সাইবার আক্রমণের শিকার ব্যক্তিদের অধিকার: অবহিতকরণের বাধ্যবাধকতা, ক্ষতিপূরণ এবং বীমা

টম মিভিস, আইনজীবী কর্তৃক Law & More

র‍্যানসমওয়্যার, ফিশিং, ডিডস (DDoS) আক্রমণ এবং কম্পিউটার অনুপ্রবেশের মতো সাইবার আক্রমণগুলো খুব কম ক্ষেত্রেই কেবল আক্রান্ত প্রতিষ্ঠানকেই প্রভাবিত করে। সাইবার আক্রমণের শিকারদের মধ্যে গ্রাহক, কর্মচারী, রোগী, সরবরাহকারী এবং অন্যান্য সরবরাহ শৃঙ্খলের অংশীদাররাও অন্তর্ভুক্ত থাকেন, যারা ক্ষতির সম্মুখীন হতে পারেন এবং তাদের আইনি অবস্থান বিভিন্ন গোষ্ঠীর ক্ষেত্রে ভিন্ন হয়। তাই, আক্রমণের পর কোন বাধ্যবাধকতাগুলো প্রযোজ্য এবং কোন দাবিগুলো বিদ্যমান, তা নির্ধারণ করতে চাইলে প্রথমে ঠিক কারা ক্ষতিগ্রস্ত হয়েছেন এবং কী ধরনের ক্ষতি হয়েছে, তা নির্ণয় করার পরামর্শ দেওয়া হয়।

এই নিবন্ধে পর্যায়ক্রমে আলোচনা করা হয়েছে যে, কারা ভুক্তভোগী হিসেবে গণ্য হবেন, কখন তথ্য ফাঁসের বিষয়ে জানাতে হবে, কী কী শর্তে ক্ষতিপূরণের অধিকার জন্মায়, কোন পক্ষগুলো দায়ী হতে পারে, এক্ষেত্রে ফৌজদারি আইনের ভূমিকা কী, একটি সাইবার বীমা পলিসিতে সাধারণত কী কী অন্তর্ভুক্ত থাকে এবং আক্রমণের পরপরই কী কী পদক্ষেপ নেওয়া উচিত।

সাইবার আক্রমণের শিকার কারা?

একটি সাইবার আক্রমণে তিনটি গোষ্ঠীকে চিহ্নিত করা যায়।

• ক্ষতিগ্রস্ত প্রতিষ্ঠানটি নিজেই সিস্টেম অচলতা, টার্নওভারের ক্ষতি, পুনরুদ্ধারের খরচ, ফরেনসিক তদন্তের খরচ এবং সুনামের ক্ষতির সম্মুখীন হয়।
• সাধারণ ব্যক্তি, যেমন গ্রাহক, কর্মচারী এবং রোগী, যাদের ব্যক্তিগত তথ্য ফাঁস হয়েছে। তারা আর্থিক ক্ষতির পাশাপাশি নিজেদের তথ্যের ওপর নিয়ন্ত্রণ হারানো, অনিশ্চয়তা বা পরিচয় জালিয়াতির ভয়ের কারণে অ-বস্তুগত ক্ষতিরও সম্মুখীন হতে পারেন।
• চুক্তিভিত্তিক বা সরবরাহ শৃঙ্খল সম্পর্কের মাধ্যমে প্রভাবিত তৃতীয় পক্ষ, উদাহরণস্বরূপ, কারণ তারা এমন একজন সরবরাহকারীর উপর নির্ভরশীল যার সিস্টেম অচল হয়ে পড়েছে।

এই শ্রেণিবিন্যাসটি আইনগতভাবে প্রাসঙ্গিক। যেকোনো দাবির ভিত্তি এবং কার বিরুদ্ধে তা আনা যেতে পারে, তা ক্ষতিগ্রস্ত ব্যক্তির অবস্থানের উপর নির্ভর করে। একটি ক্ষতিগ্রস্ত সংস্থা সাধারণত চুক্তি অনুসারে তার আইটি সরবরাহকারীকে জবাবদিহি করতে বাধ্য করবে, অপরদিকে একজন ডেটা সাবজেক্ট সরাসরি জিডিপিআর দ্বারা প্রদত্ত দায়বদ্ধতার স্বতন্ত্র ভিত্তির উপর নির্ভর করতে পারেন।

ডেটা লঙ্ঘনের বিষয়ে কখন অবহিত করতে হবে?

যেখানে কোনো সাইবার আক্রমণে ব্যক্তিগত তথ্য জড়িত থাকে, সেখানে ব্যক্তিগত তথ্য লঙ্ঘন হয়েছে কিনা এবং বিজ্ঞপ্তি দেওয়া বাধ্যতামূলক কিনা তা অবশ্যই মূল্যায়ন করতে হবে। GDPR-এর ৩৩ নং ধারা অনুযায়ী, কোনো লঙ্ঘনের ঘটনা ঘটলে তা অযথা বিলম্ব না করে এবং সম্ভব হলে বাহাত্তর ঘণ্টার মধ্যে তত্ত্বাবধায়ক কর্তৃপক্ষকে জানাতে হবে, যদি না সেই লঙ্ঘনের ফলে স্বাভাবিক ব্যক্তিদের অধিকার ও স্বাধীনতার জন্য কোনো ঝুঁকি তৈরি হওয়ার সম্ভাবনা না থাকে।

এছাড়াও, GDPR-এর ৩৪ নং ধারা অনুযায়ী প্রতিষ্ঠানটিকে স্বয়ং ডেটা সাবজেক্টদের অবহিত করতে হতে পারে। এই বাধ্যবাধকতা তখনই উদ্ভূত হয়, যখন ডেটা লঙ্ঘনের ফলে তাদের অধিকার ও স্বাধীনতার জন্য উচ্চ ঝুঁকি তৈরি হওয়ার সম্ভাবনা থাকে। যেখানে এনক্রিপশনের মতো উপযুক্ত প্রযুক্তিগত ব্যবস্থা গ্রহণ করা হয়েছিল, যেখানে পরবর্তী পদক্ষেপগুলো নিশ্চিত করে যে উচ্চ ঝুঁকিটি আর বাস্তবে ঘটবে না, অথবা যেখানে পৃথকভাবে যোগাযোগ করতে অসামঞ্জস্যপূর্ণ প্রচেষ্টা প্রয়োজন হবে, সেখানে যোগাযোগ বাদ দেওয়া যেতে পারে; শেষোক্ত ক্ষেত্রে একটি সর্বজনীন বিজ্ঞপ্তিই যথেষ্ট।

সংশ্লিষ্ট ব্যক্তির জন্য এই যোগাযোগটি নিছক একটি আনুষ্ঠানিকতার চেয়ে বেশি কিছু। এটি তাদের নিজস্ব ব্যবস্থা নিতে সক্ষম করে, যেমন পাসওয়ার্ড পরিবর্তন করা বা সন্দেহজনক লেনদেনের ওপর নজর রাখা, এবং বাস্তবে এটি প্রায়শই ক্ষতিপূরণের যেকোনো দাবির সূচনা বিন্দু হয়ে থাকে।

সুতরাং, একটি সংস্থাকে শুধু যে একটি আক্রমণ ঘটেছে তাই নয়, বরং কোন ডেটা ক্ষতিগ্রস্ত হয়েছে, ডেটা প্রকৃতপক্ষে পাচার হয়েছে কিনা এবং এর ফলে কী কী ঝুঁকি রয়েছে, তাও প্রতিষ্ঠা করতে হবে। এই উদ্দেশ্যে একটি স্বাধীন ফরেনসিক তদন্ত প্রায়শই অপরিহার্য।

এই বিষয়টি আরও বেশি প্রযোজ্য হয় যখন আক্রমণটি সরাসরি প্রতিষ্ঠানের পরিবর্তে কোনো প্রসেসরের উপর ঘটে। ব্লাউ রিসার্চ এবং নেবু-এর মধ্যকার সংক্ষিপ্ত কার্যধারায় (ডিস্ট্রিক্ট কোর্ট অফ রটারডাম, ৬ এপ্রিল ২০২৩, ECLI:NL:RBROT:2023:2931) অন্তর্বর্তীকালীন প্রতিকার বিচারক এই রায় দেন যে, পক্ষগুলোর মধ্যে সম্পাদিত ডেটা প্রসেসিং চুক্তি অনুসারে, কন্ট্রোলার আক্রমণ, এর পরিণতি এবং গৃহীত পদক্ষেপ সম্পর্কে প্রাথমিকভাবে প্রদত্ত তথ্যের চেয়েও বেশি তথ্য পাওয়ার অধিকারী। প্রসেসরকে একটি স্বাধীন ফরেনসিক তদন্ত পরিচালনা করতে এবং পর্যায়ক্রমে প্রতিবেদন জমা দিতেও নির্দেশ দেওয়া হয়েছিল। এই রায়টি দেখায় যে, কোনো ঘটনার পর সময়মতো তথ্য পাওয়ার জন্য একটি সু-লিখিত ডেটা প্রসেসিং চুক্তিই কার্যত সবচেয়ে গুরুত্বপূর্ণ দলিল, কারণ কন্ট্রোলারের নিজস্ব বিজ্ঞপ্তি প্রদানের দায়িত্ব পালনের জন্য সেই তথ্যের প্রয়োজন হয়।

ক্ষতিপূরণের অধিকার কখন উদ্ভূত হয়?

ডেটা সাবজেক্টরা GDPR-এর ধারা ৮২ অনুযায়ী কন্ট্রোলার বা প্রসেসরের কাছ থেকে ক্ষতিপূরণ দাবি করতে পারেন। তবে, একটি সাইবার আক্রমণ স্বয়ংক্রিয়ভাবে দাবির জন্ম দেয় না। এটি অবশ্যই প্রমাণসহকারে প্রমাণিত হতে হবে:

• যে GDPR লঙ্ঘিত হয়েছে;
• প্রকৃতপক্ষে যে ক্ষতি হয়েছে; এবং
• ঐ লঙ্ঘন এবং ঐ ক্ষতির মধ্যে একটি কার্যকারণ সম্পর্ক রয়েছে।

বস্তুগত ক্ষতির মধ্যে আর্থিক লোকসান, পুনরুদ্ধার খরচ বা পরিচয় জালিয়াতির কারণে সৃষ্ট ক্ষতি অন্তর্ভুক্ত থাকতে পারে। অবস্তুগত ক্ষতির ক্ষেত্রে, ইউরোপীয় ইউনিয়নের বিচার আদালত Österreichische Post (CJEU 4 May 2023, C-300/21) মামলায় এই মর্মে রায় দিয়েছে যে, ক্ষতির গুরুতরতার কোনো ন্যূনতম সীমা নেই, তবে শুধুমাত্র GDPR লঙ্ঘনই ক্ষতিপূরণ প্রদানের জন্য যথেষ্ট নয়।

সাইবার আক্রমণের ফলে ডেটা লঙ্ঘনের ক্ষেত্রে বিশেষভাবে প্রাসঙ্গিক হলো Natsionalna agentsia za prihodite (CJEU 14 December 2023, C-340/21)। সেখানে আদালত এই রায় দেয় যে, ফাঁস হওয়া ব্যক্তিগত তথ্যের সম্ভাব্য ভবিষ্যৎ অপব্যবহারের ভয় নিজেই একটি অ-বস্তুগত ক্ষতি হিসেবে গণ্য হতে পারে। তবে, তথ্যের অধিকারীকে অবশ্যই সেই ভয় এবং তার পরিণতি সুনির্দিষ্টভাবে প্রমাণ করতে হবে; শুধুমাত্র তথ্য ফাঁস হয়েছে—এই বিষয়টি উল্লেখ করাই যথেষ্ট নয়। একই রায়ে আদালত নিশ্চিত করে যে, গৃহীত নিরাপত্তা ব্যবস্থাগুলো যথাযথ ছিল—এটি প্রমাণ করার দায়িত্ব নিয়ন্ত্রকের, এবং কোনো তৃতীয় পক্ষের আক্রমণ নিজেই নিয়ন্ত্রককে দায় থেকে অব্যাহতি দেয় না।

GDPR-এর অধীনে দায়বদ্ধতা চুক্তিভঙ্গ এবং অপকৃত্যের দেওয়ানি আইনের ভিত্তির পাশাপাশি বিদ্যমান। ডাচ দেওয়ানি আইনের ধারা 6:162(1) অনুসারে, কোনো পক্ষ কর্তৃক সংঘটিত বেআইনি কাজের জন্য ক্ষতিপূরণ দিতে বাধ্য। ধারা 6:163-এর আপেক্ষিকতার শর্ত প্রযোজ্য: লঙ্ঘিত নিয়মটি অবশ্যই ক্ষতিগ্রস্ত পক্ষের ভোগ করা ক্ষতির ধরনের বিরুদ্ধে সুরক্ষা প্রদানের জন্য কাজ করবে।

গুরুত্বপূর্ণভাবে, GDPR-এর ধারা ৮২ এই ভিত্তিগুলোর পাশাপাশি বিদ্যমান। তাই, কোনো ডেটা সাবজেক্ট শুধুমাত্র চুক্তিভঙ্গ বা টর্টের উপর ভিত্তি করে কোনো দাবি প্রতিষ্ঠা করতে বাধ্য নন, বরং তিনি GDPR দ্বারা প্রদত্ত দায়বদ্ধতার স্বতন্ত্র ভিত্তির উপর সরাসরি নির্ভর করতে পারেন। ক্ষতিগ্রস্ত সংস্থার জন্য, ভিত্তিগুলোর এই সমন্বয়ের অর্থ হলো, কোনো আক্রমণের পর একাধিক পক্ষ একই সময়ে দাবি উত্থাপন করতে পারে।

কে দায়ী হতে পারে?

ক্ষতিগ্রস্ত সংস্থাটি তার চুক্তিগত বাধ্যবাধকতা পালনে ব্যর্থ হলে বা অপর্যাপ্ত নিরাপত্তা ব্যবস্থা গ্রহণ করলে দায়ী হতে পারে। একজন আইটি পরিষেবা প্রদানকারী বা প্রসেসরকেও জবাবদিহিতার আওতায় আনা যেতে পারে। সেই পরিষেবা প্রদানকারীর কাছ থেকে কী প্রত্যাশা করা যেতে পারে, তা সর্বাগ্রে চুক্তি দ্বারা নির্ধারিত হয়।

একটি প্রক্রিয়াকরণ সম্পর্কের ক্ষেত্রে ডেটা প্রসেসিং চুক্তি একটি কেন্দ্রীয় ভূমিকা পালন করে। GDPR-এর ২৮ নং ধারা অনুযায়ী কন্ট্রোলার এবং প্রসেসরকে এই ধরনের একটি চুক্তি সম্পাদন করতে হয়, যা অন্যান্য বিষয়ের মধ্যে নিরাপত্তা ব্যবস্থা এবং ডেটা লঙ্ঘনের ব্যবস্থাপনাকে নিয়ন্ত্রণ করে। যেখানে প্রসেসরের অপর্যাপ্ত নিরাপত্তার কারণে আক্রমণটি ঘটে, সেখানে কন্ট্রোলার সেই চুক্তির অধীনে সৃষ্ট ক্ষতির জন্য প্রসেসরকে দায়ী করতে পারে।

হফ ভ্যান টোয়েন্টে পৌরসভার উপর সাইবার আক্রমণ সংক্রান্ত মামলা থেকে বিষয়টি স্পষ্টভাবে ফুটে ওঠে (ওভারিজসেল জেলা আদালত, ১০ মে ২০২৩, ECLI:NL:RBOVE:2023:1731)। পক্ষগুলো কার্যকরী পর্যবেক্ষণের বিষয়ে সম্মত হয়েছিল, নিরাপত্তা পর্যবেক্ষণের বিষয়ে নয়। আদালত এই রায় দেয় যে, একজন আইটি প্রশাসকের দায়িত্ব এতদূর পর্যন্ত বিস্তৃত নয় যে, কার্যকরী পর্যবেক্ষণের দায়িত্ব অর্পণের একটি অলিখিত অংশ হিসেবে নিরাপত্তা পর্যবেক্ষণ অন্তর্ভুক্ত হয়ে যায়, এবং পৌরসভার দাবি খারিজ করে দেয়। আদালত এ বিষয়টিও বিবেচনা করে যে, পৌরসভা নিজেও এমন কিছু সিদ্ধান্ত নিয়েছিল যা ঝুঁকি বাড়িয়েছিল, যার মধ্যে তাদের পাসওয়ার্ড নীতি এবং একটি আরডিপি পোর্ট চালু করা অন্তর্ভুক্ত ছিল।

এর প্রতিবিম্ব হলো ও'ক্লিয়েন্স মামলা (জেলা আদালত) Amsterdam(১৪ নভেম্বর ২০১৮, ECLI:NL:RBAMS:2018:10124)। সেখানে সরবরাহকারী একটি সম্পূর্ণ আইটি পরিকাঠামো স্থাপন করেছিল এবং এর ব্যবস্থাপনার দায়িত্ব নিয়েছিল। একটি র‍্যানসমওয়্যার আক্রমণের পর, যেখানে ব্যাকআপগুলোও এনক্রিপ্ট হয়ে গিয়েছিল, আদালত এই রায় দেয় যে এই ধরনের একটি সম্পূর্ণ প্যাকেজ সরবরাহের ক্ষেত্রে ব্যাপক যত্নশীলতার দায়িত্ব বর্তায় এবং সহজবোধ্য পদক্ষেপগুলো উপেক্ষা করা হয়েছিল। তবে, সম্পূর্ণ দায়ভার প্রদান করা হয়নি: গ্রাহকের আংশিক ত্রুটির কারণে, ক্ষতির দুই-তৃতীয়াংশ সরবরাহকারীর হিসাবে থেকে যায়।

যথাযথ নিরাপত্তার বিষয়ে প্রমাণের দায় কতটা গুরুতর হতে পারে, তা একটি গাড়ি বিক্রেতার হ্যাক হওয়া ইমেল অ্যাকাউন্টের ঘটনা থেকে স্পষ্ট হয়। ৫ নভেম্বর ২০২৪-এর অন্তর্বর্তীকালীন রায়ে (আর্নহেম-লিউওয়ার্ডেন আপিল আদালত, ECLI:NL:GHARL:2024:6812), একজন হ্যাকার সেই অ্যাকাউন্টটি ব্যবহার করে একজন ক্রেতাকে একটি মিথ্যা অর্থপ্রদানের নির্দেশ পাঠানোর পর, বিক্রেতাকে GDPR অনুযায়ী তার ইমেল অ্যাকাউন্টটি যথাযথভাবে সুরক্ষিত ছিল তা প্রমাণ করার সুযোগ দেওয়া হয়েছিল। ২২ জুলাই ২০২৫-এর পরবর্তী রায়ে (ECLI:NL:GHARL:2025:4556) আদালত এই সিদ্ধান্তে উপনীত হয় যে, এই প্রমাণ দাখিল করা হয়নি, যার পরেও পক্ষগুলোকে ক্রেতার অবদানমূলক ত্রুটিটি সমাধান করতে হতো। সুতরাং, উভয় রায়ই একই কার্যধারা সম্পর্কিত।

মূল কথাটি হলো, চুক্তিগত ব্যবস্থা, প্রক্রিয়াকরণের ঝুঁকি, প্রকৃতপক্ষে গৃহীত পদক্ষেপ, উভয় পক্ষের দেওয়া সতর্কবার্তা এবং ক্ষতিগ্রস্ত পক্ষের নিজস্ব আচরণ—এই সবকিছুই গুরুত্বপূর্ণ। দেওয়ানি দায়ের পাশাপাশি, ডাচ ডেটা সুরক্ষা কর্তৃপক্ষ ২০ মিলিয়ন ইউরো পর্যন্ত অথবা বিশ্বব্যাপী বার্ষিক টার্নওভারের ৪ শতাংশ, এই দুটির মধ্যে যেটি বেশি, সেই পরিমাণ প্রশাসনিক জরিমানা আরোপ করা হতে পারে। স্বতন্ত্র তথ্য প্রদানকারী ব্যক্তিরা ক্ষতিগ্রস্ত হয়েছেন কি না, তার ওপর এই জরিমানা নির্ভরশীল নয়।

ফৌজদারি আইনের পথ

একটি সাইবার আক্রমণ ফৌজদারি অপরাধও হতে পারে, যেমন কম্পিউটার অনুপ্রবেশ, ডেটা অ্যাক্সেসের অযোগ্য করে তোলা বা অপ্রকাশ্য ডেটা আত্মসাৎ করা। ডাচ ফৌজদারি আইনের ধারা 138ab(1) অনুসারে, ইচ্ছাকৃতভাবে এবং বেআইনিভাবে একটি স্বয়ংক্রিয় সিস্টেমে অ্যাক্সেস লাভ করা একটি অপরাধ।

ভুক্তভোগীরা পুলিশের কাছে অপরাধটির বিষয়ে অভিযোগ করতে পারেন, যাদের বিশেষায়িত সাইবার অপরাধ দমন দল রয়েছে। যখন কোনো সন্দেহভাজনের বিরুদ্ধে মামলা করা হয়, তখন একজন ভুক্তভোগী ক্ষতিগ্রস্ত পক্ষ হিসেবে ফৌজদারি কার্যক্রমে যোগ দিতে পারেন এবং সেখানে ক্ষতিপূরণ দাবি করতে পারেন। এই পথটি পৃথক দেওয়ানি মামলা এড়াতে সাহায্য করে, কিন্তু এর ফলাফল নির্ভর করে অপরাধ শনাক্তকরণ, বিচার এবং প্রমাণের ওপর, যা আন্তর্জাতিকভাবে সক্রিয় অপরাধীদের ক্ষেত্রে প্রায়শই কোনো ফল দেয় না। সংস্থাগুলোর জন্য অভিযোগ জানানো প্রায়শই একটি বাস্তব প্রয়োজনীয়তাও বটে, কারণ বীমাকারী এবং সরবরাহ শৃঙ্খলের অংশীদাররা এটি চেয়ে থাকে।

সাইবার বীমা কী কী বিষয় অন্তর্ভুক্ত করে?

একটি সাইবার বীমা পলিসি অন্যান্য বিষয়ের মধ্যে নিম্নলিখিত বিষয়গুলির জন্য সুরক্ষা প্রদান করতে পারে:

• ঘটনা প্রতিক্রিয়া এবং ফরেনসিক তদন্ত;
• সিস্টেম ও ডেটা পুনরুদ্ধার;
• ব্যবসায়িক কার্যক্রম ব্যাহত হওয়ার ক্ষতি এবং টার্নওভারের ক্ষতি;
• সংকটকালীন যোগাযোগ;
• তৃতীয় পক্ষের প্রতি দায়বদ্ধতা;
• আইনি খরচ; এবং
• কিছু ক্ষেত্রে জরিমানা, মীমাংসার অর্থ বা মুক্তিপণ, প্রযোজ্য আইন অনুযায়ী বীমাযোগ্যতার সীমা পর্যন্ত।

সঠিক কভারেজ পলিসির উপর নির্ভর করে। বর্জনীয় বিষয়, নিরাপত্তা শর্তাবলী, বিজ্ঞপ্তির সময়সীমা, কর্তনযোগ্য পরিমাণ এবং বিশেষজ্ঞ নিয়োগের প্রয়োজনীয়তার দিকে মনোযোগ দিন। ডাচ দেওয়ানি আইনের ধারা 7:957(1) একজন বীমাকৃত পক্ষকে ক্ষতি প্রতিরোধ বা সীমিত করার জন্য যুক্তিসঙ্গত ব্যবস্থা নিতে বাধ্য করে। যেখানে উদ্ধারের সেই কর্তব্য পালন করা হয় না, সেখানে বীমাকারী পরিশোধের পরিমাণ কমাতে পারে।

তাই সাইবার বীমাকারীকে যত দ্রুত সম্ভব জানানো উচিত। বীমাকারীর সম্মতি ছাড়া বহিরাগত বিশেষজ্ঞ নিয়োগ করা বা মুক্তিপণ প্রদান করা বীমার আওতাকে প্রভাবিত করতে পারে।

সাইবার আক্রমণের পর আপনার অবিলম্বে কী করা উচিত?

• ঘটনাটি এবং সংশ্লিষ্ট সকল পদক্ষেপ যত্নসহকারে লিপিবদ্ধ করুন।
• প্রমাণ না হারিয়ে ক্ষতিগ্রস্ত সিস্টেমগুলোকে বিচ্ছিন্ন করুন।
• একজন ফরেনসিক বিশেষজ্ঞকে নিযুক্ত করুন।
• কোনো অবহিতযোগ্য তথ্য লঙ্ঘন ঘটেছে কিনা তা মূল্যায়ন করুন।
• তথ্য প্রদানকারীদের অবহিত করা আবশ্যক কিনা তা মূল্যায়ন করুন।
• অপরাধটি পুলিশকে জানান।
• আপনার সাইবার বীমাকারীকে ঘটনাটি সম্পর্কে অবহিত করুন।
• লগ, ব্যাকআপ, ইমেল এবং অন্যান্য প্রাসঙ্গিক ডেটা সংরক্ষণ করুন।
• ক্ষয়ক্ষতি এবং সম্ভাব্য দায়ী পক্ষগুলোকে চিহ্নিত করুন।
• গ্রাহক, কর্মচারী এবং সরবরাহ শৃঙ্খলের অংশীদারদের সতর্কতার সাথে এবং সময়মতো অবহিত করুন।

সুতরাং, একটি সাইবার আক্রমণ কেবল একটি প্রযুক্তিগত ঘটনা নয়। এটি তথ্য সুরক্ষা, দেওয়ানি আইন, ফৌজদারি আইন এবং বীমা আইনেরও একটি বিষয়। একটি দ্রুত এবং সু-নথিভুক্ত প্রতিক্রিয়া কেবল ক্ষতিই সীমিত করে না, বরং বিজ্ঞপ্তি, বীমা সুরক্ষা এবং যেকোনো কার্যধারায় আপনার সাক্ষ্যপ্রমাণের অবস্থানের জন্যও এটি নির্ণায়ক ভূমিকা পালন করে।

বন্ধ

সাইবার আক্রমণের পরবর্তী অধিকার ও বাধ্যবাধকতাগুলো আইনের বিভিন্ন ক্ষেত্রে বিস্তৃত, এবং একটি মামলার ফলাফল অনেকাংশে নির্ভর করে নির্দিষ্ট ঘটনা, চুক্তির বিষয়বস্তু এবং নথিপত্রের মানের উপর। আলোচিত মামলার নজিরগুলো থেকে দেখা যায় যে, সরবরাহকারী এবং গ্রাহক উভয়েরই বিচার তাদের নিজস্ব আচরণের ভিত্তিতে করা হয়, এবং বাহাত্তর ঘণ্টার নোটিশের মতো সময়সীমা বিলম্বের জন্য খুব কম সুযোগ রাখে।

Law & More সংস্থা এবং ডেটা সংশ্লিষ্টদের সাইবার ঘটনার আইনি ব্যবস্থাপনায় সহায়তা করে: বিজ্ঞপ্তি প্রদানের দায়িত্ব মূল্যায়ন এবং ডেটা প্রক্রিয়াকরণ চুক্তি পর্যালোচনা থেকে শুরু করে দায়বদ্ধতা নির্ধারণ, বীমা সংক্রান্ত বিষয় এবং ক্ষতি পুনরুদ্ধার পর্যন্ত। আপনি কি কোনো সাইবার আক্রমণ বা ডেটা লঙ্ঘনের সম্মুখীন হচ্ছেন, অথবা এই ঝুঁকিগুলোর বিপরীতে আপনার চুক্তিগুলো আমাদের দ্বারা আগে থেকেই পর্যালোচনা করাতে চান? আইটি আইন দল? অনুগ্রহ করে নির্দ্বিধায় যোগাযোগ Law & More আপনার পরিস্থিতি নিয়ে কোনো বাধ্যবাধকতা ছাড়াই আলোচনার জন্য।

সচরাচর জিজ্ঞাস্য

এই বিষয়ে আমাদের কাছে প্রায়শই যে প্রশ্নগুলো করা হয়, নিচে সেগুলোর উত্তর দেওয়া হলো।

সাইবার আক্রমণের শিকার কারা?

এর তিনটি স্তর রয়েছে। প্রথমত, ক্ষতিগ্রস্ত সংস্থাটি নিজে, যাদেরকে সিস্টেম ডাউনটাইম, টার্নওভারের ক্ষতি, পুনরুদ্ধারের খরচ, ফরেনসিক তদন্তের খরচ এবং সুনামের ক্ষতি বহন করতে হয়। দ্বিতীয়ত, ডেটা সাবজেক্ট বা তথ্য-সংশ্লিষ্ট ব্যক্তিরা, যাদের ব্যক্তিগত তথ্য ফাঁস হয়েছে, যেমন গ্রাহক, কর্মচারী এবং রোগী। তৃতীয়ত, চুক্তিভিত্তিক বা সরবরাহ শৃঙ্খল সম্পর্কের মাধ্যমে ক্ষতিগ্রস্ত তৃতীয় পক্ষ, উদাহরণস্বরূপ, কারণ তারা এমন একজন সরবরাহকারীর উপর নির্ভরশীল যে দেউলিয়া হয়ে গেছে। এই শ্রেণিবিন্যাস নির্ধারণ করে যে, কোন ভিত্তিতে এবং কার বিরুদ্ধে কোনো পক্ষ দাবি উত্থাপন করতে পারবে।

ডেটা লঙ্ঘনের বিষয়ে আমাকে কত সময়ের মধ্যে জানাতে হবে?

GDPR-এর ৩৩ নং ধারা অনুযায়ী, লঙ্ঘন সম্পর্কে অবগত হওয়ার পর অযথা বিলম্ব না করে এবং যেখানে সম্ভব, বাহাত্তর ঘণ্টার মধ্যে তত্ত্বাবধায়ক কর্তৃপক্ষকে অবহিত করতে হবে। যেখানে এই লঙ্ঘনের ফলে স্বাভাবিক ব্যক্তিদের অধিকার ও স্বাধীনতার জন্য ঝুঁকি তৈরি হওয়ার সম্ভাবনা কম, সেখানে এই বাধ্যবাধকতা প্রযোজ্য নয়। এই মূল্যায়নের জন্য লঙ্ঘনের প্রকৃতি, প্রভাবিত ডেটার বিভাগ এবং সম্ভাব্য পরিণতি বিশ্লেষণ করা প্রয়োজন।

আমাকে কখন তথ্য প্রদানকারী ব্যক্তিদেরকেই জানাতে হবে?

GDPR-এর ধারা ৩৪ অনুযায়ী, যেখানে তথ্য লঙ্ঘনের ফলে সংশ্লিষ্ট ব্যক্তিদের অধিকার ও স্বাধীনতার জন্য উচ্চ ঝুঁকি তৈরি হওয়ার সম্ভাবনা থাকে। যেখানে এনক্রিপশনের মতো উপযুক্ত প্রযুক্তিগত ব্যবস্থা গ্রহণ করা হয়েছিল, যেখানে পরবর্তী পদক্ষেপগুলো নিশ্চিত করে যে উচ্চ ঝুঁকিটি আর বাস্তবে ঘটবে না, অথবা যেখানে পৃথকভাবে যোগাযোগ করতে অসামঞ্জস্যপূর্ণ প্রচেষ্টা প্রয়োজন হবে, সেখানে যোগাযোগ বাদ দেওয়া যেতে পারে। শেষোক্ত ক্ষেত্রে একটি সর্বজনীন বিজ্ঞপ্তিই যথেষ্ট।

হ্যাকিংয়ের শিকার হওয়া কোনো সরবরাহকারীর কাছ থেকে কি আমি তথ্য আদায় করতে পারি?

হ্যাঁ, যেখানে একটি ডেটা প্রসেসিং চুক্তিতে এর বিধান রয়েছে। ব্লাউ রিসার্চ এবং নেবু-এর মধ্যকার সংক্ষিপ্ত কার্যধারায় (ডিস্ট্রিক্ট কোর্ট অফ রটারডাম, ৬ এপ্রিল ২০২৩, ECLI:NL:RBROT:2023:2931) অন্তর্বর্তীকালীন প্রতিকার বিচারক এই মর্মে রায় দেন যে, ডেটা প্রসেসিং চুক্তি অনুসারে, কন্ট্রোলার আক্রমণ, এর পরিণতি এবং গৃহীত পদক্ষেপ সম্পর্কে প্রদত্ত তথ্যের চেয়ে আরও বেশি তথ্য পাওয়ার অধিকারী ছিলেন এবং তিনি প্রসেসরকে একটি স্বাধীন ফরেনসিক তদন্ত পরিচালনা করতে ও পর্যায়ক্রমে প্রতিবেদন জমা দিতে আদেশ দেন। আপনার নিজস্ব বিজ্ঞপ্তি প্রদানের দায়িত্ব পালনের জন্য সেই তথ্য প্রয়োজন।

তথ্যের স্বত্বাধিকারী হিসেবে, তথ্য লঙ্ঘনের পর আমি কি স্বয়ংক্রিয়ভাবে ক্ষতিপূরণ পাওয়ার অধিকারী?

না। GDPR-এর ধারা ৮২ একটি স্বতন্ত্র ভিত্তি প্রদান করে, কিন্তু আপনাকে অবশ্যই প্রমাণ করতে হবে যে GDPR লঙ্ঘিত হয়েছে, আপনি প্রকৃতপক্ষে ক্ষতিগ্রস্ত হয়েছেন এবং সেই লঙ্ঘন ও ক্ষতির মধ্যে একটি কার্যকারণ সম্পর্ক রয়েছে। প্রমাণের ভার আবেদনকারীর উপর বর্তায়।

পরিচয় জালিয়াতির ভয় কি অ-বস্তুগত ক্ষতি হিসেবে গণ্য হয়?

হতে পারে। Natsionalna agentsia za prihodite (CJEU ১৪ ডিসেম্বর ২০২৩, C-340/21) মামলায় ইউরোপীয় বিচার আদালত রায় দিয়েছে যে, ফাঁস হওয়া ব্যক্তিগত তথ্যের সম্ভাব্য ভবিষ্যৎ অপব্যবহারের ভয় নিজেই একটি অ-বস্তুগত ক্ষতি হিসেবে গণ্য হতে পারে। তবে, তথ্যের অধিকারীকে অবশ্যই সেই ভয় এবং তার পরিণতি সুনির্দিষ্টভাবে প্রমাণ করতে হবে। Österreichische Post (CJEU ৪ মে ২০২৩, C-300/21) আরও যোগ করে যে, গুরুতরতার কোনো ন্যূনতম সীমা নেই, তবে শুধুমাত্র GDPR লঙ্ঘনই যথেষ্ট নয়।

নিরাপত্তা ব্যবস্থাগুলো যথাযথ ছিল, তা কাকে প্রমাণ করতে হবে?

নিয়ন্ত্রক। C-340/21 মামলায় ইউরোপীয় বিচার আদালত নিশ্চিত করেছে যে, গৃহীত নিরাপত্তা ব্যবস্থাগুলো যথাযথ ছিল তা প্রমাণ করার দায়িত্ব নিয়ন্ত্রকেরই, এবং কোনো তৃতীয় পক্ষের আক্রমণ তাকে নিজে থেকেই দায়বদ্ধতা থেকে অব্যাহতি দেয় না। নেদারল্যান্ডসে, একজন গাড়ি ব্যবসায়ীর হ্যাক হওয়া ইমেল অ্যাকাউন্টের মামলায় এর প্রতিফলন ঘটেছিল, যেখানে আর্নহেম-লিউওয়ার্ডেনের আপিল আদালত প্রথমে সেই ব্যবসায়ীকে প্রমাণ দাখিল করার সুযোগ দিয়েছিল (ECLI:NL:GHARL:2024:6812) এবং পরে রায় দেয় যে তা দাখিল করা হয়নি (ECLI:NL:GHARL:2025:4556)।

আমার আইটি সরবরাহকারী কি দায়ী হবে যদি সে কোনো আক্রমণ শনাক্ত করতে ব্যর্থ হয়?

সেটা নির্ভর করে কী বিষয়ে চুক্তি হয়েছিল তার উপর। হফ ভ্যান টোয়েন্টে পৌরসভার উপর সাইবার আক্রমণ সংক্রান্ত মামলায় (ডিস্ট্রিক্ট কোর্ট অফ ওভারিজসেল, ১০ মে ২০২৩, ECLI:NL:RBOVE:2023:1731) পক্ষগুলো নিরাপত্তা পর্যবেক্ষণের পরিবর্তে কার্যকরী পর্যবেক্ষণে সম্মত হয়েছিল। আদালত এই মর্মে রায় দেয় যে, একজন আইটি প্রশাসকের দায়িত্ব এতদূর পর্যন্ত বিস্তৃত নয় যে নিরাপত্তা পর্যবেক্ষণ তার একটি অব্যক্ত অংশ হয়ে দাঁড়ায়, এবং মামলাটি খারিজ করে দেয়। যেখানে একটি বৃহত্তর সামগ্রিক প্যাকেজ সরবরাহ করা হয়, সেখানে দায়িত্বটি বরং সুদূরপ্রসারী হতে পারে, যেমনটি ও'ক্লায়েন্স মামলায় (ডিস্ট্রিক্ট কোর্ট অফ ওভারিজসেল) দেখা যায়। Amsterdam, ১৪ নভেম্বর ২০১৮, ECLI:NL:RBAMS:2018:10124), যেখানে সরবরাহকারীকে ক্ষতির দুই-তৃতীয়াংশের জন্য দায়ী করা হয়েছিল।

আমার নিজের আচরণ কি ক্ষতিপূরণের পরিমাণ কমাতে পারে?

হ্যাঁ। এই ধরনের মামলাগুলোতে সহায়ক ত্রুটির একটি পুনরাবৃত্তিমূলক ভূমিকা থাকে। ও'ক্লাইন্স মামলায় ক্ষতির এক-তৃতীয়াংশ গ্রাহকের অ্যাকাউন্টে জমা হয়েছিল, এবং হ্যাক হওয়া ইমেল অ্যাকাউন্টের মামলায় পক্ষগুলোকে ক্রেতার সহায়ক ত্রুটি স্বীকার করতে হয়েছিল। সুতরাং, আপনার নিজস্ব পাসওয়ার্ড নীতি, খোলা রাখা পোর্ট বা উপেক্ষা করা সতর্কতা সরাসরি মামলার ফলাফলের ওপর প্রভাব ফেলতে পারে।

তথ্য সুরক্ষা কর্তৃপক্ষ কী কী জরিমানা আরোপ করতে পারে?

GDPR লঙ্ঘনের জন্য তত্ত্বাবধায়ক কর্তৃপক্ষ ২০ মিলিয়ন ইউরো পর্যন্ত অথবা বিশ্বব্যাপী বার্ষিক টার্নওভারের ৪ শতাংশ, এই দুটির মধ্যে যেটি বেশি, সেই পরিমাণ প্রশাসনিক জরিমানা আরোপ করতে পারে। এই জরিমানাগুলো স্বতন্ত্র ডেটা সাবজেক্টরা প্রকৃতপক্ষে ক্ষতিগ্রস্ত হয়েছেন কি না, তার ওপর নির্ভরশীল নয় এবং তাই দেওয়ানি দায়ের পাশাপাশি এটি একটি পৃথক ঝুঁকি হিসেবে বিবেচিত হয়।

আমি কি ফৌজদারি কার্যধারার মাধ্যমে অপরাধটির অভিযোগ জানাতে এবং আমার ক্ষতির দাবি করতে পারি?

হ্যাঁ। ডাচ ফৌজদারি আইনের ধারা 138ab(1) অনুসারে, ইচ্ছাকৃতভাবে এবং বেআইনিভাবে একটি স্বয়ংক্রিয় সিস্টেমে প্রবেশ করা একটি অপরাধ। আপনি পুলিশের কাছে এই অপরাধের রিপোর্ট করতে পারেন এবং, যেখানে সন্দেহভাজন ব্যক্তির বিচার হয়, সেখানে ক্ষতিগ্রস্ত পক্ষ হিসেবে ক্ষতিপূরণ দাবি করার জন্য ফৌজদারি কার্যক্রমে যোগ দিতে পারেন। ফলাফলটি মূলত সনাক্তকরণ, বিচার এবং প্রমাণের উপর নির্ভর করে, যা আন্তর্জাতিকভাবে সক্রিয় অপরাধীদের ক্ষেত্রে প্রায়শই কোনো ফল দেয় না।

সাইবার বীমা সাধারণত কী কী বিষয় অন্তর্ভুক্ত করে?

সাধারণত ঘটনা প্রতিক্রিয়া এবং ফরেনসিক তদন্ত, সিস্টেম ও ডেটা পুনরুদ্ধার, ব্যবসায়িক কার্যক্রম ব্যাহত হওয়ার ক্ষতি এবং টার্নওভারের ক্ষতি, সংকটকালীন যোগাযোগ, তৃতীয় পক্ষের প্রতি দায় এবং আইনি খরচ, এবং কিছু ক্ষেত্রে প্রযোজ্য আইন অনুযায়ী বীমাযোগ্যতার সীমা পর্যন্ত জরিমানা, নিষ্পত্তি বাবদ অর্থ প্রদান বা মুক্তিপণ। বর্জনীয় বিষয়, নিরাপত্তা শর্তাবলী, বিজ্ঞপ্তি প্রদানের সময়সীমা এবং কর্তনযোগ্য অর্থের দিকে খেয়াল রাখুন এবং কোনো ঘটনা ঘটার আগে পলিসিটি পর্যালোচনা করুন।

আক্রমণের পর ভুল পদক্ষেপ নিলে আমি কি আমার আড়াল হারাতে পারি?

এটা সম্ভব। ডাচ সিভিল কোডের ধারা 7:957(1) অনুসারে, একজন বীমাকৃত পক্ষ ক্ষতি প্রতিরোধ বা সীমিত করার জন্য যুক্তিসঙ্গত ব্যবস্থা নিতে বাধ্য; যেখানে উদ্ধারের সেই কর্তব্য পালন করা হয় না, সেখানে বীমাকারী ক্ষতিপূরণের পরিমাণ কমাতে পারে। বীমাকারীর সম্মতি ছাড়া বাহ্যিক বিশেষজ্ঞ নিয়োগ করা বা মুক্তিপণ প্রদান করাও কভারেজকে প্রভাবিত করতে পারে। যত তাড়াতাড়ি সম্ভব আপনার বীমাকারীকে জানান।

সাইবার আক্রমণের পরপরই আমার কী কী পদক্ষেপ নেওয়া উচিত?

ঘটনাটি এবং গৃহীত সমস্ত পদক্ষেপ নথিভুক্ত করুন, প্রমাণ না হারিয়ে ক্ষতিগ্রস্ত সিস্টেমগুলোকে বিচ্ছিন্ন করুন এবং একজন ফরেনসিক বিশেষজ্ঞকে নিযুক্ত করুন। তারপর মূল্যায়ন করুন যে এটি জানানোর মতো কোনো ডেটা লঙ্ঘন কিনা এবং ডেটার বিষয়বস্তুদের জানানো আবশ্যক কিনা। অপরাধটি রিপোর্ট করুন, আপনার সাইবার বীমাকারীকে অবহিত করুন, লগ, ব্যাকআপ এবং চিঠিপত্র সংরক্ষণ করুন, ক্ষতির পরিমাণ এবং সম্ভাব্য দায়ী পক্ষগুলোকে চিহ্নিত করুন এবং গ্রাহক, কর্মচারী ও সরবরাহ শৃঙ্খলের অংশীদারদের সতর্কতার সাথে ও যথাসময়ে অবহিত করুন।