Na Holanda, as violações de dados acontecem todos os dias. Quando isso ocorre, alguém precisa tomar providências. responsabilidade.
Segundo a legislação holandesa e o RGPD, as organizações que controlam dados pessoais são as principais responsáveis pela sua proteção e estão sujeitas a sanções. responsabilidade significativa quando ocorrem violações. Se o seu negócio sofrer um ciberataqueVocê poderá enfrentar multas de até 20 milhões de euros ou 4% do seu faturamento anual global, dependendo de qual valor for maior.
Compreender quem é o responsável após uma violação de dados é essencial para qualquer organização que opere nos Países Baixos. A resposta nem sempre é simples, pois a responsabilidade pode ir além da sua empresa e incluir prestadores de serviços terceirizados, funcionários e outras partes envolvidas no processamento de dados.
A Autoridade Holandesa de Proteção de Dados e outros órgãos reguladores determinam a responsabilidade com base na sua função como controlador ou processador de dados, nas medidas de segurança que você implementou e na rapidez com que respondeu ao incidente.
Este artigo detalha o quadro legal que rege a cibersegurança nos Países Baixos e explica como a responsabilidade é atribuída após uma violação de segurança. Você aprenderá sobre suas obrigações de notificação, as penalidades por descumprimento e as medidas práticas que pode tomar para proteger sua organização contra ciberataques e consequências legais.
Quadro legal para cibersegurança e proteção de dados
Os Países Baixos operam sob múltiplas camadas de legislação de cibersegurança e proteção de dados, combinando regulamentos da UE com leis nacionais de implementação. Essas leis estabelecem obrigações claras para organizações que lidam com dados pessoais e operam infraestruturas críticas.
Eles criam requisitos específicos para vários setores, incluindo telecomunicações, finanças e lei aplicação.
Regulamento Geral de Proteção de Dados (RGPD) e sua implementação na Holanda
O GDPR serve como principal quadro de proteção de dados em toda a UE, incluindo os Países Baixos. Estabelece regras abrangentes para o tratamento de dados pessoais e exige que as organizações implementem medidas técnicas e organizacionais adequadas para proteger as informações.
Os Países Baixos implementaram o RGPD através do Lei de Implementação do RGPD Holandês (Uitvoeringswet AVG), que adapta os requisitos da UE à legislação holandesa. Esta lei prevê disposições específicas para circunstâncias nacionais, mantendo, ao mesmo tempo, a consonância com as normas europeias.
Designa a Autoridade Holandesa de Proteção de Dados (Autoridade holandesa de proteção de dados) como órgão supervisor responsável pela aplicação da lei.
Nos termos do RGPD, você deve reportar violação de dados À autoridade supervisora no prazo de 72 horas após tomar conhecimento das infrações. Quando as infrações representarem riscos elevados para os direitos e liberdades individuais, você também deverá notificar as pessoas afetadas sem demora injustificada.
Esses requisitos de notificação constituem a base da responsabilidade por violação de direitos nos Países Baixos.
O Verzamelwet Gegevensbescherming A Lei de Proteção Coletiva de Dados aprimora ainda mais diversas leis holandesas para alinhá-las aos padrões do GDPR. Isso garante consistência em diferentes domínios jurídicos.
Lei de Cibersegurança e a Diretiva NIS2
O Diretiva NIS2 Expande significativamente os requisitos de cibersegurança para entidades essenciais e importantes em toda a UE. Os Países Baixos estão a implementar esta diretiva através de atualizações ao Cyberbeveiligingswet (Lei Holandesa de Cibersegurança), que originalmente transpôs a primeira Diretiva NIS.
A NIS2 amplia o escopo dos setores abrangidos e introduz requisitos de segurança mais rigorosos, obrigações de notificação de incidentes e disposições de responsabilização da gestão. Você deve implementar medidas específicas de gestão de riscos e notificar incidentes significativos em até 24 horas após tomar conhecimento deles.
O Lei de Segurança de Redes e Sistemas de Informação e acompanhando Decreto de Segurança de Redes e Sistemas de Informação Estabelecem requisitos detalhados para operadores de serviços essenciais e provedores de serviços digitais. Essas leis exigem medidas básicas de segurança, auditorias regulares e coordenação com as autoridades nacionais de cibersegurança.
A legislação designa autoridades competentes específicas para diferentes setores. Isso garante uma supervisão especializada das práticas de cibersegurança.
Outras leis e diretrizes relevantes
O Diretiva de privacidade eletrônica da UE Complementa o RGPD ao abordar a privacidade das comunicações eletrónicas. Exige consentimento para cookies e tecnologias semelhantes e protege a confidencialidade dos dados de comunicação.
O Lei de Telecomunicações (Telecomunicações molhadaA lei impõe obrigações de segurança específicas aos provedores de telecomunicações, incluindo requisitos para proteger a integridade da rede e os dados do usuário. Essa lei atua em conjunto com as leis de proteção de dados para garantir uma proteção abrangente no setor de comunicações.
O Lei de Resiliência de Entidades Críticas A Lei de Resiliência ao Comércio (CRA) reforça os requisitos de segurança física e cibernética para entidades consideradas críticas para a segurança pública e a estabilidade econômica. Ela exige avaliações de risco e medidas de resiliência que vão além das disposições padrão de segurança cibernética.
Essas estruturas criam obrigações sobrepostas. É preciso saber lidar com elas ao operar em vários setores ou ao lidar com diversos tipos de dados.
Regulamentos Específicos do Setor
O Lei de Supervisão Financeira (Molhado no financiamento financeiroA Comissão Europeia estabelece requisitos rigorosos de cibersegurança e proteção de dados para instituições financeiras. É obrigatório implementar controles de segurança robustos, procedimentos de resposta a incidentes e protocolos de testes regulares ao operar no setor financeiro.
As organizações policiais enfrentam requisitos especializados ao abrigo do Lei de Dados Policiais (Dados policiais molhados) e Wet justitiële e strafvorderlijke gegevens (Lei de Dados de Processo Judicial e Criminal). Essas leis regem como a polícia e as autoridades judiciais coletam, processam e protegem dados pessoais durante investigações e processos criminais.
Os profissionais de saúde devem cumprir medidas adicionais de proteção de privacidade, além dos requisitos padrão do RGPD. Isso reflete a natureza sensível das informações médicas.
Os setores de energia, transportes e água enfrentam obrigações específicas no âmbito da implementação da NIS2, com medidas de segurança adaptadas aos seus riscos operacionais.
Cada regulamentação específica do setor impõe obrigações de conformidade únicas. É essencial identificar quais leis se aplicam às atividades específicas da sua organização e às suas operações de processamento de dados.
Atribuição de responsabilidade após uma violação de dados
Nos Países Baixos, a responsabilidade por uma violação de dados depende da sua função no processamento de dados pessoais. medidas de segurança Você implementou e se cumpriu os requisitos de reporte. A Autoridade Holandesa de Proteção de Dados e outros órgãos de supervisão determinam a responsabilidade com base em obrigações legais Nos termos do RGPD e das leis nacionais de cibersegurança.
Definindo responsabilidades: controladores, processadores e terceiros
Sua responsabilidade após um violação de dados pessoais Depende se você agir como um controlador de dados ou processador. Os controladores decidem como e por que os dados pessoais são processados, sendo, portanto, os principais responsáveis por incidentes de segurança.
Os processadores lidam com dados em nome dos controladores e são responsabilizados caso excedam as instruções ou não implementem medidas de segurança adequadas.
Terceiros, como fornecedores de serviços digitais, têm responsabilidades distintas. Se você utiliza fornecedores externos, continua responsável pelas ações deles quando processam dados em seu nome.
Seus contratos devem especificar as obrigações de segurança e os procedimentos de tratamento de incidentes.
Quando várias partes estão envolvidas, a responsabilidade pode ser compartilhada. Se você e seu processador de pagamentos não implementarem medidas técnicas e organizacionais, ambos poderão sofrer penalidades da Autoriteit Persoonsgegevens (Autoridade de Proteção de Dados Pessoais).
A autoridade supervisora examina o papel de cada parte na violação para atribuir responsabilidades.
Autoridades de Supervisão e Funções Reguladoras
A Autoriteit Persoonsgegevens atua como a Autoridade Holandesa de Proteção de Dados, responsável por garantir o cumprimento do RGPD (Regulamento Geral sobre a Proteção de Dados). Você deve comunicar quaisquer violações de dados pessoais a esta autoridade supervisora no prazo de 72 horas após tomar conhecimento do incidente.
O não cumprimento dos prazos para reportar incidentes aumenta sua responsabilidade.
O Centro Nacional de Segurança Cibernética (NCSC) lida com questões mais amplas. ameaças de segurança cibernética que afeta operadores de serviços essenciais. Se você fornece infraestrutura crítica ou serviços digitais, também deve reportar incidentes de segurança significativos ao NCSC.
Esses relatórios ajudam a coordenar as respostas nacionais às ameaças cibernéticas.
Ambas as autoridades conduzem investigações após incidentes de segurança. A Autoriteit Persoonsgegevens pode aplicar multas de até 20 milhões de euros ou 4% do seu volume de negócios global anual, consoante o que for mais elevado.
Eles levam em consideração fatores como a natureza da violação, o número de pessoas afetadas e suas medidas de resposta.
As diretrizes da ENISA influenciam a forma como as autoridades holandesas avaliam sua conformidade com os requisitos de segurança cibernética.
Medidas Organizacionais e Técnicas
A implementação de medidas técnicas e organizacionais afeta diretamente a determinação da responsabilidade. Essas medidas incluem criptografia, controles de acesso, testes de segurança regulares e treinamento da equipe.
Os tribunais e a autoridade supervisora avaliam se a sua segurança era adequada aos riscos envolvidos.
Você deve documentar suas medidas de segurança e demonstrar seu plano de continuidade de negócios. Caso não consiga comprovar precauções adequadas, sua responsabilidade aumenta substancialmente.
Avaliações de risco regulares ajudam a identificar vulnerabilidades antes que ocorram violações.
Os procedimentos de tratamento de incidentes são cruciais. Você precisa de protocolos claros para detectar, investigar e responder a violações de dados pessoais.
O tempo de resposta e a eficácia na contenção de incidentes de segurança influenciam as decisões sobre as penalidades.
A Autoridade de Proteção de Dados Pessoais espera que você mantenha evidências de sua estrutura de segurança. Sem a documentação adequada, comprovar o cuidado razoável torna-se difícil durante investigações.
Impacto da cadeia de suprimentos e dos prestadores de serviços
A segurança da cadeia de suprimentos cria questões complexas de responsabilidade. Quando seus provedores de serviços sofrem violações que afetam seus dados, você ainda pode enfrentar consequências.
Você deve realizar a devida diligência em relação aos fornecedores e monitorar continuamente suas práticas de segurança.
Os operadores de serviços essenciais enfrentam requisitos mais rigorosos para a gestão de fornecedores. É fundamental garantir que os fornecedores de serviços digitais em sua cadeia de suprimentos mantenham padrões compatíveis com suas próprias obrigações.
Os acordos contratuais devem definir claramente as obrigações de notificação de incidentes e a atribuição de responsabilidades.
Se uma violação de segurança tiver origem na sua cadeia de fornecimento, a Autoriteit Persoonsgegevens (Autoridade de Proteção de Dados Pessoais) examinará se você realizou avaliações adequadas dos fornecedores. Sua responsabilidade depende de você ter tomado medidas razoáveis para verificar a segurança dos fornecedores.
Não é possível delegar totalmente a responsabilidade, mesmo ao usar processadores de terceiros.
Cadeias de suprimentos com múltiplos níveis exigem vigilância redobrada. É necessário ter visibilidade dos subcontratados e de suas medidas de segurança para se proteger contra falhas em cascata que comprometam dados pessoais em diversas organizações.
Obrigações de Notificação de Violação de Dados
Os Países Baixos implementam um quadro de notificação em várias camadas ao abrigo do RGPD e das leis nacionais de cibersegurança. Os responsáveis pelo tratamento devem denunciar violações à Autoridade de Proteção de Dados Pessoais (APD) no prazo de 72 horas, quando existir risco para direitos do titular dos dados.
violações de alto risco Exigir notificação direta aos indivíduos afetados.
Cronograma e Requisitos Procedimentais
Você deve notificar a Autoridade de Proteção de Dados (APD) sem demora injustificada e, sempre que possível, no prazo máximo de 72 horas após tomar conhecimento de uma violação de dados pessoais. Esta obrigação aplica-se a menos que seja improvável que a violação resulte em risco para os direitos e liberdades das pessoas singulares.
A notificação deve incluir informações específicas sempre que possível. É necessário fornecer as categorias e o número aproximado de titulares de dados afetados, as categorias e o número aproximado de registros de dados pessoais impactados e o nome do seu Encarregado de Proteção de Dados ou outro ponto de contato.
Você também deve descrever as prováveis consequências da violação e as medidas tomadas ou propostas para solucioná-la.
Caso não consiga fornecer todas as informações solicitadas dentro do prazo de 72 horas, você poderá enviá-las em etapas. É necessário justificar os motivos de qualquer atraso na notificação inicial.
Quem deve ser notificado e quando?
Você deve notificar diretamente os titulares dos dados afetados quando uma violação de dados pessoais for suscetível de resultar em alto risco para seus direitos e liberdades. Essa notificação deve ocorrer sem demora indevida e utilizar linguagem clara e objetiva.
A notificação direta aos titulares dos dados não é obrigatória em três circunstâncias específicas. Não é necessário notificar se você implementou medidas de proteção técnicas e organizacionais adequadas (como criptografia) que tornam os dados ininteligíveis para pessoas não autorizadas.
Você também não precisa notificar se tomou medidas subsequentes para garantir que o alto risco aos direitos do titular dos dados não se materialize mais, ou se a comunicação direta envolver um esforço desproporcional. Nesses casos, a comunicação pública ou medidas semelhantes são necessárias.
As empresas financeiras abrangidas pela Lei de Supervisão Financeira estão isentas da obrigação de notificação do titular dos dados. Mesmo assim, devem reportar à Autoridade de Proteção de Dados (PDA).
Os processadores têm obrigações específicas. Você deve notificar o controlador sem demora injustificada após tomar conhecimento de qualquer violação de dados pessoais, independentemente do nível de risco.
Isso é uma exigência legal de acordo com o RGPD e deve estar incluído no seu contrato de processamento de dados.
Requisitos de Notificação Setorial e Nacional
Além das obrigações do RGPD, você pode estar sujeito a requisitos adicionais de reporte, dependendo do seu setor. A Lei WBNI (Network and Information Systems Security Act) exige que certas entidades reportem incidentes de segurança às autoridades de cibersegurança, mesmo quando esses incidentes não se qualificam como violações de dados pessoais.
Os provedores de redes públicas de comunicações eletrônicas devem reportar à Inspetoria para o Meio Ambiente Humano e Transporte (ILT). As organizações de saúde têm a obrigação de notificar a Inspetoria de Saúde e Assistência à Juventude sobre incidentes que afetem a segurança de dispositivos médicos ou dados de pacientes.
As empresas de serviços financeiros devem cumprir os requisitos específicos do setor previstos na legislação de supervisão financeira.
Os provedores de infraestrutura crítica têm obrigações reforçadas no âmbito da WBNI. É obrigatório reportar incidentes significativos à Equipe de Resposta a Incidentes de Segurança Cibernética (CSIRT) que possam interromper substancialmente os serviços essenciais.
Empresas de capital aberto podem precisar notificar incidentes de segurança que possam afetar materialmente as decisões dos investidores.
Esses requisitos setoriais geralmente operam em conjunto com as obrigações do GDPR, em vez de substituí-las. Dependendo das atividades da sua organização e da natureza da violação, pode ser necessário fazer várias notificações a diferentes autoridades para um único incidente.
Fiscalização e sanções por descumprimento
As autoridades holandesas têm poderes claros para investigar falhas de cibersegurança e impor sanções financeiras substanciais às organizações que não protegem os dados pessoais ou não cumprem os requisitos de segurança.
O quadro de fiscalização envolve múltiplos órgãos reguladores com responsabilidades específicas de supervisão, sistemas de penalidades estruturados e procedimentos de recurso definidos para organizações sujeitas a sanções.
Poderes de Investigação e Supervisão
A Autoridade Holandesa de Proteção de Dados (Autoriteit Persoonsgegevens, ou AP) é a principal responsável pela investigação de violações de dados e do RGPD (Regulamento Geral sobre a Proteção de Dados).
A AP pode iniciar investigações com base em denúncias, reportagens da mídia ou auditorias de rotina.
Durante as investigações, a autoridade pode solicitar documentação, realizar inspeções no local e entrevistar membros da equipe.
Em relação às obrigações de cibersegurança previstas na nova Lei de Cibersegurança (Cyberbeveiligingswet), a supervisão é realizada por órgãos reguladores específicos de cada setor.
A Autoridade para Consumidores e Mercados (ACM) supervisiona a infraestrutura digital e os provedores de telecomunicações.
O Banco Central Holandês (DNB) supervisiona as instituições financeiras.
O Ministro dos Assuntos Econômicos e do Clima, o Ministro da Infraestrutura e Gestão de Recursos Hídricos e o Ministro da Saúde detêm poderes de fiscalização em seus respectivos setores.
Esses órgãos reguladores podem auditar seus sistemas, revisar os procedimentos de resposta a incidentes e avaliar se sua gestão de riscos atende aos padrões legais.
Eles também podem cobrar da sua organização os custos de fiscalização caso sejam constatadas violações.
O Centro Nacional de Segurança Cibernética (NCSC) coordena as ações dos órgãos reguladores, mas não impõe penalidades diretamente.
Penalidades administrativas e financeiras
As sanções financeiras variam de acordo com o quadro legal e a gravidade das infrações.
De acordo com o Regulamento Geral sobre a Proteção de Dados (RGPD), a Autoridade de Proteção de Dados pode impor multas de até 20 milhões de euros ou 4% do seu volume de negócios global anual, consoante o que for mais elevado.
A autoridade considera fatores como a natureza da violação, o número de pessoas afetadas e a sua cooperação durante as investigações.
De acordo com a Lei de Segurança Cibernética (Cyberbeveiligingswet), as penalidades seguem uma estrutura escalonada:
| Classificação da Entidade | Multa Máxima | Alternativa de Rotatividade |
|---|---|---|
| Essentiële entiteiten (EE) | € 10 milhões | 2% do faturamento global |
| Belangrijke entiteiten (BE) | € 7 milhões | 1.4% do faturamento global |
Os órgãos reguladores também podem emitir ordens corretivas exigindo a implementação de medidas de segurança específicas dentro de prazos estabelecidos.
Falhas repetidas podem resultar em exposição pública dos responsáveis, através da divulgação das violações.
Em casos graves, os diretores de organizações classificadas como entidades essenciais podem ser pessoalmente desqualificados para ocupar cargos no conselho.
Organizações do setor público estão isentas de sanções financeiras, mas estão sujeitas a medidas corretivas e possível escrutínio parlamentar.
Recursos e Recursos Legais
Você tem o direito de contestar as decisões de execução através de recursos administrativos.
Após receber uma notificação de penalidade, você pode apresentar uma objeção (bezwaar) à autoridade emissora dentro de seis semanas.
O órgão regulador deve reconsiderar sua decisão e fornecer uma resposta formal.
Caso discorde do resultado da reconsideração, você pode recorrer ao tribunal distrital (rechtbank).
O tribunal analisa se o órgão regulador seguiu os procedimentos adequados e aplicou a lei corretamente.
Você poderá então decisões do tribunal de apelações à Divisão de Jurisdição Administrativa do Conselho de Estado (Afdeling bestuursrechtspraak van de Raad van State), que funciona como o mais alto tribunal administrativo.
Ao longo do processo de recurso, você deve continuar implementando todas as medidas corretivas ordenadas pelos órgãos reguladores.
Os tribunais podem suspender as sanções financeiras enquanto aguardam o resultado do recurso, mas isso não é automático.
Principais funções e responsabilidades na gestão de cibersegurança
As organizações devem definir claramente quem gerencia as tarefas de segurança cibernética, desde a nomeação de responsáveis pela proteção de dados até o estabelecimento de responsabilidades em nível de diretoria e o treinamento de funcionários em protocolos de segurança.
Encarregados da Proteção de Dados e Nomeações
Você deve nomear um Encarregado de Proteção de Dados (DPO) se sua organização processar dados pessoais sensíveis em larga escala ou monitorar indivíduos sistematicamente.
O DPO serve como seu principal ponto de contato com as autoridades de proteção de dados e os titulares dos dados.
Seu DPO precisa de qualificações específicas em legislação de proteção de dados e práticas de segurança da informação.
Eles devem se reportar diretamente ao seu nível hierárquico mais alto e não podem ser demitidos por desempenharem suas funções.
A função inclui monitorar a conformidade com o GDPR, realizar avaliações de impacto sobre a proteção de dados e aconselhar sobre requisitos de criptografia.
Você deve documentar claramente as responsabilidades do DPO.
Isso inclui a autoridade deles para auditar sua infraestrutura digital e revisar seu plano de resposta a incidentes.
Se a sua empresa opera em vários países da UE, pode designar um único DPO com base nas suas qualidades profissionais e no seu conhecimento das jurisdições relevantes.
Governança Corporativa e Responsabilidade
O conselho de administração é o responsável final pela gestão dos riscos de cibersegurança.
Eles devem aprovar medidas de segurança, alocar recursos adequados e garantir a supervisão apropriada dos esforços de resiliência cibernética.
A responsabilidade da liderança inclui:
- Aprovação de políticas de segurança para estruturas de segurança da informação
- Supervisionar avaliações de risco e planejamento de resiliência operacional
- Garantir a conformidade com as auditorias por meio de avaliações independentes
- Alocação de orçamentos para gestão de cibersegurança e treinamento de funcionários
É necessário estabelecer linhas claras de autoridade para a tomada de decisões em matéria de segurança.
Documente quem aprova as medidas de segurança, quem supervisiona a implementação e quem realiza as auditorias.
Sua equipe de gestão deve revisar regularmente o desempenho da segurança cibernética e ajustar as estratégias com base nas ameaças em constante evolução à sua infraestrutura digital.
Políticas internas e treinamento de funcionários
Você deve criar políticas documentadas que definam as funções de segurança em toda a sua organização.
Essas políticas devem especificar as responsabilidades pela proteção de dados, resposta a incidentes e manutenção da resiliência cibernética.
Suas políticas de segurança precisam abranger:
- Requisitos de controle de acesso e autenticação
- Padrões de classificação e criptografia de dados
- Procedimentos de relato de incidentes
- Treinamento regular de conscientização sobre segurança
Você deve fornecer treinamento contínuo a todos os funcionários sobre práticas de segurança da informação.
Isso inclui reconhecendo phishing tentativas, tratamento adequado de dados sensíveis e cumprimento do plano de resposta a incidentes.
O treinamento deve ser adaptado a funções específicas, com a equipe técnica recebendo instrução avançada em criptografia e controles de segurança.
Suas políticas devem ser revisadas regularmente e atualizadas quando as regulamentações mudarem ou novos riscos surgirem.
É necessário garantir recursos adequados tanto para a implementação de políticas quanto para o desenvolvimento da equipe em práticas de segurança cibernética.
Tipos de incidentes de segurança cibernética e ameaças emergentes
Os incidentes de cibersegurança variam desde emails fraudulentos até interrupções de rede em larga escala que podem comprometer organizações inteiras.
Compreender essas ameaças ajuda a identificar vulnerabilidades e determinar a quem atribuir a responsabilidade quando ocorre uma violação de segurança.
Phishing, malware e ransomware
Phishing Continua sendo uma das ameaças de segurança cibernética mais comuns que você encontrará.
Os atacantes enviam e-mails ou mensagens fingindo ser de empresas legítimas para roubar suas senhas, informações financeiras ou outros dados confidenciais.
Esses ataques são responsáveis por mais de 60% dos incidentes de engenharia social.
malwares Refere-se a software malicioso que danifica seus sistemas de computador ou redes.
Isso inclui vírus, cavalos de Troia e outros códigos maliciosos projetados para acessar seus dados ou interromper suas operações.
Ransomware É um tipo específico de malware que bloqueia o acesso aos seus arquivos e exige pagamento para a restauração.
Mesmo que você pague o resgate, não há garantia de que os invasores restaurarão seu acesso ou excluirão os dados roubados.
Entre 2020 e 2021, as organizações enfrentaram cerca de 24,000 incidentes de segurança cibernética em todo o mundo, sendo que o ransomware desempenhou um papel significativo nas perdas financeiras.
Ataques de Negação de Serviço (DoS) e Ataques de Negação de Serviço Distribuídos (DDoS)
Ataques DoS Sobrecarregue seus sistemas com tráfego para tornar os serviços indisponíveis para usuários legítimos.
Uma única fonte inunda sua rede com solicitações até que ela trave ou fique lenta demais para funcionar.
Ataques DDoS Utilizar múltiplos sistemas comprometidos para lançar ataques coordenados contra sua infraestrutura.
Esses ataques distribuídos são mais difíceis de interromper porque partem de vários locais simultaneamente.
Os ataques DDoS podem interromper serviços críticos, desde sites governamentais até operações do setor privado.
Normalmente, você tem menos de 62 minutos, desde a primeira detecção, para evitar que um incidente de segurança se transforme em uma violação grave.
Essa janela estreita torna a resposta rápida essencial ao enfrentar ataques DoS ou DDoS.
Fraude e acesso não autorizado
Fraude Em cibersegurança, isso envolve práticas enganosas para obter acesso não autorizado aos seus sistemas ou dados.
Isso inclui roubo de identidade, fraude em pagamentos e comprometimento de credenciais.
Acesso não autorizado Ocorre quando alguém viola suas políticas de segurança para acessar redes, sistemas ou dados sem permissão.
Isso pode acontecer através de:
- Credenciais de login roubadas
- Vulnerabilidades de software exploradas
- Controles de segurança ignorados
- Ameaças internas por parte de funcionários atuais ou antigos
O roubo de dados internos muitas vezes passa despercebido, mas pode ser tão prejudicial quanto os ataques externos.
Em 2021, o custo médio dos ataques internos atingiu 12.5 milhões de libras.
Mesmo vazamentos de dados não intencionais por parte dos funcionários são considerados incidentes de segurança de acordo com a Lei de Uso Indevido de Computadores (1990).
Vulnerabilidades do setor e da cadeia de suprimentos
Os setores de infraestrutura crítica enfrentam riscos elevados de crimes cibernéticos, sendo os setores de saúde, energia e serviços financeiros os principais alvos.
O setor profissional registrou quase 3,600 incidentes entre 2020 e 2021, tornando-se o setor mais visado.
Segurança da cadeia de abastecimento Isso se tornou cada vez mais importante, visto que os atacantes estão visando seus parceiros e fornecedores terceirizados em vez de atacá-lo diretamente.
Esses ataques de fornecedores terceirizados exploram medidas de segurança mais fracas nas organizações parceiras para acessar os dados de seus clientes.
As vulnerabilidades na cadeia de suprimentos permitem que os invasores comprometam várias organizações por meio de uma única violação.
Quando os sistemas do seu fornecedor se conectam aos seus, as vulnerabilidades de segurança deles se tornam suas vulnerabilidades de segurança.
Esse risco interligado significa que você deve avaliar não apenas suas próprias medidas de segurança cibernética, mas também as de todas as organizações em sua cadeia de suprimentos.
Os Estados-nação testam e penetram cada vez mais nos ciberespaços rivais, muitas vezes operando sob o disfarce de entidades privadas, enquanto atuam em nome de governos.
Perguntas frequentes
As empresas holandesas precisam lidar com requisitos rigorosos de relatórios e padrões de conformidade após uma violação de dados, com a responsabilidade estendendo-se a várias partes, dependendo de suas funções e responsabilidades.
Compreender essas obrigações ajuda as organizações a se protegerem e a protegerem as pessoas afetadas, mantendo a conformidade com as regulamentações nacionais e europeias.
Quais são as obrigações legais das empresas holandesas após uma violação de dados?
Sua organização deve notificar a Autoridade Holandesa de Proteção de Dados (Autoriteit Persoonsgegevens) dentro de 72 horas após tomar conhecimento de uma violação de dados.
Este requisito aplica-se ao abrigo do RGPD, que rege a proteção de dados nos Países Baixos.
Você precisa fornecer informações específicas em sua notificação de violação de dados.
Isso inclui a natureza da violação, o número de pessoas afetadas, as possíveis consequências e as medidas que você tomou ou planeja tomar.
Caso não consiga fornecer todos os detalhes dentro de 72 horas, deverá explicar o atraso e enviar as informações restantes o mais breve possível.
Quando a violação representar um alto risco para os direitos e liberdades individuais, você também deve informar diretamente as pessoas afetadas.
Não é possível atrasar esta notificação sem motivos justificáveis.
A sua comunicação com as pessoas afetadas deve ser clara e explicar as prováveis consequências da violação e as medidas que elas podem tomar para se protegerem.
Você deve manter documentação detalhada de todas as violações de dados, independentemente de as comunicar às autoridades.
Essa documentação deve incluir os fatos relativos à violação, seus efeitos e as medidas corretivas tomadas.
A Autoridade Holandesa de Proteção de Dados pode solicitar essa documentação durante inspeções ou investigações.
Como é determinada a responsabilidade por violações de dados segundo a legislação holandesa?
A responsabilidade por violações de dados nos Países Baixos depende da sua função como controlador ou processador de dados.
Os controladores de dados determinam as finalidades e os meios de processamento de dados pessoais, enquanto os processadores de dados lidam com os dados em nome dos controladores.
Sua responsabilidades legais diferem com base nessa classificação.
Como controlador de dados, você tem a responsabilidade principal de garantir a conformidade com os regulamentos de proteção de dados.
Você deve implementar medidas técnicas e organizacionais adequadas para proteger os dados pessoais.
Os tribunais avaliam se você tomou medidas razoáveis para evitar a violação e se agiu com negligência em suas práticas de segurança.
Os processadores de dados também podem ser responsabilizados caso não sigam as instruções do controlador ou violem suas obrigações contratuais.
No entanto, os processadores geralmente têm responsabilidade mais limitada do que os controladores.
Se você processar dados sem a devida autorização do controlador ou não implementar as medidas de segurança acordadas, poderá ser responsabilizado diretamente.
Os tribunais holandeses aplicam diversos fatores ao determinar a responsabilidade.
Isso inclui a gravidade da violação, a sensibilidade dos dados comprometidos, suas medidas de segurança antes da violação e sua resposta após a descoberta do incidente.
O tamanho e os recursos da sua organização também influenciam o que os tribunais consideram medidas de segurança razoáveis.
A responsabilidade solidária pode surgir quando várias partes contribuem para uma violação de dados.
Se você compartilhar a responsabilidade com outros controladores ou processadores, os tribunais poderão responsabilizar cada parte pela totalidade dos danos.
Você poderá então buscar indenização de outras partes responsáveis com base em suas respectivas contribuições para a violação.
Quais entidades podem ser responsabilizadas por incidentes de segurança de dados nos Países Baixos?
Os controladores de dados são os principais responsáveis pelos incidentes de segurança de dados.
Como controlador de dados, você toma decisões sobre como os dados pessoais são processados e deve garantir que medidas de segurança adequadas estejam em vigor.
Sua organização pode enfrentar multas administrativas, responsabilidade civil e danos à reputação após uma violação.
Os processadores de dados podem ser responsabilizados quando não cumprem suas obrigações contratuais e legais.
Se você processar dados em nome de um controlador, deverá implementar as medidas de segurança especificadas em seu contrato e cumprir as instruções legais do controlador.
Você será diretamente responsabilizado caso exceda sua autoridade ou não mantenha a segurança adequada.
Os diretores e executivos da sua organização podem ser responsabilizados pessoalmente em determinadas circunstâncias.
Com a implementação da Diretiva NIS2 nos Países Baixos, a gestão pode ser responsabilizada pessoalmente por falhas na governança da cibersegurança.
Isso inclui a possível desqualificação para exercer o cargo de diretor em caso de infrações graves.
Prestadores de serviços terceirizados também podem ser responsabilizados por incidentes de segurança.
Se você depende de serviços em nuvem, suporte de TI ou outros fornecedores externos, eles podem ser responsabilizados caso suas falhas contribuam para uma violação de segurança.
Seus contratos com esses fornecedores devem definir claramente as responsabilidades de segurança e os termos de responsabilidade.
A Autoridade Holandesa de Proteção de Dados atua como o principal órgão de fiscalização.
Embora não seja diretamente responsável por infrações, a Autoridade investiga incidentes, emite ordens corretivas e impõe multas administrativas às organizações que não cumprem as normas.
Quais são as consequências para as organizações que não cumprem as normas holandesas de proteção de dados?
Sua organização pode estar sujeita a multas administrativas de até € 20 milhões ou 4% do seu faturamento anual global, o que for maior. A Autoridade Holandesa de Proteção de Dados determina os valores das multas com base na natureza, gravidade e duração da violação, bem como na sua cooperação durante as investigações.
Além das sanções financeiras, a Autoridade pode impor medidas corretivas que interrompam as suas operações. Essas medidas incluem restrições temporárias às atividades de processamento de dados, ordens para retificar violações específicas e auditorias obrigatórias.
Poderá ser necessário suspender certas atividades comerciais até que demonstre conformidade. A sua organização corre o risco de sofrer danos significativos à reputação em caso de incumprimento.
A divulgação pública de violações de dados e das sanções regulatórias pode corroer a confiança do cliente e prejudicar as relações comerciais. A Autoridade Holandesa de Proteção de Dados publica as decisões de aplicação da lei, que permanecem acessíveis ao público e à mídia.
Você pode enfrentar ações judiciais cíveis movidas por indivíduos afetados que buscam indenização por danos. Os indivíduos podem reivindicar indenizações por danos materiais e imateriais resultantes de violações da proteção de dados.
Os tribunais holandeses têm reconhecido cada vez mais as ações judiciais por danos morais e perda de controle sobre dados pessoais, mesmo sem prejuízos financeiros diretos. Suas oportunidades de negócios podem ser restringidas após violações graves.
Alguns setores exigem certificações de segurança ou registros de conformidade para manter contratos, principalmente quando se trata de entidades governamentais ou setores regulamentados.
De que forma as pessoas afetadas podem buscar reparação após uma violação de dados nos Países Baixos?
Você pode apresentar uma reclamação à Autoridade Holandesa de Proteção de Dados se acreditar que uma organização violou seus direitos de proteção de dados. A Autoridade investiga as reclamações e pode tomar medidas coercitivas contra organizações que não cumprem as normas.
Este processo não lhe custa nada e não requer representação legal. Você tem o direito de intentar uma ação judicial cível contra a organização responsável.
A legislação holandesa permite que você solicite indenização por danos materiais e imateriais resultantes de violações da proteção de dados. Os danos materiais incluem perdas financeiras, enquanto os danos imateriais abrangem angústia, ansiedade e perda de controle sobre seus dados pessoais.
Você pode contratar um advogado para lidar com sua reclamação com base em honorários de êxito ou buscar assistência jurídica gratuita se atender aos critérios de elegibilidade financeira. Muitos escritórios de advocacia na Holanda são especializados em casos de proteção de dados e podem aconselhá-lo sobre a viabilidade de sua reclamação.
Os mecanismos de ação coletiva permitem que grupos de indivíduos afetados busquem indenização coletivamente. Você pode buscar compensação diretamente da organização sem precisar recorrer ao tribunal.
Muitas organizações preferem resolver as disputas de forma privada para evitar custos com litígios e publicidade negativa. Sua posição de negociação se fortalece se a organização violou claramente as normas de proteção de dados ou se a violação causou danos significativos.
Você também pode apresentar reclamações contra os processadores de dados se eles forem responsáveis pela violação. De acordo com o GDPR, tanto os controladores quanto os processadores podem ser responsabilizados por danos.
Se várias partes contribuíram para a violação, você pode exigir o valor total de qualquer uma das partes responsáveis.
De que forma o RGPD influencia a responsabilidade e as obrigações em caso de violação de dados para entidades que operam nos Países Baixos?
O RGPD estabelece obrigações claras para as organizações no que diz respeito à proteção de dados pessoais.
As entidades devem implementar medidas técnicas e organizacionais adequadas para garantir a segurança dos dados.
Em caso de violação de dados, as organizações são obrigadas a notificar a autoridade supervisora competente no prazo de 72 horas.
Caso a violação represente um alto risco para os direitos e liberdades individuais, as pessoas afetadas também devem ser informadas.
O não cumprimento desses requisitos pode resultar em multas significativas e danos à reputação da organização.
Tanto os controladores quanto os processadores de dados têm responsabilidades distintas sob o GDPR, e os contratos devem definir claramente essas funções.
