Netglæpir í Hollandi: brot, refsingar og varnarmál

Netglæpir í hollenskum lögum ná yfir tvo flokka brota: brot gegn tölvukerfum, svo sem tölvuárásir (computervredebreuk), árásir þar sem gögn eru tekin af markaði og skemmdir á þeim, og venjuleg brot sem framin eru á netinu, svo sem svik, fjárkúgun og misnotkun á auðkenni. Tölvuárásir samkvæmt 138ab grein hollensku hegningarlaganna (Wetboek van Strafrecht, Sr) varða allt að tveggja ára fangelsi, sem getur hækkað í fjögur ár ef gögn eru afrituð; ransomware er venjulega einnig sótt til saka sem fjárkúgun, sem varðar allt að níu árum.

Fyrir fyrirtæki sem verður fyrir árás eru þrjár leiðir í gangi samtímis: kæra til lögreglu, tilkynning um brot á persónuupplýsingum til Persónuverndarstofnunar Hollands (Autoriteit Persoonsgegevens) innan 72 klukkustunda og skaðabótaskylda gagnvart viðskiptavinum og birgjum. Fyrir grunaðan einstakling er lykilspurningin hvort háttsemin hafi verið af ásettu ráði og ólögmæt, því hvert tölvubrot krefst beggja.

Hvaða brot teljast til netglæpa í Hollandi?

Hegningarlögin fjalla um tiltekin tölvubrot og heimfæra þau upp á hefðbundin brot á stafræna heiminn. Flest tölvubrot krefjast þess að grunaður hafi gert eitthvað af ásetningi (opzettelijk) og ólögmætt (wederrechtelijk).

• Dýrka (138. gr. ab Sr): að fara vísvitandi og ólöglega inn í tölvukerfi, til dæmis með því að brjóta öryggisráðstöfun eða nota falskan lykil eða falskt auðkenni. Hámark tvö ár; fjögur ár ef tölvuþrjóturinn afritar síðan gögn eða misnotar getu kerfisins.
• Synjun þjónustu (138. gr. b í Sr): Að loka af ásettu ráði og ólögmætu ráði fyrir aðgangi að kerfi með því að senda því gögn. Hámark tvö ár, lengur þegar botnet er notað.
• Skemmandi gögn (350. gr. a í Sr): að breyta, eyða eða gera gögn óaðgengileg, til dæmis með dulkóðun. Hámark tvö ár; dreifing spilliforrita sem ætlað er að valda skaða varðar allt að fjögur ár.
• Fjárkúgun (317. gr. Sr): Að neyða einhvern með ofbeldi eða hótun til að afhenda vörur eða gögn eða greiða. Hámark níu ár.
• Svik (326. gr. Sr), til dæmis netveiðar og falsaðar netverslanir, og misnotkun á auðkenni (231. gr. b í lögum nr. 1).

Lög um tölvuglæpi III (Wet computercriminaliteit III) veittu rannsóknarmönnum einnig aukin völd. Samkvæmt 126. gr. nba í refsilögum getur saksóknari, fyrir alvarleg brot og með heimild rannsóknardómara, fyrirskipað lögreglu að fara inn í tölvukerfi grunaðs manns með fjarlægum hætti.

Hvað ætti fyrirtæki að gera eftir netárás?

Líttu á árásina sem þrjár aðskildar lagalegar leiðir með sínum eigin frestum. Byrjaðu á mati á gagnalekanum, því 72 klukkustunda fresturinn rennur út frá þeirri stundu sem þú verður var við brotið.

Þarftu að tilkynna gagnaleka?

Samkvæmt GDPR (á hollensku: AVG) skal tilkynna Persónuverndarstofnun Hollands um öryggisbrot gegn persónuupplýsingum án ótilhlýðilegrar tafar og innan 72 klukkustunda ef mögulegt er, nema ólíklegt sé að það leiði til áhættu fyrir viðkomandi aðila. Ef áhættan er mikil verður þú einnig að tilkynna viðkomandi aðila. Skráðu öll öryggisbrot innbyrðis, þar á meðal þau sem þú tilkynnir ekki.

Stofnanir í mikilvægum geirum hafa viðbótarskyldur samkvæmt netöryggislögum (Cyberbeveiligingswet), sem voru í gildi frá 15. ágúst 2026. Þau koma í stað laga um öryggi neta og upplýsingakerfa (Wbni) og krefjast þess að alvarleg atvik séu tilkynnt til lögbærs CSIRT og eftirlitsaðila innan skamms lagaskilmála, ásamt skyldu til að gæta öryggis og ábyrgðar stjórnar.

Ættirðu að leggja fram kæru vegna sakamála?

Já, kæra (aangifte) til lögreglunnar hefst sakamálsferlið og tryggingafélög krefjast þess oft. Ef brotamaðurinn er ákærður getur þú tekið þátt í sakamálinu sem tjónvaldur (benadeelde partij) og krafist beins tjóns samkvæmt 51f. gr. Sv, án þess að höfða sérstakt einkamál.

Hver ber ábyrgð á tjóninu?

Viðskiptavinir sem gögnum þeirra var lekið út geta krafist skaðabóta frá fyrirtækinu samkvæmt GDPR og Persónuverndarstofnunin getur lagt sektir allt að 20 milljónum evra eða 4% af árlegri heimsveltu. Fyrirtækið getur aftur á móti átt rétt á kröfum gegn upplýsingatæknifyrirtæki sem olli mistökum sínum, allt eftir samningi og takmörkunum hans á ábyrgð. Stjórnendur geta aðeins borið persónulega ábyrgð gagnvart fyrirtækinu ef um alvarlega persónulega ávítur er að ræða.

Hvernig ver maður sig gegn ákæru um netglæpi?

Vörn hefst venjulega með þáttum brotsins: ásetningi, ólögmæti og sönnunargögnum sem tengja grunaðan við tækið eða reikninginn. Samkvæmt 29. gr. Sv er þér ekki skylt að svara spurningum og samkvæmt 28c. gr. Sv getur handtekinn grunaður ráðfært sig við lögmann fyrir fyrstu lögregluyfirheyrslu.

Algeng varnaratriði eru eftirfarandi. Var aðgangur í raun ólöglegur, til dæmis vegna þess að grunaði var starfsmaður eða samkvæmt villuleitaráætlun? Getur ákæruvaldið sannað hver var á bak við lyklaborðið, fékk sameiginleg tæki, VPN og stolnar reikninga? Var stafrænu sönnunargögnin aflað á lögmætan hátt, til dæmis samkvæmt gildri fyrirmælum rannsóknardómara (rechter-commissaris) um fjaraðgang samkvæmt 126. gr. nba Sv? Og var vörslukeðjan yfir haldlögðum gögnum skjalfest? Ef sönnunargögn voru aflað ólögmætlega getur dómstóllinn útilokað þau, lækkað refsingu eða, í undantekningartilvikum, lýst ákæruna ótæka.

Siðferðisþrjótar sem tilkynna um veikleika á ábyrgan hátt eru í reynd oft ekki kærðir þegar þeir fylgja samræmdri upplýsingagjöfarstefnu fyrirtækisins, en þetta er ekki lagaleg undantekning. Takmarkaðu umfangið og skráðu það sem þú gerðir.

Hvaða þýðingu hefur netglæpastarfsemi fyrir vinnuveitendur og starfsmenn?

Samkvæmt 7. gr. 611 í hollensku borgaralögunum (BW) verða vinnuveitendur og starfsmenn að hegða sér eins og góðir vinnuveitendur og góðir starfsmenn, sem felur í sér skýrar öryggisreglur og að fylgja þeim. Alvarleg brot geta réttlætt uppsögn fyrirvaralaust af brýnni ástæðu samkvæmt 7. gr. 678 í hollensku borgaralögunum, en aðeins ef reglurnar eru skýrar og viðbrögðin eru í réttu hlutfalli.

Eftirlit með starfsfólki til að greina ógnir er aðeins heimilt ef það er nauðsynlegt, í réttu hlutfalli við hlutfallslegt hlutfall og tilkynnt fyrirfram, í samræmi við GDPR. Kerfi til að fylgjast með mætingu, hegðun eða frammistöðu starfsfólks krefst samþykkis starfsmannaráðs samkvæmt 27. gr. (1)(l) laga um starfsmannaráð (WOR). Starfsmenn sem tilkynna öryggisgalla eða misnotkun gagna í gegnum réttar leiðir eru verndaðir gegn hefndum samkvæmt lögum um vernd uppljóstrara (Wet bescherming klokkenluiders).

Hvað ættir þú að athuga þegar fyrirtæki verður fyrir árás?

• Hvort persónuupplýsingar urðu fyrir áhrifum og hvort þörf sé á 72 klukkustunda tilkynningu til Persónuverndar.
• Hvort stofnun þín falli undir lög um netöryggi og verði að tilkynna atvikið til CSIRT-teymis síns og yfirmanns.
• Hvort þú hafir lagt fram kæru til lögreglu og tryggt þér skrár og önnur sönnunargögn.
• Hvort nettrygging þín setur tilkynningarfresti eða skilyrði fyrir greiðslu lausnargjalds.
• Það sem samningar þínir við upplýsingatæknifyrirtæki segja um öryggisskyldur og takmarkanir á ábyrgð.

Hvað ættir þú að athuga sem grunaður?

• Hvaða brot og hvaða grein lögreglan nefnir í stefnu eða við handtöku.
• Hvort þú hafir talað við lögmann fyrir fyrsta viðtalið (28. gr. c Sv).
• Hvort þú hafir haft heimild til að fá aðgang að kerfinu og hvort þú getir sannað það.
• Hvaða tæki og reikningar voru haldlagðir og samkvæmt hvaða fyrirmælum.
• Hvort sakfelling gæti haft áhrif á atvinnu- eða dvalarleyfi þitt.

Hvað getum við gert fyrir þig varðandi netglæpi?

Sem lögfræðingar í sakamálum störfum við bæði fyrir fyrirtæki og grunaða og sjáum um vinnuréttarlega hlið málanna.

• We assess whether a data breach must be notified to the Data Protection Authority.
• Við undirbúum kæru til lögreglu og kröfu tjónþola í sakamálinu.
• Við aðstoðum grunaða við yfirheyrslur lögreglu og skoðum lögmæti stafrænna sönnunargagna.
• Við skoðum upplýsingatæknisamninga og krefjumst skaðabóta frá birgjum þar sem mistök þeirra áttu þátt í árásinni.
• Við semjum öryggis- og eftirlitsstefnur og ráðleggjum um uppsagnir eftir brot á öryggisreglum.

Yfirlit

• Tölvuþjófnaður (138. gr. ab) varðar allt að tvö ár, eða fjögur ár ef gögn eru afrituð; fjárkúgun með ransomware allt að níu ár (317. gr.).
• Sérhvert tölvubrot krefst vísvitandi og ólögmætrar háttsemi, og þar byggjast margar varnir.
• Tilkynna skal Persónuverndareftirlitið um öryggisbrot innan 72 klukkustunda ef það er mögulegt.
• Frá og með 15. ágúst 2026 leggja netöryggislögin skyldur á mikilvæga og mikilvæga aðila varðandi tilkynningar um atvik og öryggisskyldur.
• Sem fórnarlamb getur þú krafist beins tjóns í sakamáli sem tjónvaldur (51. gr. f Sv).

Algengar spurningar