W skrócie: Wyciek danych w firmie może oznaczać koszty obsługi prawnej, informatyki śledczej, powiadomień i roszczeń. Ubezpieczenie cyber może pomóc w ich pokryciu oraz zapewnić wsparcie specjalistów. Zakres ochrony, limity i wyłączenia zależą od umowy, a pokrycie kar administracyjnych również od dopuszczalności prawnej. Firma musi jednocześnie ocenić obowiązki wynikające z RODO.
Jeden e-mail wysłany do niewłaściwej osoby może uruchomić koszty prawne, kary i roszczenia klientów. Do wycieku danych może dojść w każdej firmie, nawet tej z dobrymi procedurami. Pokazujemy, jakie są jego konsekwencje i jak ubezpieczenie może pomóc ograniczyć straty.
Czym jest wyciek danych?
Wyciek danych to zdarzenie, w którym poufne, chronione lub prywatne informacje zostają ujawnione, skradzione lub przekazane osobie albo podmiotowi bez odpowiednich uprawnień.
Wyciek danych osobowych jest jednym z rodzajów naruszenia ich ochrony. Zgodnie z RODO pojęcie naruszenia obejmuje także przypadkowe lub niezgodne z prawem zniszczenie, utracenie czy zmodyfikowanie danych oraz nieuprawniony dostęp do nich.
Jakie informacje mogą zostać ujawnione?
Wyciek może dotyczyć:
danych osobowych: imion i nazwisk, numerów PESEL, adresów zamieszkania i danych kontaktowych;
danych logowania: loginów i haseł;
danych finansowych: numerów kart płatniczych i rachunków bankowych;
tajemnic handlowych: baz klientów, planów biznesowych i informacji stanowiących własność intelektualną;
informacji wymagających szczególnej ochrony, np. danych o zdrowiu lub dotyczących wyroków skazujących.
Warte podkreślenia jest to, że wyciek danych nie zawsze jest skutkiem cyberataku. Często może wynikać po prostu z błędu człowieka.
Jakie konsekwencje może mieć wyciek danych w firmie?
Wyciek danych to nie tylko problem działu IT. Jego skutki odczuwa cała firma: zarząd, księgowość, HR i dział obsługi klienta. Koszty pojawiają się w czterech obszarach.
Straty wizerunkowe
Ujawnienie informacji może spowodować utratę zaufania i odpływ klientów. Może również wpłynąć na spadek wartości rynkowej spółki.
Koszty operacyjne
W związku z incydentem mogą pojawić się koszty przestoju operacyjnego, jeśli doszło do cyberataku. Dochodzą koszty informatyki śledczej.
Jeżeli naruszenie wymaga powiadomienia osób, których dane dotyczą, wykonanie tego obowiązku również może generować istotne koszty, szczególnie przy dużej skali zdarzenia.
Kary administracyjne
Organ nadzorczy – Prezes Urzędu Ochrony Danych Osobowych – może nałożyć administracyjną karę pieniężną.
Za najpoważniejsze naruszenia RODO przedsiębiorstwu może grozić kara do 20 mln euro lub do 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa. Nie każde naruszenie oznacza jednak nałożenie kary ani zastosowanie najwyższego pułapu.
Kary związane z naruszeniami ochrony danych były już nakładane w Polsce od rozpoczęcia stosowania RODO.
Odpowiedzialność cywilna i odszkodowania
Osoby, których dane wyciekły, mogą dochodzić naprawienia szkody majątkowej lub niemajątkowej wynikającej z naruszenia.
Dodatkowo, jeśli ujawniono dane biznesowe lub tajemnice handlowe, firma może zostać obciążona roszczeniami kontrahentów, w tym karami umownymi, jeśli przewiduje je umowa.
Dlaczego tradycyjne OC firmy często nie wystarcza?
Po podsumowaniu konsekwencji przejdźmy do możliwości ich ograniczenia poprzez posiadanie odpowiedniego ubezpieczenia.
Tradycyjne OC działalności zazwyczaj nie obejmuje szkód związanych z wyciekiem danych. Obserwuję jako broker niewielką zmianę w tym zakresie poprzez np. rozszerzenie klauzul OC pracodawcy o wyciek danych własnych pracowników. Nie jest to jednak pełne rozwiązanie, które pokryłoby roszczenia z zewnątrz.
Jak działa ubezpieczenie cyber po wycieku danych?
Odpowiednią ochronę w zakresie wycieku danych może zapewnić ubezpieczenie cyber. W swoim zakresie wykracza ono dużo dalej niż same konsekwencje ujawnienia informacji.
W zależności od umowy daje również ochronę związaną z konsekwencjami zdarzeń cybernetycznych, takich jak blokada systemu, ataki ransomware czy żądanie okupu.
W ramach takiej polisy firma może otrzymać wsparcie informatyczne, pokrycie kosztów odtwarzania danych oraz utraconego zysku wskutek przestoju. Niektóre umowy obejmują również koszty cyberwymuszenia, w tym ewentualnego okupu, na warunkach określonych w polisie i w granicach dopuszczonych przez prawo.
Wracając jednak do kluczowego aspektu omawianego w tym artykule, polisa cyber odpowiada na ryzyko wycieku danych. W ramach ustalonej sumy ubezpieczenia i zakresu umowy mogą zostać pokryte:
koszty powiadomienia osób, których dane wyciekły;
koszty obsługi prawnej;
koszty informatyki śledczej;
odszkodowania i zadośćuczynienia z tytułu odpowiedzialności cywilnej za naruszenie ochrony danych;
kary administracyjne nałożone przez Prezesa UODO — jeśli przewiduje to umowa i ich ubezpieczenie jest prawnie dopuszczalne.
Kto najbardziej potrzebuje ubezpieczenia cyber?
Jeśli Twoja firma posiada bazę klientów, dane pracowników lub informacje handlowe, ryzyko wycieku już istnieje. Dlatego każda firma powinna przeanalizować potencjalne ryzyko i konsekwencje, jakie niosłoby za sobą takie zdarzenie.
Szczególną uwagę na ubezpieczenie cyber powinny zwrócić:
przychodnie;
biura rachunkowe;
producenci;
firmy usługowe;
kancelarie;
sklepy internetowe.
Jak dobrać ubezpieczenie do ryzyka wycieku danych?
Jeszcze jakiś czas temu o ubezpieczeniach firmowych myśleliśmy w kontekście ochrony od pożaru czy zalania. Dzisiaj, w rzeczywistości cyfrowej, utrata lub ujawnienie danych stały się istotnym ryzykiem dla przedsiębiorstwa. Generują koszty prawne, odszkodowawcze, organizacyjne i wizerunkowe.
Dobrze dobrane ubezpieczenie cyber może ograniczyć finansowe skutki wycieku danych. Oferty ubezpieczycieli różnią się jednak zakresem, limitami i udziałem własnym w szkodzie. Bez porównania trudno ocenić, która polisa naprawdę chroni Twoją firmę.
Dlatego porównamy oferty kilku ubezpieczycieli i wskażemy rozwiązanie dopasowane do Twojej firmy: rodzaju danych, z jakimi pracujesz, systemów i ryzyk, które są dla Ciebie najważniejsze. Ty prowadzisz firmę. My pilnujemy ubezpieczeń.
Porozmawiaj z brokerem Q Broker o ubezpieczeniu cyber dla Twojej firmy.
Najczęściej zadawane pytania o wyciek danych w firmie
Czy wyciek danych może wynikać z błędu pracownika?
Tak. Przyczyną może być np. wysłanie wiadomości lub załącznika do niewłaściwego odbiorcy albo przypadkowe udostępnienie dokumentów. Naruszenie bezpieczeństwa danych nie musi wiązać się z atakiem hakerskim.
Co zrobić po stwierdzeniu wycieku danych w firmie?
Uruchom procedurę reagowania na incydenty, zaangażuj osoby odpowiedzialne za IT i ochronę danych oraz zabezpiecz dowody. Jeśli masz polisę cyber, niezwłocznie skontaktuj się z jej centrum pomocy. Równolegle oceń obowiązki wynikające z RODO.
Czy każdy wyciek danych osobowych trzeba zgłosić do UODO?
Administrator zgłasza naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia. Wyjątek dotyczy sytuacji, gdy jest mało prawdopodobne, by naruszenie powodowało ryzyko dla praw lub wolności osób. Podmiot przetwarzający zawiadamia natomiast administratora bez zbędnej zwłoki.
Kiedy trzeba powiadomić osoby, których dane wyciekły?
Co do zasady wtedy, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności. Zawiadomienie powinno nastąpić bez zbędnej zwłoki. RODO przewiduje wyjątki, dlatego obowiązek należy ocenić w odniesieniu do konkretnego zdarzenia.
Czy ubezpieczenie cyber pokrywa kary za naruszenie RODO?
Niektóre polisy przewidują taką ochronę, ale zależy ona od zapisów umowy, limitów, wyłączeń i dopuszczalności prawnej ubezpieczenia danej kary. Samo posiadanie polisy cyber nie oznacza, że każda kara administracyjna zostanie zrefundowana.
Na co zwrócić uwagę przy wyborze polisy cyber?
Sprawdź zakres pomocy prawnej i informatycznej, ochronę przed roszczeniami, sumę ubezpieczenia, podlimity oraz udział własny. Ważne są również wyłączenia, wymagane zabezpieczenia i zasady zgłaszania incydentu oraz uzgadniania kosztów z ubezpieczycielem.
