Jeżeli właściciel strony ma wiarygodną informację, że na jego serwerze znajdują się złośliwe pliki (np. webshell w WordPressie, trojan w plikach PHP) i mimo tego nie podejmuje żadnych działań, to ryzykuje nie tylko problemy techniczne, ale też konsekwencje prawne i organizacyjne. Kluczowe jest tu połączenie dwóch elementów: wiedzy o incydencie oraz zaniechania (braku reakcji w rozsądnym czasie).
W praktyce inaczej ocenia się sytuację, gdy strona została zainfekowana bez wiedzy właściciela, a inaczej, gdy właściciel został o tym powiadomiony i nadal utrzymuje środowisko w stanie umożliwiającym nadużycia. Nawet jeśli to nie on wgrał złośliwe pliki, to brak reakcji:
To zwykle dzieje się najszybciej i najboleśniej, zanim ktokolwiek zacznie rozważać spory prawne:
Wiele firm reaguje automatycznie na nadużycia i nie czeka na wyjaśnienia:
W prawie cywilnym istotna jest koncepcja winy i należytej staranności. Jeżeli z infrastruktury klienta wychodzą działania szkodzące innym (np. ataki, spam, phishing), a klient był wcześniej informowany o infekcji i nic nie zrobił, to druga strona może próbować budować roszczenia, wykazując:
To nie oznacza, że roszczenia zawsze będą skuteczne, ale „wiedział i nic nie zrobił” istotnie pogarsza pozycję klienta, bo łatwiej zarzucić mu niedbalstwo. Patrz: "Uwaga".
Jeśli strona zbiera lub przetwarza dane osobowe (np. sklep, formularze, konta użytkowników, newsletter), infekcja może oznaczać naruszenie ochrony danych. Wtedy liczy się nie tylko usunięcie wirusa, ale też obowiązki organizacyjne:
Zaniechanie działań mimo wiedzy o infekcji może zostać ocenione jako brak „odpowiednich środków technicznych i organizacyjnych” oraz niewywiązanie się z obowiązku należytej reakcji na incydent.
Zwykle odpowiedzialność karna za ataki dotyczy sprawcy (osoby, która je przeprowadza). Natomiast klient, który świadomie utrzymuje webshell lub inne narzędzie umożliwiające nadużycia, ryzykuje, że jego zachowanie zostanie ocenione dużo surowiej niż „bierna ofiara włamania”. Im dłużej trwa tolerowanie infekcji mimo ostrzeżeń, tym trudniej bronić tezy, że klient działał rozsądnie i w dobrej wierze.
Żeby ograniczyć ryzyka (techniczne, biznesowe i prawne), rozsądne minimum to:
Jeżeli klient ignoruje problem, wykonawca (administrator, agencja, freelancer) powinien zadbać o ślad dowodowy, bo w razie skarg i incydentów często pojawia się pytanie: kto wiedział i co zrobił. Dobra praktyka to:
Wiedza o wirusie na stronie lub koncie FTP i brak reakcji to realne ryzyko: blokady hostingu, utrata reputacji, spadek sprzedaży, możliwe obowiązki z RODO, a w skrajnych przypadkach spory o szkody. Najbezpieczniej działać szybko, twardo (czyszczenie + usunięcie przyczyny) i zostawić po sobie dokumentację działań. To zwykle jest tańsze niż gaszenie pożaru po kilku tygodniach bezczynności.
Jeśli właściciel strony „coś robi”, ale w praktyce robi to nieskutecznie (a infekcja wraca), to z perspektywy odpowiedzialności kluczowe nie jest samo „podjęcie działań”, tylko czy działania były adekwatne i staranne.
W prawie cywilnym liczy się należyta staranność – czyli standard zachowania, jakiego można wymagać w danych okolicznościach.
Jeżeli wirus wraca, to jest mocny argument, że:
To może być ocenione jako niedbalstwo (wina nieumyślna), a przy szkodzie – otwiera drogę do odpowiedzialności deliktowej.
1) Odpowiedzialność cywilna (deliktowa), jeśli z jego strony idą szkody
Jeśli z zainfekowanej strony lecą ataki/spam/phishing i ktoś wykaże szkodę oraz związek z zaniedbaniami, to sam fakt, że „próbował”, nie musi go bronić, jeśli próby były pozorne lub nieadekwatne. Podstawą jest art. 415 k.c. (wina + szkoda).
2) Odpowiedzialność umowna, jeśli ma zobowiązania wobec kogoś (hosting, kontrahenci, klienci)
Jeżeli ma umowę i „utrzymuje usługę/serwis” w sposób nienależyty (bo bezpieczeństwo leży po jego stronie), to wchodzi reżim art. 471 k.c. – niewykonanie lub nienależyte wykonanie zobowiązania.
To bywa praktyczniejsze niż delikt, bo druga strona idzie prostą ścieżką: „umowa → obowiązek → nienależyte wykonanie → szkoda”.
3) Konsekwencje po stronie hostingu i usług (najczęstsze w realu)
Nawet bez pozwów: powtarzające się infekcje kończą się zwykle blokadami, ograniczeniami, blacklistami poczty, zgłoszeniami abuse. I tu tłumaczenie „czyściłem, ale wraca” często nie ma znaczenia – liczy się efekt: nadal generuje ryzyko.
Częściowo tak, ale to nie jest tarcza absolutna. Jest przepis o powierzeniu czynności i tzw. „winie w wyborze” (art. 429 k.c.) – jeśli powierzył to profesjonaliście, może ograniczać swoją odpowiedzialność za cudzy czyn, ale nadal powinien reagować rozsądnie (np. nie ignorować zaleceń, nie blokować wdrożeń).
Najczęstsze przykłady:
Jeśli infekcja wraca drugi/trzeci raz, a właściciel nadal robi tylko „kosmetykę” zamiast:
to coraz łatwiej postawić tezę: to nie jest „incydent”, tylko utrzymywanie niebezpiecznego stanu mimo wiedzy.
Sprawdź naszych specjalistów w praktycznym działaniu. Zobacz co możemy zrobić dla Twojej firmy - przejrzyj ofertę lub skorzystaj z bezpłatnej konsultacji.
Strony WWW
Marketing
Projektowanie grafiki
Pisanie tekstów
Wydawnictwo
Pozostałe usługi
InformacjeSoluma Group © 2010-2020 Soluma Interactive
Dla klientów
Umów rozmowę tel.
bok@soluma.pl
