احتياط سان رڪارڊ ڪريو.
• ثبوت وڃائڻ کان سواءِ متاثر ٿيل نظامن کي الڳ ڪريو.
• ڪنهن فارنزڪ ماهر کي شامل ڪريو.
• اندازو لڳايو ته ڇا ڪا قابلِ ذڪر ڊيٽا جي ڀڃڪڙي آهي.
• اندازو لڳايو ته ڇا ڊيٽا جي مضمونن کي ڄاڻ ڏيڻ ضروري آهي.
• پوليس کي ڏوهه جي رپورٽ ڪريو.
• پنهنجي سائبر انشورنس ڪمپني کي واقعي جي اطلاع ڏيو.
• لاگ، بيڪ اپ، اي ميلون ۽ ٻيو لاڳاپيل ڊيٽا محفوظ ڪريو.
• نقصان ۽ امڪاني طور تي ذميوار ڌرين جو نقشو ٺاهيو.
• گراهڪن، ملازمن ۽ سپلائي چين پارٽنرز کي احتياط سان ۽ صحيح وقت تي اطلاع ڏيو.

تنهن ڪري سائبر حملو صرف هڪ ٽيڪنيڪل واقعو ناهي. اهو ڊيٽا جي تحفظ، سول قانون، فوجداري قانون ۽ انشورنس قانون جو معاملو پڻ آهي. هڪ تيز ۽ سٺي نموني سان دستاويز ڪيل جواب نه رڳو نقصان کي محدود ڪري ٿو، پر اطلاعن، انشورنس ڪوريج ۽ ڪنهن به ڪارروائي ۾ توهان جي ثبوتي حيثيت لاءِ فيصلو ڪندڙ آهي.

بند ڪرڻ ۾

سائبر حملي کان پوءِ حق ۽ ذميداريون قانون جي ڪيترن ئي شعبن ۾ پکڙيل آهن، ۽ ڪيس جو نتيجو خاص حقيقتن، معاهدي جي مواد ۽ رڪارڊ جي معيار تي تمام گهڻو منحصر آهي. بحث ڪيل ڪيس قانون ڏيکاري ٿو ته سپلائر ۽ گراهڪ ٻنهي کي انهن جي پنهنجي رويي تي فيصلو ڪيو ويندو آهي، ۽ آخري تاريخون جهڙوڪ 72 ڪلاڪن جي نوٽيفڪيشن جي مدت دير جي لاءِ گهٽ گنجائش ڇڏي ٿي.

Law & More تنظيمن ۽ ڊيٽا جي مضمونن کي سائبر واقعن جي قانوني سنڀال ۾ مدد ڪري ٿو: نوٽيفڪيشن جي فرضن جو جائزو وٺڻ ۽ ڊيٽا پروسيسنگ معاهدن جو جائزو وٺڻ کان وٺي ذميواري قائم ڪرڻ، انشورنس جي مسئلن ۽ نقصان جي وصولي تائين. ڇا توهان سائبر حملي يا ڊيٽا جي ڀڃڪڙي سان ڊيل ڪري رهيا آهيو، يا ڇا توهان چاهيو ٿا ته توهان جي معاهدن جو جائزو انهن خطرن جي خلاف اسان جي طرفان اڳ ۾ ڪيو وڃي. آئي ٽي قانون ٽيم؟ مهرباني ڪري آزاد محسوس ڪريو رابطو Law & More توهان جي صورتحال جي بنا ڪنهن ذميواري جي بحث لاءِ.

وچان وچان سوال ڪرڻ

هيٺ اسين انهن سوالن جا جواب ڏيون ٿا جيڪي اسان کان هن موضوع تي اڪثر پڇيا ويندا آهن.

سائبر حملي جا متاثر ڪير آهن؟

ٽي پرتون آهن. پهريون، متاثر ٿيل تنظيم پاڻ، جيڪا سسٽم جي بند ٿيڻ، نقصان جي ٽرن اوور، بحالي جي قيمت، فارنزڪ جاچ جي قيمت ۽ شهرت کي نقصان برداشت ڪري ٿي. ٻيو، ڊيٽا جا موضوع، قدرتي ماڻهو جن جي ذاتي ڊيٽا ظاهر ڪئي وئي آهي، جهڙوڪ گراهڪ، ملازم ۽ مريض. ٽيون، ٽئين پارٽيون هڪ معاهدي يا سپلائي چين جي رشتي ذريعي نقصان برداشت ڪري رهيون آهن، مثال طور ڇاڪاڻ ته اهي هڪ سپلائر تي منحصر آهن جيڪو گهٽجي ويو آهي. اهو درجه بندي طئي ڪري ٿو ته هڪ پارٽي ڪهڙي بنياد تي دعويٰ آڻي سگهي ٿي، ۽ ڪنهن جي خلاف.

مون کي ڪهڙي عرصي اندر ڊيٽا جي ڀڃڪڙي جي اطلاع ڏيڻ گهرجي؟

آرٽيڪل 33 GDPR نگران اختيار کي بغير ڪنهن دير جي اطلاع ڏيڻ جي ضرورت آهي ۽ جتي ممڪن هجي، خلاف ورزي جي خبر پوڻ جي 72 ڪلاڪن اندر. اهو فرض لاڳو نٿو ٿئي جتي خلاف ورزي قدرتي ماڻهن جي حقن ۽ آزادين لاءِ خطرو پيدا ڪرڻ جو امڪان نه هجي. اهو جائزو خلاف ورزي جي نوعيت، متاثر ٿيل ڊيٽا جي درجابندي ۽ ممڪن نتيجن جي تجزيي جي ضرورت آهي.

مون کي ڊيٽا جي مضمونن کي پاڻ ڪڏهن آگاهي ڏيڻ گهرجي؟

آرٽيڪل 34 GDPR جي تحت، جتي ڀڃڪڙي جي نتيجي ۾ ڊيٽا جي مضمونن جي حقن ۽ آزادين لاءِ وڏو خطرو پيدا ٿيڻ جو امڪان آهي. رابطي کي ختم ڪري سگهجي ٿو جتي مناسب ٽيڪنيڪل قدمن جهڙوڪ انڪرپشن موجود هئا، جتي بعد ۾ قدم يقيني بڻائين ته وڏو خطرو هاڻي عملي نه ٿيندو، يا جتي انفرادي رابطي ۾ غير متناسب ڪوشش شامل هوندي. ان آخري صورت ۾ هڪ عوامي رابطي ڪافي آهي.

ڇا مان ڪنهن سپلائر کان معلومات حاصل ڪرڻ تي مجبور ڪري سگهان ٿو جيڪو هيڪ ڪيو ويو آهي؟

ها، جتي ڊيٽا پروسيسنگ معاهدو ان لاءِ مهيا ڪري ٿو. بلاؤ ريسرچ ۽ نيبو جي وچ ۾ خلاصي ڪارروائي ۾ (روٽرڊيم جي ضلعي عدالت، 6 اپريل 2023، ECLI:NL:RBROT:2023:2931) عبوري رليف جج فيصلو ڏنو ته ڊيٽا پروسيسنگ معاهدي تحت ڪنٽرولر حملي، ان جي نتيجن ۽ مهيا ڪيل قدمن کان وڌيڪ معلومات جو حقدار هو، ۽ پروسيسر کي حڪم ڏنو ته هڪ آزاد فارنزڪ جاچ ڪرائي وڃي ۽ وقتي طور تي رپورٽ ڪئي وڃي. اها معلومات توهان جي پنهنجي نوٽيفڪيشن جي فرضن کي انجام ڏيڻ لاءِ گهربل آهي.

ڊيٽا جي موضوع جي حيثيت سان، ڇا مان ڊيٽا جي ڀڃڪڙي کان پوءِ خودڪار طريقي سان معاوضي جو حقدار آهيان؟

نه. آرٽيڪل 82 GDPR هڪ الڳ بنياد فراهم ڪري ٿو، پر توهان کي اهو ثابت ڪرڻ گهرجي ته GDPR جي خلاف ورزي ڪئي وئي آهي، ته توهان کي اصل ۾ نقصان پهتو آهي، ۽ خلاف ورزي ۽ ان نقصان جي وچ ۾ هڪ سببي تعلق آهي. ثبوت جو بار دعويدار تي آهي.

ڇا سڃاڻپ جي جعلسازي جو خوف غير مادي نقصان جي طور تي اهل آهي؟

اهو ٿي سگهي ٿو. نيشنل ايجنٽس زا پرائيوڊائيٽ (CJEU 14 ڊسمبر 2023، C-340/21) ۾ انصاف جي عدالت فيصلو ڏنو ته ليڪ ٿيل ذاتي ڊيٽا جي مستقبل ۾ ممڪن غلط استعمال جو خوف پاڻ ۾ غير مادي نقصان پيدا ڪري سگهي ٿو. بهرحال، ڊيٽا جي موضوع کي ان خوف ۽ ان جي نتيجن کي ٺوس طور تي ثابت ڪرڻ گهرجي. Österreichische Post (CJEU 4 مئي 2023، C-300/21) وڌيڪ چوي ٿو ته سنجيدگي جي ڪا به گهٽ ۾ گهٽ حد ناهي، پر صرف GDPR جي خلاف ورزي ڪافي ناهي.

ڪنهن کي ثابت ڪرڻو پوندو ته حفاظتي اپاءَ مناسب هئا؟

ڪنٽرولر. C-340/21 ۾ عدالت انصاف تصديق ڪئي ته اهو ڪنٽرولر جي ذميواري آهي ته اهو ڏيکاري ته کنيل حفاظتي اپاءَ مناسب هئا، ۽ ڪنهن ٽئين ڌر پاران حملو پاڻ ۾ ان کي ذميواري کان آزاد نٿو ڪري. هالينڊ ۾ اهو هڪ ڪار ڊيلر جي هيڪ ٿيل اي ميل اڪائونٽ جي صورت ۾ ٿيو، جتي آرنهم-ليوورڊن جي اپيل ڪورٽ پهريان ڊيلر کي اهو ثبوت پيش ڪرڻ جو موقعو ڏنو (ECLI:NL:GHARL:2024:6812) ۽ پوءِ قرار ڏنو ته اهو پيش نه ڪيو ويو هو (ECLI:NL:GHARL:2025:4556).

ڇا منهنجو آئي ٽي سپلائر ذميوار آهي جيڪڏهن اهو حملي کي ڳولڻ ۾ ناڪام ٿيو؟

اهو ان تي منحصر آهي ته ڇا اتفاق ڪيو ويو هو. هوف وان ٽوئنٽي جي ميونسپلٽي تي سائبر حملي بابت ڪيس ۾ (اووريجيسل جي ضلعي عدالت، 10 مئي 2023، ECLI:NL:RBOVE:2023:1731) ڌرين سيڪيورٽي نگراني جي بدران فنڪشنل نگراني تي اتفاق ڪيو هو. عدالت چيو ته آئي ٽي ايڊمنسٽريٽر جي سنڀال جو فرض ايترو پري نه ٿو وڌي جو سيڪيورٽي نگراني ان جو هڪ خاموش حصو بڻجي، ۽ دعويٰ کي رد ڪري ڇڏيو. جتي هڪ وسيع ڪل پيڪيج فراهم ڪيو ويندو آهي، سنڀال جو فرض ان جي بدران پري تائين پهچي سگهي ٿو، جيئن او ڪلينس (ضلعي عدالت آف Amsterdam، 14 نومبر 2018، ECLI:NL:RBAMS:2018:10124)، جتي فراهم ڪندڙ کي نقصان جي ٻن ٽئين حصي جو ذميوار قرار ڏنو ويو.

ڇا منهنجو پنهنجو رويو معاوضي کي گهٽائي سگهي ٿو؟

ها. انهن ڪيسن ۾ ڪنٽريبيوٽري فالٽ بار بار ڪردار ادا ڪري ٿو. او ڪلينس ۾ نقصان جو ٽيون حصو گراهڪ جي اڪائونٽ لاءِ رهيو، ۽ هيڪ ٿيل اي ميل اڪائونٽ جي صورت ۾ ڌرين کي خريد ڪندڙ جي ڪنٽريبيوٽري فالٽ کي حل ڪرڻ جي ضرورت هئي. تنهن ڪري توهان جي پنهنجي پاسورڊ پاليسي، کليل بندرگاهن يا نظرانداز ڪيل ڊيڄاريندڙ سڌو سنئون نتيجي ۾ حصو وٺي سگهن ٿا.

ڊيٽا تحفظ اٿارٽي ڪهڙا جرمانا لاڳو ڪري سگهي ٿي؟

GDPR جي خلاف ورزين لاءِ نگران اختيار 20 ملين يورو تائين انتظامي جرمانو يا عالمي سالياني ٽرن اوور جو 4 سيڪڙو، جيڪو به وڌيڪ هجي، لاڳو ڪري سگهي ٿو. اهي جرمانا ان کان آزاد آهن ته ڇا انفرادي ڊيٽا جي مضمونن کي اصل ۾ نقصان پهتو ۽ تنهن ڪري سول ذميواري سان گڏ هڪ الڳ خطري جي نمائندگي ڪن ٿا.

ڇا مان ڏوهه جي رپورٽ ڪري سگهان ٿو ۽ فوجداري ڪارروائي ذريعي پنهنجي نقصان جو دعويٰ ڪري سگهان ٿو؟

ها. ڊچ ڪرمنل ڪوڊ جي آرٽيڪل 138ab(1) هڪ خودڪار نظام تائين جان بوجھ ڪري ۽ غير قانوني طور تي رسائي حاصل ڪرڻ کي جرم بڻائي ٿي. توهان پوليس کي جرم جي رپورٽ ڪري سگهو ٿا ۽، جتي هڪ شڪي تي ڪيس هلايو وڃي ٿو، اتي معاوضي جي دعويٰ ڪرڻ لاءِ زخمي پارٽي جي طور تي فوجداري ڪارروائي ۾ شامل ٿي سگهو ٿا. نتيجو ڳولڻ، ڪيس هلائڻ ۽ ثبوت تي منحصر آهي، جيڪو بين الاقوامي طور تي ڪم ڪندڙ مجرمن سان اڪثر ڪو به نتيجو نه ڏيندو آهي.

سائبر انشورنس عام طور تي ڇا ڍڪيندو آهي؟

عام طور تي واقعن جي جواب ۽ فارنزڪ جاچ، سسٽم ۽ ڊيٽا جي بحالي، ڪاروباري رڪاوٽ جي نقصان ۽ گم ٿيل ٽرن اوور، بحران جي رابطي، ٽئين پارٽين جي ذميواري ۽ قانوني خرچ، ۽ ڪجهه حالتن ۾ جرمانو، آبادڪاري جي ادائيگي يا تاوان لاڳو قانون جي تحت بيمه جي حد تائين. خارج ڪرڻ، سيڪيورٽي حالتن، نوٽيفڪيشن جي مدت ۽ ڪٽوتين لاءِ ڏسو، ۽ واقعي ٿيڻ کان اڳ پاليسي جو جائزو وٺو.

ڇا حملي کان پوءِ غلط ڪم ڪرڻ سان مان پنهنجو پاڻ کي ڍڪي سگهان ٿو؟

اهو ممڪن آهي. ڊچ سول ڪوڊ جو آرٽيڪل 7:957(1) هڪ بيمه ٿيل پارٽي کي نقصان کي روڪڻ يا محدود ڪرڻ لاءِ مناسب قدم کڻڻ جو پابند ڪري ٿو؛ جتي بچاءُ جو اهو فرض نه سمجهيو ويندو آهي، انشورنس ڪندڙ ادائيگي گهٽائي سگهي ٿو. بيمه ڪندڙ جي رضامندي کان سواءِ ٻاهرين ماهرن کي شامل ڪرڻ يا تاوان ادا ڪرڻ پڻ ڪوريج کي متاثر ڪري سگهي ٿو. پنهنجي بيمه ڪندڙ کي جلد کان جلد اطلاع ڏيو.

سائبر حملي کان فوري پوءِ مون کي ڪهڙا قدم کڻڻ گهرجن؟

واقعي ۽ ڪيل سڀني ڪاررواين کي رڪارڊ ڪريو، متاثر ٿيل سسٽم کي ثبوت وڃائڻ کان سواءِ الڳ ڪريو، ۽ هڪ فارنزڪ ماهر کي شامل ڪريو. پوءِ جائزو وٺو ته ڇا ڪو قابل اطلاع ڊيٽا جي ڀڃڪڙي آهي ۽ ڇا ڊيٽا جي موضوعن کي آگاهي ڏيڻ گهرجي. ڏوهه جي رپورٽ ڪريو، پنهنجي سائبر انشورنس ڪمپني کي اطلاع ڏيو، لاگ، بيڪ اپ ۽ خط و ڪتابت محفوظ ڪريو، نقصان ۽ امڪاني طور تي ذميوار ڌرين جو نقشو ٺاهيو، ۽ گراهڪن، ملازمن ۽ سپلائي چين پارٽنرز کي احتياط ۽ سٺي وقت ۾ آگاهي ڏيو.