Типичные спорные вопросы в киберстраховании, crime и D&O

Коротко. Споры в киберстраховании, страховании crime и страховании D&O вращаются вокруг понятий, содержание которых зависит от формулировки договора: прямой и косвенный ущерб, мошенничество, обязанность проявлять прилежание (заботливость и осмотрительность) и умысел. Кроме того, часто спорят о преддоговорной информации. По эстонскому праву у страхователя есть несколько сильных аргументов (контроль типовых условий, соразмерное последствие нарушения обязанности проявлять прилежание, бремя доказывания страховщика), однако они не заменяют отсутствующую страховую защиту.¹

1. Разграничение прямого и косвенного ущерба

Многие договоры, особенно в страховании crime, покрывают только прямой имущественный ущерб (direct loss). Прямой ущерб, как правило, представляет собой непосредственную имущественную потерю: изъятие денег, уничтожение имущества, прямые расходы на восстановление. Косвенный ущерб охватывает более широкое экономическое воздействие: упущенную выгоду, репутационный ущерб, договорные штрафы, потерю деловых возможностей.

Проблема возникает, когда ущерб нельзя однозначно отнести к одной категории. При мошенничестве прямым ущербом является списанная со счета сумма, однако с ней связаны расходы на расследование, проверка систем, разрыв отношений с клиентами и прекращение договоров. Страховщик может утверждать, что покрыта только первоначальная денежная потеря.

Международная практика неоднородна. Апелляционный суд США восьмого округа в 2023 году в деле Cargill признал «прямо вытекающими» из мошенничества работника и дополнительные транспортные расходы в размере 29 миллионов долларов, поскольку ложные данные работника непосредственно повлекли эти перевозки. В других делах требование «прямого» ущерба толковалось узко: ущерб должен непосредственно вытекать из использования компьютера, а не из решения работника (см. судебные дела по страхованию crime).

С точки зрения эстонского права «прямой ущерб» является договорным понятием, содержание которого нужно толковать. Типовое условие толкуется так, как его понимало бы разумное лицо, сходное с другой стороной договора, а в случае сомнения не в пользу лица, использующего условие (VÕS § 39); Государственный суд подчеркнул, что условие толкуется не по определениям специалистов, а в соответствии с пониманием разумного страхователя.² Общее правило страхования от убытков состоит в том, что упущенная выгода возмещается только по отдельному соглашению (VÕS § 476 ч. 4).³

2. Определение мошенничества

Мошенничество является центральным понятием страхования crime, однако не все договоры покрывают все схемы. Традиционно мошенничество связывается с умышленным введением в заблуждение с целью получения имущественной выгоды; современные схемы сложнее.

Платеж, совершенный работником по указаниям мошенника. При схемах социальной инженерии и мошеннического платежного указания страховщик может утверждать, что речь идет не о классическом мошенничестве, поскольку предприятие само дало платежное поручение, а прямого изъятия имущества не было. Во многих договорах есть так называемое исключение добровольной передачи (voluntary parting), которое исключает ущерб, если страхователь передал деньги добровольно, в том числе под влиянием обмана. Расширение на социальную инженерию создано именно для того, чтобы закрыть этот пробел, однако часто с низким сублимитом.

Нечестность работника. В страховой защите от нечестности работника нужно различать умышленное присвоение и халатность, а также нечестность и дополнительно требуемое полисом намерение. В новозеландском деле Vero против Heartland Bank (ранее Marac Finance) работник в нарушение правил выдавал кредиты и скрывал проблемные кредиты; полис требовал наряду с нечестным действием явного намерения причинить ущерб работодателю. Апелляционный суд не счел это намерение доказанным, поскольку действия работника были направлены на возврат долгов, а Высшая судебная инстанция Новой Зеландии (Supreme Court) отказала в разрешении на обжалование, сочтя различие между решениями нижестоящих судов вопросом факта. Решение основано на формулировке конкретного полиса и не является общим определением нечестности; см. судебные дела по страхованию crime. Страхование crime не является страхованием кредитного риска или плохих деловых решений.

Программа-вымогатель. Высшая судебная инстанция штата Индиана в 2021 году в деле G&G Oil указала, что ущерб от программы-вымогателя может вытекать непосредственно из использования компьютера, поскольку выплата выкупа под принуждением не прервала причинную связь; вопрос о том, были ли системы захвачены «путем мошенничества», остался вопросом факта.

Уголовное право не определяет страховую защиту. Мошенничество и компьютерное мошенничество являются преступлениями (KarS § 209, § 213), однако страховой случай определяет договор страхования. Результата уголовного производства по договору страхования, как правило, ждать не нужно, если договор не ставит его предпосылкой.⁴

3. Нарушение обязанности проявлять прилежание

Третьим центральным спорным вопросом является обязанность проявлять прилежание в двух значениях.

Лежащая на страхователе обязанность проявлять прилежание по договору страхования. Договоры содержат требования безопасности: многофакторная аутентификация, резервное копирование, двойная проверка платежей, контрольный звонок для проверки данных поставщика. Если после наступления ущерба выясняется, что требование не соблюдалось, страховщик может отказать в возмещении (в выплате страхового возмещения) или уменьшить страховое возмещение. По эстонскому праву:

• сначала нужно установить, является ли условие определением границ страхового случая (исключением) или обязанностью, связанной с поведением страхователя; критерием является то, зависит ли условие от поведения страхователя;⁵
• при нарушении обязанности страховщик освобождается от обязанности исполнения лишь в пределах VÕS § 452 ч. 2 и в той мере, в какой нарушение повлияло на наступление страхового случая или на размер ущерба; условие, предусматривающее освобождение независимо от такого влияния, в этой части ничтожно;⁶
• нарушение и его влияние доказывает страховщик; у страхователя есть обязанность сотрудничества.⁶

Лежащая на правлении обязанность проявлять прилежание перед обществом. В споре D&O вопрос состоит в том, должно ли было правление предвидеть риск и отреагировать на него. Член правления должен доказать, что исполнял обязанности с прилежанием надлежащего предпринимателя (ÄS § 187).⁷ В сфере применения Закона о кибербезопасности роль правления отдельно определена законом (KüTS § 6¹).⁸ Тот же вопрос переходит в страхование: страховщик может утверждать, что речь шла о сознательном и необоснованном риске, приближающемся к умыслу.

4. Умысел как узкое исключение, а не общий принцип

В страховых спорах понятие умысла часто используется шире, чем это оправданно: любое сознательное или рискованное поведение пытаются представить как умышленное, чтобы исключить страховую защиту. Это не соответствует логике страхового права.

• Умысел нужно оценивать по применимому положению и полису. Умысел предполагает, что последствие, названное в положении или условии, было целью деятельности лица или по меньшей мере сознательно допускаемым последствием (косвенный умысел); одного лишь сознательного действия недостаточно.
• Нужно различать умысел в отношении действия и умысел в отношении того события, на которое указывает положение или условие. В случае VÕS § 452 ч. 1 умысел должен охватывать наступление страхового случая.
• В страховании ответственности страховщик освобождается от обязанности исполнения, если страхователь умышленно и противоправно вызвал событие, в силу которого он отвечает перед потерпевшим лицом (VÕS § 513); может быть достаточно косвенного умысла, а полис для применения исключения может дополнительно требовать умысла на причинение ущерба.⁹ Государственный суд рассматривал отсутствие страховой защиты в отношении умышленного деяния как общий принцип страхования; по делу об обязательном страховании ответственности управляющего в деле о банкротстве страховщик мог на этом основании сослаться на примененное в том деле условие, исключавшее умышленное нарушение служебных обязанностей самим управляющим, поскольку PankrS § 64 ч. 2 допускает такое исключение.¹⁰ В страховании crime, однако, нужно по полису отдельно установить, чьи умышленные действия являются застрахованным риском.
• При грубой халатности (грубой небрежности) освобождение возможно только по соглашению и в пределах закона.¹¹

В договорах D&O исключение умысла и мошенничества обычно связано с окончательным судебным решением: расходы на защиту выплачиваются авансом и подлежат возврату, если умысел установлен вступившим в законную силу решением. Оговорка о раздельности (severability) обеспечивает, чтобы умысел одного руководителя не вменялся другим.

В эстонском праве разграничение умысла и грубой халатности оставляет большое пространство для толкования, и спор часто сосредоточивается на квалификации конкретного поведения.

5. Преддоговорная информация

В киберстраховании растущим спорным вопросом является информация о мерах безопасности, предоставленная в заявлении на страхование. В США в деле Cottage Health страховщик пытался задним числом устранить договор, утверждая, что описанные в заявлении меры безопасности не работали; спор закончился компромиссом.

В эстонском праве правовые последствия такой ситуации различаются:

• страхователь при заключении договора должен сообщить известные ему обстоятельства, существенные для оценки риска (VÕS § 440);
• при нарушении обязанности по уведомлению страховщик может в течение определенного срока отступить от договора (VÕS § 441, § 442); если скрытое обстоятельство не повлияло на наступление страхового случая или на объем обязанности, страховщик все же обязан исполнить (VÕS § 442 ч. 2);¹²
• при обмане страховщик может аннулировать договор (TsÜS § 94), последствием чего является ничтожность договора с самого начала.¹³

Таким образом, английское rescission автоматически не является ни отступлением от договора, ни аннулированием: нужно установить, на какое основание ссылается страховщик и каково его последствие по эстонскому праву.

6. Причинная связь и несколько причин

Ущерб часто возникает в результате совместного действия нескольких причин: вредоносное программное обеспечение плюс ошибка работника плюс ненадлежащее резервное копирование; мошенничество плюс промедление банка. Спор возникает, когда одна причина покрыта, а другая исключена.

• Договорные оговорки о причинной связи. В международных договорах встречаются формулировки вроде «прямо вытекающий» (resulting directly from), «вытекающий» (arising out of) или «каким-либо образом связанный» (in any way connected with). Чем шире формулировка причинной связи в исключении, тем больший ущерб оно исключает.
• В эстонском праве при толковании страхового случая и исключения нужно исходить из воли сторон, а в случае типовых условий из понимания разумного страхователя (VÕS § 39).² В отношении нарушения обязанности проявлять прилежание закон сам установил требование причинной связи: страховщик освобождается лишь в той мере, в какой нарушение повлияло на наступление страхового случая или на размер ущерба.⁶

7. Один или несколько страховых случаев

То, являются ли несколько последовательных мошенничеств или атак одним или несколькими страховыми случаями, влияет на лимит и собственную ответственность:

• один случай: один лимит, одна собственная ответственность;
• несколько случаев: отдельный лимит и собственная ответственность по каждому случаю, однако агрегатный лимит может быть исчерпан.

Договоры обычно содержат оговорку об объединении случаев (например, все действия одного лица или одной и той же схемы являются одним случаем). В американском деле National Bank of Blacksburg против Everest страховщик рассматривал две атаки как один случай (см. дела по киберстрахованию). Тот же вопрос возникает при длительном внутреннем мошенничестве и множестве требований после утечки данных.

Связанные страницы

• Основания отказа в возмещении
• Умысел, грубая халатность и исключения (практика Государственного суда)
• Требования безопасности и пропорциональность (практика Государственного суда)
• Ничтожность, аннулирование, отступление от договора и отказ от договора
• Судебные дела по страхованию crime

Примечания