Õngitsus ja internetipettus Hollandis: teie õigused

Õngitsus ja internetipettus on Hollandi seaduste kohaselt kriminaalkuriteod. Pettur, kes meelitab teid sisselogimisandmeid või raha üle kandma, paneb toime pettuse (oplichting) Hollandi kriminaalkoodeksi artikli 326 alusel ja sageli ka volitamata juurdepääsu arvutisüsteemile (computervredebreuk) artikli 138ab alusel. Kui raha on teie kontolt teie nõusolekuta lahkunud, peab teie pank selle põhimõtteliselt Hollandi tsiviilkoodeksi artikli 7:528 alusel tagastama. Peamine erand: pank ei pea maksma, kui ta suudab tõestada, et tegutsesite petturlikult või raske hooletusega. Kiirus on oluline, seega teatage juhtumist oma pangale ja esitage politseile avaldus niipea, kui seda märkate.

Mis loetakse Hollandi seaduste kohaselt andmepüügiks?

Andmepüük on pettus, mille käigus kurjategija esineb teie usaldusväärse organisatsioonina, et saada kätte teie volitused või raha. Hollandi seadustes ei kasutata sõna andmepüük, kuid karistatakse selle taga olevat käitumist.

Pettur võib teeselda end olevat pank, makseteenuse pakkuja, kullerfirma või Hollandi maksuhaldur (Belastingdienst). Eesmärk on saada sisselogimisandmeid, maksekaardi andmeid, kinnituskoodi või allkirja pangarakenduses. Meetod on erinev: e-kiri, SMS-sõnum (smishing), telefonikõne kelleltki, kes väidab end olevat panga pettustevastase osakonna töötaja (vishing), sõnum WhatsAppis või LinkedInis või sponsoreeritud otsingutulemuse taga olev kloonitud veebisait.

Korraga saab kohaldada mitut Hollandi kriminaalkoodeksi (Wetboek van Strafrecht) sätet:

• Panga teesklemine, et kedagi raha või andmete üleandmiseks meelitada, on pettus artikli 326 alusel.
• Sel viisil saadud volitustega kontole sisselogimine on artikli 138ab kohaselt volitamata juurdepääs.
• Teise isiku tuvastavate andmete kasutamine kahju tekitamiseks või eelise saamiseks on karistatav artikli 231b alusel.
• Dokumentide või digitaalsete dokumentide võltsimine kuulub artikli 225 alla.
• Maksekaartide või nende taga olevate andmete väärkasutamine kuulub artikli 232 alla.
• Kui rünnak lõpeb krüpteeritud failide ja lunaraha nõudmisega, tulevad mängu artikkel 350a (andmete muutmine või hävitamine) ja artikkel 317 (väljapressimine).

Mis loetakse internetipettuseks?

Internetipettus on laiem kategooria: igasugune pettus, mis pannakse toime veebikanali kaudu. Juriidiliselt kuuluvad enamik vorme sama sätte, kriminaalkoodeksi artikli 326 alla.

Internetipettuste hulka kuuluvad veebipoed, mis võtavad vastu makseid, aga ei saada kunagi kaupa, võltsitud üürikuulutused ja krüptovaluuta ümber üles ehitatud investeerimispettused. See hõlmab ka arvepettusi, mille puhul tarnija pangarekvisiite salaja muudetakse, ja tegevjuhi pettusi, mille puhul finantstöötaja saab kiireloomulise maksejuhise, mis näib pärinevat direktorilt. Tuum on alati sama: petlik tegu, mille käigus keegi loovutab raha, kaupu või andmeid.

Praktiline erinevus andmepüügi ja laiema kategooria vahel seisneb kahju tekkimises. Andmepüügi puhul lahkub raha tavaliselt maksekontolt ilma teie nõusolekuta. See toob mängu tsiviilseadustiku 7. raamatu makseteenuste reeglid. Veebipoe või investeerimispettuse puhul kannate raha ise üle. Seejärel muutub raha tagasinõudmine tsiviilasjaks petturi ja mõnikord ka platvormi või panga vastu, kes raha sai.

Kuidas õngitsussõnumit ära tunda?

Vaadake, mida sõnum teilt palutakse, mitte õigekirja. Tänapäevased andmepüügisõnumid on hästi kirjutatud ja sageli isikupärastatud, seega vanad nõuanded õigekirjavigade kohta enam ei piisa.

Kolm signaali jäävad usaldusväärseks:

• See sõnum tekitab ajalise surve. See annab teada, et konto on blokeeritud või makse tühistatakse, kui te kohe ei tegutse.
• See juhib teid eemale kanalitest, mida te tavaliselt kasutate. See palub teil klõpsata lingil või helistada numbril, selle asemel et avada oma pangarakendus.
• See küsib midagi, mida pank kunagi ei küsi: kinnituskoodi, allkirja teie pangarakenduses tehingu kohta, mida te ei alustanud, või luba installida oma seadmesse kaugjuurdepääsu tarkvara.

Organisatsioonide puhul kehtib sama loogika ka maksejuhiste puhul. Tarnija, kes muudab oma pangarekvisiite e-posti teel, direktor, kes küsib kiiret ülekannet väljaspool tavapärast kinnitusahelat, või arve, mis saabub oodatust veidi varem – kõik need nõuavad tšekki. Helistage tagasi numbril, mis teil juba on registreeritud, mitte sellel, mis oli sõnumis esitatud.

Kas sa saad pangast oma raha tagasi?

Tavaliselt jah. Kui te ei andnud maksega nõusolekut, peab pank selle põhimõtteliselt viivitamatult tagastama, välja arvatud juhul, kui tegutsesite pettuse või raske hooletuse tõttu.

Maksetehing, millele maksja nõusolekut ei andnud, on Hollandi tsiviilseadustiku artikli 7:522 lõike 2 tähenduses volitamata tehing. Artikli 7:528 lõige 1 kohustab seejärel makseteenuse pakkujat summa viivitamatult tagastama ja konto taastama esialgsesse seisu. Teisisõnu, lähtepunkt on see, et pank kannab kahju.

Erand on sätestatud artikli 7:529 lõikes 1. Pank ei pea raha tagasi maksma, kui konto omanik on tegutsenud petturlikult või tahtlikult või raske hooletuse tõttu ei ole täitnud artiklis 7:524 sätestatud kohustusi. Need kohustused nõuavad, et kasutaksite maksevahendit vastavalt kehtivatele tingimustele ja turvameetmetele. Raske hooletus on kõrge lati. Seda hinnatakse kõigi asjaolude, mitte ainult kahju tekkimise fakti põhjal. Artikli 7:529 lõige 3 lisab täiendava kaitse: kui pank ei rakendanud tugevat kliendi autentimist, ei kanna te mingit kahju.

Mida teha, kui pank keeldub maksmast?

Tarbijana võite vaidluse lahendada finantsteenuste kaebuste instituudis (Klachteninstituut Financiële Dienstverlening, Kifid) või tsiviilkohtus. Kifid tegeleb teie kaebusega alles pärast seda, kui olete läbinud panga sisemise kaebuste lahendamise menetluse.

Äriklientide kontode omanikud on teistsuguses olukorras. Nad jäävad enamiku tarbijakaitsemeetmete alt välja ning sõltuvad suuresti oma lepingust pangaga ja üldistest vastutusreeglitest. See muudab ettevõtte sisemised maksekontrollid veelgi olulisemaks.

Kas petturilt või hooletult organisatsioonilt saab kahjutasu nõuda?

Jah. Kui toimepanija on tuvastatud, saate kahju hüvitada õigusvastase teona (onrechtmatige daad) tsiviilseadustiku artikli 6:162 alusel. Nõue organisatsiooni vastu, kelle halb turvalisus pettuse võimalikuks tegi, toimub sama artikli alusel.

Kuriteo toimepanija vastu toimub see kõige sagedamini kriminaalasja raames. Hollandi kriminaalmenetluse seadustiku artikli 51f alusel saate kriminaalmenetlusega liituda kannatanu (benadeelde partij) ja taotleda kriminaalkohtult hüvitise määramist. See on tavaliselt odavam ja kiirem kui eraldi tsiviilhagi. Kohus menetleb ainult nõuet, mis ei pane kriminaalmenetlusele ebaproportsionaalset koormust. Seetõttu peab teie kahju olema dokumenteeritud ja seda peab olema lihtne arvutada.

Teine võimalus on esitada nõue organisatsiooni vastu, kelle turvalisus ei ole piisavalt tagatud. Mõelge tööandjale, kelle postkast sattus ohtu, platvormile, mis võimaldas müüjal tegutseda ilma igasuguse kinnituseta, või töötlejale, kes lekkis klientide andmebaasi. Kohaldatav standard on see, mida hoolikas organisatsioon oleks pidanud tegema, arvestades tehnika taset ja andmete tundlikkust. Küberrünnakute ohvrite õigused sätestavad, kuidas teavitamiskohustus, hüvitamine ja kindlustus sellistel juhtudel omavahel suhestuvad. Tõendamine on tavaliselt kõige raskem osa; meie artikkel digitaalse pettuse tõestamise kohta käsitleb kaalukaid tõendeid.

Mida nõuab isikuandmete kaitse üldmäärus organisatsioonidelt, keda on tabanud andmepüük?

Edukas andmepüügirünnak ettevõtte vastu põhjustab peaaegu alati isikuandmete rikkumise. Organisatsioon peab sellest teatama Hollandi andmekaitseasutusele (Autoriteit Persoonsgegevens) põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul.

Isikuandmete kaitse üldmääruse artikkel 32 nõuab vastutavatelt töötlejatelt ja volitatud töötlejatelt asjakohaste tehniliste ja korralduslike turvameetmete võtmist. Artikkel 33 sisaldab kohustust teatada rikkumisest 72 tunni jooksul pärast sellest teadasaamist, välja arvatud juhul, kui rikkumine tõenäoliselt ei kujuta endast ohtu asjaomastele isikutele. Kui oht kõnealustele isikutele on suur, lisab artikkel 34 kohustuse neid otse teavitada.

Järelevalveasutus vaatab vähem seda, kas rünnak õnnestus, kuivõrd seda, mis sellele eelnes. Kas mitmefaktoriline autentimine oli olemas? Kas juurdepääsuõigused olid piiratud sellega, mida töötajad tegelikult vajasid? Kas logimine võimaldas intsidenti rekonstrueerida? Kas töötajad olid koolitatud? Organisatsioon, mis suudab näidata läbimõeldud turvastrateegiat ja dokumenteeritud reageeringut, on palju tugevamal positsioonil kui see, mis alles pärast sündmust asju kirja paneb. Kes vastutab pärast andmetega seotud rikkumist , sõltub sellest, kuidas vastutus jaotatakse.

Millised aruandluskohustused kehtivad Cyberbeveiligingsweti alusel?

Alates 15. augustist 2026 kehtib koos isikuandmete kaitse üldmäärusega Hollandi küberturvalisuse seadus (Cyberbeveiligingswet), mis rakendab NIS2 direktiivi. Selle reguleerimisalasse kuuluvad organisatsioonid peavad olulistest intsidentidest teatama etappide kaupa: varajane hoiatus 24 tunni jooksul, teade 72 tunni jooksul ja lõpparuanne ühe kuu jooksul.

Seaduse reguleerimisalasse kuuluvad organisatsioonid peavad registreeruma ka riiklikus küberturvalisuse keskuses (NCSC). Nad peavad hoolsuskohustuse kohaselt võtma meetmeid, mis hõlmavad riskijuhtimist, tarneahela turvalisust ja intsidentide käsitlemist. Juhatus peab need meetmed heaks kiitma, jälgima nende rakendamist ja läbima koolituse, seega on küberturvalisus juhtkonna vastutus, mitte ainult IT-osakonna küsimus.

Need kaks režiimi kattuvad, kuid ei ole samad. Andmepüügiintsident, mis rikub postkasti, võib käivitada GDPR-i teate Autoriteit Persoonsgegevensile ja eraldi intsidendiaruande Cyberbeveiligingsweti alusel, erinevate tähtaegadega ja erinevatele asutustele. Uurige eelnevalt välja, milline režiim teie organisatsioonile kehtib ja kes helistab kell kolm öösel. Meie küberintsidentide aruandluskohustuste juhend seab tähtajad kõrvuti.

Mis saab siis, kui pettur või raha on välismaal?

Esitage Hollandis igal juhul politseile avaldus (aangifte). Hollandis käsitletakse ohvri vastu suunatud kuritegu üldiselt toimepanduna, seega on Hollandi politsei ja prokurör õige alguspunkt isegi siis, kui toimepanija viibib välismaal.

Õngitsusoperatsioonid piirduvad harva ühe riigiga. Saatja infrastruktuur asub ühes jurisdiktsioonis, ohver teises, raha kolmandas ja kloonitud saidi majutamine neljandas. Hollandi kriminaaljurisdiktsioon laieneb ka Hollandi territooriumil toime pandud kuritegudele.

Teisest riigist saadud tõendeid kogutakse väljakujunenud kanalite kaudu. Euroopa Liidus võimaldab Euroopa uurimismäärus Hollandi prokuröril või uurival kohtunikul taotleda teiselt liikmesriigilt andmeid, kontoteavet või rahaliste vahendite külmutamist. Väljaspool ELi näeb 2001. aastal Budapestis sõlmitud Euroopa Nõukogu küberkuritegevuse konventsioon ette salvestatud arvutiandmete kiirendatud säilitamise ja vastastikuse abi sellega liitunud riikide vahel. Europol ja Interpol koordineerivad operatsioone, kuid ei algata ise süüdistusi; juhtum jääb riikliku prokuratuuri pädevusse.

Teie kui ohvri jaoks on sellel praktiline tagajärg. Raha tagasisaamine sõltub tavaliselt sellest, kui kiiresti saajat panka teavitada suudetakse, sest muulakonto kaudu liigutatud raha hajub tundide jooksul. Oma pangale kohene teatamine, et see saaks tagasikutsumise proovida, annab tõenäolisemalt tulemusi kui ükski hilisem õiguslik samm.

Kuidas te oma organisatsioonis andmepüüki ja internetipettusi ennetate?

Kõrvaldage üksikud rikkekohad; tarkvara juurdeostmine pole harva lahendus. Mõned põhilised meetmed peatavad enamiku oportunistlikest rünnakutest.

• Kasutage mitmefaktorilist autentimist igal kontol, millel on juurdepääs ettevõtte andmetele.
• Hoidke paroolihalduris unikaalseid paroole.
• Paigalda seadmed ja tarkvara kiiresti.
• Kontrollige iga tarnija pangarekvisiitide muudatust telefoni teel numbril, mis teil juba oli.
• Veenduge, et ükski inimene ei saaks makset korraga luua ja vabastada.

Koolitus täidab ülejäänud lünga, eeldusel, et seda korratakse ja see on realistlik. Töötajad, kes on näinud veenvat simuleeritud andmepüügisõnumit, tunnevad tegeliku sõnumi ära; töötajad, kes on lugenud ainult poliitikat, üldiselt seda ei tee. Lõpuks otsustage eelnevalt, mis juhtub esimese tunni jooksul pärast intsidenti: kes isoleerib konto, kes säilitab logisid, kes võtab ühendust pangaga ja kes hindab, kas on tekkinud teavitamiskohustus. See nimekiri on sündmuse toimumise päeval väärtuslikum kui mis tahes analüüs pärast sündmust.

Mida peaksite tegema, kui olete sihikule võetud?

Võtke esmalt ühendust oma pangaga, seejärel turvake oma kontod, säilitage tõendid ja teatage politseile. Tegutsege järgmises järjekorras:

1. Võtke oma pangaga ühendust ametliku pettusevastase numbri kaudu ja paluge tehing blokeerida või tagasi võtta.
2. Muutke nii ohustatud konto kui ka kõigi teiste sama parooli kasutavate kontode sisselogimisandmeid.
3. Säilita kõik: algne sõnum koos päistega, ekraanipildid, tehingute viited ja kellaajad, millal sa iga sammu märkasid.
4. Esitage politseiraport. Enamik kindlustusandjaid nõuab seda ja see on aluseks igale hilisemale kahjunõudele kannatanuna.
5. Kui teiste isikuandmed on avalikuks tulnud, hinnake enne tähtaegade möödumist GDPR-i ja vajaduse korral küberkuritegevuse seaduse (Cyberbeveiligingswet) kohaseid teavitamiskohustusi.

Nõustame andmepüügi ja internetipettuste ohvreid kahjude sissenõudmisel pankadelt, platvormidelt ja toimepanijatelt. Samuti nõustame ettevõtteid turvakohustuste, rikkumistest teatamise ja intsidendijärgse vastutuse osas. Lisateavet leiate meie Hollandi IT-õiguse juhenditest.

Kokkuvõtvalt

• Õngitsus ja internetipettus on Hollandis karistatavad, peamiselt pettusena (kriminaalseadustiku artikkel 326) ja volitamata juurdepääsuna (artikkel 138ab).
• Makse puhul, mida te ei autoriseerinud, peab pank teile põhimõtteliselt viivitamatult raha tagastama (tsiviilseadustiku artikkel 7:528), välja arvatud juhul, kui tegutsesite pettuse või raske hooletuse korral (artikkel 7:529).
• Kui pank keeldub, saavad tarbijad pärast pangasisese kaebuste menetluse lõppu pöörduda Kifidi poole või tsiviilkohtusse.
• Andmepüügi ohvriks langenud organisatsioonid peavad GDPR-i teavitust hindama 72 tunni jooksul ja kui see kuulub GDPR-i reguleerimisalasse, esitama aruande Cyberbeveiligingswet (24 tundi, 72 tundi, üks kuu) alusel.
• Helista kohe oma panka ja esita politseile avaldus: kiirus on raha tagasisaamisel sageli määrav.

Korduma kippuvad küsimused

Kas mu pank peab mulle raha tagasi maksma, kui ma klõpsasin andmepüügilingil?

Mitte automaatselt, aga tihti. Lähtepunktiks on tagasimakse iga makse eest, millega te nõusolekut ei andnud. Pank peab tõendama, et tegutsesite raskelt hooletult, ja seda hinnatakse juhtumi kõigi asjaolude põhjal.

Kas ettevõtte konto on samamoodi kaitstud?

Suures osas mitte. Enamik tarbijakaitsesätteid ei kehti ärikontodele, seega otsustavad pangaga sõlmitud leping ja üldised vastutuseeskirjad, kes kannab kahju.

Kas ma saan kriminaalasjas hüvitist nõuda?

Jah. Kannatanuna (benadeelde partij) võite kriminaalmenetlusega liituda ja taotleda kohtult hüvitise määramist, kui teie nõue on dokumenteeritud ja seda on lihtne hinnata.

Pole kindel, milles seisad? Räägi meile oma olukorrast. Anname sulle ühe tööpäeva jooksul teada, millised on sinu võimalused.

Kuidas Law & More saab teid sellega aidata, on selgitatud meie lehel kriminaaljurist lehel.