זכויותיהם של קורבנות מתקפות סייבר: חובות הודעה, פיצויים וביטוח

מאת טום מוויס, עורך דין ב Law & More

מתקפות סייבר כגון תוכנות כופר, פישינג, מתקפות DDoS ופריצה למחשב לעיתים רחוקות משפיעות רק על הארגון המותקף. קורבנות מתקפות סייבר כוללים גם לקוחות, עובדים, מטופלים, ספקים ושותפים אחרים בשרשרת האספקה ​​​​שעשויים לסבול הפסד, ומצבם המשפטי משתנה מקבוצה לקבוצה. לכן, כל מי שמבקש לקבוע, לאחר מתקפה, אילו חובות חלות ואילו תביעות קיימות, מומלץ לקבוע תחילה מי בדיוק נפגע ואיזה נזק נגרם.

מאמר זה דן בתורו במי נחשב לקורבן, מתי יש להודיע ​​על הפרת נתונים, באילו תנאים קיימת זכות לפיצויים, אילו צדדים עשויים להיות אחראים, איזה תפקיד ממלא החוק הפלילי, מה מכסה בדרך כלל פוליסת ביטוח סייבר, ואילו צעדים יש לנקוט מיד לאחר מתקפה.

מי הם קורבנות מתקפות הסייבר?

ניתן להבחין בין שלוש קבוצות במתקפת סייבר.

• הארגון עצמו שנפגע, אשר מתמודד עם השבתות מערכת, אובדן תחלופה, עלויות שחזור, עלות חקירה משפטית ופגיעה בתדמית.
• אנשים פרטיים שנחשפו נתוניהם האישיים, כגון לקוחות, עובדים ומטופלים. הם עלולים לסבול הפסד כספי, אך גם נזק לא מהותי עקב אובדן שליטה על נתוניהם, חוסר ודאות או חשש להונאת זהות.
• צדדים שלישיים מושפעים מקשר חוזי או שרשרת אספקה, למשל משום שהם תלויים בספק שמערכותיו קרסו.

סיווג זה רלוונטי מבחינה משפטית. הבסיס של כל תביעה, והצד נגדו ניתן להגיש אותה, תלויים בעמדתו של הקורבן. ארגון שנפגע בדרך כלל ידרוש מספק ה-IT שלו לתת דין וחשבון במסגרת החוזה, בעוד שנושא המידע יכול להסתמך ישירות על הבסיס העצמאי לאחריות שקובע ה-GDPR.

מתי יש להודיע ​​על פרצת נתונים?

כאשר נתונים אישיים מעורבים במתקפת סייבר, יש להעריך האם מדובר בפרצת נתונים אישיים והאם דיווח חובה. סעיף 33 בתקנת ה-GDPR דורש להודיע ​​לרשות המפקחת על הפרה ללא דיחוי בלתי סביר, ובמידת האפשר, תוך שבעים ושתיים שעות, אלא אם כן ההפרה לא צפויה לגרום לסיכון לזכויותיהם וחירויותיהם של אנשים פרטיים.

בנוסף, סעיף 34 בתקנת ה-GDPR עשוי לדרוש מהארגון ליידע את נושאי המידע בעצמם. חובה זו מתעוררת כאשר ההפרה צפויה לגרום לסיכון גבוה לזכויותיהם וחירויותיהם. ניתן להשמיט את התקשורת כאשר ננקטו אמצעים טכניים מתאימים כגון הצפנה, כאשר אמצעים עוקבים מבטיחים שהסיכון הגבוה לא יתממש עוד, או כאשר תקשורת אישית תדרוש מאמץ לא פרופורציונלי; במקרה האחרון, תקשורת פומבית מספיקה.

עבור נושא המידע, תקשורת זו היא יותר מסתם פורמליות. היא מאפשרת לו לנקוט באמצעים משלו, למשל על ידי שינוי סיסמאות או מעקב אחר עסקאות חשודות, ובפועל זוהי לעתים קרובות נקודת המוצא של כל תביעה לפיצויים.

לכן, ארגון חייב לקבוע לא רק שהתרחשה מתקפה, אלא גם אילו נתונים נפגעו, האם נתונים אכן גנבו, ואילו סיכונים נובעים מכך. חקירה משפטית עצמאית היא לעתים קרובות הכרחית למטרה זו.

הדבר חל ביתר שאת כאשר ההתקפה מתרחשת במעבד ולא בארגון עצמו. בהליך הסיכום בין Blauw Research ל-Nebu (בית המשפט המחוזי של רוטרדם, 6 באפריל 2023, ECLI:NL:RBROT:2023:2931) קבע שופט הסעדים הזמניים כי, על פי הסכם עיבוד הנתונים שנחתם בין הצדדים, בעל השליטה במידע היה זכאי למידע נוסף על ההתקפה, תוצאותיה והצעדים שננקטו ממה שסופק בתחילה. המעבד גם חויב לבצע חקירה משפטית עצמאית ולדווח מעת לעת. פסק הדין מראה כי הסכם עיבוד נתונים מנוסח היטב הוא בפועל הכלי החשוב ביותר להשגת מידע בזמן לאחר אירוע, דווקא משום שהבעלים זקוק למידע זה כדי למלא את חובות הדיווח שלו.

מתי מתעוררת הזכות לפיצויים?

נושאי נתונים רשאים לתבוע פיצויים מהבקר או מהמעבד לפי סעיף 82 בתקנת ה-GDPR. עם זאת, מתקפת סייבר אינה מעוררת באופן אוטומטי תביעה. יש לנמק אותה:

• כי הופרה ה-GDPR;
• כי נגרם נזק בפועל; ו
• שקיים קשר סיבתי בין ההפרה לבין הנזק.

נזק חומרי עשוי לכלול הפסדים כספיים, עלויות שחזור או הפסד שנגרם כתוצאה מהונאת זהות. באשר לנזק לא חומרי, בית המשפט לצדק של האיחוד האירופי קבע בפסק הדין Österreichische Post (CJEU 4 מאי 2023, C-300/21) כי אין סף מינימלי לחומרה, אך הפרה של ה-GDPR לבדה אינה מספיקה לפסיקה.

רלוונטי במיוחד לדליפות נתונים בעקבות מתקפת סייבר הוא פסק הדין Natsionalna agentsia za prihodite (בית הדין של האיחוד האירופי 14 בדצמבר 2023, C-340/21). שם קבע בית המשפט כי החשש משימוש לרעה עתידי במידע אישי שדלף יכול כשלעצמו להוות נזק לא מהותי. עם זאת, נושא המידע חייב להוכיח חשש זה ואת השלכותיו באופן קונקרטי; אין די בהצבעה גרידא על העובדה שנתונים דלפו. באותו פסק דין אישר בית המשפט כי על הבקר להוכיח כי אמצעי האבטחה שננקטו היו הולמים, וכי מתקפה על ידי צד שלישי אינה פוטרת כשלעצמה את הבקר מאחריות.

אחריות במסגרת ה-GDPR קיימת לצד הבסיסים המשפטיים האזרחיים של הפרת חוזה ונזיקין. לפי סעיף 6:162(1) לחוק האזרחי ההולנדי, צד המבצע מעשה בלתי חוקי הניתן לייחוס חייב לפצות על הנזק שנגרם. דרישת היחסיות של סעיף 6:163 חלה: הנורמה שהופרה חייבת לשמש להגנה מפני סוג הנזק שנגרם לצד הנפגע.

חשוב לציין, סעיף 82 בתקנות ה-GDPR קיים לצד בסיסים אלה. לכן, נושא מידע אינו מחויב לבסס תביעה אך ורק על הפרת חוזה או נזיקין, אלא יכול להסתמך ישירות על בסיס האחריות העצמאי שתקנות ה-GDPR מספקות. עבור הארגון שנפגע, שילוב זה של בסיסים פירושו שכמה צדדים עשויים להגיש תביעות בו זמנית לאחר התקפה.

מי יכול להיות אחראי?

הארגון שנפגע עשוי להיות אחראי במקרה של אי ביצוע התחייבויותיו החוזיות או אי נקיטת אמצעי אבטחה לא מספקים. ספק שירותי IT או מעבד עשויים גם הם להיות אחראים. מה שניתן לצפות מספק שירות זה נקבע בראש ובראשונה על ידי החוזה.

במסגרת יחסי עיבוד, הסכם עיבוד הנתונים ממלא תפקיד מרכזי. סעיף 28 בתקנת ה-GDPR מחייב את הבקר והמעבד לערוך הסכם כזה, המסדיר בין היתר את אמצעי האבטחה ואת הטיפול בדליפות נתונים. כאשר ההתקפה נובעת מאבטחה לא מספקת אצל המעבד, הבקר רשאי לדרוש מהמעבד לתת דין וחשבון במסגרת הסכם זה על ההפסד שנוצר.

זה עולה באופן חד מהמקרה הנוגע למתקפת הסייבר על עיריית הוף ואן טוונטה (בית המשפט המחוזי של אוברייסל, 10 במאי 2023, ECLI:NL:RBOVE:2023:1731). הצדדים הסכימו על ניטור פונקציונלי, ולא על ניטור אבטחה. בית המשפט קבע כי חובת הזהירות של מנהל IT אינה משתרעת עד כדי כך שניטור אבטחה מהווה חלק מרומז ממשימה לניטור פונקציונלי, ודחה את תביעת העירייה. כמו כן, הוא שקל כי העירייה עצמה קיבלה החלטות שהגדילו את הסיכון, כולל מדיניות הסיסמאות שלה ופתיחת פורט RDP.

תמונת המראה היא מקרה או'קליאנס (בית המשפט המחוזי של Amsterdam, 14 בנובמבר 2018, ECLI:NL:RBAMS:2018:10124). שם התקין הספק תשתית IT שלמה ולקח על עצמו את ניהולה. בעקבות מתקפת כופר שבה הוצפנו גם הגיבויים, קבע בית המשפט כי אספקת חבילה כוללת שכזו כרוכה בחובת זהירות נרחבת וכי הושמטו צעדים פשוטים. עם זאת, האחריות לא נפסקה במלואה: עקב אשמתו התורמת של הלקוח, שני שלישים מהנזק נותרו על חשבון הספק.

עד כמה כבד נטל ההוכחה בנוגע לאבטחה נאותה יכול להיות מודגם על ידי המקרה של חשבון דוא"ל שפרץ של סוחר רכב. בפסק הדין הביניים מיום 5 בנובמבר 2024 (בית המשפט לערעורים של ארנהם-לוורדן, ECLI:NL:GHARL:2024:6812) ניתנה לסוחר ההזדמנות להוכיח שחשבון הדוא"ל שלו היה מאובטח כראוי כמשמעותו בתקנת ה-GDPR, לאחר שהאקר השתמש בחשבון זה כדי לשלוח הוראת תשלום כוזבת לקונה. בפסק הדין ההמשך מיום 22 ביולי 2025 (ECLI:NL:GHARL:2025:4556) קבע בית המשפט כי הוכחה זו לא הוגשה, ולאחר מכן הצדדים עדיין היו צריכים לטפל באשמה התורמת של הקונה. לכן, שני פסקי הדין נוגעים לאותם הליכים.

הקו המשותף הוא שההסדרים החוזיים, הסיכונים הכרוכים בעיבוד, האמצעים שננקטו בפועל, האזהרות שניתנו משני הצדדים והתנהגותו של הצד הנפגע עצמו - כולם חשובים. לצד אחריות אזרחית, רשות הגנת המידע ההולנדית רשאית להטיל קנסות מנהליים של עד 20 מיליון אירו או 4% מהמחזור השנתי העולמי, הגבוה מביניהם. קנסות אלה אינם תלויים בשאלה האם נגרם נזק לבעלי נתונים באופן פרטני.

המסלול המשפט הפלילי

מתקפת סייבר עשויה גם להוות עבירה פלילית, כגון חדירה למחשב, הפיכת נתונים לבלתי נגישים או השתלטות על נתונים שאינם ציבוריים. סעיף 138ab(1) לחוק הפלילי ההולנדי קובע כי גישה מכוונת ושלא כדין למערכת אוטומטית היא עבירה.

קורבנות יכולים לדווח על העבירה למשטרה, אשר מפעילה צוותים ייעודיים לפשעי סייבר. כאשר חשוד מועמד לדין, הקורבן רשאי להצטרף להליך הפלילי כצד שנפגע ולתבוע שם פיצויים. דרך זו נמנעת מהליכים אזרחיים נפרדים, אך התוצאה תלויה בגילוי, העמדה לדין וראיות, אשר אצל עבריינים הפועלים בינלאומיים לעתים קרובות אינם מניבים תוצאה. עבור ארגונים, דיווח הוא לעתים קרובות גם צורך מעשי, מכיוון שחברות ביטוח ושותפים בשרשרת האספקה ​​מבקשים זאת.

מה מכסה ביטוח סייבר?

פוליסת ביטוח סייבר עשויה לכסות, בין היתר:

• תגובה לאירועים וחקירה משפטית;
• שחזור מערכות ונתונים;
• הפסדים מהפרעה עסקית ואובדן מחזור;
• תקשורת במשברים;
• אחריות כלפי צדדים שלישיים;
• הוצאות משפטיות; ו
• במקרים מסוימים קנסות, תשלומי פשרה או כופר, במידה הניתנת לביטוח על פי החוק החל.

הכיסוי המדויק תלוי בפוליסה. שימו לב לחריגים, תנאי ביטחון, תקופות הודעה מוקדמת, השתתפות עצמית ודרישות להעסקת מומחים. סעיף 7:957(1) לחוק האזרחי ההולנדי מחייב גם צד מבוטח לנקוט באמצעים סבירים כדי למנוע או להגביל את ההפסד. כאשר חובת הצלה זו אינה מקוימת, חברת הביטוח רשאית להפחית את התשלום.

לכן יש ליידע את חברת הביטוח הסייבר בהקדם האפשרי. העסקת מומחים חיצוניים או תשלום כופר ללא הסכמת חברת הביטוח עלולים להשפיע על הכיסוי.

מה עליכם לעשות מיד לאחר מתקפת סייבר?

• תעד בקפידה את האירוע ואת כל הפעולות הרלוונטיות.
• בידוד מערכות מושפעות מבלי לאבד ראיות.
• שכרו מומחה פורנזי.
• יש להעריך האם ישנה פרצת נתונים המחייבת דיווח.
• יש להעריך האם יש ליידע את נושאי המידע.
• דווחו על העבירה למשטרה.
• דווחו על התקרית לחברת הביטוח שלכם בתחום הסייבר.
• שמור יומני רישום, גיבויים, מיילים ונתונים רלוונטיים אחרים.
• מפו את הנזק ואת הצדדים הפוטנציאליים האחראים.
• ליידע את הלקוחות, העובדים ושותפי שרשרת האספקה ​​בקפידה ובזמן.

לכן, מתקפת סייבר אינה רק אירוע טכני. זוהי גם עניין של הגנת מידע, משפט אזרחי, משפט פלילי ודיני ביטוח. תגובה מהירה ומתועדת היטב לא רק מגבילה את הנזק, אלא גם מכרעת לגבי ההודעות, הכיסוי הביטוחי ומעמדך הראייתי בכל הליך.

בסגירה

הזכויות והחובות בעקבות מתקפת סייבר מתפרשות על פני מספר תחומי משפט, ותוצאת התיק תלויה במידה רבה בעובדות הספציפיות, בתוכן החוזה ובאיכות התיעוד. הפסיקה שנדונה מראה כי ספק ולקוח כאחד נשפטים על פי התנהגותם, וכי מועדים אחרונים כמו תקופת ההודעה של שבעים ושתיים שעות מותירים מעט מקום לעיכובים.

Law & More מסייע לארגונים ולנושאי נתונים בטיפול משפטי באירועי סייבר: החל מהערכת חובות הודעה וסקירת הסכמי עיבוד נתונים ועד לקביעת אחריות, סוגיות ביטוח והחזר הפסדים. האם אתם מתמודדים עם מתקפת סייבר או פרצת נתונים, או שתרצו שהחוזים שלכם ייבדקו מראש כנגד סיכונים אלה על ידינו. חוק ה- IT צוות? אל תהססו יצירת קשר Law & More לשיחה ללא התחייבות על מצבכם.

שאלות נפוצות

להלן נענה על השאלות הנפוצות ביותר שאנו נשאלים בנושא זה.

מי הם קורבנות מתקפת סייבר?

ישנן שלוש שכבות. ראשית, הארגון עצמו שנפגע, הנושא בהשבתות המערכת, אובדן תחלופה, עלויות התאוששות, עלות החקירה הפורנזית ופגיעה בתדמית. שנית, נושאי הנתונים, האנשים הטבעיים שנתוניהם האישיים נחשפו, כגון לקוחות, עובדים ומטופלים. שלישית, צדדים שלישיים הסובלים מהפסדים עקב קשרים חוזיים או שרשרת אספקה, למשל משום שהם תלויים בספק שקרס. סיווג זה קובע על איזה בסיס צד יכול להגיש תביעה, ונגד מי.

בתוך איזו תקופה עליי להודיע ​​על פרצת נתונים?

סעיף 33 בתקנת ה-GDPR דורש הודעה לרשות המפקחת ללא דיחוי בלתי סביר, ובמידת האפשר, תוך שבעים ושתיים שעות מרגע היותה מודעת להפרה. החובה אינה חלה כאשר ההפרה אינה צפויה לגרום לסיכון לזכויותיהם וחירויותיהם של אנשים פרטיים. הערכה זו דורשת ניתוח של אופי ההפרה, קטגוריות הנתונים המושפעות וההשלכות האפשריות.

מתי עליי להודיע ​​לבעלי המידע עצמם?

לפי סעיף 34 בתקנת ה-GDPR, כאשר ההפרה צפויה לגרום לסיכון גבוה לזכויותיהם ולחירויותיהם של נושאי המידע, ניתן להשמיט את התקשורת כאשר ננקטו אמצעים טכניים מתאימים כגון הצפנה, כאשר אמצעים עוקבים מבטיחים שהסיכון הגבוה לא יתממש עוד, או כאשר תקשורת אישית תדרוש מאמץ לא פרופורציונלי. במקרה האחרון, תקשורת פומבית מספיקה.

האם אני יכול לדרוש מידע מספק שנפרץ?

כן, כאשר הסכם עיבוד נתונים קובע זאת. בהליך המקוצר בין Blauw Research לבין Nebu (בית המשפט המחוזי של רוטרדם, 6 באפריל 2023, ECLI:NL:RBROT:2023:2931) קבע שופט הסעד הזמני כי על פי הסכם עיבוד הנתונים, בעל המידע זכאי לקבל מידע רב יותר על התקיפה, תוצאותיה והאמצעים שננקטו ממה שסופק, והורה למעבד לבצע חקירה משפטית עצמאית ולדווח על כך מעת לעת. מידע זה נחוץ למילוי חובות הדיווח שלך.

האם כנושא מידע, אני זכאי אוטומטית לפיצויים לאחר פרצת נתונים?

לא. סעיף 82 בתקנות ה-GDPR מספק בסיס עצמאי, אך עליך להוכיח כי ה-GDPR הופר, כי נגרם לך נזק בפועל, וכי קיים קשר סיבתי בין ההפרה לנזק זה. נטל ההוכחה מוטל על התובע.

האם חשש מהונאת זהות נחשב לנזק לא חמור?

ייתכן. בפסק הדין Natsionalna agentsia za prihodite (בית המשפט לצדק של האיחוד האירופי 14 בדצמבר 2023, C-340/21) קבע בית המשפט לצדק כי החשש מפני שימוש לרעה עתידי במידע אישי שדלף יכול כשלעצמו להוות נזק לא מהותי. עם זאת, נושא המידע חייב להוכיח חשש זה ואת השלכותיו באופן קונקרטי. בית המשפט לערעורים של האיחוד האירופי (בית המשפט לערעורים של האיחוד האירופי 4 במאי 2023, C-300/21) מוסיף כי אין סף חומרה מינימלי, אך הפרה של ה-GDPR לבדה אינה מספיקה.

מי צריך להוכיח שאמצעי האבטחה היו ראויים?

הבקר. בפסק הדין C-340/21 אישר בית המשפט לצדק כי על הבקר להראות כי אמצעי האבטחה שננקטו היו נאותים, וכי התקפה של צד שלישי אינה פוטרת אותו כשלעצמה מאחריות. בהולנד, הדבר התבטא במקרה של חשבון דוא"ל שפרץ של סוחר רכב, שם בית המשפט לערעורים של ארנהם-לוורדן נתן תחילה לסוחר את ההזדמנות לספק הוכחה זו (ECLI:NL:GHARL:2024:6812) ולאחר מכן קבע כי היא לא סופקה (ECLI:NL:GHARL:2025:4556).

האם ספק ה-IT שלי אחראי אם הוא לא הצליח לזהות מתקפה?

זה תלוי במה שסוכם. במקרה שנוגע למתקפת הסייבר על עיריית הוף ואן טוונטה (בית המשפט המחוזי של אוברייסל, 10 במאי 2023, ECLI:NL:RBOVE:2023:1731) הצדדים הסכימו על ניטור פונקציונלי, ולא ניטור אבטחה. בית המשפט קבע כי חובת הזהירות של מנהל IT אינה משתרעת עד כדי כך שניטור אבטחה מהווה חלק מרומז ממנה, ודחה את התביעה. כאשר מסופקת חבילה כוללת רחבה יותר, חובת הזהירות עשויה להיות מרחיקת לכת, כמו במקרה של או'קליאנס (בית המשפט המחוזי של Amsterdam, 14 בנובמבר 2018, ECLI:NL:RBAMS:2018:10124), כאשר הספק הוטל עליו להחזיק בשני שלישים מההפסד.

האם התנהגותי שלי יכולה להפחית את הפיצויים?

כן. אשמה תורמת משחקת תפקיד חוזר במקרים אלה. במקרה של O'Cliance, שליש מההפסד נותר עבור חשבון הלקוח, ובמקרה של חשבון הדוא"ל שנפרץ, הצדדים נדרשו לטפל באשמה התורמת של הקונה. לכן, מדיניות הסיסמאות שלך, פורטים שנותרו פתוחים או אזהרות שלא הוזכרו יכולים להשפיע ישירות על התוצאה.

אילו קנסות רשות הגנת המידע יכולה להטיל?

בגין הפרות של ה-GDPR, רשות הפיקוח יכולה להטיל קנסות מנהליים של עד 20 מיליון אירו או 4% מהמחזור השנתי העולמי, הגבוה מביניהם. קנסות אלה אינם תלויים בשאלה האם נושאי נתונים בודדים סבלו בפועל נזק ולכן מהווים סיכון נפרד לצד אחריות אזרחית.

האם אני יכול לדווח על העבירה ולתבוע פיצויים על הנזקים שלי באמצעות הליך פלילי?

כן. סעיף 138ab(1) לחוק הפלילי ההולנדי קובע כי גישה מכוונת ושלא כדין למערכת אוטומטית היא עבירה. ניתן לדווח על העבירה למשטרה, וכאשר חשוד מועמד לדין, להצטרף להליך הפלילי כצד שנפגע ולבקש פיצויים שם. התוצאה תלויה בגילוי, העמדה לדין וראיות, אשר לעיתים קרובות אינן מניבות תוצאה עבור עבריינים הפועלים בינלאומיים.

מה בדרך כלל מכסה ביטוח סייבר?

בדרך כלל תגובה לאירועים וחקירה משפטית, שחזור מערכות ונתונים, הפסדים כתוצאה מהפרעה לעסקים ואובדן תחלופה, תקשורת במשברים, אחריות כלפי צדדים שלישיים ועלויות משפטיות, ובמקרים מסוימים קנסות, תשלומי פשרה או כופר במידה הניתנת לביטוח על פי החוק החל. שימו לב לחריגים, תנאי אבטחה, תקופות הודעה ותשלומים עצמיים, ועיינו בפוליסה לפני התרחשות אירוע.

האם אני יכול לאבד כיסוי על ידי פעולה שגויה לאחר התקפה?

זה אפשרי. סעיף 7:957(1) לחוק האזרחי ההולנדי מחייב צד מבוטח לנקוט באמצעים סבירים כדי למנוע או להגביל אובדן; כאשר חובת הצלה זו אינה מקוימת, חברת הביטוח רשאית להפחית את התשלום. העסקת מומחים חיצוניים או תשלום כופר ללא הסכמת חברת הביטוח עלולים גם הם להשפיע על הכיסוי. הודע לחברת הביטוח שלך בהקדם האפשרי.

אילו צעדים עליי לנקוט מיד לאחר מתקפת סייבר?

תעדו את האירוע ואת כל הפעולות שבוצעו, בודדו את המערכות שנפגעו מבלי לאבד ראיות, והעסיקו מומחה פורנזי. לאחר מכן, העריכו האם ישנה הפרת נתונים המחייבת דיווח והאם יש ליידע את נושאי המידע. דווחו על העבירה, הודיעו לחברת הביטוח הסייבר שלכם, שמרו יומני רישום, גיבויים והתכתבויות, מפו את הנזק ואת הצדדים העלולים להיות אחראים, ויידעו את הלקוחות, העובדים ושותפי שרשרת האספקה ​​בקפידה ובזמן.