Hak-hak korban serangan siber: bea notifikasi, kompensasi lan asuransi

Dening Tom Meevis, pengacara ing Law & More

Serangan siber kaya ransomware, phishing, serangan DDoS, lan intrusi komputer arang mung mengaruhi organisasi sing diserang. Korban serangan siber uga kalebu pelanggan, karyawan, pasien, pemasok, lan mitra rantai pasokan liyane sing bisa uga ngalami kerugian, lan posisi hukum beda-beda saka klompok siji menyang klompok liyane. Sapa wae sing pengin netepake, sawise serangan, kewajiban endi sing ditrapake lan klaim endi sing ana, mula disaranake kanggo nemtokake dhisik sapa sing kena pengaruh lan kerusakan apa sing muncul.

Artikel iki uga ngrembug sapa sing nduweni kualifikasi minangka korban, kapan pelanggaran data kudu dikabari, kahanan apa sing ana kanggo hak ganti rugi, pihak endi sing bisa tanggung jawab, peran apa sing ditindakake dening hukum pidana, apa sing biasane ditanggung dening polis asuransi siber, lan langkah apa sing kudu ditindakake langsung sawise serangan.

Sapa wae sing dadi korban serangan siber?

Telung klompok bisa dibedakake ing serangan siber.

• Organisasi sing kena pengaruh kasebut dhewe, sing ngadhepi downtime sistem, kerugian turnover, biaya pemulihan, biaya investigasi forensik, lan kerusakan reputasi.
• Wong-wong sing data pribadine wis kebongkar, kayata pelanggan, karyawan, lan pasien. Dheweke bisa uga ngalami kerugian finansial, nanging uga kerugian non-material amarga kelangan kendali marang data, ketidakpastian, utawa rasa wedi marang penipuan identitas.
• Pihak katelu sing kena pengaruh liwat hubungan kontraktual utawa rantai pasokan, contone amarga dheweke gumantung marang pemasok sing sisteme wis ora berfungsi.

Klasifikasi iki relevan sacara hukum. Dasar saka tuntutan apa wae, lan pihak sing bisa diajukake, gumantung saka posisi korban. Organisasi sing kena pengaruh umume bakal nuntut tanggung jawab pemasok IT miturut kontrak, dene subjek data bisa langsung gumantung marang basis tanggung jawab mandiri sing diwenehake GDPR.

Kapan pelanggaran data kudu dikabari?

Yen data pribadi melu serangan siber, kudu ditaksir apa ana pelanggaran data pribadi lan apa kabar iku wajib. Pasal 33 GDPR mbutuhake pelanggaran supaya dikabari menyang otoritas pengawas tanpa wektu tundha sing ora perlu lan, yen bisa, sajrone pitung puluh loro jam, kajaba pelanggaran kasebut ora mungkin nyebabake risiko hak lan kebebasan wong.

Kajaba iku, Pasal 34 GDPR bisa uga mbutuhake organisasi kasebut kanggo menehi informasi marang subjek data dhewe. Kewajiban kasebut muncul nalika pelanggaran kasebut bisa nyebabake risiko dhuwur kanggo hak lan kebebasane. Komunikasi bisa uga ora ditindakake yen langkah-langkah teknis sing cocog kayata enkripsi wis ditindakake, yen langkah-langkah sabanjure njamin risiko dhuwur ora bakal kedadeyan maneh, utawa yen komunikasi individu bakal mbutuhake upaya sing ora proporsional; ing kasus pungkasan, komunikasi umum wis cukup.

Kanggo subjek data, komunikasi luwih saka mung formalitas. Iki ngidini dheweke njupuk langkah dhewe, contone kanthi ngganti sandhi utawa ngawasi transaksi sing mencurigakan, lan ing praktik asring dadi titik awal saka tuntutan ganti rugi.

Mulane, sawijining organisasi ora mung kudu netepake manawa serangan wis kedadeyan, nanging uga data endi sing kena pengaruh, apa data kasebut pancen diekstrak, lan risiko apa sing bakal kedadeyan. Investigasi forensik independen asring dibutuhake kanggo tujuan kasebut.

Iki luwih ditrapake nalika serangan kedadeyan ing prosesor tinimbang ing organisasi kasebut dhewe. Ing proses ringkesan antarane Blauw Research lan Nebu (Pengadilan Distrik Rotterdam, 6 April 2023, ECLI:NL:RBROT:2023:2931) hakim sementara mutusake manawa, miturut perjanjian pangolahan data sing disimpulake antarane para pihak, pengontrol duwe hak kanggo informasi luwih lengkap babagan serangan kasebut, akibat lan langkah-langkah sing ditindakake tinimbang sing diwenehake wiwitane. Prosesor uga diprentahake supaya nindakake investigasi forensik independen lan nglaporake kanthi periodik. Putusan kasebut nuduhake manawa perjanjian pangolahan data sing disusun kanthi apik ing praktik minangka instrumen sing paling penting kanggo entuk informasi sawise kedadeyan, amarga pengontrol mbutuhake informasi kasebut kanggo nindakake tugas notifikasi dhewe.

Kapan hak atas kompensasi muncul?

Subjek data bisa nuntut ganti rugi saka pengontrol utawa prosesor miturut Pasal 82 GDPR. Nanging, serangan siber ora kanthi otomatis nuwuhake tuntutan. Iku kudu dibuktekake:

• yen GDPR wis dilanggar;
• karusakan sing wis dialami; lan
• manawa ana hubungan sebab akibat antarane pelanggaran kasebut lan karusakan kasebut.

Karusakan materi bisa uga kalebu kerugian finansial, biaya pemulihan utawa kerugian sing disebabake dening penipuan identitas. Babagan kerusakan non-materi, Pengadilan Kehakiman Uni Eropa mutusake ing Österreichische Post (CJEU 4 Mei 2023, C-300/21) manawa ora ana ambang batas minimal keseriusan, nanging pelanggaran GDPR wae ora cukup kanggo menehi putusan.

Sing paling relevan karo pelanggaran data sawise serangan siber yaiku Natsionalna agensia za prihodite (CJEU 14 Desember 2023, C-340/21). Ing kana, Pengadilan mutusake manawa rasa wedi babagan kemungkinan penyalahgunaan data pribadi sing bocor ing mangsa ngarep bisa uga minangka kerusakan non-materi. Nanging, subjek data kudu mbuktekake rasa wedi kasebut lan akibat-akibate kanthi nyata; mung nuduhake kasunyatan manawa data wis bocor ora cukup. Ing putusan sing padha, Pengadilan ngonfirmasi manawa kontroler kudu mbuktekake manawa langkah-langkah keamanan sing ditindakake cocog, lan serangan dening pihak katelu ora ngecualikake kontroler saka tanggung jawab.

Tanggung jawab miturut GDPR ana bebarengan karo basis hukum sipil babagan pelanggaran kontrak lan gugatan. Miturut Pasal 6:162(1) saka Kitab Undang-Undang Hukum Perdata Walanda, pihak sing nindakake tumindak ilegal sing bisa disebabake kudu menehi ganti rugi marang karusakan sing disebabake. Syarat relativitas Pasal 6:163 ditrapake: norma sing dilanggar kudu nglindhungi saka jinis karusakan sing dialami pihak sing cilaka.

Sing penting, Pasal 82 GDPR ana bebarengan karo basis kasebut. Mula, subjek data ora wajib nemokake klaim mung amarga pelanggaran kontrak utawa gugatan, nanging bisa langsung gumantung marang basis tanggung jawab sing diwenehake dening GDPR. Kanggo organisasi sing kena pengaruh, kombinasi basis iki tegese sawetara pihak bisa ngajokake klaim bebarengan sawise serangan.

Sapa sing bisa tanggung jawab?

Organisasi sing kena pengaruh bisa uga tanggung jawab yen gagal nindakake kewajiban kontraktual utawa wis njupuk langkah-langkah keamanan sing ora cukup. Panyedhiya layanan utawa prosesor IT uga bisa dituntut tanggung jawab. Apa sing bisa diarepake saka panyedhiya layanan kasebut ditemtokake dhisik dening kontrak.

Ing sajroning sesambungan pamrosesan, perjanjian pamrosesan data nduweni peran penting. Pasal 28 GDPR mbutuhake pengontrol lan prosesor kanggo nggawe perjanjian kasebut, sing ngatur antara liya babagan langkah-langkah keamanan lan penanganan pelanggaran data. Yen serangan kasebut disebabake dening keamanan sing ora cukup ing prosesor, pengontrol bisa nuntut tanggung jawab prosesor miturut perjanjian kasebut kanggo kerugian sing diasilake.

Kuwi katon cetha saka kasus serangan siber ing kotamadya Hof van Twente (Pengadilan Distrik Overijssel, 10 Mei 2023, ECLI:NL:RBOVE:2023:1731). Para pihak wis sarujuk babagan pemantauan fungsional, dudu pemantauan keamanan. Pengadilan mutusake yen tugas perawatan administrator IT ora ngluwihi pemantauan keamanan minangka bagean diam-diam saka tugas kanggo pemantauan fungsional, lan nolak tuntutan kotamadya. Uga nimbang yen kotamadya dhewe wis njupuk keputusan sing nambah risiko, kalebu kabijakan sandhi lan pambukaan port RDP.

Gambar pangilon kasebut yaiku kasus O'Cliance (Pengadilan Distrik Amsterdam, 14 November 2018, ECLI:NL:RBAMS:2018:10124). Ing kana, pemasok wis nginstal infrastruktur IT lengkap lan njupuk alih manajemen. Sawise serangan ransomware sing uga dienkripsi serepe, pengadilan mutusake manawa pasokan paket total kasebut nduweni tugas perawatan sing jembar lan langkah-langkah langsung wis diilangi. Nanging, tanggung jawab ora diwenehake kanthi lengkap: amarga kesalahan pelanggan, rong pertiga saka kerusakan tetep dadi tanggung jawab pemasok.

Sepira abote beban pembuktian babagan keamanan sing cocog digambarake ing kasus akun email dealer mobil sing diretas. Ing putusan interim tanggal 5 November 2024 (Pengadilan Banding Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812) dealer kasebut diwenehi kesempatan kanggo mbuktekake manawa akun email wis diamanake kanthi bener miturut makna GDPR, sawise peretas nggunakake akun kasebut kanggo ngirim instruksi pembayaran palsu menyang panuku. Ing putusan tindak lanjut tanggal 22 Juli 2025 (ECLI:NL:GHARL:2025:4556) pengadilan nemokake manawa bukti iki durung dikirim, sawise iku para pihak isih kudu ngatasi kesalahan sing nyumbang saka panuku. Mula, loro putusan kasebut ana hubungane karo proses sing padha.

Benang merahe yaiku pengaturan kontraktual, risiko pangolahan, langkah-langkah sing ditindakake, peringatan sing diwenehake saka loro-lorone pihak lan tumindak pihak sing cilaka dhewe kabeh penting. Saliyane tanggung jawab sipil, Otoritas Perlindungan Data Walanda bisa uga ngetokake denda administratif nganti EUR 20 yuta utawa 4 persen saka omzet taunan ing saindenging jagad, endi wae sing luwih dhuwur. Denda kasebut ora gumantung apa subjek data individu ngalami kerusakan.

Jalur hukum pidana

Serangan siber uga bisa kalebu tindak pidana, kayata penyusupan komputer, nggawe data ora bisa diakses, utawa njupuk data non-publik. Pasal 138ab(1) saka Kitab Undang-Undang Hukum Pidana Walanda ndadekake akses menyang sistem otomatis kanthi sengaja lan ora sah minangka tindak pidana.

Korban bisa nglaporake pelanggaran kasebut menyang polisi, sing duwe tim kejahatan siber khusus. Yen ana tersangka sing dituntut, korban bisa melu proses pidana minangka pihak sing cilaka lan nuntut ganti rugi ing kana. Rute iki ngindhari proses sipil sing kapisah, nanging asil gumantung saka deteksi, penuntutan, lan bukti, sing karo pelaku sing beroperasi sacara internasional asring ora ngasilake asil. Kanggo organisasi, pelaporan asring uga dadi kabutuhan praktis, amarga perusahaan asuransi lan mitra rantai pasokan njaluk.

Apa sing ditanggung asuransi siber?

Polis asuransi siber bisa nyedhiyakake perlindungan kanggo, antara liya:

• nanggepi kedadeyan lan investigasi forensik;
• pemulihan sistem lan data;
• kerugian gangguan bisnis lan ilang omzet;
• komunikasi krisis;
• tanggung jawab marang pihak katelu;
• biaya hukum; lan
• ing sawetara kasus denda, pembayaran penyelesaian utawa tebusan, nganti tekan ombone sing bisa diasuransiake miturut hukum sing ditrapake.

Jangkoan sing tepat gumantung saka polis kasebut. Gatekna pengecualian, kahanan keamanan, periode kabar, potongan, lan syarat kanggo ngrekrut ahli. Pasal 7:957(1) saka Kitab Undang-Undang Hukum Perdata Walanda uga mewajibake pihak sing diasuransiake kanggo njupuk langkah-langkah sing cukup kanggo nyegah utawa mbatesi kerugian. Yen kewajiban penyelamatan kasebut ora ditindakake, perusahaan asuransi bisa nyuda pembayaran.

Mulane, perusahaan asuransi siber kudu diwenehi informasi sanalika bisa. Nglibatkan pakar eksternal utawa mbayar tebusan tanpa idin saka perusahaan asuransi bisa mengaruhi perlindungan.

Apa sing kudu ditindakake langsung sawise serangan siber?

• Cathet kedadeyan lan kabeh tumindak sing ana gandhengane kanthi teliti.
• Pisahna sistem sing kena pengaruh tanpa kelangan bukti.
• Ngundang ahli forensik.
• Nemtokake apa ana pelanggaran data sing bisa dilaporake.
• Nimbang apa subjek data kudu diwenehi informasi.
• Laporkan pelanggaran kasebut menyang polisi.
• Kabari kedadeyan kasebut menyang perusahaan asuransi siber sampeyan.
• Simpen log, serep, email, lan data liyane sing relevan.
• Peta karusakan lan pihak-pihak sing bisa tanggung jawab.
• Ngandhani pelanggan, karyawan, lan mitra rantai pasokan kanthi teliti lan tepat wektu.

Mula, serangan siber ora mung kedadeyan teknis. Iki uga minangka perkara perlindungan data, hukum perdata, hukum pidana, lan hukum asuransi. Respon sing cepet lan terdokumentasi kanthi apik ora mung mbatesi kerusakan, nanging uga penting kanggo notifikasi, jangkoan asuransi, lan posisi bukti sampeyan ing proses apa wae.

Ing nutup

Hak lan kewajiban sawise serangan siber kasebar ing pirang-pirang bidang hukum, lan asil saka kasus gumantung banget marang fakta spesifik, isi kontrak, lan kualitas cathetan. Hukum kasus sing dirembug nuduhake yen pemasok lan pelanggan padha diadili adhedhasar tumindake dhewe, lan tenggat wektu kaya periode notifikasi pitung puluh loro jam ora menehi ruang kanggo wektu tundha.

Law & More mbantu organisasi lan subjek data babagan penanganan insiden siber kanthi legal: wiwit saka netepake tugas notifikasi lan mriksa perjanjian pangolahan data nganti netepake tanggung jawab, masalah asuransi, lan mbalekake kerugian. Apa sampeyan ngadhepi serangan siber utawa pelanggaran data, utawa sampeyan pengin kontrak sampeyan ditinjau maneh marang risiko kasebut sadurunge dening kita UU IT tim? Mangga dipunaturi kontak Law & More kanggo diskusi tanpa kewajiban babagan kahanan sampeyan.

Pitakonan Paling Sering

Ing ngisor iki kita bakal njawab pitakonan sing paling kerep ditakoni babagan iki.

Sapa wae sing dadi korban serangan siber?

Ana telung lapisan. Kapisan, organisasi sing kena pengaruh dhewe, sing nanggung downtime sistem, ilang turnover, biaya pemulihan, biaya investigasi forensik lan kerusakan reputasi. Kapindho, subjek data, wong sing data pribadine wis diungkap, kayata pelanggan, karyawan lan pasien. Katelu, pihak katelu sing nandhang kerugian liwat hubungan kontraktual utawa rantai pasokan, contone amarga dheweke gumantung marang pemasok sing wis mudhun. Klasifikasi kasebut nemtokake adhedhasar apa pihak bisa ngajokake tuntutan, lan marang sapa.

Sajrone periode pira aku kudu ngabari babagan pelanggaran data?

Pasal 33 GDPR mbutuhake kabar marang panguwasa pengawas tanpa wektu tundha sing ora perlu lan, yen bisa, sajrone pitung puluh loro jam sawise ngerti babagan pelanggaran kasebut. Kewajiban kasebut ora ditrapake yen pelanggaran kasebut ora mungkin nyebabake risiko kanggo hak lan kebebasan wong. Penilaian kasebut mbutuhake analisis babagan sifat pelanggaran, kategori data sing kena pengaruh lan akibat sing bisa kedadeyan.

Kapan aku kudu ngandhani subjek data dhewe?

Miturut Pasal 34 GDPR, ing ngendi pelanggaran kasebut bisa nyebabake risiko dhuwur kanggo hak lan kebebasan subjek data. Komunikasi bisa diilangi yen langkah-langkah teknis sing cocog kayata enkripsi wis ditindakake, yen langkah-langkah sabanjure njamin risiko dhuwur ora bakal kedadeyan maneh, utawa yen komunikasi individu bakal mbutuhake upaya sing ora proporsional. Ing kasus pungkasan, komunikasi umum wis cukup.

Apa aku isa njaluk informasi saka supplier sing wis diretas?

Ya, ing ngendi perjanjian pangolahan data nyedhiyakake. Ing proses ringkesan antarane Blauw Research lan Nebu (Pengadilan Distrik Rotterdam, 6 April 2023, ECLI:NL:RBROT:2023:2931) hakim sementara mutusake manawa miturut perjanjian pangolahan data, pengontrol duwe hak kanggo informasi luwih lengkap babagan serangan kasebut, akibat lan langkah-langkah sing ditindakake tinimbang sing wis diwenehake, lan mrentahake prosesor supaya nindakake investigasi forensik independen lan nglaporake kanthi periodik. Informasi kasebut dibutuhake kanggo nindakake tugas notifikasi sampeyan dhewe.

Minangka subjek data, apa aku kanthi otomatis nduweni hak kanggo nampa kompensasi sawise ana pelanggaran data?

Ora. Pasal 82 GDPR nyedhiyakake basis sing mandiri, nanging sampeyan kudu mbuktekake manawa GDPR wis dilanggar, manawa sampeyan pancen ngalami kerusakan, lan ana hubungan sebab akibat antarane pelanggaran lan kerusakan kasebut. Beban pembuktian ana ing pihak sing nuntut.

Apa rasa wedi marang penipuan identitas kalebu karusakan non-materi?

Bisa uga. Ing Natsionalna agensia za prihodite (CJEU 14 Desember 2023, C-340/21) Pengadilan Kehakiman mutusake manawa rasa wedi babagan kemungkinan penyalahgunaan data pribadi sing bocor ing mangsa ngarep bisa uga minangka kerusakan non-materi. Nanging, subjek data kudu mbuktekake rasa wedi kasebut lan akibat-akibate kanthi nyata. Österreichische Post (CJEU 4 Mei 2023, C-300/21) nambahake manawa ora ana ambang batas minimal keseriusan, nanging pelanggaran GDPR wae ora cukup.

Sapa sing kudu mbuktekake yen langkah-langkah keamanan kasebut wis cocog?

Kontroler. Ing C-340/21, Pengadilan Kehakiman ngonfirmasi manawa kontroler kudu nuduhake manawa langkah-langkah keamanan sing ditindakake wis cocog, lan serangan dening pihak katelu ora kanthi otomatis ngecualikake saka tanggung jawab. Ing Walanda iki kedadeyan ing kasus akun email dealer mobil sing diretas, ing ngendi Pengadilan Banding Arnhem-Leeuwarden pisanan menehi kesempatan marang dealer kanggo menehi bukti kasebut (ECLI:NL:GHARL:2024:6812) banjur mutusake manawa bukti kasebut durung diwenehake (ECLI:NL:GHARL:2025:4556).

Apa supplier IT-ku tanggung jawab yen gagal ndeteksi serangan?

Kuwi gumantung saka apa sing wis disepakati. Ing kasus serangan siber ing kotamadya Hof van Twente (Pengadilan Distrik Overijssel, 10 Mei 2023, ECLI:NL:RBOVE:2023:1731) para pihak wis sarujuk babagan pemantauan fungsional, dudu pemantauan keamanan. Pengadilan mutusake manawa tugas perawatan administrator IT ora ngluwihi pemantauan keamanan minangka bagean sing ora katon, lan mbatalake klaim kasebut. Yen paket total sing luwih jembar diwenehake, tugas perawatan bisa uga luwih jembar, kaya ing O'Cliance (Pengadilan Distrik Amsterdam, 14 November 2018, ECLI:NL:RBAMS:2018:10124), ing ngendi supplier dianggep tanggung jawab kanggo rong pertiga saka kerugian.

Apa tumindakku dhewe bisa ngurangi kompensasi?

Ya. Kesalahan sing disebabake nduweni peran sing bola-bali kedadeyan ing kasus iki. Ing O'Cliance, sapratelo saka kerugian tetep dadi tanggung jawabe akun pelanggan, lan ing kasus akun email sing diretas, para pihak kudu ngatasi kesalahan sing disebabake dening pembeli. Kebijakan sandhi sampeyan dhewe, port sing ditinggal mbukak utawa peringatan sing diabaikan bisa langsung mengaruhi asil.

Denda apa sing bisa ditindakake dening otoritas perlindungan data?

Kanggo pelanggaran GDPR, otoritas pengawas bisa ngetokake denda administratif nganti EUR 20 yuta utawa 4 persen saka omzet taunan ing saindenging jagad, endi wae sing luwih dhuwur. Denda iki ora gumantung apa subjek data individu pancen ngalami kerusakan lan mulane makili risiko sing kapisah bebarengan karo tanggung jawab sipil.

Apa aku isa nglaporake pelanggaran iki lan nuntut kerugianku liwat proses pidana?

Ya. Pasal 138ab(1) saka Kitab Undang-Undang Hukum Pidana Walanda ndadekake minangka pelanggaran kanggo sengaja lan ora sah ngakses sistem otomatis. Sampeyan bisa nglaporake pelanggaran kasebut menyang polisi lan, yen ana tersangka sing dituntut, melu proses pidana minangka pihak sing cilaka kanggo nuntut ganti rugi ing kana. Asilé gumantung saka deteksi, penuntutan, lan bukti, sing karo pelaku sing beroperasi sacara internasional asring ora ngasilake asil.

Apa sing biasane ditanggung dening asuransi siber?

Biasane respon kedadeyan lan investigasi forensik, pemulihan sistem lan data, kerugian gangguan bisnis lan kerugian omzet, komunikasi krisis, tanggung jawab marang pihak katelu lan biaya hukum, lan ing sawetara kasus denda, pembayaran penyelesaian utawa tebusan nganti tekan sing bisa diasuransiake miturut hukum sing ditrapake. Wacanen pengecualian, kahanan keamanan, periode notifikasi lan potongan, lan deleng polis sadurunge kedadeyan kedadeyan.

Apa aku bisa kelangan perlindungan amarga tumindak sing ora bener sawise serangan?

Kuwi bisa wae. Pasal 7:957(1) saka Kitab Undang-Undang Hukum Perdata Walanda mewajibake pihak sing diasuransiake kanggo njupuk langkah-langkah sing cukup kanggo nyegah utawa mbatesi kerugian; yen kewajiban penyelamatan kasebut ora ditindakake, perusahaan asuransi bisa nyuda pembayaran kasebut. Nglibatake ahli eksternal utawa mbayar tebusan tanpa idin saka perusahaan asuransi uga bisa mengaruhi perlindungan. Ngandhani perusahaan asuransi sampeyan kanthi cepet.

Langkah apa sing kudu daklakoni langsung sawise serangan siber?

Cathet kedadeyan lan kabeh tindakan sing ditindakake, isolasi sistem sing kena pengaruh tanpa kelangan bukti, lan rekrut ahli forensik. Banjur, nilai apa ana pelanggaran data sing bisa dilaporake lan apa subjek data kudu diwenehi informasi. Laporkan pelanggaran kasebut, beri tahu perusahaan asuransi siber sampeyan, simpen log, serep, lan korespondensi, petakake kerusakan lan pihak sing bisa tanggung jawab, lan beri tahu pelanggan, karyawan, lan mitra rantai pasokan kanthi ati-ati lan tepat wektu.