Nettbutikken ble hacket og kunder svindlet – hvem svarer for tapet?
Nettbutikk hacket ansvar er det Eden måtte sette seg inn i i løpet av én eneste kveld, etter at en sikkerhetsleverandør varslet henne om at kundedatabasen til sportsbutikken hennes hadde vært eksponert i flere uker uten at noen oppdaget det. Svaret er at ansvaret sjelden lander bare ett sted. Du kan bli erstatningsansvarlig overfor kunder som lider et konkret økonomisk tap, du har en selvstendig varslingsplikt overfor Datatilsynet, og kortselskapene kan stille egne krav dersom betalingskortdata er berørt. Hvor alvorlig det blir for deg, avhenger i stor grad av om du kan dokumentere at du hadde forsvarlige sikkerhetstiltak på plass før angrepet, ikke bare av at angrepet skjedde.
Ansvaret overfor kundene dine
En kunde som kan dokumentere et konkret økonomisk tap som følge av bruddet, for eksempel svindel knyttet direkte til opplysninger som lå i din database, kan ha et erstatningskrav mot deg. Terskelen for erstatningsansvar handler i stor grad om hvorvidt du hadde forsvarlige tekniske og organisatoriske tiltak for å beskytte dataene i utgangspunktet. Hadde du oppdatert programvare, kryptert sensitive felt og begrenset hvem som hadde tilgang, står du langt bedre rustet enn om sikkerheten var fraværende eller åpenbart utdatert. Eden hadde løpende sikkerhetsoppdateringer på plass, men et hull i en tredjepartsmodul hun ikke selv hadde bygget, var det som ble utnyttet. Det svekket ikke ansvaret hennes automatisk, men det ga henne et bedre utgangspunkt i dialogen med både kunder og Datatilsynet enn om hun ikke hadde gjort noe i det hele tatt.
Et konkret økonomisk tap er nøkkelordet her. En kunde som er bekymret uten å kunne peke på et faktisk tap, har sjelden et erstatningskrav som fører fram, selv om bekymringen i seg selv er forståelig. Kan kunden derimot vise til at kortet ble misbrukt, at hun måtte sperre og erstatte kortet, eller at hun ble utsatt for målrettet svindel med opplysninger som klart stammer fra bruddet hos deg, står saken annerledes. Eden holdt oversikt over hvilke kunder som meldte konkrete tap, og behandlet disse sakene separat fra dem som bare tok kontakt for å høre hva som hadde skjedd.
Varslingsplikten løper uansett hvor travelt du har det
Uavhengig av om du tror bruddet er alvorlig eller ikke, har du en selvstendig plikt til å vurdere om det skal varsles til Datatilsynet, og denne fristen er kort. Se gjennomgangen av 72-timersfristen etter et sikkerhetsbrudd for hvordan du bygger varselet riktig og hva det må inneholde. I tillegg til varsling til myndigheten kan du ha plikt til å informere de berørte kundene direkte dersom bruddet innebærer høy risiko for dem, for eksempel når passord eller betalingsopplysninger er eksponert. Eden valgte å sende direkte varsel til alle berørte kunder samtidig som hun meldte saken til Datatilsynet, i stedet for å vente på et pålegg om å gjøre det.
Kortselskapenes egne krav kommer i tillegg
Er betalingskortdata involvert, kommer et helt eget spor inn i bildet: kortselskapene og betalingsformidlerne har egne krav til sikkerhet, og brudd på disse kan utløse gebyrer eller krav om at du dekker kostnader knyttet til å utstede nye kort til berørte kunder. Dette kommer i tillegg til, ikke i stedet for, ansvaret overfor kundene og plikten overfor Datatilsynet. Har du forsikring som dekker cyberhendelser, er dette tidspunktet å melde saken dit, siden slike poliser ofte dekker nettopp denne typen tredjepartskrav fra kortselskaper i tillegg til egne kostnader ved gjenoppretting.
Hva du gjør de første timene
Rekkefølgen på tiltakene har mye å si for hvor godt du kommer ut av saken.
- Steng det utnyttede sikkerhetshullet med det samme, og dokumenter tidspunktet du oppdaget og lukket det.
- Kartlegg hvilke opplysninger som faktisk var eksponert, ikke bare hvilke systemer som ble truffet, før du formulerer varselet.
- Vurder varslingsplikten til Datatilsynet og en eventuell direkte varsling til kundene samtidig, ikke etter hverandre.
- Sjekk hva du faktisk har lagret av unødvendige kundedata i etterkant, gjerne med innsynsverktøyet for GDPR, slik at neste angrep har mindre å hente.
Hva som faktisk står på spill
Det øverste taket for overtredelsesgebyr etter personvernregelverket ligger på tjue millioner euro, eller fire prosent av selskapets omsetning på verdensbasis, der det høyeste av de to beløpene legges til grunn, men den typen maksimalbeløp er forbeholdt de mest alvorlige og systematiske bruddene, ikke en enkeltstående hendelse hos en liten nettbutikk som varsler riktig og retter opp. Det som normalt avgjør utfallet for en virksomhet på Edens størrelse, er om hun kan vise at hun hadde rimelige sikkerhetstiltak før angrepet, varslet i tide, og fulgte opp de berørte kundene ordentlig etterpå. Situasjonen minner om saken der en treningsapp solgte kundedata videre: også der var det handlingene etter at bruddet ble kjent, som i praksis avgjorde hvor alvorlig saken ble vurdert.
Kort oppsummert
- Ansvaret ved et datainnbrudd fordeler seg på flere spor samtidig: kundene, Datatilsynet og eventuelt kortselskapene.
- Erstatningsansvar overfor kunder avhenger i stor grad av om du hadde forsvarlige sikkerhetstiltak på plass før angrepet skjedde.
- Varslingsplikten til Datatilsynet løper med en kort frist, uavhengig av hvor travelt du har det med å håndtere selve angrepet.
- Er passord eller betalingsdata eksponert, bør du varsle de berørte kundene direkte, ikke bare myndigheten.
- Overtredelsesgebyr på inntil tjue millioner euro eller fire prosent av omsetningen er forbeholdt de mest alvorlige, systematiske bruddene.