ความปลอดภัยทางไซเบอร์และความรับผิดในเนเธอร์แลนด์: คำอธิบายเกี่ยวกับความรับผิดชอบต่อการรั่วไหลของข้อมูล

การรั่วไหลของข้อมูลเกิดขึ้นทุกวันในเนเธอร์แลนด์ และเมื่อเกิดขึ้นแล้ว ก็ต้องมีคนรับผิดชอบ

ภายใต้กฎหมายของเนเธอร์แลนด์และ GDPR องค์กรที่ควบคุมข้อมูลส่วนบุคคลมีหน้าที่หลักในการปกป้องข้อมูลดังกล่าว และต้องรับผิดชอบอย่างมากเมื่อเกิดการละเมิดหากธุรกิจของคุณถูกโจมตีทางไซเบอร์คุณอาจต้องเสียค่าปรับสูงถึง 20 ล้านยูโร หรือ 4% ของรายได้ประจำปีทั่วโลก ขึ้นอยู่กับว่าจำนวนใดสูงกว่า

การทำความเข้าใจว่าใครเป็นผู้รับผิดชอบหลังจากการรั่วไหลของข้อมูลเป็นสิ่งสำคัญสำหรับองค์กรใดๆ ที่ดำเนินงานในเนเธอร์แลนด์ คำตอบนั้นไม่ง่ายเสมอไป เนื่องจากความรับผิดชอบอาจขยายไปไกลกว่าบริษัทของคุณ รวมถึงผู้ให้บริการภายนอก พนักงาน และบุคคลอื่นๆ ที่เกี่ยวข้องกับการประมวลผลข้อมูล

หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์และหน่วยงานกำกับดูแลอื่นๆ จะพิจารณาความรับผิดชอบโดยอิงจากบทบาทของคุณในฐานะผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูล มาตรการรักษาความปลอดภัยที่คุณมีอยู่ และความรวดเร็วในการตอบสนองต่อเหตุการณ์

บทความนี้จะอธิบายกรอบกฎหมายที่ควบคุมความปลอดภัยทางไซเบอร์ในประเทศเนเธอร์แลนด์ และอธิบายวิธีการกำหนดความรับผิดหลังจากเกิดการละเมิด คุณจะได้เรียนรู้เกี่ยวกับภาระผูกพันในการแจ้งเตือน บทลงโทษที่คุณต้องเผชิญหากไม่ปฏิบัติตาม และขั้นตอนปฏิบัติที่คุณสามารถดำเนินการเพื่อปกป้ององค์กรของคุณจากทั้งการโจมตีทางไซเบอร์และผลกระทบทางกฎหมาย

กรอบกฎหมายว่าด้วยความมั่นคงทางไซเบอร์และการคุ้มครองข้อมูล

ประเทศเนเธอร์แลนด์ดำเนินงานภายใต้กฎหมายด้านความปลอดภัยทางไซเบอร์และการคุ้มครองข้อมูลหลายระดับ โดยผสมผสานกฎระเบียบระดับสหภาพยุโรปเข้ากับกฎหมายระดับชาติ กฎหมายเหล่านี้กำหนดภาระผูกพันที่ชัดเจนสำหรับองค์กรที่จัดการข้อมูลส่วนบุคคลและดำเนินงานโครงสร้างพื้นฐานที่สำคัญ

พวกเขาได้กำหนดข้อกำหนดเฉพาะสำหรับภาคส่วนต่างๆ รวมถึงโทรคมนาคม การเงิน และการบังคับใช้กฎหมาย

ระเบียบว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลทั่วไป (GDPR) และการนำไปใช้ในประเทศเนเธอร์แลนด์

GDPR เป็นกรอบการคุ้มครองข้อมูล หลักทั่วทั้งสหภาพยุโรป รวมถึงประเทศเนเธอร์แลนด์ โดยกำหนดกฎเกณฑ์ที่ครอบคลุมสำหรับการประมวลผลข้อมูลส่วนบุคคล และกำหนดให้องค์กร ต่างๆต้องใช้มาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อปกป้องข้อมูล

เนเธอร์แลนด์ได้นำ GDPR มาใช้ผ่านทางกฎหมายว่าด้วยการบังคับใช้ GDPR ของเนเธอร์แลนด์ ( Uitvoeringswet AVG ) ซึ่งปรับข้อกำหนดของสหภาพยุโรปให้เข้ากับกฎหมายของเนเธอร์แลนด์ กฎหมายฉบับนี้มีบทบัญญัติเฉพาะสำหรับสถานการณ์ภายในประเทศ ในขณะเดียวกันก็ยังคงรักษาความสอดคล้องกับมาตรฐานของยุโรป

โดยกำหนดให้หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์ ( Autoriteit Persoonsgegevens ) เป็นหน่วยงานกำกับดูแลที่รับผิดชอบในการบังคับใช้กฎหมาย

ภายใต้ GDPR คุณต้องรายงานการละเมิดข้อมูลต่อหน่วยงานกำกับดูแลภายใน 72 ชั่วโมงนับจากเวลาที่ทราบเรื่อง หากการละเมิดนั้นก่อให้เกิดความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล คุณต้องแจ้งให้ผู้ที่ได้รับผลกระทบทราบโดยไม่ชักช้าด้วย

ข้อกำหนดเกี่ยวกับการแจ้งเตือนเหล่านี้เป็นพื้นฐานของความรับผิดในการละเมิดสัญญาในประเทศเนเธอร์แลนด์

กฎหมายคุ้มครองข้อมูลรวม ( Verzamelwet Gegevensbescherming ) ได้ปรับปรุงกฎหมายต่างๆ ของเนเธอร์แลนด์ให้สอดคล้องกับมาตรฐาน GDPR มากยิ่งขึ้น ซึ่งช่วยให้เกิดความสอดคล้องในด้านกฎหมายต่างๆ

พระราชบัญญัติความมั่นคงทางไซเบอร์และคำสั่ง NIS2

คำสั่ง NIS2ขยายขอบเขตข้อกำหนดด้านความปลอดภัยทางไซเบอร์สำหรับหน่วยงานที่สำคัญและจำเป็นทั่วสหภาพยุโรปอย่างมีนัยสำคัญ ประเทศเนเธอร์แลนด์กำลังดำเนินการตามคำสั่งนี้โดยการปรับปรุงกฎหมายความปลอดภัยทาง ไซเบอร์ของเนเธอร์แลนด์ ( Cyberbeveiligingswet ) ซึ่งเดิมทีเป็นการนำคำสั่ง NIS ฉบับแรกมาใช้

NIS2 ขยายขอบเขตของภาคส่วนที่ครอบคลุมและนำเสนอข้อกำหนดด้านความปลอดภัยที่เข้มงวดมากขึ้น ภาระผูกพันในการรายงานเหตุการณ์ และข้อกำหนดด้านความรับผิดชอบของผู้บริหาร คุณต้องดำเนินการตามมาตรการบริหารความเสี่ยงเฉพาะและรายงานเหตุการณ์สำคัญภายใน 24 ชั่วโมงหลังจากรับทราบเหตุการณ์นั้น

พระราชบัญญัติว่าด้วยความปลอดภัยของระบบเครือ ข่ายและสารสนเทศและพระราชกฤษฎีกาว่าด้วยความปลอดภัยของระบบเครือข่ายและสารสนเทศ ที่เกี่ยวข้อง ได้กำหนดข้อกำหนดโดยละเอียดสำหรับผู้ประกอบการบริการที่จำเป็นและผู้ให้บริการดิจิทัล กฎหมายเหล่านี้กำหนดให้มีมาตรการรักษาความปลอดภัยขั้นพื้นฐาน การตรวจสอบอย่างสม่ำเสมอ และการประสานงานกับหน่วยงานด้านความมั่นคงทางไซเบอร์ของประเทศ

กฎหมายกำหนดหน่วยงานผู้มีอำนาจเฉพาะสำหรับแต่ละภาคส่วน เพื่อให้มั่นใจได้ว่ามีการกำกับดูแลด้านความมั่นคงปลอดภัยทางไซเบอร์อย่างเป็นระบบ

กฎหมายและคำสั่งอื่นๆ ที่เกี่ยวข้อง

คำสั่ง ePrivacy ของสหภาพยุโรปเป็นส่วนเสริมของ GDPR โดยกล่าวถึงความเป็นส่วนตัวของการสื่อสารทางอิเล็กทรอนิกส์ กำหนดให้ต้องขอความยินยอมสำหรับการใช้คุกกี้และเทคโนโลยีที่คล้ายคลึงกัน และคุ้มครองความลับของข้อมูลการสื่อสาร

พระราชบัญญัติโทรคมนาคม ( Telecommunicatiewet ) กำหนดภาระผูกพันด้านความปลอดภัยเฉพาะเจาะจงสำหรับผู้ให้บริการโทรคมนาคม รวมถึงข้อกำหนดในการปกป้องความสมบูรณ์ของเครือข่ายและข้อมูลผู้ใช้ พระราชบัญญัตินี้ทำงานควบคู่ไปกับกฎหมายคุ้มครองข้อมูลเพื่อให้มั่นใจถึงการคุ้มครองอย่างครอบคลุมในภาคการสื่อสาร

พระราชบัญญัติความยืดหยุ่นของหน่วยงานสำคัญ (Critical Entities Resilience Act - CRA) เสริมสร้างข้อกำหนดด้านความปลอดภัยทางกายภาพและไซเบอร์สำหรับหน่วยงานที่ถือว่ามีความสำคัญต่อความปลอดภัยสาธารณะและความมั่นคงทางเศรษฐกิจ โดยกำหนดให้มีการประเมินความเสี่ยงและมาตรการความยืดหยุ่นที่นอกเหนือไปจากข้อกำหนดด้านความปลอดภัยไซเบอร์มาตรฐาน

กรอบการทำงานเหล่านี้ก่อให้เกิดภาระผูกพันที่ซ้ำซ้อนกัน คุณต้องจัดการกับภาระผูกพันเหล่านี้เมื่อดำเนินงานในหลายภาคส่วนหรือจัดการกับข้อมูลประเภทต่างๆ

กฎระเบียบเฉพาะภาค

พระราชบัญญัติกำกับดูแลทางการเงิน ( Wet op het financieel toezicht ) กำหนดข้อกำหนดด้านความปลอดภัยทางไซเบอร์และการคุ้มครองข้อมูลที่เข้มงวดสำหรับสถาบันการเงิน คุณต้องนำระบบควบคุมความปลอดภัยที่แข็งแกร่ง ขั้นตอนการตอบสนองต่อเหตุการณ์ และโปรโตคอลการทดสอบอย่างสม่ำเสมอมาใช้เมื่อดำเนินงานในภาคการเงิน

หน่วยงานบังคับใช้กฎหมายต้องปฏิบัติตามข้อกำหนดเฉพาะภายใต้พระราชบัญญัติข้อมูลตำรวจ ( Wet politiegegevens ) และ พระราชบัญญัติข้อมูลกระบวนการยุติธรรมและอาญา ( Wet justitiële en strafvorderlijke gegevens ) กฎหมายเหล่านี้ควบคุมวิธีการที่ตำรวจและหน่วยงานตุลาการเก็บรวบรวม ประมวลผล และคุ้มครองข้อมูลส่วนบุคคลในระหว่างการสืบสวนและกระบวนการทางอาญา

ผู้ให้บริการด้านการดูแลสุขภาพต้องปฏิบัติตามมาตรการคุ้มครองความเป็นส่วนตัวเพิ่มเติม นอกเหนือจากข้อกำหนดมาตรฐานของ GDPR เนื่องจากข้อมูลทางการแพทย์มีความละเอียดอ่อน

ภาคพลังงาน การขนส่ง และน้ำ ต้องเผชิญกับข้อผูกพันเฉพาะภายใต้การดำเนินการตามมาตรฐาน NIS2 โดยมีมาตรการรักษาความปลอดภัยที่ปรับให้เหมาะสมกับความเสี่ยงในการดำเนินงานของแต่ละภาคส่วน

กฎระเบียบเฉพาะของแต่ละภาคส่วนกำหนดภาระการปฏิบัติตามที่แตกต่างกัน จึงจำเป็นอย่างยิ่งที่จะต้องระบุว่ากฎหมายใดบ้างที่ใช้บังคับกับกิจกรรมเฉพาะและกระบวนการประมวลผลข้อมูลขององค์กรของคุณ

การกำหนดความรับผิดหลังจากการรั่วไหลของข้อมูล

ในประเทศเนเธอร์แลนด์ ความรับผิดชอบต่อการละเมิดข้อมูลขึ้นอยู่กับบทบาทของคุณในการประมวลผลข้อมูลส่วนบุคคลมาตรการรักษาความปลอดภัยที่คุณนำมาใช้ และว่าคุณปฏิบัติตามข้อกำหนดการรายงานหรือไม่ หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์และหน่วยงานกำกับดูแลอื่นๆ จะเป็นผู้กำหนดความรับผิดชอบโดยอิงตามข้อผูกพันทางกฎหมายภายใต้ GDPR และกฎหมายความปลอดภัยทางไซเบอร์ของประเทศ

การกำหนดความรับผิดชอบ: ผู้ควบคุมข้อมูล ผู้ประมวลผลข้อมูล และบุคคลที่สาม

ความรับผิดชอบของคุณหลังจากเกิดการรั่วไหลของข้อมูลส่วนบุคคลขึ้นอยู่กับว่าคุณทำหน้าที่เป็นผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูล ผู้ควบคุมข้อมูลจะเป็นผู้ตัดสินใจว่าจะประมวลผลข้อมูลส่วนบุคคลอย่างไรและด้วยเหตุผลใด ทำให้พวกเขามีความรับผิดชอบหลักต่อเหตุการณ์ด้านความปลอดภัย

ผู้ประมวลผลข้อมูลจะดำเนินการตามข้อมูลในนามของผู้ควบคุมข้อมูล และต้องรับผิดชอบหากดำเนินการเกินกว่าคำสั่งที่ได้รับมอบหมาย หรือไม่ปฏิบัติตามมาตรการรักษาความปลอดภัยที่เพียงพอ

บุคคลที่สาม เช่น ผู้ให้บริการดิจิทัล มีความรับผิดชอบที่แยกต่างหาก หากคุณใช้ผู้ให้บริการภายนอก คุณยังคงต้องรับผิดชอบต่อการกระทำของพวกเขาเมื่อพวกเขาประมวลผลข้อมูลในนามของคุณ

สัญญาของคุณต้องระบุข้อผูกพันด้านความปลอดภัยและขั้นตอนการจัดการเหตุการณ์อย่างชัดเจน

เมื่อมีหลายฝ่ายเกี่ยวข้อง ความรับผิดชอบอาจถูกแบ่งปัน หากทั้งคุณและผู้ประมวลผลข้อมูลของคุณล้มเหลวในการดำเนินการตามมาตรการทางเทคนิคและองค์กร คุณทั้งสองอาจต้องเผชิญกับบทลงโทษจาก Autoriteit Persoonsgegevens (หน่วยงานคุ้มครองข้อมูลส่วนบุคคลของสหราชอาณาจักร)

หน่วยงานกำกับดูแลจะตรวจสอบบทบาทของแต่ละฝ่ายในการละเมิดเพื่อกำหนดความรับผิดชอบ

หน่วยงานกำกับดูแลและบทบาทด้านกฎระเบียบ

หน่วยงานคุ้มครองข้อมูลส่วนบุคคลของเนเธอร์แลนด์ (Autoriteit Persoonsgegevens) มีหน้าที่บังคับใช้กฎระเบียบ GDPR คุณต้องรายงานการละเมิดข้อมูลส่วนบุคคลต่อหน่วยงานกำกับดูแลนี้ภายใน 72 ชั่วโมงหลังจากทราบถึงเหตุการณ์ดังกล่าว

การไม่ปฏิบัติตามกำหนดเวลาในการรายงานเหตุการณ์จะเพิ่มความรับผิดชอบของคุณ

ศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติ (NCSC) รับผิดชอบภัยคุกคามทางไซเบอร์ ในวงกว้าง ที่ส่งผลกระทบต่อผู้ให้บริการด้านบริการที่จำเป็น หากคุณให้บริการโครงสร้างพื้นฐานที่สำคัญหรือบริการดิจิทัล คุณต้องรายงานเหตุการณ์ด้านความปลอดภัยที่สำคัญต่อ NCSC ด้วยเช่นกัน

รายงานเหล่านี้ช่วยประสานงานการตอบสนองระดับชาติต่อภัยคุกคามทางไซเบอร์

หน่วยงานทั้งสองแห่งดำเนินการสอบสวนหลังเกิดเหตุการณ์ด้านความปลอดภัย หน่วยงานคุ้มครองข้อมูลส่วนบุคคล (Autoriteit Persoonsgegevens) สามารถเรียกเก็บค่าปรับได้สูงสุดถึง 20 ล้านยูโร หรือ 4% ของรายได้รวมทั่วโลกต่อปี แล้วแต่จำนวนใดจะสูงกว่า

พวกเขานำปัจจัยต่างๆ มาพิจารณา เช่น ลักษณะของการละเมิดข้อมูล จำนวนผู้ที่ได้รับผลกระทบ และมาตรการรับมือของคุณ

แนวทางของ ENISA มีอิทธิพลต่อวิธีการที่หน่วยงานของเนเธอร์แลนด์ประเมินการปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์ของคุณ

มาตรการด้านองค์กรและด้านเทคนิค

การนำมาตรการทางเทคนิคและองค์กรไปใช้ของคุณจะส่งผลโดยตรงต่อการพิจารณาความรับผิดชอบ มาตรการเหล่านี้รวมถึงการเข้ารหัส การควบคุมการเข้าถึง การทดสอบความปลอดภัยอย่างสม่ำเสมอ และการฝึกอบรมพนักงาน

ศาลและหน่วยงานกำกับดูแลจะประเมินว่ามาตรการรักษาความปลอดภัยของคุณเหมาะสมกับความเสี่ยงที่เกี่ยวข้องหรือไม่

คุณต้องจัดทำเอกสารเกี่ยวกับมาตรการรักษาความปลอดภัยและแสดงให้เห็นถึงแผนการดำเนินธุรกิจอย่างต่อเนื่อง หากคุณไม่สามารถพิสูจน์ได้ว่ามีมาตรการป้องกันที่เพียงพอ ความรับผิดชอบก็จะเพิ่มขึ้นอย่างมาก

การประเมินความเสี่ยงอย่างสม่ำเสมอจะช่วยให้คุณระบุจุดอ่อนได้ก่อนที่จะเกิดการละเมิดข้อมูล

ขั้นตอนการจัดการเหตุการณ์มีความสำคัญอย่างยิ่ง คุณจำเป็นต้องมีระเบียบปฏิบัติที่ชัดเจนสำหรับการตรวจจับ การสอบสวน และการตอบสนองต่อการละเมิดข้อมูลส่วนบุคคล

เวลาในการตอบสนองและประสิทธิภาพในการควบคุมเหตุการณ์ด้านความปลอดภัยของคุณมีผลต่อการพิจารณาบทลงโทษ

หน่วยงานคุ้มครองข้อมูลส่วนบุคคล (Autoriteit Persoonsgegevens) คาดหวังให้คุณเก็บรักษาหลักฐานเกี่ยวกับกรอบการรักษาความปลอดภัยของคุณ หากไม่มีเอกสารที่ถูกต้อง การพิสูจน์ว่าได้ใช้ความระมัดระวังอย่างเหมาะสมจะทำได้ยากในระหว่างการตรวจสอบ

ผลกระทบของห่วงโซ่อุปทานและผู้ให้บริการ

ความปลอดภัยของห่วงโซ่อุปทานก่อให้เกิดปัญหาความรับผิดที่ซับซ้อน เมื่อผู้ให้บริการของคุณประสบกับการละเมิดข้อมูลที่ส่งผลกระทบต่อข้อมูลของคุณ คุณอาจยังคงต้องเผชิญกับผลที่ตามมา

คุณต้องตรวจสอบประวัติและความน่าเชื่อถือของซัพพลายเออร์อย่างละเอียดถี่ถ้วน และติดตามแนวปฏิบัติด้านความปลอดภัยของพวกเขาอย่างต่อเนื่อง

ผู้ให้บริการด้านบริการที่จำเป็นต้องเผชิญกับข้อกำหนดที่เข้มงวดมากขึ้นสำหรับการบริหารจัดการผู้ให้บริการ คุณต้องตรวจสอบให้แน่ใจว่าผู้ให้บริการดิจิทัลในห่วงโซ่อุปทานของคุณรักษามาตรฐานที่สอดคล้องกับข้อผูกพันของคุณเอง

ข้อตกลงตามสัญญาควรระบุหน้าที่ในการรายงานเหตุการณ์และการแบ่งความรับผิดชอบอย่างชัดเจน

หากการละเมิดข้อมูลมีต้นกำเนิดมาจากห่วงโซ่อุปทานของคุณ หน่วยงานคุ้มครองข้อมูลส่วนบุคคล (Autoriteit Persoonsgegevens) จะตรวจสอบว่าคุณได้ทำการประเมินผู้ขายอย่างเพียงพอหรือไม่ ความรับผิดชอบของคุณขึ้นอยู่กับว่าคุณได้ดำเนินการตามขั้นตอนที่สมเหตุสมผลเพื่อตรวจสอบความปลอดภัยของผู้ขายหรือไม่

คุณไม่สามารถมอบหมายความรับผิดชอบได้อย่างเต็มที่ แม้ว่าจะใช้โปรเซสเซอร์จากบุคคลที่สามก็ตาม

ห่วงโซ่อุปทานหลายระดับชั้นต้องการความระมัดระวังเป็นพิเศษ คุณต้องมองเห็นภาพรวมของผู้ประมวลผลย่อยและมาตรการรักษาความปลอดภัยของพวกเขา เพื่อป้องกันความล้มเหลวที่ลุกลามเป็นลูกโซ่ซึ่งอาจส่งผลกระทบต่อข้อมูลส่วนบุคคลในหลายองค์กร

ข้อผูกพันในการแจ้งการรั่วไหลของข้อมูล

ประเทศเนเธอร์แลนด์ใช้กรอบการแจ้งเตือนหลายระดับภายใต้ GDPR และกฎหมายความปลอดภัยทางไซเบอร์ของประเทศ ผู้ควบคุมข้อมูลต้องรายงานการละเมิดต่อหน่วยงานคุ้มครองข้อมูลส่วนบุคคล (PDA) ภายใน 72 ชั่วโมง เมื่อมีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล

การละเมิดข้อมูลที่มีความเสี่ยงสูงจำเป็นต้องแจ้งให้ผู้ที่ได้รับผลกระทบทราบโดยตรง

กำหนดเวลาและข้อกำหนดด้านขั้นตอน

คุณต้องแจ้งให้ PDA ทราบโดยไม่ชักช้าเกินควร และหากเป็นไปได้ ไม่เกิน 72 ชั่วโมงหลังจากทราบถึงการละเมิดข้อมูลส่วนบุคคล ข้อผูกพันนี้ใช้บังคับเว้นแต่การละเมิดนั้นไม่น่าจะก่อให้เกิดความเสี่ยงต่อสิทธิและเสรีภาพของบุคคลธรรมดา

ในหนังสือแจ้งเตือนจะต้องระบุข้อมูลที่เฉพาะเจาะจงให้มากที่สุดเท่าที่จะเป็นไปได้ คุณต้องระบุประเภทและจำนวนโดยประมาณของบุคคลที่ได้รับผลกระทบจากข้อมูล ประเภทและจำนวนโดยประมาณของข้อมูลส่วนบุคคลที่ได้รับผลกระทบ และชื่อของเจ้าหน้าที่คุ้มครองข้อมูลหรือผู้ติดต่ออื่น ๆ ของคุณ

นอกจากนี้ คุณต้องอธิบายถึงผลกระทบที่อาจเกิดขึ้นจากการละเมิด และมาตรการที่ได้ดำเนินการหรือเสนอแนะเพื่อแก้ไขปัญหาดังกล่าว

หากคุณไม่สามารถส่งข้อมูลที่จำเป็นทั้งหมดภายใน 72 ชั่วโมง คุณสามารถส่งข้อมูลเป็นระยะได้ คุณต้องอธิบายเหตุผลสำหรับความล่าช้าใดๆ ในการแจ้งครั้งแรกของคุณด้วย

ใครบ้างที่ต้องได้รับแจ้ง และเมื่อใด

เมื่อการรั่วไหลของข้อมูลส่วนบุคคลมีแนวโน้มที่จะส่งผลกระทบอย่างร้ายแรงต่อสิทธิและเสรีภาพของพวกเขา คุณต้องแจ้งให้เจ้าของข้อมูลที่ได้รับผลกระทบทราบโดยตรง การแจ้งเตือนนี้ต้องเกิดขึ้นโดยไม่ล่าช้าเกินควร และต้องใช้ภาษาที่ชัดเจนและเข้าใจง่าย

ไม่จำเป็นต้องแจ้งให้เจ้าของข้อมูลทราบโดยตรงในสามสถานการณ์เฉพาะ ได้แก่: คุณไม่จำเป็นต้องแจ้งหากคุณได้ดำเนินการมาตรการป้องกันทางเทคนิคและองค์กรที่เหมาะสม (เช่น การเข้ารหัส) ซึ่งทำให้บุคคลที่ไม่ได้รับอนุญาตไม่สามารถเข้าใจข้อมูลได้

นอกจากนี้ คุณไม่จำเป็นต้องแจ้งให้ทราบหากคุณได้ดำเนินการใดๆ เพิ่มเติมเพื่อให้มั่นใจว่าความเสี่ยงสูงต่อสิทธิของเจ้าของข้อมูลจะไม่เกิดขึ้นอีก หรือหากการสื่อสารโดยตรงจะเกี่ยวข้องกับความพยายามที่ไม่สมส่วน ในกรณีเช่นนั้น จะต้องมีการสื่อสารต่อสาธารณะหรือมาตรการที่คล้ายคลึงกันแทน

บริษัททางการเงินที่อยู่ภายใต้พระราชบัญญัติกำกับดูแลทางการเงินได้รับการยกเว้นจากภาระผูกพันในการแจ้งข้อมูลส่วนบุคคล แต่ยังคงต้องรายงานข้อมูลต่อสำนักงานคุ้มครองข้อมูลส่วนบุคคล (PDA)

ผู้ประมวลผลข้อมูลมีภาระหน้าที่ที่แตกต่างกัน คุณต้องแจ้งให้ผู้ควบคุมข้อมูลทราบโดยไม่ชักช้าเกินควรหลังจากทราบถึงการละเมิดข้อมูลส่วนบุคคลใดๆ ไม่ว่าระดับความเสี่ยงจะเป็นอย่างไรก็ตาม

นี่เป็นข้อกำหนดตามกฎหมายภายใต้ GDPR และควรระบุไว้ในข้อตกลงการประมวลผลข้อมูลของคุณด้วย

ข้อกำหนดการแจ้งเตือนระดับภาคและระดับชาติ

นอกเหนือจากข้อผูกพันตาม GDPR แล้ว คุณอาจต้องรายงานข้อมูลเพิ่มเติมขึ้นอยู่กับภาคส่วนของคุณ กฎหมาย WBNI (Network and Information Systems Security Act) กำหนดให้หน่วยงานบางประเภทต้องรายงานเหตุการณ์ด้านความปลอดภัยต่อหน่วยงานด้านความปลอดภัยทางไซเบอร์ แม้ว่าเหตุการณ์เหล่านั้นจะไม่เข้าข่ายการละเมิดข้อมูลส่วนบุคคลก็ตาม

ผู้ให้บริการเครือข่ายการสื่อสารอิเล็กทรอนิกส์สาธารณะต้องรายงานต่อสำนักงานตรวจสอบด้านสิ่งแวดล้อมและการขนส่ง (ILT) องค์กรด้านการดูแลสุขภาพมีหน้าที่ต้องแจ้งสำนักงานตรวจสอบด้านสุขภาพและเยาวชนเกี่ยวกับเหตุการณ์ที่ส่งผลกระทบต่อความปลอดภัยของอุปกรณ์ทางการแพทย์หรือข้อมูลผู้ป่วย

บริษัทผู้ให้บริการทางการเงินต้องปฏิบัติตามข้อกำหนดเฉพาะของแต่ละภาคส่วนภายใต้กฎหมายกำกับดูแลทางการเงิน

ผู้ให้บริการโครงสร้างพื้นฐานที่สำคัญมีภาระผูกพันที่เข้มงวดมากขึ้นภายใต้ WBNI คุณต้องรายงานเหตุการณ์สำคัญที่อาจส่งผลกระทบอย่างมากต่อบริการที่จำเป็นต่อระบบคอมพิวเตอร์ให้แก่ทีมตอบสนองเหตุการณ์ด้านความปลอดภัยทางคอมพิวเตอร์ (CSIRT)

บริษัทมหาชนอาจจำเป็นต้องแจ้งเหตุการณ์ด้านความปลอดภัยที่อาจส่งผลกระทบอย่างมากต่อการตัดสินใจของนักลงทุน

ข้อกำหนดเฉพาะภาคส่วนเหล่านี้มักจะดำเนินการควบคู่ไปกับข้อผูกพันของ GDPR มากกว่าที่จะมาแทนที่ คุณอาจต้องแจ้งหน่วยงานต่างๆ หลายแห่งสำหรับเหตุการณ์เดียว ขึ้นอยู่กับกิจกรรมขององค์กรและลักษณะของการละเมิด

การบังคับใช้และบทลงโทษสำหรับการไม่ปฏิบัติตาม

ทางการเนเธอร์แลนด์มีอำนาจอย่างชัดเจนในการตรวจสอบความล้มเหลวในการรักษาความปลอดภัยทางไซเบอร์ และสามารถเรียกเก็บค่าปรับจำนวนมากจากองค์กรที่ล้มเหลวในการปกป้องข้อมูลส่วนบุคคลหรือปฏิบัติตามข้อกำหนดด้านความปลอดภัย

กรอบการบังคับใช้กฎหมายเกี่ยวข้องกับหน่วยงานกำกับดูแลหลายแห่งที่มีหน้าที่กำกับดูแลเฉพาะด้าน มีโครงสร้างบทลงโทษที่ชัดเจน และมีขั้นตอนการอุทธรณ์ที่กำหนดไว้สำหรับองค์กรที่ถูกลงโทษ

อำนาจการสอบสวนและการกำกับดูแล

หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์ (Autoriteit Persoonsgegevens หรือ AP) มีความรับผิดชอบหลักในการตรวจสอบการละเมิดข้อมูลและการละเมิด GDPR

สำนักข่าว AP สามารถเริ่มการสอบสวนได้จากข้อร้องเรียน รายงานข่าว หรือการตรวจสอบตามปกติ

ในระหว่างการสอบสวน หน่วยงานอาจขอเอกสาร ตรวจสอบสถานที่ และสัมภาษณ์เจ้าหน้าที่

สำหรับการปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์ภายใต้กฎหมาย Cyberbeveiligingswet ฉบับใหม่ หน่วยงานกำกับดูแลเฉพาะด้านจะทำหน้าที่กำกับดูแล

สำนักงานคุ้มครองผู้บริโภคและตลาด (ACM) กำกับดูแลโครงสร้างพื้นฐานดิจิทัลและผู้ให้บริการโทรคมนาคม

ธนาคารกลางเนเธอร์แลนด์ (DNB) กำกับดูแลสถาบันการเงิน

รัฐมนตรีว่าการกระทรวงเศรษฐกิจและสภาพภูมิอากาศ รัฐมนตรีว่าการกระทรวงโครงสร้างพื้นฐานและการจัดการน้ำ และรัฐมนตรีว่าการกระทรวงสาธารณสุข ต่างมีอำนาจในการบังคับใช้กฎหมายภายในภาคส่วนที่ตนรับผิดชอบ

หน่วยงานกำกับดูแลเหล่านี้สามารถตรวจสอบระบบของคุณ ทบทวนขั้นตอนการรับมือกับเหตุการณ์ และประเมินว่าการบริหารความเสี่ยงของคุณเป็นไปตามมาตรฐานทางกฎหมายหรือไม่

นอกจากนี้ พวกเขายังอาจเรียกเก็บค่าใช้จ่ายในการบังคับใช้กฎหมายจากองค์กรของคุณ หากตรวจพบการละเมิด

ศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติ (NCSC) ทำหน้าที่ประสานงานระหว่างหน่วยงานกำกับดูแล แต่ไม่ได้ลงโทษโดยตรง

บทลงโทษทางปกครองและทางการเงิน

บทลงโทษทางการเงินจะแตกต่างกันไปตามกรอบกฎหมายและความร้ายแรงของการละเมิด

ภายใต้การบังคับใช้ GDPR หน่วยงานกำกับดูแลสามารถเรียกเก็บค่าปรับได้สูงสุดถึง 20 ล้านยูโร หรือ 4% ของรายได้รวมทั่วโลกต่อปี แล้วแต่จำนวนใดจะสูงกว่า

หน่วยงานที่เกี่ยวข้องจะพิจารณาปัจจัยต่างๆ เช่น ลักษณะของการละเมิด จำนวนผู้ที่ได้รับผลกระทบ และความร่วมมือของคุณในระหว่างการสอบสวน

ภายใต้กฎหมาย Cyberbeveiligingswet บทลงโทษจะมีโครงสร้างเป็นระดับ:

หน่วยงานกำกับดูแลยังสามารถออกคำสั่งแก้ไขโดยกำหนดให้คุณต้องดำเนินการตามมาตรการรักษาความปลอดภัยเฉพาะภายในกรอบเวลาที่กำหนดได้อีกด้วย

การกระทำผิดซ้ำๆ อาจส่งผลให้ถูกประจานต่อสาธารณะโดยการเปิดเผยการละเมิดต่อสาธารณชน

ในกรณีร้ายแรง กรรมการขององค์กรที่ถูกจัดประเภทเป็นหน่วยงานที่จำเป็น อาจถูกตัดสิทธิ์จากการดำรงตำแหน่งในคณะกรรมการได้

องค์กรภาครัฐได้รับการยกเว้นจากบทลงโทษทางการเงิน แต่ต้องเผชิญกับการดำเนินการบังคับใช้เพื่อแก้ไข และอาจถูกตรวจสอบโดยรัฐสภา

การดำเนินคดีทางกฎหมายและการอุทธรณ์

คุณมีสิทธิ์ที่จะคัดค้านการตัดสินใจบังคับใช้กฎหมายผ่านการอุทธรณ์ทางปกครอง

หลังจากได้รับใบแจ้งค่าปรับ คุณสามารถยื่นคัดค้าน (bezwaar) ต่อหน่วยงานที่ออกใบแจ้งนั้นภายในหกสัปดาห์

หน่วยงานกำกับดูแลต้องทบทวนการตัดสินใจและให้คำตอบอย่างเป็นทางการ

หากคุณไม่เห็นด้วยกับผลการพิจารณาใหม่ คุณสามารถยื่นอุทธรณ์ต่อศาลแขวง (rechtbank) ได้

ศาลจะตรวจสอบว่าหน่วยงานกำกับดูแลได้ปฏิบัติตามขั้นตอนที่ถูกต้องและบังคับใช้กฎหมายอย่างถูกต้องหรือไม่

จากนั้นคุณสามารถยื่นอุทธรณ์คำตัดสินของศาลต่อแผนกพิจารณาคดีปกครองของสภาแห่งรัฐ (Afdeling bestuursrechtspraak van de Raad van State) ซึ่งทำหน้าที่เป็นศาลปกครองสูงสุดได้

ตลอดกระบวนการอุทธรณ์ คุณต้องดำเนินการตามมาตรการแก้ไขใดๆ ที่หน่วยงานกำกับดูแลสั่งการอย่างต่อเนื่อง

ศาลอาจระงับการลงโทษปรับเงินในระหว่างรอผลการอุทธรณ์ แต่ไม่ใช่เรื่องอัตโนมัติเสมอไป

บทบาทและหน้าที่สำคัญในการจัดการความปลอดภัยทางไซเบอร์

องค์กรต่างๆ ต้องกำหนดให้ชัดเจนว่าใครเป็นผู้รับผิดชอบงานด้านความปลอดภัยทางไซเบอร์ ตั้งแต่การแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูล ไปจนถึงการกำหนดความรับผิดชอบในระดับคณะกรรมการ และการฝึกอบรมพนักงานเกี่ยวกับระเบียบปฏิบัติด้านความปลอดภัย

เจ้าหน้าที่คุ้มครองข้อมูลและการแต่งตั้ง

หากองค์กรของคุณประมวลผลข้อมูลส่วนบุคคลที่ละเอียดอ่อนในปริมาณมาก หรือติดตามตรวจสอบบุคคลอย่างเป็นระบบ คุณต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูล (Data Protection Officer หรือ DPO)

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ทำหน้าที่เป็นจุดติดต่อหลักของคุณสำหรับหน่วยงานคุ้มครองข้อมูลส่วนบุคคลและเจ้าของข้อมูล

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ของคุณจำเป็นต้องมีคุณสมบัติเฉพาะด้านกฎหมายคุ้มครองข้อมูลและแนวปฏิบัติด้านความปลอดภัยของข้อมูล

พวกเขาต้องรายงานตรงต่อผู้บริหารระดับสูงสุดของคุณ และไม่สามารถถูกไล่ออกเนื่องจากการปฏิบัติหน้าที่ได้

หน้าที่นี้รวมถึงการตรวจสอบการปฏิบัติตาม GDPR การประเมินผลกระทบด้านการคุ้มครองข้อมูล และการให้คำแนะนำเกี่ยวกับข้อกำหนดด้านการเข้ารหัสและการเข้ารหัสลับ

คุณควรจัดทำเอกสารเกี่ยวกับหน้าที่ความรับผิดชอบของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) อย่างชัดเจน

ซึ่งรวมถึงอำนาจในการตรวจสอบโครงสร้างพื้นฐานดิจิทัลของคุณและทบทวนแผนการรับมือเหตุการณ์ฉุกเฉินของคุณด้วย

หากคุณดำเนินธุรกิจในหลายประเทศในสหภาพยุโรป คุณสามารถแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) เพียงคนเดียว โดยพิจารณาจากคุณสมบัติทางวิชาชีพและความรู้เกี่ยวกับเขตอำนาจศาลที่เกี่ยวข้อง

การกำกับดูแลกิจการและความรับผิดชอบ

คณะกรรมการบริษัทของคุณมีหน้าที่รับผิดชอบสูงสุดในการบริหารจัดการความเสี่ยงด้านความปลอดภัยทางไซเบอร์

พวกเขาต้องอนุมัติมาตรการรักษาความปลอดภัย จัดสรรทรัพยากรที่เพียงพอ และดูแลควบคุมความพยายามในการสร้างความยืดหยัดต่อภัยคุกคามทางไซเบอร์อย่างเหมาะสม

ความรับผิดชอบของผู้นำประกอบด้วย:

• การอนุมัตินโยบายความปลอดภัย สำหรับกรอบงานด้านความปลอดภัยของข้อมูล
• กำกับดูแลการประเมินความเสี่ยง และการวางแผนความยืดหยุ่นในการดำเนินงาน
• การรับรองการปฏิบัติตามข้อกำหนดการตรวจสอบ ผ่านการตรวจสอบอิสระ
• การจัดสรรงบประมาณ สำหรับการจัดการความปลอดภัยทางไซเบอร์และ การฝึกอบรมพนักงาน

คุณจำเป็นต้องกำหนดสายงานบังคับบัญชาที่ชัดเจนสำหรับการตัดสินใจด้านความปลอดภัย

จัดทำเอกสารระบุว่าใครเป็นผู้ให้การอนุมัติมาตรการรักษาความปลอดภัย ใครเป็นผู้กำกับดูแลการดำเนินการ และใครเป็นผู้ทำการตรวจสอบ

ฝ่ายบริหารของคุณต้องตรวจสอบประสิทธิภาพด้านความปลอดภัยทางไซเบอร์อย่างสม่ำเสมอ และปรับกลยุทธ์ตามภัยคุกคามที่เปลี่ยนแปลงไปต่อโครงสร้างพื้นฐานดิจิทัลของคุณ

นโยบายภายในและการฝึกอบรมพนักงาน

คุณต้องจัดทำนโยบายที่เป็นเอกสารซึ่งกำหนดบทบาทด้านความปลอดภัยทั่วทั้งองค์กรของคุณ

นโยบายเหล่านี้ควรระบุความรับผิดชอบด้านการคุ้มครองข้อมูล การรับมือกับเหตุการณ์ และการรักษาความยืดหยุ่นทางไซเบอร์ให้คงอยู่

นโยบายความปลอดภัยของคุณต้องครอบคลุมถึง:

• การควบคุมการเข้าถึงและข้อกำหนดการตรวจสอบสิทธิ์
• มาตรฐานการจำแนกประเภทข้อมูลและการเข้ารหัส
• ขั้นตอนการรายงานเหตุการณ์
• การฝึกอบรมด้านความตระหนักรู้ด้านความปลอดภัยเป็นประจำ

คุณควรจัดอบรมอย่างต่อเนื่องให้แก่พนักงานทุกคนเกี่ยวกับแนวปฏิบัติด้านความปลอดภัยของข้อมูล

ซึ่งรวมถึงการรู้จักสังเกตการพยายามหลอกลวงทางอีเมลการจัดการข้อมูลที่ละเอียดอ่อนอย่างเหมาะสม และการปฏิบัติตามแผนรับมือเหตุการณ์ฉุกเฉินของคุณ

การฝึกอบรมต้องปรับให้เหมาะสมกับบทบาทเฉพาะ โดยบุคลากรด้านเทคนิคจะได้รับการฝึกอบรมขั้นสูงเกี่ยวกับการเข้ารหัสและการควบคุมความปลอดภัย

นโยบายของคุณจะต้องได้รับการทบทวนอย่างสม่ำเสมอและปรับปรุงให้ทันสมัยเมื่อกฎระเบียบเปลี่ยนแปลงหรือมีความเสี่ยงใหม่เกิดขึ้น

คุณต้องจัดสรรทรัพยากรอย่างเพียงพอทั้งสำหรับการดำเนินนโยบายและการพัฒนาบุคลากรในด้านการรักษาความปลอดภัยทางไซเบอร์

ประเภทของเหตุการณ์ด้านความปลอดภัยทางไซเบอร์และภัยคุกคามที่เกิดขึ้นใหม่

เหตุการณ์ด้านความปลอดภัยทางไซเบอร์มีตั้งแต่การส่งอีเมลหลอกลวงไปจนถึงการหยุดชะงักของเครือข่ายขนาดใหญ่ที่อาจส่งผลกระทบต่อองค์กรทั้งหมดได้

การทำความเข้าใจภัยคุกคามเหล่านี้จะช่วยให้คุณระบุจุดอ่อนและกำหนดความรับผิดชอบได้เมื่อเกิดการละเมิดข้อมูล

การหลอกลวงทางอีเมล มัลแวร์ และแรนซัมแวร์

การฟิชชิ่งยังคงเป็นหนึ่งในภัยคุกคามด้านความปลอดภัยทางไซเบอร์ที่พบบ่อยที่สุด

ผู้โจมตีส่งอีเมลหรือข้อความแอบอ้างเป็นบริษัทที่น่าเชื่อถือเพื่อขโมยรหัสผ่าน ข้อมูลทางการเงิน หรือข้อมูลสำคัญอื่นๆ ของคุณ

การโจมตีเหล่านี้เป็นสาเหตุของเหตุการณ์การหลอกลวงทางสังคมมากกว่า 60 เปอร์เซ็นต์

มัลแวร์หมายถึงซอฟต์แวร์ที่เป็นอันตรายซึ่งสร้างความเสียหายให้กับระบบคอมพิวเตอร์หรือเครือข่ายของคุณ

ซึ่งรวมถึงไวรัส โทรจัน และโค้ดที่เป็นอันตรายอื่นๆ ที่ออกแบบมาเพื่อเข้าถึงข้อมูลของคุณหรือขัดขวางการทำงานของคุณ

แรนซัมแวร์เป็นมัลแวร์ประเภทหนึ่งที่ปิดกั้นการเข้าถึงไฟล์ของคุณและเรียกร้องค่าไถ่เพื่อกู้คืนข้อมูล

แม้ว่าคุณจะจ่ายค่าไถ่แล้ว ก็ไม่มีการรับประกันว่าผู้โจมตีจะคืนสิทธิ์การเข้าถึงหรือลบข้อมูลที่ถูกขโมยไป

ระหว่างปี 2020 ถึง 2021 องค์กรต่างๆ ทั่วโลกเผชิญกับเหตุการณ์ด้านความปลอดภัยทางไซเบอร์ประมาณ 24,000 ครั้ง โดยมัลแวร์เรียกค่าไถ่มีบทบาทสำคัญในการสร้างความสูญเสียทางการเงิน

การโจมตีแบบปฏิเสธการให้บริการ (Denial-of-Service หรือ DoS) และการโจมตีแบบปฏิเสธการให้บริการแบบกระจาย (Distributed DoS หรือ DDoS)

การโจมตีแบบ DoSจะส่งปริมาณการรับส่งข้อมูลจำนวนมหาศาลไปยังระบบของคุณ ทำให้ผู้ใช้งานทั่วไปไม่สามารถเข้าถึงบริการได้

แหล่งข้อมูลเพียงแหล่งเดียวส่งคำขอจำนวนมากไปยังเครือข่ายของคุณจนกระทั่งเครือข่ายล่มหรือทำงานช้าเกินไปจนไม่สามารถใช้งานได้

การโจมตีแบบ DDoSใช้ระบบที่ถูกเจาะหลายระบบเพื่อทำการโจมตีแบบประสานงานต่อโครงสร้างพื้นฐานของคุณ

การโจมตีแบบกระจายกลุ่มเหล่านี้ยากต่อการหยุดยั้ง เนื่องจากเกิดขึ้นจากหลายสถานที่พร้อมกัน

การโจมตีแบบ DDoS สามารถสร้างความเสียหายให้กับบริการที่สำคัญ ตั้งแต่เว็บไซต์ของหน่วยงานรัฐบาลไปจนถึงการดำเนินงานของภาคเอกชน

โดยทั่วไป คุณจะมีเวลาน้อยกว่า 62 นาที นับตั้งแต่ตรวจพบเหตุการณ์ครั้งแรก เพื่อป้องกันไม่ให้เหตุการณ์ด้านความปลอดภัยลุกลามกลายเป็นการละเมิดข้อมูลครั้งใหญ่

ช่วงเวลาที่จำกัดนี้ทำให้การตอบสนองอย่างรวดเร็วเป็นสิ่งจำเป็นอย่างยิ่งเมื่อเผชิญกับการโจมตีแบบ DoS หรือ DDoS

การฉ้อโกงและการเข้าถึงโดยไม่ได้รับอนุญาต

การฉ้อโกงในด้านความปลอดภัยทางไซเบอร์เกี่ยวข้องกับการกระทำที่หลอกลวงเพื่อเข้าถึงระบบหรือข้อมูลของคุณโดยไม่ได้รับอนุญาต

ซึ่งรวมถึงการขโมยข้อมูลส่วนบุคคล การฉ้อโกงการชำระเงิน และการรั่วไหลของข้อมูลประจำตัว

การเข้าถึงโดยไม่ได้รับอนุญาตเกิดขึ้นเมื่อมีบุคคลใดบุคคลหนึ่งละเมิดนโยบายความปลอดภัยของคุณเพื่อเข้าถึงเครือข่าย ระบบ หรือข้อมูลโดยไม่ได้รับอนุญาต

สิ่งนี้สามารถเกิดขึ้นได้ผ่านทาง:

• ข้อมูลล็อกอินที่ถูกขโมย
• ช่องโหว่ของซอฟต์แวร์ที่ถูกใช้ประโยชน์
• ข้ามการควบคุมความปลอดภัย
• การคุกคามจากภายในองค์กร โดยพนักงานปัจจุบันหรืออดีตพนักงาน

การขโมยข้อมูลโดยบุคคลภายในองค์กรมักถูกมองข้าม แต่ก็อาจสร้างความเสียหายได้มากพอๆ กับการโจมตีจากภายนอก

ในปี 2021 ค่าใช้จ่ายเฉลี่ยของการโจมตีโดยบุคคลภายในองค์กรสูงถึง 12.5 ล้านปอนด์

แม้แต่การรั่วไหลของข้อมูลโดยไม่ได้ตั้งใจจากพนักงานก็ถือเป็นเหตุการณ์ด้านความปลอดภัยภายใต้พระราชบัญญัติการใช้คอมพิวเตอร์ในทางที่ผิด (พ.ศ. 1990)

จุดอ่อนของภาคส่วนและห่วงโซ่อุปทาน

ภาคส่วนโครงสร้างพื้นฐานที่สำคัญเผชิญกับความเสี่ยงที่เพิ่มสูงขึ้นจากอาชญากรรมไซเบอร์ โดยภาคส่วนด้านการดูแลสุขภาพ พลังงาน และบริการทางการเงินเป็นเป้าหมายหลัก

ระหว่างปี 2020 ถึง 2021 ภาคธุรกิจบริการวิชาชีพประสบกับเหตุการณ์เกือบ 3,600 ครั้ง ทำให้เป็นอุตสาหกรรมที่ตกเป็นเป้าหมายมากที่สุด

การรักษาความปลอดภัยของห่วงโซ่อุปทานมีความสำคัญมากขึ้นเรื่อยๆ เนื่องจากผู้โจมตีมุ่งเป้าไปที่คู่ค้าและผู้ขายภายนอกของคุณมากกว่าที่จะโจมตีคุณโดยตรง

การโจมตีจากผู้ให้บริการภายนอกเหล่านี้ใช้ประโยชน์จากมาตรการรักษาความปลอดภัยที่อ่อนแอในองค์กรคู่ค้าของคุณเพื่อเข้าถึงข้อมูลของลูกค้าของคุณ

ช่องโหว่ในห่วงโซ่อุปทานทำให้ผู้โจมตีสามารถเจาะระบบขององค์กรหลายแห่งได้ผ่านการเจาะระบบเพียงครั้งเดียว

เมื่อระบบของผู้จำหน่ายเชื่อมต่อกับระบบของคุณ จุดอ่อนด้านความปลอดภัยของพวกเขาจะกลายเป็นจุดอ่อนด้านความปลอดภัยของคุณด้วยเช่นกัน

ความเสี่ยงที่เชื่อมโยงกันนี้หมายความว่าคุณต้องประเมินไม่เพียงแต่มาตรการรักษาความปลอดภัยทางไซเบอร์ของคุณเองเท่านั้น แต่ยังรวมถึงมาตรการของทุกองค์กรในห่วงโซ่อุปทานของคุณด้วย

ปัจจุบัน ประเทศต่างๆ ทดสอบและแทรกซึมเข้าไปในพื้นที่ไซเบอร์ของคู่แข่งมากขึ้น โดยมักปฏิบัติการภายใต้หน้ากากขององค์กรเอกชน ในขณะที่กระทำการในนามของรัฐบาล

คำถามที่พบบ่อย (FAQs)

บริษัทในเนเธอร์แลนด์ต้องปฏิบัติตามข้อกำหนดการรายงานและมาตรฐานการปฏิบัติตามกฎระเบียบที่เข้มงวดหลังจากการรั่วไหลของข้อมูล โดยความรับผิดชอบจะขยายไปยังหลายฝ่ายขึ้นอยู่กับบทบาทและหน้าที่ของแต่ละฝ่าย

การเข้าใจถึงข้อผูกพันเหล่านี้จะช่วยให้องค์กรสามารถปกป้องตนเองและบุคคลที่ได้รับผลกระทบไปพร้อมๆ กับการปฏิบัติตามกฎระเบียบระดับชาติและระดับยุโรป

บริษัทในเนเธอร์แลนด์มีภาระผูกพันทางกฎหมายอะไรบ้างหลังจากเกิดการรั่วไหลของข้อมูล?

องค์กรของคุณต้องแจ้งให้หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์ (Autoriteit Persoonsgegevens) ทราบภายใน 72 ชั่วโมงหลังจากทราบถึงการละเมิดข้อมูล

ข้อกำหนดนี้ใช้บังคับภายใต้ GDPR ซึ่งเป็นกฎระเบียบที่ควบคุมการคุ้มครองข้อมูลทั่วประเทศเนเธอร์แลนด์

คุณต้องระบุข้อมูลที่เฉพาะเจาะจงในรายงานการละเมิดข้อมูลของคุณ

ซึ่งรวมถึงลักษณะของการละเมิด จำนวนผู้ที่ได้รับผลกระทบ ผลกระทบที่อาจเกิดขึ้น และมาตรการที่คุณได้ดำเนินการหรือวางแผนที่จะดำเนินการ

หากคุณไม่สามารถให้รายละเอียดทั้งหมดภายใน 72 ชั่วโมง คุณต้องชี้แจงเหตุผลและส่งข้อมูลที่เหลือให้เร็วที่สุดเท่าที่จะเป็นไปได้

เมื่อการละเมิดก่อให้เกิดความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล คุณต้องแจ้งให้ผู้ที่ได้รับผลกระทบทราบโดยตรงด้วย

คุณไม่สามารถเลื่อนการแจ้งเตือนนี้ได้โดยไม่มีเหตุผลอันสมควร

การสื่อสารของคุณไปยังผู้ที่ได้รับผลกระทบควรชัดเจนและอธิบายถึงผลกระทบที่อาจเกิดขึ้นจากการละเมิดข้อมูล และขั้นตอนที่พวกเขาสามารถดำเนินการเพื่อปกป้องตนเองได้

คุณต้องจัดทำเอกสารรายละเอียดเกี่ยวกับการละเมิดข้อมูลทั้งหมดอย่างละเอียด ไม่ว่าคุณจะรายงานต่อหน่วยงานที่เกี่ยวข้องหรือไม่ก็ตาม

เอกสารนี้ควรประกอบด้วยข้อเท็จจริงที่เกี่ยวข้องกับการละเมิด ผลกระทบ และมาตรการแก้ไขที่ดำเนินการไป

หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์สามารถขอเอกสารเหล่านี้ได้ในระหว่างการตรวจสอบหรือการสืบสวน

ภายใต้กฎหมายของเนเธอร์แลนด์ การกำหนดความรับผิดชอบต่อกรณีการละเมิดข้อมูลเป็นอย่างไร?

ความรับผิดชอบต่อการละเมิดข้อมูลในประเทศเนเธอร์แลนด์ขึ้นอยู่กับบทบาทของคุณว่าเป็นผู้ควบคุมข้อมูลหรือผู้ประมวลผลข้อมูล

ผู้ควบคุมข้อมูลเป็นผู้กำหนดวัตถุประสงค์และวิธีการในการประมวลผลข้อมูลส่วนบุคคล ในขณะที่ผู้ประมวลผลข้อมูลเป็นผู้จัดการข้อมูลในนามของผู้ควบคุมข้อมูล

ความรับผิดชอบทางกฎหมายของคุณจะแตกต่างกันไปตามการจำแนกประเภทนี้

ในฐานะผู้ควบคุมข้อมูล คุณมีหน้าที่รับผิดชอบหลักในการตรวจสอบให้แน่ใจว่ามีการปฏิบัติตามกฎระเบียบด้านการคุ้มครองข้อมูล

คุณต้องนำมาตรการทางเทคนิคและองค์กรที่เหมาะสมมาใช้เพื่อปกป้องข้อมูลส่วนบุคคล

ศาลจะพิจารณาว่าคุณได้ดำเนินการอย่างสมเหตุสมผลเพื่อป้องกันการละเมิดหรือไม่ และคุณได้กระทำการโดยประมาทเลินเล่อในด้านการรักษาความปลอดภัยหรือไม่

ผู้ประมวลผลข้อมูลอาจต้องรับผิดชอบหากไม่ปฏิบัติตามคำสั่งของผู้ควบคุมข้อมูลหรือละเมิดข้อผูกพันตามสัญญา

อย่างไรก็ตาม โดยทั่วไปแล้ว ผู้ประมวลผลจะมีภาระความรับผิดที่จำกัดกว่าผู้ควบคุม

หากคุณประมวลผลข้อมูลโดยไม่ได้รับอนุญาตอย่างถูกต้องจากผู้ควบคุมข้อมูล หรือไม่ปฏิบัติตามมาตรการรักษาความปลอดภัยที่ตกลงกันไว้ คุณอาจต้องรับผิดชอบโดยตรง

ศาลเนเธอร์แลนด์ใช้หลายปัจจัยในการพิจารณาความรับผิดชอบ

ปัจจัยเหล่านี้ได้แก่ ความรุนแรงของการละเมิดข้อมูล ความละเอียดอ่อนของข้อมูลที่ถูกละเมิด มาตรการรักษาความปลอดภัยของคุณก่อนเกิดการละเมิด และการตอบสนองของคุณหลังจากตรวจพบเหตุการณ์ดังกล่าว

ขนาดและทรัพยากรขององค์กรของคุณก็มีผลต่อการพิจารณามาตรการรักษาความปลอดภัยที่ศาลกำหนดด้วยเช่นกัน

ความรับผิดร่วมกันอาจเกิดขึ้นได้เมื่อหลายฝ่ายมีส่วนร่วมในการละเมิดข้อมูล

หากคุณแบ่งความรับผิดชอบกับผู้ควบคุมหรือผู้ประมวลผลข้อมูลรายอื่น ศาลอาจตัดสินให้แต่ละฝ่ายรับผิดชอบต่อความเสียหายทั้งหมด

จากนั้นคุณสามารถเรียกร้องค่าชดเชยจากฝ่ายอื่นๆ ที่มีส่วนรับผิดชอบตามสัดส่วนการกระทำผิดของแต่ละฝ่ายได้

ในประเทศเนเธอร์แลนด์ ฝ่ายใดบ้างที่อาจต้องรับผิดชอบต่อเหตุการณ์ด้านความปลอดภัยของข้อมูล?

ผู้ควบคุมข้อมูลมีหน้าที่รับผิดชอบหลักต่อเหตุการณ์ด้านความปลอดภัยของข้อมูล

ในฐานะผู้ควบคุมข้อมูล คุณมีหน้าที่ตัดสินใจเกี่ยวกับวิธีการประมวลผลข้อมูลส่วนบุคคล และต้องตรวจสอบให้แน่ใจว่ามีการใช้มาตรการรักษาความปลอดภัยที่เหมาะสม

องค์กรของคุณอาจต้องเผชิญกับค่าปรับทางปกครอง ความรับผิดทางแพ่ง และความเสียหายต่อชื่อเสียงอันเนื่องมาจากการละเมิดกฎระเบียบ

ผู้ประมวลผลข้อมูลอาจต้องรับผิดชอบหากไม่ปฏิบัติตามข้อผูกพันตามสัญญาและกฎหมาย

หากคุณประมวลผลข้อมูลในนามของผู้ควบคุมข้อมูล คุณต้องดำเนินการตามมาตรการรักษาความปลอดภัยที่ระบุไว้ในข้อตกลงของคุณ และปฏิบัติตามคำสั่งที่ชอบด้วยกฎหมายของผู้ควบคุมข้อมูล

คุณจะต้องรับผิดชอบโดยตรงหากคุณกระทำการเกินขอบเขตอำนาจหรือละเลยการรักษาความปลอดภัยอย่างเพียงพอ

กรรมการและเจ้าหน้าที่ขององค์กรของคุณอาจต้องรับผิดส่วนบุคคลในบางกรณี

ภายใต้การบังคับใช้คำสั่ง NIS2 ในประเทศเนเธอร์แลนด์ ผู้บริหารอาจต้องรับผิดชอบเป็นการส่วนตัวต่อความล้มเหลวในการกำกับดูแลด้านความปลอดภัยทางไซเบอร์

ซึ่งรวมถึงความเป็นไปได้ที่จะถูกตัดสิทธิ์จากการดำรงตำแหน่งกรรมการหากมีการละเมิดร้ายแรงเกิดขึ้น

ผู้ให้บริการภายนอกก็อาจต้องรับผิดชอบต่อเหตุการณ์ด้านความปลอดภัยเช่นกัน

หากคุณพึ่งพาบริการคลาวด์ การสนับสนุนด้านไอที หรือผู้ให้บริการภายนอกอื่นๆ พวกเขาอาจต้องรับผิดชอบร่วมกันเมื่อความผิดพลาดของพวกเขาส่งผลให้เกิดการละเมิดข้อมูล

สัญญาของคุณกับผู้ให้บริการเหล่านี้ควรระบุความรับผิดชอบด้านความปลอดภัยและเงื่อนไขความรับผิดไว้อย่างชัดเจน

หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์ทำหน้าที่เป็นหน่วยงานบังคับใช้กฎหมายหลัก

แม้ว่าจะไม่รับผิดชอบโดยตรงต่อการละเมิด แต่หน่วยงานจะตรวจสอบเหตุการณ์ ออกคำสั่งแก้ไข และเรียกเก็บค่าปรับทางปกครองจากองค์กรที่ไม่ปฏิบัติตาม

องค์กรต่างๆ จะต้องเผชิญกับผลกระทบอะไรบ้างหากไม่ปฏิบัติตามกฎระเบียบด้านการคุ้มครองข้อมูลของเนเธอร์แลนด์?

องค์กรของคุณอาจต้องเผชิญกับค่าปรับทางปกครองสูงสุดถึง 20 ล้านยูโร หรือ 4% ของรายได้ประจำปีทั่วโลก แล้วแต่จำนวนใดจะสูงกว่า หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์จะกำหนดจำนวนค่าปรับโดยพิจารณาจากลักษณะ ความรุนแรง ระยะเวลาของการละเมิด และความร่วมมือของคุณในระหว่างการสอบสวน

นอกเหนือจากบทลงโทษทางการเงินแล้ว หน่วยงานกำกับดูแลยังสามารถกำหนดมาตรการแก้ไขที่ส่งผลกระทบต่อการดำเนินงานของคุณได้ มาตรการเหล่านี้รวมถึงการจำกัดกิจกรรมการประมวลผลข้อมูลชั่วคราว คำสั่งให้แก้ไขการละเมิดเฉพาะเรื่อง และการตรวจสอบภาคบังคับ

คุณอาจจำเป็นต้องระงับกิจกรรมทางธุรกิจบางอย่างจนกว่าจะแสดงให้เห็นว่าปฏิบัติตามข้อกำหนดแล้ว องค์กรของคุณอาจเสี่ยงต่อความเสียหายอย่างร้ายแรงต่อชื่อเสียงหากไม่ปฏิบัติตามข้อกำหนด

การเปิดเผยข้อมูลรั่วไหลและบทลงโทษทางกฎหมายต่อสาธารณะอาจบั่นทอนความเชื่อมั่นของลูกค้าและทำลายความสัมพันธ์ทางธุรกิจได้ หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์เผยแพร่คำตัดสินบังคับใช้กฎหมาย ซึ่งประชาชนและสื่อมวลชนสามารถเข้าถึงได้

คุณอาจต้องเผชิญกับการฟ้องร้องทางแพ่งจากผู้ที่ได้รับผลกระทบซึ่งต้องการค่าชดเชยความเสียหาย บุคคลเหล่านั้นสามารถเรียกร้องค่าเสียหายทั้งทางด้านวัตถุและไม่ใช่วัตถุอันเนื่องมาจากการละเมิดการคุ้มครองข้อมูลส่วนบุคคลได้

ศาลเนเธอร์แลนด์ยอมรับการเรียกร้องค่าเสียหายจากความทุกข์ทรมานและการสูญเสียการควบคุมข้อมูลส่วนบุคคลมากขึ้นเรื่อยๆ แม้ว่าจะไม่มีความเสียหายทางการเงินโดยตรงก็ตาม โอกาสทางธุรกิจของคุณอาจถูกจำกัดหลังจากมีการละเมิดอย่างร้ายแรง

บางภาคส่วนกำหนดให้ต้องมีใบรับรองด้านความปลอดภัยหรือบันทึกการปฏิบัติตามกฎระเบียบเพื่อรักษาสัญญา โดยเฉพาะอย่างยิ่งเมื่อต้องติดต่อกับหน่วยงานภาครัฐหรืออุตสาหกรรมที่อยู่ภายใต้การกำกับดูแล

ในประเทศเนเธอร์แลนด์ ผู้ที่ได้รับผลกระทบจากการรั่วไหลของข้อมูลสามารถขอรับการเยียวยาได้ในรูปแบบใดบ้าง?

หากคุณเชื่อว่าองค์กรใดองค์กรหนึ่งละเมิดสิทธิ์ในการคุ้มครองข้อมูลของคุณ คุณสามารถยื่นเรื่องร้องเรียนต่อหน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์ได้ หน่วยงานดังกล่าวจะตรวจสอบข้อร้องเรียนและสามารถดำเนินการบังคับใช้กฎหมายกับองค์กรที่ไม่ปฏิบัติตามได้

กระบวนการนี้ไม่เสียค่าใช้จ่ายใดๆ และไม่จำเป็นต้องมีทนายความ คุณมีสิทธิ์ที่จะดำเนินคดีทางแพ่งกับองค์กรที่รับผิดชอบ

กฎหมายของเนเธอร์แลนด์อนุญาตให้คุณเรียกร้องค่าชดเชยสำหรับความเสียหายทั้งทางด้านวัตถุและไม่ใช่วัตถุที่เกิดจากการละเมิดการคุ้มครองข้อมูล ความเสียหายทางด้านวัตถุรวมถึงการสูญเสียทางการเงิน ในขณะที่ความเสียหายที่ไม่ใช่วัตถุครอบคลุมความทุกข์ ความวิตกกังวล และการสูญเสียการควบคุมข้อมูลส่วนบุคคลของคุณ

คุณสามารถว่าจ้างทนายความเพื่อจัดการข้อเรียกร้องของคุณโดยคิดค่าธรรมเนียมตามผลลัพธ์ หรือขอความช่วยเหลือทางกฎหมายหากคุณมีคุณสมบัติตรงตามเกณฑ์ทางการเงิน บริษัทกฎหมายหลายแห่งในเนเธอร์แลนด์มีความเชี่ยวชาญด้านคดีคุ้มครองข้อมูลส่วนบุคคลและสามารถให้คำแนะนำเกี่ยวกับความแข็งแกร่งของข้อเรียกร้องของคุณได้

กลไกการฟ้องร้องแบบกลุ่มช่วยให้กลุ่มบุคคลที่ได้รับผลกระทบสามารถยื่นฟ้องร้องเรียกค่าเสียหายร่วมกันได้ คุณอาจขอรับค่าชดเชยโดยตรงจากองค์กรโดยไม่ต้องขึ้นศาล

องค์กรหลายแห่งเลือกที่จะยุติข้อเรียกร้องเป็นการส่วนตัวเพื่อหลีกเลี่ยงค่าใช้จ่ายในการดำเนินคดีและชื่อเสียงที่ไม่ดี ตำแหน่งการเจรจาของคุณจะแข็งแกร่งขึ้นหากองค์กรนั้นละเมิดกฎระเบียบด้านการคุ้มครองข้อมูลอย่างชัดเจน หรือหากการละเมิดนั้นก่อให้เกิดความเสียหายอย่างร้ายแรง

นอกจากนี้ คุณยังสามารถเรียกร้องค่าเสียหายจากผู้ประมวลผลข้อมูลได้ หากพวกเขามีส่วนรับผิดชอบต่อการละเมิดข้อมูล ภายใต้ GDPR ทั้งผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลสามารถถูกดำเนินคดีในข้อหาเรียกค่าเสียหายได้

หากมีหลายฝ่ายมีส่วนร่วมในการละเมิด คุณสามารถเรียกร้องค่าเสียหายเต็มจำนวนได้จากทุกฝ่ายที่รับผิดชอบ

กฎระเบียบ GDPR มีผลกระทบต่อความรับผิดและภาระผูกพันอย่างไรในกรณีที่ข้อมูลรั่วไหลสำหรับหน่วยงานที่ดำเนินงานในเนเธอร์แลนด์?

GDPR กำหนดข้อผูกพันที่ชัดเจนสำหรับองค์กรต่างๆ เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

หน่วยงานต่างๆ ต้องนำมาตรการทางเทคนิคและองค์กรที่เหมาะสมมาใช้เพื่อให้มั่นใจในความปลอดภัยของข้อมูล

ในกรณีที่เกิดการรั่วไหลของข้อมูล องค์กรจะต้องแจ้งหน่วยงานกำกับดูแลที่เกี่ยวข้องภายใน 72 ชั่วโมง

หากการละเมิดดังกล่าวมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล บุคคลที่ได้รับผลกระทบจะต้องได้รับการแจ้งให้ทราบด้วย

การไม่ปฏิบัติตามข้อกำหนดเหล่านี้อาจส่งผลให้องค์กรต้องเสียค่าปรับจำนวนมากและเสียชื่อเสียงได้

ภายใต้ GDPR ทั้งผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูลต่างมีหน้าที่รับผิดชอบที่แตกต่างกัน และสัญญาจะต้องระบุบทบาทเหล่านี้อย่างชัดเจน