Утечка данных, GDPR и ответственность в киберстраховании

Коротко. Утечка данных является киберинцидентом, правовые последствия которого длятся дольше всего. Ответственный обработчик (контролер) должен уведомить о нарушении надзорный орган без неоправданной задержки и по возможности в течение 72 часов, за исключением случая, когда нарушение, вероятно, не создает риска для прав и свобод физических лиц, а при высоком риске также субъектов данных. Каждое лицо, понесшее в результате нарушения регламента материальный или нематериальный ущерб, имеет право на возмещение; однако ответственный или уполномоченный обработчик освобождается от ответственности, если докажет, что он никоим образом не несет ответственности за событие, причинившее ущерб (ст. 82 ч. 3 GDPR). Атака третьего лица сама по себе не доказывает недостаточность мер безопасности и не влечет автоматическую ответственность. Штрафы могут достигать 4 процентов общемирового годового оборота. Киберстрахование обычно покрывает уведомление, юридическую помощь, надзорное производство и требования третьих лиц; страховая защита штрафов зависит от их страхуемости.

1. Что такое нарушение, связанное с персональными данными

В смысле общего регламента о защите персональных данных (GDPR) нарушение, связанное с персональными данными, представляет собой нарушение безопасности, которое влечет случайное или незаконное уничтожение, утрату, изменение или несанкционированное раскрытие данных либо доступ к ним.¹ Нарушение не предполагает атаки. Неправильно настроенная облачная среда, электронное письмо, отправленное не тому адресату, утраченный ноутбук или несанкционированный запрос работника также являются нарушениями. Для киберстрахования важно, покрывает ли договор и утечку, вызванную халатностью, и умышленное деяние работника (rogue employee), или только внешнюю атаку.

2. Обязанности по уведомлению

2.1. Надзорный орган

Ответственный обработчик уведомляет о нарушении, связанном с персональными данными, компетентный надзорный орган (в Эстонии Инспекцию по защите данных) без неоправданной задержки и по возможности в течение 72 часов после того, как ему стало известно о нарушении, за исключением случая, когда нарушение, вероятно, не создает риска для прав и свобод физических лиц. К запоздалому уведомлению необходимо приложить причины задержки.²

2.2. Субъекты данных

Если нарушение, вероятно, создает высокий риск для прав и свобод физических лиц, ответственный обработчик уведомляет субъекта данных без неоправданной задержки.³ Расходы на уведомление (почтовая рассылка, колл-центр, веб-страница, кредитный мониторинг) являются расходами первой стороны в киберстраховании, нередко с отдельным сублимитом или рассчитываются по числу уведомленных лиц.

2.3. Согласованность с другими уведомлениями

Если общество является поставщиком услуг, подпадающим под сферу действия Закона о кибербезопасности (KüTS), и киберинцидент оказывает значительное воздействие на безопасность системы или непрерывность услуги либо такое воздействие можно разумно предполагать, об этом же инциденте необходимо незамедлительно, но не позднее 24 часов с момента, когда о нем стало известно, представить первичное уведомление Департаменту государственных информационных систем (KüTS § 8 ч. 1; см. NIS2 и Закон о кибербезопасности). Условия уведомления по GDPR и по KüTS следует оценивать отдельно. Страховщика необходимо уведомить согласно договору; общее правило VÕS требует уведомления незамедлительно.⁴

3. Право субъекта данных на возмещение

Согласно статье 82 GDPR каждое лицо, понесшее в результате нарушения регламента материальный или нематериальный ущерб, имеет право получить возмещение от ответственного или уполномоченного обработчика. Ответственный обработчик отвечает за ущерб, возникающий в результате обработки, нарушающей регламент; уполномоченный обработчик отвечает только в том случае, если он не выполнил адресованные ему обязанности или действовал вопреки указаниям ответственного обработчика.⁵

На практике ущерб отдельного лица при утечке данных обычно невелик, однако число требований может быть большим. Массовые требования являются особенно важным риском в том случае, если утечка касается данных о здоровье, финансовых данных или личных кодов. Объем возмещения неимущественного вреда за нарушение защиты данных в судебной практике государств-членов еще формируется. Суд Европейского союза указал, что одного лишь нарушения регламента для возникновения требования о возмещении недостаточно, однако государство-член не вправе устанавливать для возмещения неимущественного вреда порог серьезности (решение Суда ЕС от 04.05.2023, C‑300/21, Österreichische Post). Аналитический вывод: страхователю следует оценивать риск ответственности не по размеру отдельного требования, а через число потенциальных истцов и расходы на защиту.

4. Штрафы

Надзорный орган может назначить штраф до 10 миллионов евро или для предпринимателя до 2 процентов общемирового годового совокупного оборота за предыдущий хозяйственный год (в том числе за нарушение обязанностей обработчика, включая обязанность по безопасности и уведомлению о нарушении), а за более тяжкие нарушения (принципы обработки, права субъекта данных, передача в третьи страны) до 20 миллионов евро или 4 процентов, в зависимости от того, какая сумма больше.⁶

Страховая защита штрафов в киберстраховании обычно сформулирована так, что штраф покрывается «в объеме, в котором он страхуем по применимому праву». В эстонском праве страхуемость штрафа прямо не урегулирована; карательная цель штрафа говорит против его перенесения. Застрахованному лицу не следует в своем анализе рисков предполагать, что штраф покрыт. Зато расходы на защиту в надзорном производстве покрываются.

5. Отношения ответственного и уполномоченного обработчика

Значительная часть причин утечек находится у поставщика услуг: облачный сервис, программа расчета заработной платы, система управления клиентами, маркетинговая платформа. Ответственный обработчик может отвечать перед субъектом данных и тогда, когда утечка произошла в системе уполномоченного обработчика; ответственность предполагает выполнение предпосылок ст. 82 GDPR, и обработчик освобождается от нее, если докажет, что он никоим образом не несет ответственности за событие, повлекшее ущерб (ст. 82 ч. 3). Во внутренних отношениях ответственный обработчик может предъявить уполномоченному обработчику регрессное требование, если последний нарушил свои обязанности.⁵

С точки зрения страхования возникают два вопроса:

1. Покрывает ли кибердоговор утечку, произошедшую в системе поставщика услуг? Хорошее условие покрывает ответственность застрахованного лица и расходы на уведомление независимо от того, где произошла утечка, если застрахованное лицо является ответственным обработчиком.
2. Может ли страховщик предъявить регрессное требование к поставщику услуг? Согласно VÕS § 492 ч. 1 требование страхователя к третьему лицу переходит к страховщику в том объеме, в каком страховщик возместил ущерб.⁷ Если договор об оказании услуг ограничивает ответственность поставщика услуг или содержит отказ от регрессного требования, это может повлиять на право регрессного требования страховщика и тем самым на обязанности страхователя перед страховщиком. Поэтому ограничения ответственности в договоре об оказании услуг необходимо раскрыть страховщику.

6. Утечка данных и ответственность правления

Утечка данных является классической ситуацией, в которой киберриск и риск D&O пересекаются. Если утечка обусловлена известной и неустраненной уязвимостью или недостаточной организацией безопасности, участники, акционеры или управляющий в деле о банкротстве могут утверждать, что правление не проявило прилежания надлежащего предпринимателя. В международной практике крупные утечки данных привели и к требованиям, связанным с ценными бумагами, и к производным требованиям к руководителям (см. дела по D&O). Киберисключение в договоре D&O не должно исключать защиту руководителей по таким требованиям.

7. Практический план действий при утечке

1. Изолируйте затронутые системы, сохраните журналы и доказательства.
2. Уведомите страховщика и привлеките панельного юридического консультанта и форензику.
3. В течение 72 часов оцените, создает ли нарушение риск, и задокументируйте оценку.
4. Уведомите надзорный орган и при необходимости субъектов данных.
5. Проверьте договор с поставщиком услуг: обязанность по уведомлению, ответственность, регрессное требование.
6. Подготовьте коммуникацию, согласующуюся с информацией, представленной надзорному органу.

Общий план действий: Первые 72 часа после происшествия.

Часто задаваемые вопросы

Нужно ли сообщать надзорному органу о каждой утечке данных?

Нет. Сообщать не нужно, если нарушение, вероятно, не создает риска для прав и свобод физических лиц. Однако оценку необходимо провести быстро и задокументировать. Если предприятие решает не сообщать, оно должно быть в состоянии впоследствии объяснить, почему риск отсутствовал. При сомнении уведомление безопаснее, поскольку запоздалое или несделанное уведомление является самостоятельным нарушением.

Покрывает ли киберстрахование требования субъектов данных о неимущественном вреде?

Модуль ответственности обычно покрывает обязанность застрахованного лица возместить ущерб, причиненный третьим лицам, в том числе неимущественный вред, если он подлежит возмещению по применимому праву. Необходимо проверить, не исключают ли условия неимущественный вред и не ограничивают ли они страховую защиту требованиями, предъявленными в суде.

Кто платит, если утечка произошла у поставщика облачных услуг?

Перед субъектом данных может отвечать ответственный обработчик (при наличии предпосылок ст. 82 GDPR и с возможностью освобождения по ч. 3). Киберстрахование покрывает расходы и ответственность застрахованного лица в согласованном в полисе объеме. Затем страховщик может предъявить требование к поставщику услуг, если договор об оказании услуг это допускает. Если в договоре об оказании услуг есть ограничение ответственности, оно влияет на регрессное требование. Поэтому условия об ответственности в договорах об оказании услуг необходимо раскрыть страховщику при заключении договора.

Покрывается ли штраф?

Условия допускают покрытие штрафа лишь в том объеме, в каком он страхуем по применимому праву. В эстонском праве это спорно. Застрахованному лицу не следует в своем бюджете предполагать, что штраф покрыт. Зато процессуальные расходы и юридическая помощь обычно покрываются.

Может ли утечка повлечь личную ответственность правления?

Перед субъектами данных отвечает общество. Однако ущерб общества (штраф, возмещения, расходы) может стать требованием к члену правления, если правление не организовало защиту данных с прилежанием надлежащего предпринимателя. Это требование относится к страхованию D&O.

Связанные страницы

• Что покрывает киберстрахование
• NIS2 и Закон о кибербезопасности
• Реагирование на инцидент и поставщики услуг
• Дела по киберстрахованию
• Новые риски D&O для правления

Примечания