Кібератака як форс-мажор

Чи може комп’ютерний вірус стати підставою для звільнення від відповідальності?

Недавня кібератака, яка вразила велику кількість комп’ютерів на території України, призвела до втрати значної кількості даних. Найбільшої шкоди зазнали компанії, які вели документообіг виключно в електронному вигляді. Неможливість відновити втрачені дані у стислі строки може потягти за собою неналежне виконання зобов’язань, зокрема перед контрагентами. Тож чи може зараження комп’ютерів вірусом вважатися форс-мажором у таких випадках?

Ні передбачити, ні відвернути

Перелік обставин, які можна віднести до форс-мажорних, міститься у ст.14¹ закону «Про торгово-промислові палати в Україні». Але в цьому списку немає пункту про кібератаки. Щоправда, такий перелік є відкритим (орієнтовним), тому форс-мажором може бути й інша обставина (проте з одним «але»), котра відповідає таким ознакам, як:

• надзвичайність (тобто такі обставини мають винятковий характер і перебувають за межами впливу сторін);

• непередбачуваність (настання або наслідки таких обставин неможливо було передбачити, зокрема на момент укладення відповідного договору);

• невідворотність (непереборність) обставин (неминучість такої (их) події/подій та/або її/їх наслідків);

• причинно-наслідковий зв’язок між обставиною/подією і неможливістю виконання своїх конкретних зобов’язань.

Кібератака, що мала місце на минулому тижні, вирізняється надзвичайністю, непередбачуваністю та невідворотністю. Тобто це обставина, яка має винятковий характер: компанії не могли передбачити, що їхні комп’ютери будуть заражені вірусом-шифрувальником, а, враховуючи масштаби кібератаки, відвернути її теж було неможливо. Тож кібератака може вважатися форс-мажорною обставиною.

А тепер про одне «але». Відповідно до регламенту Торгово-промислової палати України підставою для встановлення форс-мажору є наявність однієї або більше обставин, які перелічені у згаданій ст.14¹ закону, визначені сторонами за договором, законодавчими та/чи іншими нормативними актами, а також які вплинули на зобов’язання таким чином, що унеможливили його виконання у передбачений термін.

Отже, форс-мажором може бути будь-яка обставина (що має ознаки, притаманні цьому інституту), однак вона має бути визначена, принаймні у договорі. Маю сумніви, що багато угод містять застереження про зараження комп’ютерів вірусом як про обставину, яка звільняє від відповідальності (ситуація краща, якщо в договорі серед переліку форс-мажорних обставин є «тощо»).

ТПП України, враховуючи можливі масштаби проблеми, фактично відступила від зазначеного та висловила позицію, що кібератака може розглядатися як форс-мажор.

Довести наслідки

Чи у всіх випадках зараження комп’ютерів вірусом є форс-мажором? Звісно, ні. Навіть якщо наявні всі ознаки форс-мажору, це не робить кібератаку універсальною обставиною, яка звільняє від відповідальності. Важливим є причинно-наслідковий зв’язок між кібератакою і неможливістю виконання своїх конкретних зобов’язань перед контрагентами.

Також суттєвим є той факт, що особа може бути звільнена від відповідальності, якщо така обставина мала об’єктивний характер і прямо впливала на неможливість виконання зобов’язання. Це означає, що правовідносини за обставин, що виникли, не могли бути реалізовані в конкретний момент незалежно від суб’єктного складу сторін.

Наприклад, якщо компанія внаслідок кібератаки не має можливості провести розрахунки з контрагентом через відсутність доступу до клієнт-банку (інтернет-банкінгу), проте має касу, а розрахунки відповідно до законодавства можуть бути проведені у такий спосіб, то є сумніви, що за таких умов кібератаку можна вважати форс-мажором.

При цьому обов’язок доказування дії обставини непереборної сили (форс-мажорних обставин) та причинно-наслідкового зв’язку покладається на сторону, яка порушила зобов’язання.

Тому підставами для встановлення форс-мажорної обставини та в подальшому звільнення від відповідальності є:

• наявність обставини, потрапивши під дію якої, сторона не має об’єктивної можливості виконати взяті на себе зобов’язання за договором, обов’язки згідно із законодавчими та іншими нормативними актами;

• обставини мають характер надзвичайності, непередбачуваності та невідворотності;

• наявність причинно-наслідкового зв’язку між дією обставини непереборної сили та неможливістю виконання зобов’язань за договором, обов’язків згідно із законодавчими та іншими нормативними актами.

Як засвідчити обставини непереборної сили?

У випадку з кібератакою насамперед необхідно зафіксувати її факт. Це можна зробити кількома способами.

Наприклад, викликати слідчо-оперативну групу, яка у протоколі огляду місця події зафіксує факт незаконного втручання в роботу комп’ютерної системи. Або подати заяву про злочин до правоохоронних органів, в якій указати про факт кібератаки на комп’ютерну мережу. Також можна заповнити повідомлення про злочин на сайті департаменту кіберполіції НП.

ТПП зазначає, що матиме змогу засвідчувати форс-мажорні обставини (йдеться саме про кібератаку) тільки на підставі документів, отриманих від кіберполіції. Це має бути довідка або витяг про відкриття кримінального провадження.

Встановити настання форс-мажорних обставин може ТПП. Також органами, які мають таке право, є регіональні ТПП, але за умови, що сторони прямо погодили це в договорі. Інакше суд може не взяти до уваги сертифікат, виданий регіональною ТПП (про що свідчить судова практика).

Інші органи не уповноважені засвідчувати дію обставин непереборної сили та видавати сертифікати про це, а можуть тільки зафіксувати наявність або відсутність певного факту (в даному випадку йдеться про кіберполіцію). Тому помилковою є думка, що довідки або листи будь-яких державних органів можуть бути підставою для звільнення від відповідальності у зв’язку з дією форс-мажорних обставин.

Для встановлення форс-мажору та отримання свідоцтва до ТПП (регіональної ТПП) подається заява визначеної форми з додатками. При цьому справляється плата, розміри якої обчислюються відповідно до затверджених ТПП тарифів.

І наостанок: сам по собі сертифікат про форс-мажорні обставини автоматично не звільняє сторону, яка порушила зобов’язання, від відповідальності. Особа, яка потрапила під дію форс-мажору, повинна повідомити про це та неможливість виконання зобов’язань у найкоротші строки. Такі дії допоможуть звести до мінімуму ризики застосування штрафних санкцій за невиконання (неналежне виконання) обов’язків перед контрагентом.