Οι Κίνδυνοι Απώλειας Δεδομένων για τους Φορείς Λειτουργίας Συστημάτων και η Νομική τους Ευθύνη

Υπάρχουν περιπτώσεις στον τομέα των συστημάτων όπου σημαντικές εταιρικές πληροφορίες που αποθηκεύονται σε βάσεις δεδομένων χάνονται λόγω απρόβλεπτων συνθηκών. Σε τέτοιες περιπτώσεις, εάν η λειτουργία του συστήματος έχει ανατεθεί σε εξωτερικό προμηθευτή, είναι νομικά δυνατόν να απαιτήσετε ευθύνη από τον εξωτερικό προμηθευτή;

Σε αυτό το άρθρο, θα αναλύσουμε πού ανήκει η νομική ευθύνη για την απώλεια πληροφοριών σε μια επιχείρηση.

Τι σημαίνει «Λειτουργία» στα IT Συστήματα

Η «λειτουργία» στα IT συστήματα, αν το διατυπώσουμε πολύ απλά, αναφέρεται στο κομμάτι της εργασίας που σχετίζεται με τη συνεχή χρήση του υπάρχοντος συστήματος όπως έχει ήδη καθιερωθεί. Τα συστήματα που αναπτύσσουν οι IT μηχανικοί και προγραμματιστές δεν τελειώνουν απλώς με τη δημιουργία τους. Για παράδειγμα, αν θέλουμε να εκτελέσουμε λειτουργίες που δεν είναι δυνατόν να γίνουν από την οθόνη, θα πρέπει να συνδέσουμε τον υπολογιστή με τη βάση δεδομένων και να εισάγουμε απευθείας την κωδικοποίηση του υπολογιστή (όπως SQL) για να πραγματοποιήσουμε ενέργειες όπως η εξαγωγή ή η τροποποίηση δεδομένων που δεν είναι δυνατόν να εκτελεστούν από την οθόνη.

Οι εργασίες λειτουργίας συχνά μπορούν να τυποποιηθούν ευκολότερα, όπως με την κατάρτιση εγχειριδίων διαδικασιών, και συνεπώς είναι πιο εύκολο να ανατεθούν σε εξωτερικούς συνεργάτες σε σύγκριση με την ανάπτυξη νέων προγραμμάτων.

Ωστόσο, ακόμη και αν οι εργασίες λειτουργίας είναι ευκολότερο να τυποποιηθούν, δεν πρέπει να ξεχνάμε ότι αυτές συχνά περιλαμβάνουν την άμεση διαχείριση των βάσεων δεδομένων της εταιρείας, κάτι που μπορεί να οδηγήσει σε μεγάλα περιστατικά. Οι κίνδυνοι όπως η διαρροή ή η απώλεια πληροφοριών που διαχειρίζεται μια εταιρεία μπορεί να αυξηθούν σημαντικά αν προχωρήσουμε σε ανάθεση εργασιών σε εξωτερικούς συνεργάτες χωρίς να λάβουμε υπόψη τη σοβαρότητα των ευθυνών που συνεπάγονται αυτές οι εργασίες.

Ο κίνδυνος απώλειας πληροφοριών είναι απρόσμενα κοντά μας

Υπάρχουν διάφοροι τύποι βάσεων δεδομένων που χρησιμοποιούν οι εταιρείες, αλλά ουσιαστικά αποτελούν ένα είδος λογισμικού. Οι διαδικασίες εξαγωγής, τροποποίησης, προσθήκης και διαγραφής δεδομένων που διαχειρίζονται, βασίζονται κατά βάση στη χρήση της γλώσσας προγραμματισμού SQL.

Η σημασία του νομικού τομέα

Στη δουλειά των τεχνικών που ασχολούνται με τα IT συστήματα υπάρχουν διάφοροι τύποι εργασιών όπως η ανάπτυξη, η λειτουργία και η συντήρηση. Κοινό σημείο σε όλες αυτές είναι η ενασχόληση με αφηρημένα στοιχεία όπως τα «δεδομένα» και οι «γλώσσες προγραμματισμού». Επομένως, ακόμη και ένα απλό λάθος στη χρήση ενός κουμπιού ή μια μικρή παρανόηση στην εισαγωγή δεδομένων, που εξωτερικά μπορεί να φαίνεται ασήμαντο, μπορεί να έχει εκτεταμένες και απρόβλεπτες συνέπειες. Αυτή η βασική αρχή θα πρέπει να είναι συνείδηση όλων, είτε είναι ειδικοί στην IT τεχνολογία είτε όχι. Οι εργασίες που σχετίζονται με τα συστήματα, από τη φύση τους, μπορεί να έχουν επιπτώσεις που να υπερβαίνουν τον τομέα εργασίας και να εξαπλώνονται γρήγορα πέρα από τα όρια της εταιρείας. Η σημασία του νομικού τομέα στα συστήματα είναι κάτι που μπορεί να εξηγηθεί ενιαία τόσο από την πλευρά του πελάτη όσο και από την πλευρά του παρόχου, με βάση αυτές τις παρατηρήσεις.

Ο κίνδυνος απώλειας εταιρικών δεδομένων

Ας εξετάσουμε ένα πιο κοινότυπο παράδειγμα. Η εντολή SQL που διαγράφει όλα τα δεδομένα ενός πίνακα είναι μόλις μία γραμμή: «TRUNCATE». Όταν σκεφτόμαστε τον κίνδυνο απώλειας δεδομένων μιας εταιρείας, η γνώση της σύνταξης SQL ή η εξοικείωση με το λογισμικό βάσεων δεδομένων δεν είναι τόσο σημαντική. Ωστόσο, πρέπει να αναγνωρίσουμε ότι η διαδικασία διαγραφής όλων των δεδομένων που αποθηκεύει μια εταιρεία μπορεί να είναι τόσο απλή. Αυτή η πραγματικότητα θα πρέπει να αποτελεί το σημείο εκκίνησης όταν σκεφτόμαστε τον κίνδυνο απώλειας εταιρικών δεδομένων.

Βεβαίως, οι λειτουργίες μπορεί να είναι ευκολοπροσάρμοστες και αν εκτελούνται σύμφωνα με τις διαδικασίες, συνήθως δεν υπάρχουν προβλήματα. Ωστόσο, αν δεν ακολουθηθούν οι διαδικασίες και προκύψουν ασυνήθιστες καταστάσεις, η σημασία του νομικού τομέα γίνεται αυτονόητη.

Ποιος είναι νομικά υπεύθυνος για την απώλεια πληροφοριών;

Η νομική φύση της εργασίας των διαχειριστών επενδυτικών έργων

Έτσι, σε περίπτωση που χαθούν δεδομένα λόγω ενός απρόβλεπτου συμβάντος και δεν υπάρχει δυνατότητα ανάκτησής τους, ποια είναι η νομική ευθύνη και σε ποιον ανήκει; Παρακάτω, θα αναλύσουμε αυτό το είδος συμβάντων από μια νομική σκοπιά.

Η δυσκολία στην επιδίωξη των υποχρεώσεων φύλαξης βάσει συμβολαίου κατάθεσης

Όταν εξετάζουμε την ευθύνη των επιχειρήσεων που αναλαμβάνουν τη διαχείριση δεδομένων, μία θεωρητική δομή που μπορεί να ληφθεί υπόψη είναι η επιδίωξη της υποχρέωσης επιμελούς φύλαξης βάσει ενός αμειβόμενου συμβολαίου κατάθεσης. Απλούστερα, αυτό αφορά το εάν μπορεί να επιδιωχθεί η ευθύνη για απώλεια δεδομένων με τον ίδιο τρόπο που ένας επιχειρηματίας που δέχεται την κατάθεση αντικειμένων σε έναν πληρωμένο κουμπαρά θα αναλάμβανε την ευθύνη αποζημίωσης σε περίπτωση απώλειας αυτών των αντικειμένων. Ωστόσο, η ιδέα ότι η “υποχρέωση φύλαξης δεδομένων” προκύπτει αυτομάτως, όπως η υποχρέωση φύλαξης φυσικών αντικειμένων, δεν είναι ρεαλιστική στο πλαίσιο της ισχύουσας νομοθεσίας.

Εξαρτάται από το περιεχόμενο της κάθε συμφωνίας

Τελικά, το ζήτημα “ποιος φέρει την ευθύνη για την αποθήκευση δεδομένων” δεν μπορεί να απαντηθεί ενιαία με βάση τις διατάξεις του Αστικού Κώδικα. Επομένως, η απάντηση εξαρτάται από το πώς έχει καθοριστεί το ζήτημα στο περιεχόμενο της κάθε συμφωνίας.

Επιπλέον, το “τι ακριβώς περιλαμβάνει η συμφωνία” δεν κρίνεται μόνο από το κείμενο της συμφωνίας αλλά και από τα πρακτικά των συνεδριάσεων και άλλα σχετικά έγγραφα. Η σημασία των πρακτικών εξηγείται αναλυτικά στο παρακάτω άρθρο.

https://monolith.law/corporate/the-minutes-in-system-development[ja]

Η επιδίωξη ευθύνης για παράνομες πράξεις από τρίτους που δεν είναι συμβαλλόμενοι είναι δύσκολη

Επιπλέον, έχει γίνει σαφές από τη νομολογία ότι η επιδίωξη ευθύνης για παράνομες πράξεις από τρίτους που δεν είναι συμβαλλόμενοι είναι αδύνατη. Σε μια περίπτωση που αφορούσε την απώλεια δεδομένων σε μια υπηρεσία ενοικίασης διακομιστή, τέθηκε το ζήτημα εάν ο χρήστης μπορεί να απαιτήσει αποζημίωση βάσει παράνομης πράξης.

Κλασικά παραδείγματα παράνομων πράξεων περιλαμβάνουν, για παράδειγμα, τα τροχαία ατυχήματα. Αν, για παράδειγμα, ένας οδηγός προκαλέσει τραυματισμό σε κάποιον λόγω αμέλειας σε αυτοκινητικό ατύχημα, φέρει ευθύνη τόσο ποινική όσο και αστική. Δεν υπάρχει συμβόλαιο μεταξύ αγνώστων που να αναφέρει ότι «δεν θα χτυπήσεις κάποιον με το αυτοκίνητο», αλλά ακόμα και μεταξύ ιδιωτών μπορεί να προκύψει ευθύνη για αποζημίωση ζημιών. Βάσει αυτού του πλαισίου ευθύνης για παράνομες πράξεις, διεκδικήθηκε η ευθύνη για την απώλεια δεδομένων ακόμη και από κάποιον που δεν είχε άμεση συμβατική σχέση.

Ωστόσο, το δικαστήριο, αναφερόμενο στις ιδιαιτερότητες των ψηφιακών πληροφοριών, δήλωσε ότι είναι δύσκολο να θεωρηθεί αυτονόητη η ύπαρξη τέτοιων υποχρεώσεων.

Οι διακομιστές δεν είναι αλάνθαστοι και μπορεί να παρουσιάσουν προβλήματα, με αποτέλεσμα την απώλεια αποθηκευμένων προγραμμάτων κλπ., αλλά τα προγράμματα κλπ. είναι ψηφιακές πληροφορίες που μπορούν εύκολα να αντιγραφούν, και οι χρήστες, ακόμα και αν χαθούν τα προγράμματα κλπ., μπορούν να τα επαναφέρουν σε λειτουργία εφόσον τα έχουν καταγράψει και αποθηκεύσει, κάτι που είναι ευρέως γνωστό (από την ουσία της διαμάχης), έτσι οι ενάγοντες θα μπορούσαν εύκολα να λάβουν μέτρα για την πρόληψη της απώλειας των εν λόγω προγραμμάτων ή δεδομένων. Αντικατοπτρίζοντας την κατάσταση των συμφερόντων και των εναγόντων και του κατηγορούμενου, δεν υπάρχει λόγος ή ανάγκη να επιβαρυνθεί ο κατηγορούμενος που εγκατέστησε και διαχειρίζεται τον εν λόγω διακομιστή με την υποχρέωση πρόληψης της απώλειας των εγγραφών των εναγόντων. (Μεσολάβηση), οι ενάγοντες υποστήριξαν ότι η σύμβαση ενοικίασης διακομιστή έχει τη φύση συμβολαίου κατάθεσης σε τρίτους για προγράμματα ή δεδομένα και με βάση αυτό, ο κατηγορούμενος ως πάροχος υπηρεσιών ενοικίασης διακομιστή έχει την υποχρέωση να φροντίζει καλά όλους όσους αποθηκεύουν εγγραφές στον εν λόγω διακομιστή και συγκεκριμένα να μην επιτρέπει την απώλεια των εγγραφών, και με αυτή την προϋπόθεση, υποστήριξαν ότι ο κατηγορούμενος παραβίασε την υποχρέωση πρόληψης απώλειας επειδή έχασε τις εγγραφές των εναγόντων που ήταν αποθηκευμένες στον διακομιστή.

Ωστόσο, ο κατηγορούμενος είχε συνάψει συμφωνία χρήσης υπηρεσίας κοινόχρηστου διακομιστή μόνο με τον χρήστη Α και δεν υπήρχε συμβατική σχέση με τους ενάγοντες, και δεν μπορεί να λεχθεί ότι υπάρχει φύση συμβολαίου κατάθεσης σε τρίτους για την αποθήκευση των προγραμμάτων ή δεδομένων που ήταν αποθηκευμένα στον διακομιστή, επομένως είναι δύσκολο να βρεθεί βάση για την υποχρέωση του κατηγορούμενου να φροντίζει καλά τις εγγραφές που ήταν αποθηκευμένες στον διακομιστή βάσει του νόμου για τις παράνομες πράξεις. Έτσι, δεν μπορεί να θεωρηθεί ότι ο κατηγορούμενος, απλώς επειδή είναι πάροχος υπηρεσιών ενοικίασης διακομιστή, φέρει αυτομάτως την υποχρέωση φροντίδας των εγγραφών που είναι αποθηκευμένες στον διακομιστή ή την υποχρέωση πρόληψης απώλειας των εγγραφών σε σχέση με τρίτους που δεν είναι συμβαλλόμενοι.

Απόφαση του Δικαστηρίου του Τόκιο, 20 Μαΐου 2009 (Έτος Heisei 21)

Η παρούσα απόφαση υπογραμμίζει ότι δεν είναι λογικό να υποθέτουμε την ύπαρξη μιας υποχρέωσης «να μην διαγράφονται δεδομένα» σε σχέση με τρίτους (ενάγοντες) που δεν έχουν άμεση συμβατική σχέση. Αυτή η απόφαση έχει προσελκύσει σημαντική προσοχή ως προηγούμενο για παρόμοιες υποθέσεις που μπορεί να προκύψουν στο μέλλον.

Συμπερασματικά, η αναζήτηση ευθύνης τείνει να είναι «δύσκολη»

Στην πρακτική εφαρμογή, όσον αφορά τα συμβόλαια που συχνά χρησιμοποιούνται, δεν είναι τόσο συνηθισμένο να υπάρχουν συμβάσεις που καθιστούν τον φορέα λειτουργίας υπεύθυνο για την αποθήκευση και το backup των δεδομένων. Αντίθετα, είναι πολύ πιο συνηθισμένο να υπάρχουν συμβάσεις που ορίζουν ότι αυτή η ευθύνη ανήκει στον χρήστη (δηλαδή στην εταιρεία που είναι πελάτης και γίνεται χρήστης του συστήματος).

Επομένως, εκτός αν υπάρχει κάποια ειδική συμφωνία, η ιδέα ότι ο φορέας λειτουργίας του συστήματος έχει την υποχρέωση να λαμβάνει μέτρα για την αποφυγή απώλειας δεδομένων είναι νομικά εξαιρετικά δύσκολο να υποστηριχθεί.

Προετοιμασία για τον κίνδυνο απώλειας πληροφοριών

Στο τέλος της ημέρας, ο κίνδυνος απώλειας πληροφοριών που κατέχει μια εταιρεία αφορά και την ίδια την εταιρεία ως προς τη διαχείριση των πληροφοριών που αποθηκεύει. Επομένως, είναι πιθανό να πούμε ότι η εταιρεία οφείλει να αποφασίσει πώς θα λάβει υπόψη τον κίνδυνο απώλειας και ποιο σύστημα αποθήκευσης θα κατασκευάσει.

Επιπλέον, ακόμη και αν αναγνωριστεί η ευθύνη του επιχειρηματία, μπορεί να συμβεί η αντιστάθμιση λόγω αμέλειας, με αποτέλεσμα να μην αναγνωριστεί πλήρης αποζημίωση. Υπάρχουν παραδείγματα από παλαιότερες δίκες όπου, σε περίπτωση που ο εναγόμενος που φιλοξενούσε δεδομένα σε έναν διακομιστή τα έκανε να εξαφανιστούν, η απουσία αντιγράφων ασφαλείας από τον ενάγοντα θεωρήθηκε ως «αμέλεια» και επιτράπηκε η αντιστάθμιση λόγω αμέλειας.

Ο ενάγων θα μπορούσε εύκολα να είχε λάβει μέτρα όπως τη δημιουργία αντιγράφων ασφαλείας των περιεχομένων του αρχείου και με αυτόν τον τρόπο να είχε προλάβει την εμφάνιση ζημιάς ή να είχε περιορίσει τη ζημιά σε ελάχιστο βαθμό, παρ’ όλα αυτά, κατά τη στιγμή του συμβάντος της εξαφάνισης, δεν είχε διατηρήσει κανένα αντίγραφο των δεδομένων του αρχείου.

Σε αυτή την περίπτωση, κατά την καθορισμό του ποσού της ευθύνης αποζημίωσης του εναγομένου, πρέπει να ληφθεί υπόψη αυτό το στοιχείο και να εφαρμοστεί η διάταξη της αντιστάθμισης λόγω αμέλειας, κάτι που συμφωνεί με τις αρχές της ισορροπίας στο δίκαιο της αποζημίωσης.（中略）

Από την άλλη πλευρά, ο ενάγων ισχυρίζεται ότι ήταν αδύνατο για αυτόν να προβλέψει ότι ο εναγόμενος πάροχος υπηρεσιών θα εξαφάνιζε το αρχείο από τον διακομιστή και ότι δεν θα έπρεπε να το είχε προβλέψει, έτσι δεν μπορεί να αναγνωριστεί η υποχρέωση δημιουργίας αντιγράφων ασφαλείας ως νομική υποχρέωση, ούτε η παράλειψη αυτή μπορεί να θεωρηθεί ως νομική αμέλεια, και επομένως η εφαρμογή της αντιστάθμισης λόγω αμέλειας θα έπρεπε να απορριφθεί.

Ωστόσο, κατά την εφαρμογή της αντιστάθμισης λόγω αμέλειας, είναι αρκετό να αναγνωριστεί η δυνατότητα πρόβλεψης της εμφάνισης του αποτελέσματος της εξαφάνισης του αρχείου από τον ενάγοντα, χωρίς να είναι απαραίτητη η πρόβλεψη της πιθανής αιτίας που οδήγησε στην εξαφάνιση του αρχείου λόγω της παραβίασης του καθήκοντος προσοχής από τον εναγόμενο.

Σε αυτή την υπόθεση, （中略）, είναι σαφές ότι ο ενάγων ήταν ενήμερος για τον κίνδυνο εισβολής χάκερ και άλλων στην ιστοσελίδα του, και επιπλέον, ο ενάγων αναγνώρισε ότι υπάρχει κίνδυνος αλλοίωσης και καταστροφής πληροφοριών στην επικοινωνία μέσω διαδικτύου, και ότι αυτός ο κίνδυνος ήταν προβλέψιμος, έτσι κρίνεται ότι ο ενάγων είχε προβλέψει τον κίνδυνο εξαφάνισης του αρχείου λόγω αιτιών που είναι ιδιαίτερες στην επικοινωνία μέσω διαδικτύου, και η πρόβλεψη της εμφάνισης του αποτελέσματος της εξαφάνισης του αρχείου είναι επαρκώς επιβεβαιωμένη, και η εφαρμογή της αντιστάθμισης λόγω αμέλειας δεν συναντά κανένα εμπόδιο.

Απόφαση του Δικαστηρίου του Τόκιο, 28 Σεπτεμβρίου (2001)

Σε αυτή την υπόθεση, κρίθηκε ότι «εφόσον δεν είχαν ληφθεί αντίγραφα ασφαλείας, ήταν προβλέψιμος ο κίνδυνος εξαφάνισης των αρχείων λόγω εισβολής χάκερ ή άλλων αιτιών, και επομένως η εφαρμογή της αντιστάθμισης λόγω αμέλειας ήταν δικαιολογημένη», με αποτέλεσμα το ποσό της αποζημίωσης να καθοριστεί στο μισό.

Συνοπτικά

Αν και δεν περιορίζεται μόνο στον κίνδυνο απώλειας δεδομένων, όταν οι χρήστες αναθέτουν την ανάπτυξη συστημάτων σε τρίτους, συχνά επικεντρώνονται μόνο στην ευχρηστία της διεπαφής χρήστη και παραμελούν τη διαχείριση της βάσης δεδομένων που αποθηκεύεται στο παρασκήνιο, με αποτέλεσμα η διακυβέρνηση του οργανισμού να μην επεκτείνεται πάντα σε αυτή την περιοχή.

Ωστόσο, οι παρελθοντικές δικαστικές αποφάσεις υποδεικνύουν ότι δεν πρέπει να αντιμετωπίζουμε αυτά τα ζητήματα ως ασήμαντα. Με άλλα λόγια, η προώθηση της δημιουργίας ενός συστήματος διαχείρισης που λαμβάνει υπόψη τον κίνδυνο απώλειας πληροφοριών, όπως η λήψη αντιγράφων ασφαλείας, πρέπει να αποτελεί ένα ζήτημα για το οποίο οι χρήστες (εσωτερικά μέσα στην εταιρεία) πρέπει να είναι πλήρως ενήμεροι και να αναλαμβάνουν την ευθύνη.

Οι παρελθοντικές δικαστικές αποφάσεις προειδοποιούν για την ανάγκη πρόληψης, υποδεικνύοντας ότι η αποτυχία προετοιμασίας για τέτοιους κινδύνους μπορεί να οδηγήσει σε ανεπανόρθωτες καταστάσεις. Ίσως θα έπρεπε να το εκλάβουμε ως μια ένδειξη ότι η πρόληψη είναι απαραίτητη.