سائبر حملوں کے متاثرین کے حقوق: اطلاع کے فرائض، معاوضہ اور انشورنس

ٹام میوس کے ذریعہ، اٹارنی ایٹ Law & More

سائبر حملے جیسے کہ ransomware، phishing، DDoS حملے اور کمپیوٹر میں دخل اندازی شاذ و نادر ہی حملے کی زد میں آنے والی تنظیم کو متاثر کرتی ہے۔ سائبر حملوں کے متاثرین میں گاہک، ملازمین، مریض، سپلائی کرنے والے اور سپلائی چین کے دیگر شراکت دار بھی شامل ہیں جنہیں نقصان ہو سکتا ہے، اور ان کی قانونی حیثیت گروپ سے دوسرے گروپ میں مختلف ہوتی ہے۔ جو کوئی بھی حملے کے بعد قائم کرنا چاہتا ہے، کون سی ذمہ داریاں لاگو ہوتی ہیں اور کون سے دعوے موجود ہیں، اس لیے اچھی طرح سے مشورہ دیا جاتا ہے کہ وہ پہلے اس بات کا تعین کرے کہ کون متاثر ہوا ہے اور کیا نقصان ہوا ہے۔

یہ مضمون بدلے میں اس بات کی نشاندہی کرتا ہے کہ کون شکار کے طور پر اہل ہے، جب ڈیٹا کی خلاف ورزی کی اطلاع دی جانی چاہیے، کن شرائط پر معاوضے کا حق موجود ہے، کون سے فریق ذمہ دار ہو سکتے ہیں، فوجداری قانون کیا کردار ادا کرتا ہے، سائبر انشورنس پالیسی عام طور پر کیا احاطہ کرتی ہے، اور حملے کے فوراً بعد کون سے اقدامات کیے جانے چاہئیں۔

سائبر حملوں کا شکار کون ہیں؟

سائبر حملے میں تین گروہوں کو پہچانا جا سکتا ہے۔

• خود متاثرہ تنظیم، جس کو سسٹم کے بند ہونے، کھوئے ہوئے کاروبار، بازیابی کے اخراجات، فرانزک تفتیش کی لاگت اور شہرت کے نقصان کا سامنا ہے۔
• قدرتی افراد جن کا ذاتی ڈیٹا سامنے آیا ہے، جیسے کہ گاہک، ملازمین اور مریض۔ وہ اپنے ڈیٹا پر کنٹرول کھو جانے، غیر یقینی صورتحال یا شناختی فراڈ کے خوف سے مالی نقصان کا شکار ہو سکتے ہیں، لیکن غیر مادی نقصان بھی۔
• تیسرے فریق جو معاہدہ یا سپلائی چین تعلقات کے ذریعے متاثر ہوتے ہیں، مثال کے طور پر کیونکہ وہ ایک ایسے سپلائر پر منحصر ہوتے ہیں جس کا سسٹم خراب ہو چکا ہے۔

یہ درجہ بندی قانونی طور پر متعلقہ ہے۔ کسی بھی دعوے کی بنیاد، اور اسے کس فریق کے خلاف لایا جا سکتا ہے، اس کا انحصار متاثرہ کے موقف پر ہے۔ ایک متاثرہ تنظیم عام طور پر اپنے IT فراہم کنندہ کو معاہدے کے تحت اکاؤنٹ میں رکھے گی، جب کہ ڈیٹا کا موضوع براہ راست اس ذمہ داری کے لیے اسٹینڈ تنہا بنیاد پر انحصار کر سکتا ہے جو GDPR فراہم کرتا ہے۔

ڈیٹا کی خلاف ورزی کی اطلاع کب ہونی چاہیے؟

جہاں ذاتی ڈیٹا سائبر حملے میں ملوث ہے، اس کا جائزہ لیا جانا چاہیے کہ آیا ذاتی ڈیٹا کی خلاف ورزی ہوئی ہے اور کیا اطلاع لازمی ہے۔ آرٹیکل 33 GDPR کی خلاف ورزی کی ضرورت ہے کہ بغیر کسی تاخیر کے نگران اتھارٹی کو مطلع کیا جائے اور جہاں ممکن ہو، 72 گھنٹے کے اندر، جب تک کہ خلاف ورزی کے نتیجے میں قدرتی افراد کے حقوق اور آزادیوں کو خطرہ نہ ہو۔

اس کے علاوہ، آرٹیکل 34 GDPR تنظیم سے ڈیٹا کے مضامین کو خود مطلع کرنے کا مطالبہ کر سکتا ہے۔ یہ ذمہ داری اس وقت پیدا ہوتی ہے جہاں خلاف ورزی کے نتیجے میں ان کے حقوق اور آزادیوں کو زیادہ خطرہ لاحق ہو سکتا ہے۔ مواصلات کو چھوڑا جا سکتا ہے جہاں مناسب تکنیکی اقدامات جیسے کہ خفیہ کاری کی جگہ موجود تھی، جہاں بعد کے اقدامات اس بات کو یقینی بناتے ہیں کہ زیادہ خطرہ مزید نہیں ہو گا، یا جہاں انفرادی مواصلات میں غیر متناسب کوشش شامل ہو گی۔ اس آخری صورت میں عوامی رابطہ کافی ہے۔

اعداد و شمار کے موضوع کے لئے یہ مواصلات ایک رسمی سے زیادہ ہے. یہ انہیں اپنے اقدامات کرنے کے قابل بناتا ہے، مثال کے طور پر پاس ورڈ تبدیل کر کے یا مشکوک لین دین کو دیکھ کر، اور عملی طور پر یہ اکثر معاوضے کے لیے کسی بھی دعوے کا نقطہ آغاز ہوتا ہے۔

اس لیے ایک تنظیم کو نہ صرف یہ ثابت کرنا چاہیے کہ حملہ ہوا ہے، بلکہ یہ بھی کہ کون سا ڈیٹا متاثر ہوا، آیا ڈیٹا حقیقت میں نکالا گیا، اور اس سے کیا خطرات لاحق ہیں۔ اس مقصد کے لیے ایک آزاد فرانزک تفتیش اکثر ناگزیر ہوتی ہے۔

یہ سب کچھ زیادہ لاگو ہوتا ہے جہاں حملہ خود تنظیم کے بجائے کسی پروسیسر پر ہوتا ہے۔ بلاؤ ریسرچ اور نیبو (ڈسٹرکٹ کورٹ آف روٹرڈیم، 6 اپریل 2023، ECLI:NL:RBROT:2023:2931) کے درمیان خلاصہ کارروائی میں عبوری ریلیف جج نے کہا کہ، فریقین کے درمیان طے پانے والے ڈیٹا پروسیسنگ معاہدے کے تحت، کنٹرولر حملے کے بارے میں مزید معلومات کا حقدار تھا اور ابتدائی طور پر اس کے نتائج فراہم کیے گئے تھے۔ پروسیسر کو یہ بھی حکم دیا گیا تھا کہ وہ آزادانہ فرانزک تحقیقات کرائے اور وقتاً فوقتاً رپورٹ کرے۔ فیصلے سے پتہ چلتا ہے کہ ایک اچھی طرح سے تیار کردہ ڈیٹا پروسیسنگ معاہدہ عملی طور پر کسی واقعے کے بعد وقت پر معلومات حاصل کرنے کا سب سے اہم ذریعہ ہے، خاص طور پر اس وجہ سے کہ کنٹرولر کو اس معلومات کی ضرورت اپنے نوٹیفکیشن کے فرائض ادا کرنے کے لیے ہوتی ہے۔

معاوضے کا حق کب پیدا ہوتا ہے؟

ڈیٹا مضامین آرٹیکل 82 GDPR کے تحت کنٹرولر یا پروسیسر سے معاوضے کا دعوی کر سکتے ہیں۔ تاہم، سائبر حملہ خود بخود کسی دعوے کو جنم نہیں دیتا۔ یہ ثابت ہونا ضروری ہے:

• کہ GDPR کی خلاف ورزی کی گئی ہے۔
• کہ نقصان دراصل ہوا ہے۔ اور
• کہ اس خلاف ورزی اور اس نقصان کے درمیان ایک وجہ ربط ہے۔

مادی نقصان مالی نقصانات، بازیابی کے اخراجات یا شناختی فراڈ کی وجہ سے ہونے والے نقصان پر مشتمل ہو سکتا ہے۔ غیر مادی نقصان کے بارے میں، یورپی یونین کی کورٹ آف جسٹس نے Österreichische Post (CJEU 4 مئی 2023, C-300/21) میں کہا کہ سنجیدگی کی کوئی کم از کم حد نہیں ہے، لیکن یہ کہ اکیلے GDPR کی خلاف ورزی ایوارڈ کے لیے کافی نہیں ہے۔

سائبر حملے کے بعد ڈیٹا کی خلاف ورزیوں سے متعلق خاص طور پر Natsionalna agentsia za prihodite (CJEU 14 دسمبر 2023، C-340/21) ہے۔ وہاں عدالت نے کہا کہ لیک ہونے والے ذاتی ڈیٹا کے مستقبل میں ممکنہ غلط استعمال کا خدشہ اپنے آپ میں غیر مادی نقصان کو تشکیل دے سکتا ہے۔ تاہم، ڈیٹا کے موضوع کو اس خوف اور اس کے نتائج کو ٹھوس طور پر ثابت کرنا چاہیے۔ صرف اس حقیقت کی طرف اشارہ کرنا کہ ڈیٹا لیک ہو گیا ہے کافی نہیں ہے۔ اسی فیصلے میں عدالت نے اس بات کی تصدیق کی کہ کنٹرولر کے لیے یہ ثابت کرنا ہے کہ حفاظتی اقدامات مناسب تھے، اور یہ کہ کسی تیسرے فریق کا حملہ خود کنٹرولر کو ذمہ داری سے مستثنیٰ نہیں کرتا۔

GDPR کے تحت ذمہ داری معاہدے کی خلاف ورزی اور تشدد کے شہری قانون کے اڈوں کے ساتھ موجود ہے۔ ڈچ سول کوڈ کے آرٹیکل 6:162(1) کے تحت، کسی غیر قانونی فعل کا ارتکاب کرنے والے فریق کو ہونے والے نقصان کی تلافی کرنی چاہیے۔ آرٹیکل 6:163 کی رشتہ داری کی ضرورت لاگو ہوتی ہے: خلاف ورزی کرنے والے معمول کو زخمی فریق کو پہنچنے والے نقصان کے خلاف تحفظ فراہم کرنا چاہیے۔

اہم بات یہ ہے کہ آرٹیکل 82 جی ڈی پی آر ان اڈوں کے ساتھ موجود ہے۔ اس لیے ڈیٹا کا موضوع صرف معاہدہ کی خلاف ورزی یا تشدد پر دعویٰ تلاش کرنے کا پابند نہیں ہے، لیکن جی ڈی پی آر کی جانب سے فراہم کردہ ذمہ داری کے لیے اسٹینڈ اکیلے بنیادوں پر براہ راست انحصار کر سکتا ہے۔ متاثرہ تنظیم کے لیے، اڈوں کے اس امتزاج کا مطلب یہ ہے کہ حملے کے بعد کئی فریق ایک ہی وقت میں دعوے لے سکتے ہیں۔

کون ذمہ دار ہو سکتا ہے؟

متاثرہ تنظیم ذمہ دار ہو سکتی ہے جہاں وہ اپنی معاہدہ کی ذمہ داریاں نبھانے میں ناکام ہو جاتی ہے یا ناکافی حفاظتی اقدامات اٹھاتی ہے۔ آئی ٹی سروس فراہم کرنے والے یا پروسیسر کو بھی حساب میں رکھا جا سکتا ہے۔ اس سروس فراہم کنندہ سے کیا توقع کی جا سکتی ہے اس کا تعین سب سے پہلے معاہدہ کے ذریعے کیا جاتا ہے۔

پروسیسنگ تعلقات میں ڈیٹا پروسیسنگ معاہدہ مرکزی کردار ادا کرتا ہے۔ آرٹیکل 28 GDPR کنٹرولر اور پروسیسر سے اس طرح کے ایک معاہدے کو انجام دینے کا تقاضا کرتا ہے، جس میں دیگر چیزوں کے ساتھ ساتھ حفاظتی اقدامات اور ڈیٹا کی خلاف ورزیوں کو سنبھالنا شامل ہے۔ جہاں حملہ پروسیسر پر ناکافی سیکیورٹی کے نتیجے میں ہوتا ہے، کنٹرولر اس معاہدے کے تحت نتیجے میں ہونے والے نقصان کے لیے پروسیسر کو روک سکتا ہے۔

یہ ہوف وین ٹوینٹے کی میونسپلٹی (ڈسٹرکٹ کورٹ آف اووریجسل، 10 مئی 2023، ECLI:NL:RBOVE:2023:1731) پر سائبر حملے سے متعلق کیس سے تیزی سے ابھرتا ہے۔ فریقین نے حفاظتی نگرانی پر نہیں بلکہ فعال نگرانی پر اتفاق کیا تھا۔ عدالت نے کہا کہ آئی ٹی ایڈمنسٹریٹر کی دیکھ بھال کی ڈیوٹی اس حد تک نہیں بڑھی ہے کہ سیکیورٹی مانیٹرنگ فنکشنل مانیٹرنگ کے لیے اسائنمنٹ کا ایک جزوی حصہ بنتی ہے، اور میونسپلٹی کے دعوے کو مسترد کر دیا۔ اس کا وزن یہ بھی تھا کہ میونسپلٹی نے خود ایسے فیصلے کیے تھے جن سے اس کی پاس ورڈ پالیسی اور آر ڈی پی پورٹ کا افتتاح بھی شامل ہے۔

آئینے کی تصویر O'Cliance کیس ہے (ضلعی عدالت Amsterdam, 14 نومبر 2018, ECLI:NL:RBAMS:2018:10124)۔ وہاں سپلائر نے ایک مکمل IT انفراسٹرکچر لگایا تھا اور اس کا انتظام سنبھال لیا تھا۔ رینسم ویئر حملے کے بعد جس میں بیک اپ کو بھی انکرپٹ کیا گیا تھا، عدالت نے کہا کہ اس طرح کے کل پیکج کی فراہمی میں دیکھ بھال کا ایک دور رس فرض ہے اور یہ کہ سیدھے سادے اقدامات کو چھوڑ دیا گیا تھا۔ ذمہ داری مکمل طور پر ادا نہیں کی گئی، تاہم: گاہک کی شراکتی غلطی کی وجہ سے، نقصان کا دو تہائی حصہ سپلائر کے اکاؤنٹ کے لیے رہ گیا۔

مناسب سیکورٹی پر ثبوت کا بوجھ کتنا بھاری ہو سکتا ہے اس کی مثال کار ڈیلر کے ہیک ہونے والے ای میل اکاؤنٹ کے معاملے سے ملتی ہے۔ 5 نومبر 2024 کے عبوری فیصلے میں (کورٹ آف اپیل آف Arnhem-Leuwarden, ECLI:NL:GHARL:2024:6812) ڈیلر کو یہ ثابت کرنے کا موقع دیا گیا کہ اس کا ای میل اکاؤنٹ GDPR کے معنی میں مناسب طور پر محفوظ کیا گیا تھا، جب ہیکر نے اس اکاؤنٹ کو غلط ادائیگی بھیجنے کے لیے استعمال کیا تھا۔ 22 جولائی 2025 (ECLI:NL:GHARL:2025:4556) کے فالو اپ فیصلے میں عدالت نے پایا کہ یہ ثبوت فراہم نہیں کیا گیا تھا، جس کے بعد فریقین کو خریدار کی شراکتی غلطی کا ازالہ کرنا باقی تھا۔ لہذا دونوں فیصلے ایک ہی کارروائی سے متعلق ہیں۔

مشترکہ دھاگہ یہ ہے کہ معاہدے کے انتظامات، پروسیسنگ کے خطرات، درحقیقت اٹھائے گئے اقدامات، دونوں طرف سے دی گئی وارننگز اور زخمی فریق کا اپنا طرز عمل سب اہم ہے۔ شہری ذمہ داری کے ساتھ ساتھ، ڈچ ڈیٹا پروٹیکشن اتھارٹی 20 ملین یورو تک یا دنیا بھر کے سالانہ کاروبار کا 4 فیصد، جو بھی زیادہ ہو، کے انتظامی جرمانے عائد کر سکتی ہے۔ یہ جرمانے اس بات سے آزاد ہیں کہ آیا انفرادی ڈیٹا کے مضامین کو نقصان پہنچا ہے۔

فوجداری قانون کا راستہ

سائبر حملہ ایک مجرمانہ جرم بھی بن سکتا ہے، جیسے کمپیوٹر میں دخل اندازی، ڈیٹا کو ناقابل رسائی قرار دینا یا غیر عوامی ڈیٹا کو مختص کرنا۔ ڈچ ضابطہ فوجداری کا آرٹیکل 138ab(1) جان بوجھ کر اور غیر قانونی طور پر خودکار نظام تک رسائی حاصل کرنے کو جرم قرار دیتا ہے۔

متاثرین جرم کی اطلاع پولیس کو دے سکتے ہیں، جس کے پاس سائبر کرائم کی خصوصی ٹیمیں ہیں۔ جہاں ایک مشتبہ شخص پر مقدمہ چلایا جاتا ہے، ایک متاثرہ فرد ایک زخمی فریق کے طور پر مجرمانہ کارروائی میں شامل ہو سکتا ہے اور وہاں معاوضے کا دعویٰ کر سکتا ہے۔ یہ راستہ الگ الگ دیوانی کارروائیوں سے گریز کرتا ہے، لیکن نتیجہ پتہ لگانے، استغاثہ اور شواہد پر منحصر ہوتا ہے، جس کا بین الاقوامی سطح پر کام کرنے والے مجرموں کے ساتھ اکثر کوئی نتیجہ نہیں نکلتا۔ تنظیموں کے لیے، رپورٹنگ بھی اکثر ایک عملی ضرورت ہوتی ہے، کیونکہ بیمہ کنندگان اور سپلائی چین کے شراکت دار اس کے لیے کہتے ہیں۔

سائبر انشورنس کا احاطہ کیا ہے؟

سائبر انشورنس پالیسی دیگر چیزوں کے ساتھ ساتھ کور فراہم کر سکتی ہے:

• واقعہ کا ردعمل اور فرانزک تحقیقات؛
• نظام اور ڈیٹا کی بحالی؛
• کاروبار میں رکاوٹ کے نقصانات اور کاروبار میں کمی؛
• بحران مواصلات؛
• تیسرے فریق کے لیے ذمہ داری؛
• قانونی اخراجات؛ اور
• کچھ معاملات میں جرمانے، تصفیہ کی ادائیگی یا تاوان، قابل اطلاق قانون کے تحت بیمہ کی حد تک۔

درست کور پالیسی پر منحصر ہے۔ اخراج، حفاظتی حالات، نوٹیفکیشن کی مدت، کٹوتیوں اور مشغول ماہرین کی ضروریات پر توجہ دیں۔ ڈچ سول کوڈ کا آرٹیکل 7:957(1) بھی بیمہ شدہ فریق کو نقصان کو روکنے یا محدود کرنے کے لیے معقول اقدامات کرنے کا پابند کرتا ہے۔ جہاں بچاؤ کے اس فرض کا مشاہدہ نہیں کیا جاتا ہے، بیمہ کنندہ ادائیگی کو کم کر سکتا ہے۔

اس لیے سائبر بیمہ کنندہ کو جلد از جلد مطلع کیا جانا چاہیے۔ بیرونی ماہرین کو شامل کرنا یا بیمہ کنندہ کی رضامندی کے بغیر تاوان کی ادائیگی کور کو متاثر کر سکتی ہے۔

سائبر حملے کے فوراً بعد آپ کو کیا کرنا چاہیے؟

• واقعہ اور تمام متعلقہ کارروائیوں کو احتیاط سے ریکارڈ کریں۔
• متاثرہ نظاموں کو ثبوت کھونے کے بغیر الگ تھلگ کریں۔
• فرانزک ماہر سے رابطہ کریں۔
• اس بات کا اندازہ لگائیں کہ آیا کوئی قابل اطلاع ڈیٹا کی خلاف ورزی ہے۔
• اندازہ لگائیں کہ آیا ڈیٹا کے مضامین کو مطلع کرنا ضروری ہے۔
• پولیس کو جرم کی اطلاع دیں۔
• اپنے سائبر بیمہ کنندہ کو واقعے کی اطلاع دیں۔
• لاگز، بیک اپ، ای میلز اور دیگر متعلقہ ڈیٹا کو محفوظ کریں۔
• نقصان اور ممکنہ طور پر ذمہ دار فریقوں کا نقشہ بنائیں۔
• گاہکوں، ملازمین اور سپلائی چین کے شراکت داروں کو احتیاط سے اور اچھے وقت میں مطلع کریں۔

اس لیے سائبر حملہ محض ایک تکنیکی واقعہ نہیں ہے۔ یہ ڈیٹا پروٹیکشن، سول لاء، فوجداری قانون اور انشورنس قانون کا معاملہ بھی ہے۔ تیز رفتار اور اچھی طرح سے دستاویزی جواب نہ صرف نقصان کو محدود کرتا ہے، بلکہ اطلاعات، انشورنس کور اور کسی بھی کارروائی میں آپ کی واضح پوزیشن کے لیے فیصلہ کن ہے۔

بند ہونے میں

سائبر حملے کے بعد حقوق اور ذمہ داریاں قانون کے کئی شعبوں میں پھیلی ہوئی ہیں، اور کیس کا نتیجہ خاصی حقائق، معاہدے کے مواد اور ریکارڈ کے معیار پر بہت زیادہ انحصار کرتا ہے۔ زیر بحث کیس کے قانون سے پتہ چلتا ہے کہ سپلائر اور گاہک کا فیصلہ ان کے اپنے طرز عمل پر کیا جاتا ہے، اور یہ کہ آخری تاریخ جیسے کہ 72 گھنٹے کی اطلاع کی مدت میں تاخیر کی کوئی گنجائش نہیں ہے۔

Law & More سائبر واقعات کی قانونی ہینڈلنگ میں تنظیموں اور ڈیٹا کے مضامین کی مدد کرتا ہے: نوٹیفکیشن ڈیوٹی کا اندازہ لگانے اور ڈیٹا پروسیسنگ کے معاہدوں کا جائزہ لینے سے لے کر ذمہ داری کے قیام، انشورنس کے مسائل اور نقصانات کی وصولی تک۔ کیا آپ سائبر حملے یا ڈیٹا کی خلاف ورزی سے نمٹ رہے ہیں، یا کیا آپ چاہتے ہیں کہ آپ کے معاہدوں کا ان خطرات کے خلاف ہماری طرف سے پیشگی جائزہ لیا جائے۔ آئی ٹی قانون ٹیم؟ براہ مہربانی بلا جھجھک رابطہ کریں Law & More آپ کی صورتحال کے بارے میں غیر ذمہ دارانہ بحث کے لئے۔

اکثر پوچھے گئے سوالات

ذیل میں ہم ان سوالات کے جوابات دیتے ہیں جو ہم سے اکثر اس موضوع پر پوچھے جاتے ہیں۔

سائبر حملے کا نشانہ کون ہیں؟

تین پرتیں ہیں۔ سب سے پہلے، متاثرہ تنظیم خود، جو سسٹم کا ڈاؤن ٹائم، کھوئے ہوئے کاروبار، بازیابی کے اخراجات، فرانزک تفتیش کی لاگت اور شہرت کو نقصان پہنچاتی ہے۔ دوسرا، ڈیٹا کے مضامین، قدرتی افراد جن کا ذاتی ڈیٹا سامنے آیا ہے، جیسے کہ گاہک، ملازمین اور مریض۔ تیسرا، تیسرے فریق کو معاہدہ یا سپلائی چین تعلقات کے ذریعے نقصان کا سامنا کرنا پڑتا ہے، مثال کے طور پر کیونکہ وہ کسی ایسے سپلائر پر انحصار کرتے ہیں جو نیچے چلا گیا ہے۔ یہ درجہ بندی اس بات کا تعین کرتی ہے کہ فریق کس بنیاد پر دعویٰ لا سکتا ہے، اور کس کے خلاف۔

مجھے کس مدت کے اندر ڈیٹا کی خلاف ورزی کی اطلاع دینی چاہیے؟

آرٹیکل 33 جی ڈی پی آر کو بغیر کسی تاخیر کے نگران اتھارٹی کو اطلاع دینے کی ضرورت ہے اور جہاں ممکن ہو، خلاف ورزی کے بارے میں آگاہ ہونے کے 72 گھنٹے کے اندر۔ ڈیوٹی کا اطلاق نہیں ہوتا ہے جہاں خلاف ورزی کے نتیجے میں قدرتی افراد کے حقوق اور آزادیوں کو خطرہ لاحق ہونے کا امکان نہیں ہے۔ اس تشخیص میں خلاف ورزی کی نوعیت، متاثرہ ڈیٹا کے زمرے اور ممکنہ نتائج کے تجزیہ کا مطالبہ کیا گیا ہے۔

مجھے خود ڈیٹا کے مضامین کو کب مطلع کرنا چاہیے؟

آرٹیکل 34 GDPR کے تحت، جہاں خلاف ورزی کے نتیجے میں ڈیٹا کے مضامین کے حقوق اور آزادیوں کو زیادہ خطرہ لاحق ہو سکتا ہے۔ مواصلات کو چھوڑا جا سکتا ہے جہاں مناسب تکنیکی اقدامات جیسے کہ خفیہ کاری کی جگہ موجود تھی، جہاں بعد کے اقدامات اس بات کو یقینی بناتے ہیں کہ زیادہ خطرہ اب مکمل نہیں ہو گا، یا جہاں انفرادی مواصلات میں غیر متناسب کوشش شامل ہو گی۔ اس آخری معاملے میں عوامی رابطہ کافی ہے۔

کیا میں کسی ایسے سپلائر سے معلومات کو مجبور کر سکتا ہوں جسے ہیک کیا گیا ہو؟

ہاں، جہاں ڈیٹا پروسیسنگ کا معاہدہ اس کے لیے فراہم کرتا ہے۔ بلاؤ ریسرچ اور نیبو (ڈسٹرکٹ کورٹ آف روٹرڈیم، 6 اپریل 2023، ECLI:NL:RBROT:2023:2931) کے درمیان خلاصے کی کارروائی میں عبوری ریلیف جج نے کہا کہ ڈیٹا پروسیسنگ معاہدے کے تحت کنٹرولر کو حملے کے بارے میں مزید معلومات حاصل کرنے کا حق ہے، اس کے نتائج اور تحقیقات کے لیے ضروری اقدامات کیے گئے تھے، اس سے زیادہ تفتیش کے لیے اقدامات کیے گئے تھے۔ باہر اور وقتا فوقتا رپورٹ کرنا۔ یہ معلومات آپ کے اپنے نوٹیفکیشن کے فرائض کی انجام دہی کے لیے درکار ہے۔

ڈیٹا کے موضوع کے طور پر، کیا میں ڈیٹا کی خلاف ورزی کے بعد خود بخود معاوضے کا حقدار ہوں؟

نمبر۔ آرٹیکل 82 جی ڈی پی آر ایک الگ بنیاد فراہم کرتا ہے، لیکن آپ کو یہ ثابت کرنا چاہیے کہ جی ڈی پی آر کی خلاف ورزی ہوئی ہے، کہ آپ کو درحقیقت نقصان پہنچا ہے، اور یہ کہ خلاف ورزی اور اس نقصان کے درمیان ایک وجہ ربط ہے۔ ثبوت کا بوجھ دعویدار پر ہے۔

کیا شناخت کی دھوکہ دہی کا خوف غیر مادی نقصان کے طور پر اہل ہے؟

ہو سکتا ہے۔ Natsionalna agentsia za prihodite (CJEU 14 دسمبر 2023, C-340/21) میں عدالت انصاف نے فیصلہ کیا کہ لیک ہونے والے ذاتی ڈیٹا کے مستقبل میں ممکنہ غلط استعمال کا خدشہ اپنے آپ میں غیر مادی نقصان کو تشکیل دے سکتا ہے۔ تاہم، ڈیٹا کے موضوع کو اس خوف اور اس کے نتائج کو ٹھوس طور پر ثابت کرنا چاہیے۔ Österreichische Post (CJEU 4 مئی 2023, C-300/21) مزید کہتا ہے کہ سنجیدگی کی کوئی کم از کم حد نہیں ہے، لیکن صرف GDPR کی خلاف ورزی کافی نہیں ہے۔

کس نے ثابت کرنا ہے کہ حفاظتی اقدامات مناسب تھے؟

کنٹرولر۔ C-340/21 میں کورٹ آف جسٹس نے اس بات کی تصدیق کی کہ یہ کنٹرولر کے لیے ہے کہ وہ یہ ظاہر کرے کہ حفاظتی اقدامات مناسب تھے، اور یہ کہ کسی تیسرے فریق کا حملہ خود اسے ذمہ داری سے مستثنیٰ نہیں کرتا ہے۔ نیدرلینڈز میں یہ ایک کار ڈیلر کے ہیک ہونے والے ای میل اکاؤنٹ کے معاملے میں ہوا، جہاں Arnhem-Leuwarden کی اپیل کی عدالت نے پہلے ڈیلر کو یہ ثبوت پیش کرنے کا موقع دیا (ECLI:NL:GHARL:2024:6812) اور پھر کہا کہ اسے پیش نہیں کیا گیا تھا (ECLI:NL:256)۔

کیا میرا IT سپلائر ذمہ دار ہے اگر وہ حملے کا پتہ لگانے میں ناکام رہا؟

یہ اس بات پر منحصر ہے کہ کیا اتفاق ہوا ہے۔ ہوف وان ٹوینٹے کی میونسپلٹی پر سائبر حملے کے معاملے میں (ڈسٹرکٹ کورٹ آف اووریجسل، 10 مئی 2023، ECLI:NL:RBOVE:2023:1731) فریقین نے سیکیورٹی مانیٹرنگ پر نہیں بلکہ فعال نگرانی پر اتفاق کیا تھا۔ عدالت نے کہا کہ آئی ٹی ایڈمنسٹریٹر کی دیکھ بھال کی ذمہ داری اس حد تک نہیں بڑھی ہے کہ سیکیورٹی مانیٹرنگ اس کا ایک جزوی حصہ بن جائے، اور اس دعوے کو مسترد کردیا۔ جہاں ایک وسیع تر کل پیکج فراہم کیا جاتا ہے، دیکھ بھال کا فرض اس کے بجائے دور رس ہوسکتا ہے، جیسا کہ O'Cliance (ضلعی عدالت) Amsterdam, 14 نومبر 2018، ECLI:NL:RBAMS:2018:10124)، جہاں سپلائر کو دو تہائی نقصان کا ذمہ دار ٹھہرایا گیا۔

کیا میرا اپنا طرز عمل معاوضہ کم کر سکتا ہے؟

جی ہاں Contributory فالٹ ان معاملات میں بار بار آنے والا کردار ادا کرتا ہے۔ O'Cliance میں نقصان کا ایک تہائی گاہک کے اکاؤنٹ کے لیے رہ گیا، اور ہیک ہونے والے ای میل اکاؤنٹ کے معاملے میں فریقین کو خریدار کی شراکتی غلطی کو دور کرنے کی ضرورت تھی۔ آپ کی اپنی پاس ورڈ کی پالیسی، بندرگاہوں کو کھلا چھوڑ دیا گیا یا انتباہات کو نظر انداز کر دیا گیا اس لیے براہ راست نتائج میں شامل ہو سکتے ہیں۔

ڈیٹا پروٹیکشن اتھارٹی کیا جرمانے عائد کر سکتی ہے؟

GDPR کی خلاف ورزیوں پر نگران اتھارٹی 20 ملین یورو تک یا دنیا بھر کے سالانہ کاروبار کا 4 فیصد، جو بھی زیادہ ہو، انتظامی جرمانہ عائد کر سکتی ہے۔ یہ جرمانے اس بات سے آزاد ہیں کہ آیا انفرادی ڈیٹا کے مضامین کو واقعی نقصان پہنچا ہے اور اس وجہ سے شہری ذمہ داری کے ساتھ الگ خطرے کی نمائندگی کرتے ہیں۔

کیا میں جرم کی اطلاع دے سکتا ہوں اور فوجداری کارروائی کے ذریعے اپنے نقصان کا دعویٰ کر سکتا ہوں؟

جی ہاں ڈچ ضابطہ فوجداری کا آرٹیکل 138ab(1) جان بوجھ کر اور غیر قانونی طور پر خودکار نظام تک رسائی حاصل کرنے کو جرم قرار دیتا ہے۔ آپ پولیس کو جرم کی اطلاع دے سکتے ہیں اور، جہاں ایک مشتبہ شخص پر مقدمہ چلایا جاتا ہے، وہاں معاوضے کا دعوی کرنے کے لیے ایک زخمی فریق کے طور پر مجرمانہ کارروائی میں شامل ہو سکتے ہیں۔ نتیجہ پتہ لگانے، استغاثہ اور شواہد پر منحصر ہے، جس کا بین الاقوامی سطح پر کام کرنے والے مجرموں کے ساتھ اکثر کوئی نتیجہ نہیں نکلتا۔

سائبر انشورنس عام طور پر کیا احاطہ کرتا ہے؟

عام طور پر واقعے کا ردعمل اور فرانزک تفتیش، سسٹمز اور ڈیٹا کی بحالی، کاروبار میں رکاوٹ کے نقصانات اور گمشدہ ٹرن اوور، بحرانی مواصلات، فریق ثالث کے لیے ذمہ داری اور قانونی اخراجات، اور کچھ معاملات میں جرمانے، تصفیہ کی ادائیگی یا قابل اطلاق قانون کے تحت بیمہ کی حد تک تاوان۔ اخراج، حفاظتی حالات، نوٹیفکیشن کی مدت اور کٹوتیوں پر نظر رکھیں، اور کوئی واقعہ پیش آنے سے پہلے پالیسی کا جائزہ لیں۔

کیا میں حملے کے بعد غلط کام کرنے سے کور کھو سکتا ہوں؟

ایسا ممکن ہے۔ ڈچ سول کوڈ کا آرٹیکل 7:957(1) بیمہ شدہ فریق کو نقصان کو روکنے یا محدود کرنے کے لیے معقول اقدامات کرنے کا پابند کرتا ہے۔ جہاں بچاؤ کے اس فرض کا مشاہدہ نہیں کیا جاتا ہے، بیمہ کنندہ ادائیگی کو کم کر سکتا ہے۔ بیرونی ماہرین کو شامل کرنا یا بیمہ کنندہ کی رضامندی کے بغیر تاوان ادا کرنا بھی کور کو متاثر کر سکتا ہے۔ جتنی جلدی ممکن ہو اپنے بیمہ کنندہ کو مطلع کریں۔

سائبر حملے کے فوراً بعد مجھے کیا اقدامات کرنے چاہئیں؟

واقعے اور کیے گئے تمام اقدامات کو ریکارڈ کریں، متاثرہ نظام کو ثبوت کھونے کے بغیر الگ تھلگ کریں، اور فرانزک ماہر کو شامل کریں۔ پھر اس بات کا جائزہ لیں کہ آیا کوئی قابل اطلاع ڈیٹا کی خلاف ورزی ہے اور آیا ڈیٹا کے مضامین کو مطلع کرنا ضروری ہے۔ جرم کی اطلاع دیں، اپنے سائبر بیمہ کنندہ کو مطلع کریں، لاگ، بیک اپ اور خط و کتابت کو محفوظ رکھیں، نقصان اور ممکنہ طور پر ذمہ دار فریقوں کا نقشہ بنائیں، اور گاہکوں، ملازمین اور سپلائی چین کے شراکت داروں کو احتیاط سے اور اچھے وقت میں مطلع کریں۔