Blog

1. Ο κίνδυνος της κυβερνοεπίθεσης: Αφορά όλους ή αποκλειστικά τους «εκλεκτούς» και «διάσημους»;

«Πολλοί άνθρωποι που εργάζονται στον τομέα της κυβερνοασφάλειας θα σας πουν ότι δεν είναι ζήτημα του εάν θα δεχθεί μια επιχείρηση κυβερνοεπίθεση αλλά του πότε θα την δεχθεί, υπό οποιαδήποτε μορφή. Είτε έχεις δεχθεί κυβερνοεπίθεση και δεν το έχεις καταλάβει είτε υπέστης κυβερνοεπίθεση και το ξέρεις είτε θα υποστείς κυβερνοεπίθεση κάποια στιγμή στο μέλλον».

Αυτή είναι η δήλωση του Martin Felli (CLO της JDA Software, μιας από τις μεγαλύτερες εταιρείες παγκοσμίως σε software εφοδιαστικών αλυσίδων), προς τον Dominic Carman, ο οποίος διεξήγε ειδική έρευνα για λογαριασμό της Kroll.

Αυτό που λέει ο Felli είναι στην πραγματικότητα μια επεξήγηση της δήλωσης του πρώην Διευθυντή του FBI Robert Mueller, ο οποίος ήδη από το 2012, δήλωσε: «Υπάρχουν μόνο δύο είδη επιχειρήσεων: αυτές που τις έχουν ήδη χακάρει και αυτές τις οποίες θα χακάρουν στο μέλλον».

Παρά την διαρκή ψηφιοποίηση των πάσης φύσεως πληροφοριών και την χρήση ηλεκτρονικών δικτύων για την διεκπεραίωση πάσης φύσεως συναλλαγών και εργασιών, είναι περισσότερο από προφανές πως οι περισσότερες επιχειρήσεις στην Ελλάδα δεν έχουν συναίσθηση των κινδύνων που διατρέχουν τόσο οι ίδιες όσο και τα δεδομένα των πελατών τους από τις πάσης φύσεως και μορφής κυβερνοεπιθέσεις

Όμως γιατί ο νομικός σας σύμβουλος να ασχοληθεί με αυτό το θέμα; Δεν είναι, άραγε, θέμα του ΙΤ;

Για να επιχειρήσουμε μια ικανοποιητική απάντηση στο συγκεκριμένο ερώτημα, πρέπει να στρέψουμε το βλέμμα μας στο πρόσφατο παρελθόν…

2. Η δημοσιοποίηση της απώλειας ή διαρροής πληροφοριών και οι συνέπειές της-Γενικά.

Η δημόσια εκδήλωση – αποκάλυψη μιας απώλειας ή διαρροής πληροφοριών πάσης φύσεως (είτε αυτά είναι προσωπικά δεδομένα πελατών είτε είναι επιχειρηματικά απόρρητα) ξεκινά με την δημόσια παραδοχή αυτής της διαρροής. Μια τέτοια δημόσια παραδοχή είναι δυνατό να γίνει είτε στο ευρύ κοινό είτε σε περιορισμένο κύκλο νομικών και φυσικών προσώπων, τα δεδομένα των οποίων έχουν απωλεσθεί ή διαρρεύσει από την κυβερνοεπίθεση.

Και στις δύο περιπτώσεις (:δημόσια ή περιορισμένη παραδοχή της κυβερνοεπίθεσης) οι νομικές συνέπειες είναι, πάντοτε σοβαρές. Οι μεν βλαπτόμενοι τρίτοι δικαιούνται να κινηθούν δικαστικά σε βάρος της επιχείρησης που δέχθηκε την κυβερνοεπίθεση οι δε αρμόδιες αρχές να επιβάλλουν τα πρόστιμα που προβλέπονται από το υφιστάμενο θεσμικό πλαίσιο. Το εύρος των αποζημιώσεων που θα επιδικαστούν και των προστίμων που θα επιβληθούν θα είναι, πάντοτε, ευθέως ανάλογο της έκτασης της διαρροής και της σοβαρότητας των δεδομένων που απωλέσθηκαν ή υποκλάπηκαν

Και στις δύο περιπτώσεις (στην πρώτη άμεσα, στη δεύτερη εν καιρώ) η αναπόφευκτη δημοσιοποίηση προσελκύει, επιπρόσθετα, το ενδιαφέρον των media και προκαλεί, αναπόφευκτα, σοβαρότατο πλήγμα στο κύρος και τη φήμη της επιχείρησης. Αυτή η δεύτερη συνέπεια της κυβερνοεπίθεσης είναι εξίσου σοβαρή (πολλές φορές σημαντικότερη) με τις νομικές συνέπειες που έχει η δημοσιοποίηση (αγωγές, διοικητικά πρόστιμα, ποινικές ευθύνες).

3. «Δεν έλαβε χώρα ενδελεχής διερεύνηση των αιτιών της διαρροής πληροφοριών»: Η περίπτωση της Yahoo

Σχετικά πρόσφατα (το 2016) η Yahoo αποκάλυψε δύο αυτοτελή περιστατικά υποκλοπής των δεδομένων της από hackers, οι οποίοι απέκτησαν πρόσβαση σε δεδομένα ενός δισεκατομμυρίου χρηστών (:το νούμερο προκαλεί, πράγματι,  ίλιγγο). Το πρώτο συνέβη το 2014 και κρατήθηκε, αρχικά, μυστικό. Όταν όμως το 2016 έγινε και δεύτερη παραβίαση, η εταιρεία αναγκάσθηκε να προβεί σε συνολική αποκάλυψη.

Το σοκ για τον επιχειρηματικό κόσμο των Ηνωμένων Πολιτειών ήταν τόσο μεγάλο που μια λεπτομέρεια πέρασε ίσως απαρατήρητη: Ο πρώτος που παραιτήθηκε ήταν ο Head IT της Yahoo (:αναμενόμενο) ο δεύτερος όμως ήταν ο επικεφαλής Νομικός Σύμβουλος. Γιατί όμως αυτή η δεύτερη παραίτηση;

Η Ειδική Επιτροπή που ορίσθηκε από το Διοικητικό Συμβούλιο της Yahoo για τη διερεύνηση των συνθηκών των διαρροών, τόσο αυτής του 2016 όσο κι εκείνης του 2014, έκρινε πως όλη η ομάδα των Νομικών Συμβούλων της Yahoo απέτυχε να διερευνήσει ενδελεχώς τα αίτια και τις συνθήκες των παραβιάσεων του 2014. Και τούτο παρά το ότι διέθετε και τα στοιχεία και τις προϋποθέσεις για να το επιτύχει. Η συγκεκριμένη λοιπόν αποτυχία από μέρους της ομάδας των Νομικών Συμβούλων είχε ως πρώτο αποτέλεσμα να μην ληφθεί οποιοδήποτε ουσιαστικό μέτρο και ως τελικό-δραματικό αυτή τη φορά (αποτέλεσμα) να καταστεί εφικτή η εκτεταμένη παραβίαση του 2016.

Ποιο ήταν το καθήκον λοιπόν που παρέλειψε ο Επικεφαλής Νομικός Σύμβουλος της Yahoo; Ποιο αντίστοιχο καθήκον βαρύνει τους Νομικούς Συμβούλους των επιχειρήσεων;

4. Οι αλλαγές που φέρνουν στο παγκόσμιο επιχειρηματικό περιβάλλον ο Κανονισμός ΕΕ GDPR και η Οδηγία NIS

Το 2016 η Ευρωπαϊκή Ένωση νομοθέτησε δύο σημαντικότατα νομοθετήματα : Τον Γενικό Κανονισμό Προστασίας Δεδομένων (General Data Protection Regulation 2016/679) και την Οδηγία για τα Μέτρα για Υψηλό Κοινό Επίπεδο Ασφαλείας Συστημάτων Δικτύου και Πληροφοριών σε ολόκληρη την Ένωση (Νetwork and Information Security Directive 2016/1148).

Τον πρώτο εξ αυτών (GDPR) αρκετοί, ήδη, γνωρίζουν. Την δεύτερη όμως οι περισσότεροι αγνοούν, παρά το γεγονός ότι και αυτή πρέπει υποχρεωτικά να ενσωματωθεί στην εσωτερική νομοθεσία των κρατών – μελών από τον Μάιο του 2018. Τα κράτη – μέλη υποχρεούνται μέχρι τον Νοέμβριο του 2018 να ταυτοποιήσουν τους φορείς και παρόχους εκμετάλλευσης βασικών υπηρεσιών (οι οποίοι έχουν πλέον αυξημένη ευθύνη τήρησης υψηλών μέτρων ασφαλείας).

Τα συγκεκριμένοι νομοθετήματα θα επηρεάσουν (ακριβέστερα: επηρεάζουν ήδη) άμεσα και καίρια, με τον ένα ή τον άλλο τρόπο, το σύνολο των επιχειρήσεων που διαχειρίζονται Προσωπικά Δεδομένα ευρωπαίων πολιτών. Τονίζεται ότι δεν αφορούν μόνο τις ευρωπαϊκές επιχειρήσεις αλλά και τις εκτός Ευρωπαϊκής Ένωσης οντότητες που διαχειρίζονται δεδομένα πολιτών της Ένωσης.

Στην Ευρώπη (όπως νωρίτερα στην Βόρεια Αμερική) κάτι σημαντικό αλλάζει σε σχέση με την εκτίμηση των κινδύνων που εγκυμονεί η ηλεκτρονική διαχείριση δεδομένων. Η στάση των νομοθετικών οργάνων και ελεγκτικών αρχών φαίνεται πως σκληραίνει απότομα και σημαντικά. Με τα παραπάνω νομοθετήματα η Ευρωπαϊκή Ένωση γίνεται η αιχμή του δόρατος σχετικά με την απόδοση επιχειρηματικής ευθύνης όσον αφορά την παράλειψη προστασίας και ασφαλούς διαχείρισης των πληροφοριών που, με τον ένα ή τον άλλο τρόπο, διαχειρίζονται οι επιχειρήσεις.

Και τα δύο νομοθετήματα, πέρα από όλες τις άλλες συνέπειες τους και τις πολλαπλές παραμέτρους κανονιστικής συμμόρφωσης που δημιουργούν, επισωρεύουν και πρόσθετες δυσμενείς συνέπειες σε περίπτωση κυβερνοεπίθεσης που ως αποτέλεσμά της μπορεί να έχει τη διαρροή δεδομένων.

5. Ο ρόλος του Νομικού Συμβούλου της επιχείρησης

Μέσα σε αυτό το περιβάλλον των ραγδαίων (μα και ταυτόχρονα σημαντικών) αλλαγών επιχειρηματικών συμπεριφορών και πρακτικών που επιφέρουν οι σύγχρονες νομοθετικές τάσεις, ο ρόλος του Νομικού Συμβούλου μιας επιχείρησης αποδεικνύεται εκτεταμένος και, συνάμα, καίριος .

Ο Νομικός Σύμβουλος μιας επιχείρησης οφείλει, ως επικεφαλής της οικείας ομάδας, να σχεδιάσει, επιβλέψει και δοκιμάσει εκ των προτέρων ένα Σχέδιο Αντίδρασης (Incident Response Plan) για την περίπτωση κυβερνοεπίθεσης.

Φαντάζει ίσως περίεργο ότι ένας νομικός είναι επικεφαλής μιας τέτοιας προσπάθειας και όχι ο IT Manager. Κι όμως, μόνο με αυτόν τον τρόπο μπορεί να υπάρξει αποτελεσματική προστασία των συμφερόντων της επιχείρησης έναντι των συνεπειών που θα έχει μια ενδεχόμενη απώλεια ή διαρροή δεδομένων.

Στο τεχνικό σκέλος είναι προφανής (όσο και αυτονόητη) η συνδρομή των ειδικών εκείνων που θα εντοπίσουν το είδος της εισβολής, την αδυναμία που έτυχε εκμετάλλευσης, την ταυτοποίηση του όγκου των δεδομένων που διέρρευσαν κλπ. Κύριο μέλημα όμως του Νομικού Συμβούλου θα είναι η όχι μόνον η γνωστοποίηση στη διοίκηση και τα αρμόδια στελέχη της επιχείρησης αλλά και η μέριμνα για την πιστή εφαρμογή όσων προβλέπονται από την νομοθεσία και τις βέλτιστες πρακτικές (best practices), η άμβλυνση των συνεπειών από τυχόν παραβίαση και, ιδίως, η εναρμόνιση του συνόλου των τμημάτων της επιχείρησης στην τήρηση του Σχεδίου Αντίδρασης.

Ο Νομικός σας Σύμβουλος (οφείλει να) γνωρίζει ποιες είναι οι πρόνοιες εκείνες (πριν την κυβερνοεπίθεση) αλλά και οι απαιτούμενες ενέργειες (μετά την κυβερνοεπίθεση και τη διαρροή δεδομένων) ώστε:

• Να καθίσταται σαφές στις αρμόδιες ελεγκτικές και δικαστικές Αρχές πως η επιχείρηση έκανε ό,τι καλύτερο ήταν δυνατό τόσο προληπτικά (πριν από την κυβερνοεπίθεση) όσο και μετά την διαρροή των δεδομένων.
• Να εντοπισθούν κατά τρόπο σαφή και ευεξήγητο (σε μη ειδικούς) τα αίτια της διαρροής, τα πρόσωπα που τυχόν ευθύνονται, η ύπαρξη δόλου ή αμέλειας που συνετέλεσαν στην διαρροή των πληροφοριών.
• Η δημιουργία βέλτιστων συνθηκών και αποδεικτικού υλικού για την επιδίωξη της τιμωρίας των αυτουργών ή/και υπευθύνων της επίθεσης ενώπιον των αρμοδίων αρχών και οργάνων.
• Η επικοινωνιακή διαχείριση των συνεπειών της αποκάλυψης της απώλειας/διαρροής δεδομένων εξαιτίας της κυβερνοεπίθεσης.

Ο Νομικός Σύμβουλος της επιχείρησης θα εντοπίσει τους συγκεκριμένους κινδύνους για κάθε επιχείρηση-πελάτη του ανάλογα με τη δραστηριότητα που ασκεί και την έκθεση της στην διαχείριση δεδομένων (:gap analysis). Σε συνεργασία με το ΙΤ της επιχείρησης θα μελετήσει ο Νομικός Σύμβουλος τα πιθανά σενάρια κυβερνοεπίθεσης και θα καταρτίσει ένα Σχέδιο Αντίδρασης, το οποίο θα είναι απλό και κατανοητό για όλα τα στελέχη και τμήματα της επιχείρησης όσο και, ιδίως, για έναν δικαστή που ενδεχομένως επιληφθεί μεταγενεστέρως.

Για να γίνει απόλυτα κατανοητό αυτό ας προστρέξουμε σε ένα απλό παράδειγμα: Ο δικηγόρος που υπερασπίζεται έναν πελάτη του για ιατρική αμέλεια δεν χρειάζεται να είναι νευροχειρουργός. Αρκεί να έχει προετοιμασθεί ώστε να αντιλαμβάνεται την φιλοσοφία και ακολουθία του πρωτοκόλλου που όφειλε να ακολουθήσει ο πελάτης του για να ανταποκριθεί στο επίδικο περιστατικό. Ο Νομικός Σύμβουλος της επιχείρησης, αφού κατανοήσει, με την πολύτιμη βοήθεια του IT, τα τεχνικά ζητήματα, θα «μεταφράσει» με τρόπο κατανοητό τις απαραίτητες ενέργειες και διαδικασίες, ώστε αυτές να είναι απλές και κατανοητές τόσο από τη Διοίκηση της επιχείρησης και τους εργαζόμενους όσο και από τρίτους (ελεγκτικές αρχές, δικαιοσύνη).

Είναι μάλιστα χαρακτηριστικό ότι ήδη στις ΗΠΑ και στη Μεγάλη Βρετανία, οι μεγάλες δικηγορικές εταιρείες έχουν αναπτύξει δικά τους τμήματα Κυβερνοασφάλειας, ώστε να παρέχουν το σύνολο των υπηρεσιών που απαιτούνται (legal και IT).

6. To ζήτημα της Κυβερνοασφάλειας και η ένταξή του στα κανονιστικά έγγραφα της επιχείρησης

To ζήτημα της Κυβερνοασφάλειας, με πρωτοβουλία του Νομικού Συμβούλου πρέπει να ενταχθεί στα κανονιστικά έγγραφα της επιχείρησης (Κανονισμός Εργασίας, Εσωτερικός Κανονισμός Λειτουργίας, Εγκεκριμένες Οδηγίες (Policies) για την διαχείριση δεδομένων ή/και Η/Υ κλπ).

Ενδεικτικά και μόνον να σημειωθεί πως ένα Σχέδιο Αντίδρασης σε Κυβερνοεπίθεση πρέπει να περιλαμβάνει (ενδεικτικά-μεταξύ πολλών άλλων):

• Ποιοι είναι οι επικεφαλής των ομάδων ενέργειας, πότε και πως ειδοποιούνται
• Ποιος αποφασίζει και εντός ποιου χρονικού διαστήματος για την (ενδεχόμενη) ολοσχερή διακοπή (total shut down) λειτουργίας των δικτύων της εταιρείας ή την απόπειρα συνέχισης λειτουργίας ώστε να εντοπισθεί η προέλευση της κυβερνοεπίθεσης
• Ποιος είναι ο εξωτερικός συνεργάτης που (ενδεχομένως) πρέπει να επιληφθεί της παρακολούθησης των συστημάτων.
• Ποιές και τί είδους είναι οι έγγραφες ειδοποιήσεις και αναφορές που θα αποτελέσουν την αρχή απόδειξης του χρόνου συνειδητοποίησης της κυβερνοεπίθεσης και των ενεργειών που έλαβαν χώρα
• Ποιος είναι υπεύθυνος επικοινωνίας και PR που (ενδεχομένως) πρέπει να διαχειρισθεί το επικοινωνιακό κομμάτι της αποκάλυψης

7. Μήπως ΚΑΙ για την ασφάλιση αστικής ευθύνης θα πρέπει να μεριμνήσει ο Νομικός Σύμβουλος;

Στο ίδιο πλαίσιο, ο Νομικός Σύμβουλος της επιχείρησης θα εντοπίσει με ακρίβεια τις πιθανότερες πηγές κινδύνου και θα έχει τη δυνατότητα να επιλέξει  την σωστή ασφάλιση αστικής ευθύνης έναντι κυβερνοεπίθεσης. Και τούτο σε αντίστιξη με τη συνήθη επιχειρηματική τακτική που το μεν επιλέγεται η φθηνότερη προσφορά το δε υπογράφεται το πρώτο κείμενο/σχέδιο ασφαλιστικής σύμβασης που θα σταλεί από την επιλεγείσα ασφαλιστική εταιρεία (το οποίο ενδεχομένως αφενός μεν να καλύπτει και απολύτως περιττούς κινδύνους αφετέρου δε να μην καλύπτει τα απολύτως αναγκαία).

8. Η σύνδεση της αξιοπιστίας της επιχείρησης με την προστασία της

Όλες οι παραπάνω ενέργειες του Νομικού Συμβούλου (:ύπαρξη σαφών κανονιστικών εγγράφων, policies, Σχεδίου Αντίδρασης, Ασφαλιστικής Κάλυψης κλπ) κυρίως όμως η ευθυγράμμιση της επιχείρησης και των στελεχών της με όσα προβλέπουν, δεν μπορούν παρά να έχουν ως συνέπεια την επαύξηση της εμπιστοσύνης των πελατών και συνεργατών της προς την ίδια

Δεδομένου μάλιστα ότι όλοι επιθυμούμε να συνεργαζόμαστε με αξιόπιστους εταίρους, τα (περιφερειακά) οφέλη της επιχείρησης είναι περισσότερο από προφανή: οι πελάτες βλέπουν ότι έχουν να κάνουν με έναν σοβαρό business partner και όχι με ένα «μαγαζάκι».

9. Η δημιουργία συνθηκών αποτροπής μιας «εσωτερικής» κυβερνοεπίθεσης

Τα τελευταία χρόνια βρισκόμαστε, δυστυχώς, μπροστά σε φαινόμενα παραβίασης επιχειρηματικών απορρήτων επιχειρήσεων από (δυσαρεστημένα ή μη, παραμένοντα ή υπό αποχώρηση) στελέχη τους στο πλαίσιο ενός μακροπρόθεσμου ή ευκαιριακού σχεδιασμού τους. Τη νομολογία μας έχουν απασχολήσει κάποιες μεμονωμένες, μέχρι σήμερα, περιπτώσεις στελεχών τα οποία είτε ήθελαν (απλώς) τη βλάβη της εργοδότριας επιχείρησης είτε τον προσωπικό τους πλουτισμό είτε την μετακίνησή τους σε ανταγωνιστή-συνοδεία της προίκας των επιχειρηματικών απορρήτων του προηγούμενου εργοδότη τους.

Η προστασία της επιχείρησης από τα (κακόβουλα) στελέχη της μολονότι δεν είναι αυτόματη ή αυτονόητη είναι, εντούτοις, σε πολύ σημαντικό βαθμό εφικτή με σημαντικά ερείσματα στο υφιστάμενο θεσμικό πλαίσιο αλλά και στο Σύνταγμα (http://koumentakislaw.gr/epixeirhseis-kai-empisteftikothta/)

Τι συμβαίνει λοιπόν όταν η κυβερνοεπίθεση προέρχεται «εκ των έσω» όταν δηλ. δράστης είναι στέλεχος της επιχείρησης; Υπάρχει δυνατότητα προστασίας και αποτροπής; Υπάρχει δυνατότητα (στην περίπτωση του απευκταίου) διάγνωσης της προέλευσης και ταυτοποίησης των δραστών με σκοπό τον (εσωτερικό) παραδειγματισμό και (μελλοντική) αποτροπή;

Ο Νομικός Σύμβουλος είναι εκείνος που οφείλει να δημιουργήσει το πλαίσιο και υπόβαθρο των επιχειρηματικών απορρήτων. Ακριβώς στο ίδιο αυτό πλαίσιο (αυτονοήτως σε στενή συνεργασία με το τμήμα ΙΤ) οφείλει να δημιουργήσει συνθήκες αποτροπής μιας «εσωτερικής κυβερνοεπίθεσης», η οποία θα ήταν δυνατό να πλήξει καίρια τα συμφέροντα της επιχείρησης που εκπροσωπεί. Εκείνος είναι που πρώτος οφείλει να «κρούσει» τον κώδωνα του κινδύνου αλλά κι εκείνος που θα πρέπει να  προτρέψει την επιχείρηση στη θέσπιση κατάλληλων πολιτικών και διαδικασιών για την ασφαλή χρήση των δικτύων της εταιρείας, τις ηλεκτρονικές επικοινωνίες, τον έλεγχο της πρόσβασης στα συστήματα και αρχεία της εταιρείας από τα στελέχη της.

10. Αντί Επιλόγου

Οι εκάστοτε διαθέσιμοι πόροι είναι, πάντοτε, περιορισμένοι. Η ανάγκη για την ορθολογική διαχείρισή τους περισσότερο από προφανής και σε ό,τι συναρτάται με τη μέγιστη δυνατή  προστασία από το Cyber Risk.

Εάν δεν γίνει έγκαιρη και ενδελεχής αναγνώριση των αναγκών και πιθανών κινδύνων για την συγκεκριμένη επιχείρηση, το πιθανότερο είναι ότι οι πόροι της επιχείρησης θα «ξοδευτούν» με τρόπο που δεν θα είναι ο βέλτιστος.

Ο νομικός σας σύμβουλος μπορεί να σας οδηγήσει σε ορθολογικότερη και αποτελεσματικότερη χρησιμοποίηση των διαθέσιμων πόρων και να αναλάβει την ευθύνη συντονισμού όλων των εμπλεκομένων.

Μα κι αν δεν επιλέξετε να του αναθέσετε τα συγκεκριμένα project, αναζητείστε τουλάχιστον τη συνδρομή του. Να είσθε βέβαιοι ότι το αποτέλεσμα θα είναι απείρως καλύτερο.

Λάμπρος Τιμοθέου
Partner

1. Η σημασία της διασφάλισης της εμπιστευτικότητας

Κάθε επιχείρηση αντιμετωπίζει σωρεία προκλήσεων για να καταστεί και παραμείνει υγιής αλλά και για να διατηρήσει τα υψηλά standards τα οποία έχει ενδεχομένως επιτύχει, όσον αφορά τη λειτουργία, την αποτελεσματικότητα και την κερδοφορία της. Η διατήρηση (και, πολύ περισσότερο, η επαύξηση) του μεριδίου της αγοράς της στις γεωγραφικές περιοχές της δραστηριοποίησής της προϋποθέτει υπερπήδηση, καθημερινά, σειράς εμποδίων.

Η επίτευξη και διατήρηση της υγιούς επιχειρηματικότητας είναι πάντοτε όχι μόνον ένα ζητούμενο αλλά και μια καθημερινή πρόκληση. Μια από τις προϋποθέσεις της μάλιστα συναρτάται με την διασφάλιση πως εκείνες οι πληροφορίες που η επιχείρηση προσδιορίζει ως εμπιστευτικές θα διατηρηθούν ως τέτοιες και, μεταξύ άλλων, δεν θα διαχυθούν στον ανταγωνισμό.

Σε κάποιες, ειδικές, περιπτώσεις η υποχρέωση διαφύλαξης της εμπιστευτικότητας των πληροφοριών τις οποίες διακινεί η επιχείρηση επιβάλλεται από το θεσμικό πλαίσιο (ιδ. κατωτέρω σχετικά με τα προσωπικά δεδομένα). Στις περιπτώσεις αυτές οι συνέπειες δεν αναφέρονται στην ομαλή λειτουργία και ανάπτυξη της επιχείρησης. Οι συνέπειες μπορεί να αναφέρονται σε απροσδιόριστα υψηλά πρόστιμα και ποινικές κυρώσεις!

2. Πρόσωπα που καταλαμβάνει η υποχρέωση εμπιστευτικότητας

Η υποχρέωση διαφύλαξης της εμπιστευτικότητας είναι μια υποχρέωση που καταλαμβάνει όλους. Ανεξαιρέτως!

Όπως δεν εξαιρείται ο εργάτης ή ο κλητήρας μιας επιχείρησης έτσι (αυτονοήτως) δεν εξαιρούνται τα στελέχη, το ανώτερο management, ο Διευθύνων Σύμβουλος ή ακόμα και ο βασικός μέτοχος. Είναι σημαντικό, όμως, να τονισθεί πως η συγκεκριμένη υποχρέωση καταλαμβάνει και οποιονδήποτε τρίτο που γίνεται κοινωνός εμπιστευτικών πληροφοριών, λ.χ. ένας στενός συνεργάτης ή σύμβουλος μιας επιχείρησης.

3. Μορφή και τρόπος γνώσης των προστατευόμενων πληροφοριών

Δεν έχει οποιαδήποτε σημασία για την προστασία τους η μορφή των πληροφοριών: Μπορεί να πρόκειται για έγγραφα, για ηλεκτρονικά αρχεία ακόμα και για προφορική πληροφόρηση που διαχέεται σε συγκεκριμένο αριθμό προσώπων και αφορά συγκεκριμένη επιχείρηση ή όμιλο επιχειρήσεων.

Δεν έχει όμως οποιαδήποτε σημασία και ο τρόπος περιέλευσης σε γνώση των πληροφοριών τις οποίες καταλαμβάνει η υποχρέωση εμπιστευτικότητας. Μπορεί να πρόκειται για πληροφορίες των οποίων (λ.χ.) ένα στέλεχος καθίσταται κοινωνός κατά την ενάσκηση των καθηκόντων του στον χώρο εργασίας του ή ακόμα και εκτός αυτού (λ.χ. στις εγκαταστάσεις πελατών της επιχείρησης). Μπορεί ακόμα να πρόκειται για πληροφορίες που αφορούν θέματα που χειρίζεται ο υπόχρεος, συνάδελφοί του, συνεργάτες ή σύμβουλοι της επιχείρησης. Μπορεί, τέλος, να πρόκειται για θέματα που αφορούν ακόμα και πελάτες της τελευταίας.

4. Προστατευόμενες πληροφορίες

Οι πληροφορίες που καταλαμβάνονται από την υποχρέωση εμπιστευτικότητας μπορεί να αναφέρονται στο εμπορικό know-how (εμπορικής φύσεως πληροφορίες: λ.χ. κατάλογοι πελατών και προμηθευτών, κοστολόγια και υπολογισμοί τιμών, στρατηγικές πωλήσεων, μέθοδοι marketing κ.ο.κ.) ή/και στο τεχνικό know-how (τεχνογνωσία-πληροφορίες τεχνικής φύσεως). Μπορεί να αφορούν μεθοδολογία, διαδικασίες, σχεδιασμό, στοιχεία, εξέλιξη και αποτελέσματα οποιασδήποτε επιχειρηματικής δραστηριότητας, διαδικασίας, έρευνας, παραγωγή προϊόντος ή παροχή υπηρεσίας, Μπορεί να αφορούν διαδικασίες, πολιτικές, έγγραφα εποπτικών αρχών που συνδέονται με την επιχείρηση. Μπορεί, εν τέλει, να αφορούν οτιδήποτε σημαντικό για την επιχείρηση.

5. Ειδικά για τα προσωπικά (απλά και ευαίσθητα) δεδομένα

Κάποιες όμως από τις προστατευόμενες πληροφορίες είναι μάλιστα δυνατό να συνδέονται με προσωπικά δεδομένα-απλά και ευαίσθητα. Το ενδεχόμενο αυτό δημιουργεί επιπρόσθετες υποχρεώσεις για τις επιχειρήσεις όπως προβλέπεται τόσο με βάση το υφιστάμενο θεσμικό πλαίσιο (Οδηγία ΕΕ/1995/46 που ενσωματώθηκε με τον ν. 2472/1997) όσο και μ’ εκείνο του νέου Κανονισμού (ΕΕ/2016/679) ο οποίος θα τεθεί σε εφαρμογή από 25.5.2018 και εντεύθεν-ανεξάρτητα από την ψήφιση ή μη (του αναμενόμενου) εφαρμοστικού νόμου.

Το σημαντικό όμως δεν είναι μόνον οι επιπρόσθετες υποχρεώσεις των επιχειρήσεων που δημιουργούνται από υφιστάμενο και νέο θεσμικό πλαίσιο όσον αφορά τα απλά και ευαίσθητα δεδομένα αλλά και, ιδίως, οι επαπειλούμενες κυρώσεις σε περίπτωση μη συμμόρφωσης ή/και παραβίασης (περί όλων αυτών όμως ιδ. στη σχετική δημοσίευση “Προστασία Προσωπικών δεδομένων και Επιχειρήσεις“)

6. Οι υποχρεώσεις των στελεχών και των συνεργατών

Στις συμβάσεις που συνδέουν τους κάθε λογής εργαζόμενους κι εξωτερικούς συνεργάτες με μια επιχείρηση (πρέπει να) εμπεριέχονται ρυθμίσεις τέτοιες που να περιορίζουν τη χρήση των πληροφοριών των οποίων γίνονται κοινωνοί κατά τη διάρκεια και στο πλαίσιο της συνεργασίας τους και μόνον. Κι ακόμα περισσότερο: (οφείλουν να) ρυθμίζουν τις υποχρεώσεις των εργαζομένων και συνεργατών κατά το χρονικό διάστημα μετά τη λήξη της συνεργασίας τους (λ.χ. επιστροφή εντύπων, εγγράφων, σημειώσεων, διαγραφή ή επιστροφή ηλεκτρονικών αρχείων) καθώς και τις κυρώσεις από την παραβίαση των σχετικών (συμβατικών και μετασυμβατικών) υποχρεώσεών τους (συνήθως υψηλές ποινικές ρήτρες-πέραν των γενικής φύσεως αξιώσεων αποζημίωσης).

 

7. Ειδικά η ΑΠ 1/2017

Απόφαση-σταθμός για το συγκεκριμένο θέμα υπήρξε η συγκεκριμένη απόφαση.

Mε αυτήν έγινε δεκτό πως συνταγματικά κατοχυρωμένα δικαιώματα (μεταξύ άλλων και των εργαζομένων) όπως αυτά του απορρήτου των επιστολών και της επικοινωνίας (19Σ), του απαραβίαστου της ιδιωτικής και οικογενειακής ζωής (9Σ) και της προστασίας των προσωπικών δεδομένων (9Α Σ) είναι δυνατόν να περιοριστούν με βάση την επίσης συνταγματικά κατοχυρωμένη αρχή της αναλογικότητας (25Σ).

Στο πλαίσιο, λοιπόν, της εκδίκασης της συγκεκριμένης απόφασης κρίθηκε πως το δικαίωμα της έννομης προστασίας (20 παρ. 1 Σ) και της επιχειρηματικής ελευθερίας (5 & 106 παρ. 2. Σ) ενός εργοδότη/μιας επιχείρησης είναι δυνατό να υπερισχύσουν των προαναφερθέντων δικαιωμάτων των εργαζομένων.

Τι σήμαινε όμως πρακτικά ο περιορισμός συνταγματικά κατοχυρωμένων δικαιωμάτων των εργαζομένων στην συγκεκριμένη και αντίστοιχες υποθέσεις;

Αναγνωρίστηκε το δικαίωμα του Εργοδότη (του οποίου τα προαναφερθέντα-αντίστοιχα συνταγματικά κατοχυρωμένα δικαιώματα θεωρήθηκε ότι, στην συγκεκριμένη περίπτωση και υπό τις συγκεκριμένες συνθήκες, υπερτερούσαν):

• Να παρακολουθεί την ηλεκτρονική (επαγγελματική και προσωπική) αλληλογραφία των εργαζομένων του όπως αυτή αποτυπώνεται στους υπολογιστές και λοιπά μέσα της επιχείρησής του
• Να ανασύρει τη διαγραφείσα αλληλογραφία από τους εν λόγω υπολογιστές ιδιοκτησίας του
• Να καταγράφει τα στοιχεία που αντλούνται από τους υπολογιστές της επιχείρησής του και, ιδίως,
• Να ασκεί νόμιμα δικαιώματά του με βάση στοιχεία που εμπεριέχονται σε επαγγελματική ή προσωπική αλληλογραφία των εργαζομένων του η οποία έλαβε χώρα μέσα από υπολογιστές της επιχείρησης ακόμα και αν αυτά είχαν εντωμεταξύ διαγραφεί.

Δεν απομένει οποιαδήποτε αμφιβολία πως η συγκεκριμένη απόφαση είναι εξαιρετικά σημαντική: Η Επιχείρηση δεν παραμένει (νομικά) απροστάτευτη έναντι κακοπροαίρετων εργαζομένων οι οποίοι, υπό το πρόσχημα συνταγματικώς κατοχυρωμένων δικαιωμάτων τους επιχειρούν να την βλάψουν προσδοκώντας σε ίδιον όφελος.

8. Πότε υποχωρεί η υποχρέωση εμπιστευτικότητας;

Η υποχρέωση εμπιστευτικότητας υποχωρεί:

• όταν οι πληροφορίες στις οποίες αναφέρεται είναι δημόσια (και εκ των προτέρων) γνωστές
• όταν υπάρχει υποχρέωση αποκάλυψης των συγκεκριμένων πληροφοριών από το υφιστάμενο θεσμικό πλαίσιο ή επιβάλλεται από αρμόδια αρχή ή το αρμόδιο δικαστήριο.

9. Ρυθμίσεις σχετικά με την εμπιστευτικότητα στο επίπεδο της επιχείρησης

Σε επίπεδο επιχείρησης οι διατάξεις που αφορούν την εμπιστευτικότητα εμπεριέχονται κατά κανόνα (ή πρέπει να εμπεριέχονται):

• στις συμβάσεις εργασίας, ανεξαρτήτων υπηρεσιών, έργου κ.λ.π. της επιχείρησης
• στον Κανονισμό Εργασίας της επιχείρησης (όταν υφίσταται)
• στον Code of Ethics (ή, κατ’ άλλους, Code of Conduct)-Κώδικα Ηθικής και Δεοντολογίας της επιχείρησης
• στα NDA’s (ή συμβάσεις εμπιστευτικότητας) τόσο της επιχείρησης όσο και των πελατών της (στο μέτρο που οι τελευταίες καλύπτουν και την ίδια την επιχείρηση και, αυτονοήτως, τους εργαζόμενούς της)

10. Ρυθμίσεις σχετικά με την εμπιστευτικότητα στο επίπεδο της νομοθεσίας-γενικά

Στις περιπτώσεις που (αντίθετα από όσα έχουν συμφωνηθεί ή όσα ο νόμος επιτάσσει) εκείνος που παραβιάζει την υποχρέωση εμπιστευτικότητας προξενεί ζημία, ο υπαίτιος υποχρεούται να την αποκαταστήσει στο σύνολό της (θετική και αποθετική-αρθρ. 914 ΑΚ, ηθική βλάβη-932ΑΚ)

Ανεξάρτητα όμως από τις αστικές αξιώσεις που διατηρεί εκείνος που ζημιώθηκε σε βάρος του υπαίτιου υπάρχει σωρεία ποινικών διατάξεων που αναφέρονται στον ποινικό κολασμό του παραβάτη [ενδ.: 370 ΠΚ (παραβίαση απορρήτου επιστολών), 370Α ΠΚ (παραβίαση απορρήτου τηλεφωνικής συνομιλίας και της προφορικής συνομιλίας), 370Γ ΠΚ (παράνομη πρόσβαση σε πληροφοριακό σύστημα) και οι συναφείς 370Β ΠΚ, 370Δ ΠΚ, 370Ε ΠΚ]

Υπάρχουν βέβαια και οι διατάξεις που αναφέρονται σε ειδικά θέματα που δημιουργούνται από την παραβίαση της εμπιστευτικότητας, όπως (ενδεικτικά):

11.Ειδικότερες ρυθμίσεις:

(α) Όσον αφορά παραβίαση των προσωπικών δεδομένων

Κάθε φορά που η παραβίαση της υποχρέωσης εμπιστευτικότητας συνδέεται με παραβίαση προσωπικών δεδομένων συντρέχουν διοικητικές, ποινικές και αστικές κυρώσεις που άμεσα ή έμμεσα βαρύνουν (και) τον παραβάτη.

Με βάση το υφιστάμενο θεσμικό πλαίσιο (ν. 2472/1997) που ισχύει μέχρι τις 25.5.2018-οπότε και τίθεται σε εφαρμογή ο Κανονισμός 2016/679- http://koumentakislaw.gr/prostasia-prosopikon-dedomenon-kai-epixeirhseis/ σε περίπτωση παραβίασης προσωπικών δεδομένων προβλέπονται συγκεκριμένες διοικητικές κυρώσεις (αρθρ. 21), ποινικές κυρώσεις (αρθρ. 22) αλλά και αστική ευθύνη του παραβάτη (αρθρ. 23).

Στον Κανονισμό βέβαια 2016/679 προβλέπονται αντίστοιχα πολύ σοβαρές διοικητικές κυρώσεις (αρθρ. 83και αστική ευθύνη εκείνου που παραβιάζει προσωπικά δεδομένα (αρ. 82). Αναμένεται από τον εφαρμοστικό νόμο που τελεί ήδη υπό επεξεργασία να εξειδικεύσει περαιτέρω τις εν λόγω κυρώσεις ή επιβάλλει και επιπρόσθετες (λ.χ. ποινικές) για τους παραβάτες (αρ. 84).

(β) Όσον αφορά τον αθέμιτο ανταγωνισμό

Στις περιπτώσεις που μέσω της παραβίασης της εμπιστευτικότητας έχουμε παραβίαση των διατάξεων του αθέμιτου ανταγωνισμού (ν. 146/1914) προβλέπονται τόσο ποινικές κυρώσεις (αρθρ. 16 & 17) όσο αστικές (αρθρ. 18) κυρώσεις.

(γ) Όσον αφορά Κώδικες Δεοντολογίας

Δεν είναι ασύνηθες την λειτουργία επιμέρους επιχειρηματικών κλάδων να διέπουν Κώδικες Δεοντολογίας. Στους Κώδικες αυτούς συχνά συναντούμε διάφορες διατάξεις που αφορούν την υποχρέωση διασφάλισης εμπιστευτικών δεδομένων και κυρωτικές διατάξεις για το ενδεχόμενο της παραβίασής τους. (Ενδ.: Κώδικας Ελληνικής Φαρμακευτικής Δεοντολογίας-διατάξεις των αρθρ. 26-κεφ. Α και 4 του κεφ. Γ)

12. Κυρώσεις από την παραβίαση της εμπιστευτικότητας: Νομικής, επιχειρηματικής φύσεως και όχι μόνον…

Γενικά θα μπορούσε να πει κανείς, λαμβάνοντας υπόψη του τα ανωτέρω δεδομένα, πως η υποχρέωση διαφύλαξης της εμπιστευτικότητας βρίσκει άμεσα ή έμμεσα ερείσματα σε όλο, σχεδόν, το φάσμα του δικαίου (λ.χ. αστικό, ποινικό, διοικητικό). Ειδικότερες διατάξεις του υφισταμένου θεσμικού πλαισίου όσο και των εκάστοτε δημιουργούμενων συμβατικών σχέσεων εξειδικεύουν τόσο την εν λόγω υποχρέωση όσο και τις πολυποίκιλες συνέπειες από την παραβίασή της.

Οι προβλεπόμενες κυρώσεις αφορούν τους παραβάτες-φυσικά πρόσωπα αλλά και, κάποιες φορές, τις αμέσως ή εμμέσως εμπλεκόμενες επιχειρήσεις: Αυτές που δεν έπραξαν τα δέοντα για να προφυλάξουν τους θιγόμενους κι εκείνες που ώθησαν τους παραβάτες στις έκνομες ενέργειές τους.

Οι κυρώσεις όμως δεν είναι μόνον νομικές:

Όσον αφορά τα φυσικά πρόσωπα-παραβάτες της εν λόγω υποχρέωσης συνοδεύονται και από την αντίστοιχη προσωπική και επαγγελματική απαξία.

Όσον αφορά όμως τις επιχειρήσεις στις οποίες οι παραβάτες απασχολούνταν οι συνέπειες είναι, ενίοτε, δυσβάστακτες: Πόση ζωή μπορεί, άραγε, να έχει μια επιχείρηση όταν δει στοιχεία, προσωπικά δεδομένα (ή, ακόμα, χειρότερα ευαίσθητα προσωπικά δεδομένα) πελατών της να διακινούνται στο διαδίκτυο; Πόση ζωή μπορεί να έχει μια επιχείρηση που κρίσιμα επιχειρηματικά μυστικά της (είτε αφορούν συνταγές είτε πελατολόγιο είτε μεθόδους παραγωγής ή marketing είτε ό,τι άλλο) διαχέονται στον ανταγωνιστές της;

13. Αναγκαιότητα τήρησης και συνέπειες από τη μη εφαρμογή της εμπιστευτικότητας-ο ρόλος του Νομικού Συμβούλου

Η αποθήκευση και διάχυση της πληροφορίας (και σε επίπεδο επιχείρησης) αποτελεί στοιχείο της καθημερινότητας-τέτοιο που μοιάζει να μην διαφοροποιείται από ζωτικές, ανθρώπινες, λειτουργίες.

Η διαφύλαξη της ακεραιότητας και εμπιστευτικότητας των πληροφοριών, ανεξάρτητα από την αποφυγή των εκάστοτε επαπειλούμενων κυρώσεων, διασφαλίζει την ύπαρξη υψηλών επαγγελματικών προτύπων (ιδίως) για τις επιχειρήσεις τις οποίες αφορά. Το γεγονός αυτό, κατ’ αναπόδραστη συνέπεια, αντανακλάται στην ύπαρξη και ανάπτυξή της, στις σχέσεις με τους πελάτες και προμηθευτές της. Αντανακλάται στους μετόχους, εργαζόμενους, συνεργάτες και οικογένειές τους.

Δεν χωρεί οποιαδήποτε αμφιβολία πως η διασφάλιση της εμπιστευτικότητας αποτελεί υποχρέωση όλων όσων αμέσως ή εμμέσως εμπλεκόμαστε στη λειτουργία της επιχείρησης. Η ευθύνη όμως του νομικού συμβούλου είναι λίγο περισσότερο ιδιαίτερη καθώς φέρει το βάρος : (α) της ενημέρωσης των εμπλεκομένων, (β) της δημιουργίας ενός, συναφούς, αποτρεπτικού για την παραβίασή της πλέγματος συμβατικών και λοιπών ρυθμίσεων και (γ) της διαχείρισης των κρίσιμων καταστάσεων που δημιουργούνται στην περίπτωση της παραβίασης των πάσης φύσεως εμπιστευτικών πληροφοριών.

Δεν είναι εξάλλου ήσσονος σημασίας και η εμπλοκή του Νομικού σας Συμβούλου στα θέματα Κινδύνων Κυβερνοχώρου (Cyber Risk), για τα οποία έχει ήδη προβλέψει η Οδηγία 2016/1148 που αφορά τα Μέτρα για Υψηλό Κοινό Επίπεδο Ασφαλείας Συστημάτων Δικτύου και Πληροφοριών σε ολόκληρη την Ένωση (Network and Information Security Directive 2016/1148-η γνωστή και ως NIS)-περί αυτών όμως θα ακολουθήσει εξειδικευμένη εξέταση και αποτύπωσή του στο ίδιο site.

14. Η πρόκληση (αντί επιλόγου)

Σε κάθε περίπτωση, είναι περισσότερο από προφανές πως η διασφάλιση της εμπιστευτικότητας αποτελεί μία από τις προκλήσεις της σύγχρονης επιχείρησης. Εναπόκειται σ’ εμάς, τους αμέσως και εμμέσως εμπλεκόμενους (ιδίως στους εξ ημών Νομικούς Συμβούλους), να συνδράμουμε και ανταποκριθούμε θετικά στη συγκεκριμένη πρόκληση βάζοντας το δικό μας λιθαράκι στην από όλους ευκταία διασφάλιση και ανάπτυξη της υγιούς επιχειρηματικότητας.

Σταύρος Κουμεντάκης
Senior Partner