W USA dane jednej osoby są warte 57,5 dolara, w Polsce marne gorsze

Federalna Komisja Handlu USA ukarała Facebook karą w wysokości 5 mld dolarów za wyciek danych do firmy Cambridge Analytica. Jest to najwyższa tego typu kara w historii. W Polsce szczególną uwagę na przetwarzanie danych osobowych zaczęto zwracać wraz z wejściem w życie RODO. Prezes Urzędu Ochrony Danych Osobowych nałożył już na polskich przedsiębiorców pierwsze grzywny z tego tytułu. Najwyższa z nich wyniosła 943 tys. złotych, a dotyczyła niespełnienia obowiązku informacyjnego wobec osób, których dane były przetwarzane. Jak łatwo policzyć, wartość danych jednej osoby w przypadku Facebooka to 57,5 dolarów (wyciekły dane 87 milionów osób). Polska firma musiała z kolei zapłacić 16 groszy za każdy z 6 milionów rekordów, które nieprawidłowo wykorzystywała.

ZOBACZ TEŻ: Wybuchła III wojna światowa? Masowe ataki i awarie sieci

– Każda kara, niezależnie od jej wysokości czy też skali przychodów przedsiębiorstwa, może mieć negatywny wpływ na jego finanse, a także wizerunek. Rynek ubezpieczeniowy wypracował odpowiednie narzędzia, które zapewniają firmie środki na pokrycie grzywien i kar administracyjnych, a także innych ewentualnych strat wynikających z nieprawidłowego przetwarzania danych osobowych. Ochronę taką oferują przede wszystkim cyberpolisy oraz w pewnym zakresie ubezpieczenia OC menedżerów i władz spółek, tzw. D&O. Należy jednak pamiętać, że środki z polisy zostaną wypłacone jedynie w przypadku, kiedy uchybienie miało charakter nieumyślny – zauważa Łukasz Zoń, prezes Stowarzyszenia Polskich Brokerów Ubezpieczeniowych i Reasekuracyjnych.

Jakie zabezpieczenie oferuje cyberpolisa?
Polisa od ryzyk cybernetycznych jest podstawowym ubezpieczeniem, jakie powinny posiadać przedsiębiorstwa gromadzące i przetwarzające dużą liczbę danych osobowych. Jego zakres obejmuje szkody powstałe zarówno z przyczyn wewnętrznych, np. błędne procedury udostępniania danych, jak i zewnętrznych w postaci ataku hakerskiego. Środki, jakie na mocy polisy mogą zostać wypłacone, można podzielić na trzy grupy.

Pierwszą z nich są nakłady rekompensujące dodatkowe koszty wewnętrzne, które musiały zostać poniesione w związku z naruszeniem danych. Zalicza się do nich m.in. działania służące znalezieniu przyczyny wycieku, likwidacji zagrożenia oraz prewencyjne, które mają zapobiec wystąpieniu podobnej sytuacji w przyszłości. Dodatkowo ubezpieczenie może również uwzględniać koszty związane z odzyskaniem utraconej reputacji. Druga grupa obejmuje koszty zewnętrzne. Przedsiębiorca może liczyć na wsparcie finansowe ubezpieczyciela w przeprowadzeniu akcji informacyjnej wśród osób, których dane zostały naruszone lub wyciekły, a także na wypłatę poszkodowanym odszkodowań lub zadośćuczynień.

SPRAWDŹ RÓWNIEŻ: Zapłacił na Ubera ponad 40 tys. zł! Aplikacja pobierała sto razy więcej pieniędzy

– W ściśle określonych sytuacjach, jak nieumyślne naruszenie prawa, przedsiębiorcy mogą liczyć również na środki konieczne na pokrycie kar administracyjnych. W omawianych przypadkach Facebooka oraz polskiej firmy nie można jednoznacznie wskazać na umyślne działania tych podmiotów. Zatem mogłyby one prawdopodobnie liczyć na wsparcie ubezpieczyciela, jeśli posiadałyby odpowiednią ochronę – dodaje Łukasz Zoń.

W sprawie Facebooka mówi się o niedotrzymaniu zobowiązania do ochrony prywatności danych użytkowników. Polska firma ukarana przez UODO z kolei tylko częściowo wykonała obowiązek informacyjny, kontaktując się wyłącznie z osobami, których adresy e-mail posiadała.

Ochrona przeciw roszczeniom akcjonariuszy
Kary administracyjne związane z naruszeniem danych osobowych mogą mieć jednak również daleko idące skutki. Przykładowo, mogą spowodować utratę klientów, co z kolei może odbić się na wartości rynkowej przedsiębiorstwa czy kursie jej akcji. W takiej sytuacji firma może spodziewać się niezadowolenia inwestorów i akcjonariuszy, a w skrajnych przypadkach mogą oni nawet domagać się odszkodowania za poniesione w ten sposób straty. Przed skutkami takich roszczeń mogą się chronić za pomocą ubezpieczenia D&O.

– Roszczenia spółki lub inwestorów mogą być kierowane wobec konkretnych osób z kadry zarządzającej odpowiedzialnych za decyzje, które skutkowały m.in. karami administracyjnymi. Ochrona polisy D&O zazwyczaj obejmuje również i takie sytuacje. W związku z czym nie będą one musiały wypłacać odszkodowania z własnego majątku. Chciałbym jednak podkreślić, że ochrona taka dotyczy wyłącznie zawinionego, ale nieumyślnego naruszenia prawa lub popełnienia innego uchybienia skutkującego odpowiedzialnością danej osoby. Wszelkie szkody w tym spadki wartości akcji wynikające z bardziej lub mniej ryzykownych, ale zgodnych z prawem, działań przedsiębiorstwa i jego zarządu mieszczą się w ramach normalnego ryzyka biznesowego i nie są przedmiotem ubezpieczenia – wskazuje Łukasz Zoń.

Ubezpieczenie D&O zapewnia także środki potrzebne na pokrycie kosztów postępowań prawnych i administracyjnych, których zadaniem jest wyjaśnienie zasadności roszczeń. Zalicza się do nich m.in. wynagrodzenie przedstawicieli prawnych, ekspertów i rzeczoznawców zatrudnionych w toku postępowania.

Źródło: Stowarzyszenie Polskich Brokerów Ubezpieczeniowych i Reasekuracyjnych