Práva obětí kybernetických útoků: oznamovací povinnosti, odškodnění a pojištění

Od Toma Meevise, advokáta v Law & More

Kybernetické útoky, jako je ransomware, phishing, DDoS útoky a počítačové vniknutí, zřídka postihují pouze napadenou organizaci. Oběťmi kybernetických útoků jsou také zákazníci, zaměstnanci, pacienti, dodavatelé a další partneři v dodavatelském řetězci, kteří mohou utrpět ztráty, a jejich právní postavení se liší v závislosti na skupině. Každý, kdo se po útoku snaží zjistit, jaké povinnosti platí a jaké nároky existují, by proto měl nejprve přesně zjistit, kdo byl postižen a jaká škoda vznikla.

Tento článek se postupně zabývá tím, kdo se kvalifikuje jako oběť, kdy musí být oznámeno narušení bezpečnosti dat, za jakých podmínek existuje právo na odškodnění, které strany mohou být odpovědné, jakou roli hraje trestní právo, co obvykle kryje kybernetické pojištění a jaké kroky by měly být podniknuty ihned po útoku.

Kdo jsou oběťmi kybernetických útoků?

V kybernetickém útoku lze rozlišit tři skupiny.

• Samotná postižená organizace, která čelí výpadkům systému, ztrátám obratu, nákladům na obnovu, nákladům na forenzní vyšetřování a poškození pověsti.
• Fyzické osoby, jejichž osobní údaje byly zveřejněny, jako jsou zákazníci, zaměstnanci a pacienti. Mohou utrpět finanční ztrátu, ale také nemajetkovou újmu v důsledku ztráty kontroly nad svými údaji, nejistoty nebo strachu z podvodu s identitou.
• Třetí strany dotčené prostřednictvím smluvního vztahu nebo vztahu v dodavatelském řetězci, například proto, že jsou závislé na dodavateli, jehož systémy selhaly.

Tato klasifikace je právně relevantní. Základ jakéhokoli nároku a strana, proti které může být uplatněn, závisí na postavení oběti. Dotčená organizace bude obecně volat svého dodavatele IT k odpovědnosti na základě smlouvy, zatímco subjekt údajů se může přímo spoléhat na samostatný základ odpovědnosti, který poskytuje GDPR.

Kdy je nutné oznámit únik dat?

Pokud jsou osobní údaje součástí kybernetického útoku, je nutné posoudit, zda došlo k narušení bezpečnosti osobních údajů a zda je oznámení povinné. Článek 33 GDPR vyžaduje, aby bylo narušení oznámeno dozorovému úřadu bez zbytečného odkladu a pokud možno do sedmdesáti dvou hodin, s výjimkou případů, kdy je nepravděpodobné, že by narušení povedl riziko pro práva a svobody fyzických osob.

Článek 34 GDPR může dále vyžadovat, aby organizace informovala samotné subjekty údajů. Tato povinnost vzniká v případě, že porušení pravděpodobně povede k vysokému riziku pro jejich práva a svobody. Komunikace může být upuštěna, pokud byla zavedena vhodná technická opatření, jako je šifrování, pokud následná opatření zajistí, že se vysoké riziko již nebude projevovat, nebo pokud by individuální komunikace vyžadovala nepřiměřené úsilí; v tomto druhém případě postačí veřejná komunikace.

Pro subjekt údajů je tato komunikace více než formalita. Umožňuje mu přijmout vlastní opatření, například změnou hesla nebo sledováním podezřelých transakcí, a v praxi je často výchozím bodem pro jakýkoli nárok na odškodnění.

Organizace proto musí zjistit nejen to, že k útoku došlo, ale také to, která data byla ovlivněna, zda byla data skutečně vyzrazena a jaká z toho vyplývají rizika. Nezávislé forenzní vyšetřování je pro tento účel často nezbytné.

To platí tím spíše v případě, že k útoku dochází u zpracovatele, nikoli u samotné organizace. V řízení o zkráceném řízení mezi Blauw Research a Nebu (Okresní soud v Rotterdamu, 6. dubna 2023, ECLI:NL:RBROT:2023:2931) soudce pro předběžné opatření rozhodl, že podle dohody o zpracování údajů uzavřené mezi stranami měl správce nárok na více informací o útoku, jeho důsledcích a přijatých opatřeních, než kolik mu bylo původně poskytnuto. Zpracovateli bylo rovněž nařízeno, aby provedl nezávislé forenzní vyšetřování a pravidelně podával zprávy. Rozsudek ukazuje, že dobře vypracovaná dohoda o zpracování údajů je v praxi nejdůležitějším nástrojem pro včasné získání informací po incidentu, a to právě proto, že správce tyto informace potřebuje k plnění svých vlastních oznamovacích povinností.

Kdy vzniká nárok na odškodnění?

Subjekty údajů mohou požadovat od správce nebo zpracovatele náhradu škody podle článku 82 GDPR. Kybernetický útok však automaticky nezakládá nárok na odškodnění. Nárok musí být doložen:

• že bylo porušeno GDPR;
• že škoda skutečně vznikla; a
• že mezi tímto porušením a touto škodou existuje příčinná souvislost.

Hmotná újma může zahrnovat finanční ztráty, náklady na vymáhání nebo ztrátu způsobenou podvodem s identitou. Pokud jde o nemajetkovou újmu, Soudní dvůr Evropské unie ve věci Österreichische Post (Soudní dvůr EU 4. května 2023, C-300/21) rozhodl, že neexistuje minimální prahová hodnota závažnosti, ale že samotné porušení GDPR nestačí k přiznání odškodnění.

Zvláštní význam pro úniky dat po kybernetickém útoku má případ Natsionalna agentsia za prihodite (Soudní dvůr EU 14. prosince 2023, C-340/21). V něm Soudní dvůr rozhodl, že obava z možného budoucího zneužití uniklých osobních údajů může sama o sobě představovat nemajetkovou újmu. Subjekt údajů však musí tuto obavu a její důsledky konkrétně doložit; pouhé poukázání na skutečnost, že došlo k úniku dat, nestačí. Ve stejném rozsudku Soudní dvůr potvrdil, že je na správci, aby prokázal, že přijatá bezpečnostní opatření byla vhodná, a že útok třetí strany sám o sobě správce nezbavuje odpovědnosti.

Odpovědnost podle GDPR existuje vedle občanskoprávních základů porušení smlouvy a občanskoprávního deliktu. Podle článku 6:162(1) nizozemského občanského zákoníku musí strana, která se dopustí protiprávního jednání, které lze připsat cizímu činu, nahradit způsobenou škodu. Platí požadavek relativity podle článku 6:163: porušená norma musí sloužit k ochraně před druhem škody, kterou poškozená strana utrpěla.

Důležité je, že článek 82 GDPR existuje vedle těchto důvodů. Subjekt údajů proto není povinen zakládat nárok pouze na porušení smlouvy nebo občanskoprávním deliktu, ale může se přímo spoléhat na samostatný důvod odpovědnosti, který GDPR poskytuje. Pro dotčenou organizaci tato kombinace důvodů znamená, že po útoku může nároky uplatnit několik stran současně.

Kdo může nést odpovědnost?

Dotčená organizace může nést odpovědnost, pokud neplní své smluvní závazky nebo nepřijala dostatečná bezpečnostní opatření. K odpovědnosti může být rovněž pohnán poskytovatel IT služeb nebo zpracovatel. Co se od daného poskytovatele služeb očekává, je určeno v první řadě smlouvou.

V rámci zpracovatelského vztahu hraje ústřední roli smlouva o zpracování údajů. Článek 28 GDPR vyžaduje, aby správce a zpracovatel uzavřeli takovou smlouvu, která mimo jiné upravuje bezpečnostní opatření a řešení narušení bezpečnosti údajů. Pokud je útok důsledkem nedostatečného zabezpečení u zpracovatele, může správce na základě této smlouvy požadovat od zpracovatele odpovědnost za vzniklou ztrátu.

To jasně vyplývá z případu týkajícího se kybernetického útoku na obec Hof van Twente (Okresní soud v Overijsselu, 10. května 2023, ECLI:NL:RBOVE:2023:1731). Strany se dohodly na funkčním monitorování, nikoli na bezpečnostním monitorování. Soud rozhodl, že povinnost péče správce IT nesahá tak daleko, aby bezpečnostní monitorování tvořilo implicitní součást úkolu funkčního monitorování, a zamítl žalobu obce. Zvážil také, že obec sama přijala rozhodnutí, která zvýšila riziko, včetně její politiky hesel a otevření portu RDP.

Zrcadlovým obrazem je případ O'Cliance (okresní soud Amsterdam, 14. listopadu 2018, ECLI:NL:RBAMS:2018:10124). Dodavatel tam nainstaloval kompletní IT infrastrukturu a převzal její správu. Po útoku ransomwaru, při kterém byly šifrovány i zálohy, soud rozhodl, že dodání takového kompletního balíčku s sebou neslo dalekosáhlou povinnost péče a že byla opomenuta jednoduchá opatření. Odpovědnost však nebyla přiznána v plné výši: z důvodu spoluzavinění zákazníka zůstaly dvě třetiny škody na účtu dodavatele.

Jak těžké může být důkazní břemeno týkající se odpovídajícího zabezpečení, ilustruje případ napadení e-mailového účtu prodejce automobilů. V mezitímním rozsudku ze dne 5. listopadu 2024 (Odvolací soud v Arnhem-Leeuwardenu, ECLI:NL:GHARL:2024:6812) dostal prodejce možnost prokázat, že jeho e-mailový účet byl řádně zabezpečen ve smyslu GDPR poté, co hacker tento účet použil k odeslání falešného platebního pokynu kupujícímu. V navazujícím rozsudku ze dne 22. července 2025 (ECLI:NL:GHARL:2025:4556) soud shledal, že tento důkaz nebyl doručen, a poté se strany stále musely zabývat spoluzaviněním kupujícího. Oba rozsudky se proto týkají stejného řízení.

Společným rysem je, že důležité jsou smluvní ujednání, rizika zpracování, skutečně přijatá opatření, varování učiněná na obou stranách a vlastní chování poškozené strany. Vedle občanskoprávní odpovědnosti Nizozemský úřad pro ochranu osobních údajů může uložit správní pokuty až do výše 20 milionů EUR nebo 4 procent celosvětového ročního obratu, podle toho, která částka je vyšší. Tyto pokuty jsou nezávislé na tom, zda jednotlivé subjekty údajů utrpěly újmu.

Cesta trestního práva

Kybernetický útok může také představovat trestný čin, jako je například vniknutí do počítače, znepřístupnění dat nebo přivlastnění si neveřejných dat. Článek 138ab(1) nizozemského trestního zákoníku stanoví za trestný čin úmyslné a nezákonné získání přístupu k automatizovanému systému.

Oběti mohou trestný čin nahlásit policii, která má specializované týmy pro kyberkriminalitu. Pokud je podezřelý stíhán, může se oběť zapojit do trestního řízení jako poškozená strana a požadovat odškodnění. Tato cesta se vyhýbá samostatnému občanskoprávnímu řízení, ale výsledek závisí na odhalení, stíhání a důkazech, což u mezinárodně působících pachatelů často nepřináší žádné výsledky. Pro organizace je hlášení často také praktickou nutností, protože o to požadují pojišťovny a partneři v dodavatelském řetězci.

Co kryje kybernetické pojištění?

Kybernetické pojištění může mimo jiné pokrývat:

• reakce na incidenty a forenzní vyšetřování;
• obnova systémů a dat;
• ztráty z přerušení provozu a ušlý obrat;
• krizová komunikace;
• odpovědnost vůči třetím stranám;
• náklady na právní zastoupení a
• v některých případech pokuty, vyrovnání nebo výkupné, v rozsahu pojistném podle platných právních předpisů.

Přesné krytí závisí na pojistce. Věnujte pozornost výlukám, bezpečnostním podmínkám, lhůtám pro oznámení, spoluúčasti a požadavkům na zapojení znalců. Článek 7:957(1) nizozemského občanského zákoníku rovněž zavazuje pojištěnou stranu k přijetí přiměřených opatření k zabránění ztrátě nebo jejímu omezení. Pokud není tato povinnost zachraňovat pojistné plnění dodržena, může pojistitel snížit výši pojistného plnění.

Kybernetická pojišťovna by proto měla být informována co nejdříve. Zapojení externích odborníků nebo zaplacení výkupného bez souhlasu pojistitele může ovlivnit krytí.

Co byste měli udělat ihned po kybernetickém útoku?

• Pečlivě zaznamenejte incident a všechny související kroky.
• Izolujte postižené systémy bez ztráty důkazů.
• Najměte si soudního znalce.
• Posuďte, zda došlo k narušení bezpečnosti dat, které podléhá oznamovací povinnosti.
• Posuďte, zda je nutné informovat subjekty údajů.
• Nahlaste přestupek policii.
• Oznamte incident své kybernetické pojišťovně.
• Uchovávejte protokoly, zálohy, e-maily a další relevantní data.
• Zmapujte škody a potenciálně odpovědné strany.
• Pečlivě a včas informujte zákazníky, zaměstnance a partnery v dodavatelském řetězci.

Kybernetický útok tedy není pouze technický incident. Je to také záležitost ochrany osobních údajů, občanského práva, trestního práva a pojišťovacího práva. Rychlá a dobře zdokumentovaná reakce nejen omezuje škody, ale je rozhodující pro oznámení, pojistné krytí a vaši důkazní pozici v jakémkoli řízení.

V závěru

Práva a povinnosti po kybernetickém útoku se vztahují na několik právních oblastí a výsledek případu do značné míry závisí na konkrétních skutečnostech, obsahu smlouvy a kvalitě záznamů. Z diskutované judikatury vyplývá, že dodavatel i zákazník jsou posuzováni podle svého vlastního chování a že lhůty, jako je sedmdesátidvahodinová lhůta pro oznámení, ponechávají jen malý prostor pro zpoždění.

Law & More pomáhá organizacím a subjektům údajů s právním řešením kybernetických incidentů: od posouzení oznamovacích povinností a přezkumu smluv o zpracování údajů až po stanovení odpovědnosti, pojistné záležitosti a vymáhání ztrát. Potýkáte se s kybernetickým útokem nebo únikem dat, nebo byste chtěli, aby vaše smlouvy byly předem posouzeny z hlediska těchto rizik naším IT právo tým? Neváhejte a Kontakt Law & More pro nezávaznou diskusi o vaší situaci.

Často kladené otázky

Níže odpovídáme na otázky, které nám k tomuto tématu dostávají nejčastěji.

Kdo jsou oběťmi kybernetického útoku?

Existují tři úrovně. Zaprvé, samotná postižená organizace, která nese náklady na výpadek systému, ušlý obrat, náklady na obnovu, náklady na forenzní vyšetřování a poškození pověsti. Zadruhé, subjekty údajů, tedy fyzické osoby, jejichž osobní údaje byly zveřejněny, jako jsou zákazníci, zaměstnanci a pacienti. Zatřetí, třetí strany, které utrpěly ztrátu v důsledku smluvního vztahu nebo vztahu v dodavatelském řetězci, například proto, že jsou závislé na dodavateli, který selhal. Tato klasifikace určuje, na jakém základě může strana uplatnit nárok a proti komu.

V jaké lhůtě musím oznámit narušení bezpečnosti dat?

Článek 33 GDPR vyžaduje oznámení dozorovému úřadu bez zbytečného odkladu a pokud možno do sedmdesáti dvou hodin od zjištění porušení. Tato povinnost se neuplatní, pokud je nepravděpodobné, že by porušení povedlo riziko pro práva a svobody fyzických osob. Toto posouzení vyžaduje analýzu povahy porušení, kategorií dotčených údajů a možných důsledků.

Kdy musím informovat samotné subjekty údajů?

Podle článku 34 GDPR, pokud porušení pravděpodobně povede k vysokému riziku pro práva a svobody subjektů údajů, může být komunikace upuštěna, pokud byla zavedena vhodná technická opatření, jako je šifrování, pokud následná opatření zajistí, že se vysoké riziko již neprojeví, nebo pokud by individuální komunikace vyžadovala nepřiměřené úsilí. V tomto druhém případě postačí veřejná komunikace.

Mohu si vynutit informace od dodavatele, který byl napaden hackery?

Ano, pokud to stanoví smlouva o zpracování údajů. V řízení o zkráceném řízení mezi Blauw Research a Nebu (Okresní soud v Rotterdamu, 6. dubna 2023, ECLI:NL:RBROT:2023:2931) soudce pro předběžné opatření rozhodl, že podle smlouvy o zpracování údajů měl správce nárok na více informací o útoku, jeho důsledcích a přijatých opatřeních, než jaké mu byly poskytnuty, a nařídil zpracovateli, aby provedl nezávislé forenzní vyšetřování a pravidelně podával zprávy. Tyto informace jsou nezbytné pro splnění vašich vlastních oznamovacích povinností.

Mám jako subjekt údajů automaticky nárok na odškodnění po úniku dat?

Ne. Článek 82 GDPR poskytuje samostatný základ, ale musíte prokázat, že GDPR bylo porušeno, že jste skutečně utrpěli škodu a že mezi porušením a touto škodou existuje příčinná souvislost. Důkazní břemeno leží na žalobci.

Kvalifikuje se strach z podvodu s identitou jako nemajetková újma?

Může. V případu Natsionalna agentsia za prihodite (SDEU 14. prosince 2023, C-340/21) Soudní dvůr rozhodl, že obava z možného budoucího zneužití úniku osobních údajů může sama o sobě představovat nemajetkovou újmu. Subjekt údajů však musí tuto obavu a její důsledky konkrétně doložit. Österreichische Post (SDEU 4. května 2023, C-300/21) dodává, že neexistuje minimální prahová hodnota závažnosti, ale že samotné porušení GDPR nestačí.

Kdo musí prokázat, že bezpečnostní opatření byla vhodná?

Správce. V případu C-340/21 Soudní dvůr potvrdil, že je na správci, aby prokázal, že přijatá bezpečnostní opatření byla vhodná, a že útok třetí strany jej sám o sobě nezbavuje odpovědnosti. V Nizozemsku se to stalo v případě napadení e-mailového účtu prodejce automobilů, kdy odvolací soud v Arnhem-Leeuwardenu nejprve dal prodejci možnost tento důkaz předložit (ECLI:NL:GHARL:2024:6812) a poté rozhodl, že nebyl předložen (ECLI:NL:GHARL:2025:4556).

Je můj IT dodavatel odpovědný, pokud útok neodhalil?

To záleží na tom, co bylo dohodnuto. V případě týkajícím se kybernetického útoku na obec Hof van Twente (Okresní soud Overijssel, 10. května 2023, ECLI:NL:RBOVE:2023:1731) se strany dohodly na funkčním monitorování, nikoli na bezpečnostním monitorování. Soud rozhodl, že povinnost péče správce IT nesahá tak daleko, aby bezpečnostní monitorování tvořilo její implicitní součást, a žalobu zamítl. V případě, že je poskytnut širší komplexní balíček, může být povinnost péče dalekosáhlá, jako v případu O'Cliance (Okresní soud Overijssel, 10. května 2023, ECLI:NL:RBOVE:2023:1731) Amsterdam, 14. listopadu 2018, ECLI:NL:RBAMS:2018:10124), kde byl dodavatel shledán odpovědným za dvě třetiny ztráty.

Může mé vlastní chování snížit odškodnění?

Ano. V těchto případech hraje opakovanou roli spoluzavinění. V případu O'Cliance zůstala jedna třetina ztráty na účtu zákazníka a v případě napadení e-mailového účtu musely strany řešit spoluzavinění kupujícího. Vaše vlastní zásady pro hesla, ponechané otevřené porty nebo ignorovaná varování proto mohou přímo ovlivnit výsledek.

Jaké pokuty může uložit úřad pro ochranu osobních údajů?

Za porušení GDPR může dozorový úřad uložit správní pokuty až do výše 20 milionů EUR nebo 4 procent celosvětového ročního obratu, podle toho, která částka je vyšší. Tyto pokuty jsou nezávislé na tom, zda jednotlivé subjekty údajů skutečně utrpěly škodu, a proto představují samostatné riziko vedle občanskoprávní odpovědnosti.

Mohu nahlásit trestný čin a uplatnit si náhradu škody v trestním řízení?

Ano. Článek 138ab(1) nizozemského trestního zákoníku stanoví trestný čin úmyslné a nezákonné získání přístupu k automatizovanému systému. Můžete trestný čin nahlásit policii a v případě, že je podezřelý stíhán, se do trestního řízení zapojit jako poškozená strana a požadovat odškodnění. Výsledek závisí na odhalení, stíhání a důkazech, což u mezinárodně působících pachatelů často nepřináší žádný výsledek.

Co obvykle kryje kybernetické pojištění?

Obvykle se jedná o reakci na incidenty a forenzní vyšetřování, obnovu systémů a dat, ztráty z přerušení provozu a ušlý obrat, krizovou komunikaci, odpovědnost vůči třetím stranám a právní náklady a v některých případech pokuty, vyrovnání nebo výkupné v rozsahu pojistitelném podle platných zákonů. Sledujte výjimky, bezpečnostní podmínky, lhůty pro oznámení a spoluúčasti a prostudujte si pojistku před vznikem incidentu.

Můžu po útoku ztratit krytí nesprávným jednáním?

To je možné. Článek 7:957(1) nizozemského občanského zákoníku zavazuje pojištěnou stranu přijmout přiměřená opatření k zabránění nebo omezení ztráty; pokud tato povinnost zachraňovat není dodržena, může pojistitel snížit výši pojistného plnění. Najmutí externích odborníků nebo zaplacení výkupného bez souhlasu pojistitele může také ovlivnit krytí. Co nejdříve informujte svou pojistitelku.

Jaké kroky mám podniknout ihned po kybernetickém útoku?

Zaznamenejte incident a všechna provedená opatření, izolujte postižené systémy bez ztráty důkazů a zapojte forenzního experta. Poté posuďte, zda došlo k narušení bezpečnosti dat, které podléhá oznamování, a zda je nutné informovat subjekty údajů. Nahlaste přestupek, informujte svého pojišťovnu kybernetických rizik, uchovávejte protokoly, zálohy a korespondenci, zmapujte škody a potenciálně odpovědné strany a pečlivě a včas informujte zákazníky, zaměstnance a partnery v dodavatelském řetězci.