Polisa OC – czy uratuje przed karą finansową za naruszenie RODO

Przypomnijmy, że RODO przewiduje kary finansowe za uchybienia przepisom o ochronie danych osobowych, a w szczególności:

• naruszenia podstawowych zasad przetwarzania, w tym warunków zgody;
• naruszenia praw osób, których dane dotyczą;
• przekazywania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej;
• nieprzestrzegania jednego z tzw. uprawnień naprawczych.

Kary mogą sięgnąć nawet 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.

W obrocie gospodarczym funkcjonuje pojęcie cyberpolisy. W ten sposób ujmuje się ubezpieczenia od zdarzeń w sferze IT, np. włamań czy niewłaściwego działania oprogramowania. W praktyce zdecydowana większość naruszeń RODO może nastąpić właśnie w tej sferze, dlatego w praktyce cyberpolisami określa się także ubezpieczenia od kar finansowych z RODO.

Zawierając umowę cyberubezpieczenia musimy mieć na względzie konieczność podania ubezpieczycielowi licznych informacji mających wpływ na treść umowy, a w szczególności na wysokość składki. Chodzi tu o takie dane, jak informacje o ilości i charakterze naruszeń mających miejsce do tej pory, rodzaju ataków czy przyjętych środkach bezpieczeństwa. Zatajenie tych danych lub ich podanie niezgodnie z prawdą może skutkować nieprzyjęciem przez ubezpieczyciela odpowiedzialności.

Niezwykle istotną kwestią są granice odpowiedzialności ubezpieczyciela. Negocjując zawarcie umowy ubezpieczenia, powinniśmy zwrócić uwagę, jaką sumę gwarancyjną proponuje nam ubezpieczyciel. Kwota ta stanowi bowiem ograniczenie odpowiedzialności ubezpieczyciela do określonej kwoty, powyżej której szkoda wywołana naruszeniem RODO nie zostanie pokryta.

Analizując projekt umowy ubezpieczenia i OWU należy też zwrócić uwagę na to, jakie okoliczności powodują całkowite wyłączenie odpowiedzialności ubezpieczyciela. Najczęściej są to takie zdarzenia jak: dokonanie włamania przez pracownika ubezpieczonego, niedochowanie zasad bezpieczeństwa wynikających z wewnętrznej dokumentacji ochrony danych osobowych administratora czy stosowanie innych rodzajów zabezpieczeń niż uzgodnione z ubezpieczycielem. W tym miejscu można zauważyć, że cyberpolisa nie będzie rozwiązaniem, które chroni całkowicie przez odpowiedzialnością za naruszenie RODO. Dlatego niezależnie od ubezpieczenia administrator danych powinien kłaść szczególny nacisk na stosowanie środków bezpieczeństwa zapobiegających naruszeniom.