Wyciek danych z systemu chmurowego kancelarii może prowadzić do odpowiedzialności cywilnej, obowiązków związanych z ochroną danych osobowych oraz kosztów usunięcia skutków incydentu. Dla kancelarii istotne jest więc ustalenie, czy szkoda zostanie pokryta z OC, czy z dodatkowej ochrony cyber. Sam fakt posiadania polisy OC nie oznacza, że każdy incydent związany z bezpieczeństwem informacji jest objęty ubezpieczeniem. Decydujące znaczenie mają zakres ochrony, definicja szkody, przyczyna zdarzenia i wyłączenia odpowiedzialności.
Incydent może wynikać z ataku zewnętrznego, błędu pracownika, niewłaściwej konfiguracji chmury albo wykorzystania skradzionych danych logowania. Każdy z tych przypadków może być oceniany inaczej. Należy ustalić, jakie działanie doprowadziło do naruszenia, kto ponosi odpowiedzialność oraz jaki rodzaj szkody powstał. Szczególne znaczenie ma to w kancelariach przechowujących w chmurze akta spraw, dane klientów i informacje objęte tajemnicą zawodową.
OC kancelarii a ryzyko cybernetyczne
Obowiązkowe OC adwokata lub radcy prawnego chroni przed określoną odpowiedzialnością cywilną związaną z wykonywaniem zawodu. Nie jest jednak automatycznie ubezpieczeniem od wszystkich skutków cyberataku. Jeżeli klient poniósł szkodę wskutek naruszenia obowiązków kancelarii, trzeba ustalić podstawę odpowiedzialności, wysokość szkody i związek przyczynowy. Dopiero wtedy można ocenić, czy roszczenie mieści się w zakresie OC.
Odrębnie należy traktować koszty samego usuwania incydentu. Mogą one obejmować analizę informatyczną, odzyskiwanie danych, obsługę prawną, powiadomienie osób poszkodowanych czy przywrócenie działania systemów. Takie wydatki nie muszą stanowić szkody objętej klasycznym OC (więcej informacji znajdziesz w tym artykule: https://pulsprawa.org/blad-aplikanta-lub-substytuta-na-rozprawie-kto-odpowiada-materialnie-i-z-czyjej-polisy-oc-idzie-szkoda/). Polisa cyber może natomiast przewidywać ochronę kosztów reakcji na incydent oraz odpowiedzialności wobec osób trzecich. Dlatego zakres obu ubezpieczeń należy analizować oddzielnie.
Co może obejmować klauzula cyber?
Klauzula cyber może rozszerzać ochronę o ryzyka związane z naruszeniem bezpieczeństwa danych lub systemów informatycznych. Zakres produktów jest jednak zróżnicowany. Przed zawarciem umowy należy sprawdzić definicje zawarte w OWU, limity, franszyzy, wyłączenia oraz obowiązki ubezpieczonego. Samo określenie polisy jako „cyber” nie oznacza pełnej ochrony przed każdym wyciekiem danych.
W praktyce szczególne znaczenie mogą mieć następujące elementy ochrony:
- odpowiedzialność cywilna za naruszenie bezpieczeństwa danych lub systemów.
- koszty ustalenia przyczyny i zakresu incydentu oraz ograniczenia jego skutków.
- koszty obsługi prawnej i komunikacji z osobami, których dane zostały naruszone.
- koszty odtworzenia lub odzyskania danych oraz przywrócenia działania systemów.
- straty wynikające z przerwy w działalności, jeżeli zostały objęte ochroną.
Trzeba również rozróżnić naruszenie danych osobowych od ujawnienia informacji objętych tajemnicą zawodową. Zdarzenia te mogą wystąpić jednocześnie, ale wywołują różne konsekwencje prawne. W przypadku danych osobowych kancelaria może mieć obowiązki wynikające z Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679. Ubezpieczenie nie przenosi tych obowiązków na zakład ubezpieczeń, choć może pokrywać określone koszty, jeżeli przewiduje to umowa.
Kiedy ubezpieczyciel może odmówić wypłaty?
Spór może powstać, gdy kancelaria nie zastosowała wymaganych zabezpieczeń. OWU mogą określać obowiązki dotyczące haseł, uwierzytelniania wieloskładnikowego, aktualizacji oprogramowania, kopii zapasowych czy kontroli dostępu. Naruszenie takiego obowiązku nie zawsze automatycznie oznacza utratę ochrony. Znaczenie ma treść konkretnego postanowienia oraz jego związek z powstaniem szkody.
Odmowa może wynikać także z tego, że zdarzenie nie mieści się w definicji incydentu objętego polisą. Inaczej może być ocenione przypadkowe ujawnienie dokumentu przez pracownika, inaczej włamanie do konta, a jeszcze inaczej awaria dostawcy chmury. Jeżeli kancelaria korzysta z zewnętrznego dostawcy usług IT, należy sprawdzić, czy polisa obejmuje zdarzenia powstałe po jego stronie. Istotne są również limity i wyłączenia dotyczące określonych rodzajów danych lub usług.
Jak przygotować się do likwidacji szkody?
Po wykryciu wycieku należy zabezpieczyć dowody i ustalić zakres incydentu. Kancelaria powinna zachować informacje o czasie wykrycia zdarzenia, sposobie uzyskania dostępu, zakresie ujawnionych danych oraz podjętych działaniach. Nie należy usuwać logów ani innych danych technicznych, które mogą pomóc w ustaleniu przyczyny. Równocześnie trzeba sprawdzić termin zgłoszenia szkody przewidziany w polisie. W ubezpieczeniach cyber opóźnienie może mieć znaczenie dla oceny odpowiedzialności.
Dokumentacja powinna pozwolić odpowiedzieć na podstawowe pytania: kiedy doszło do naruszenia, jakie dane zostały ujawnione, jaka była przyczyna zdarzenia, jakie koszty poniosła kancelaria i czy klienci zgłosili roszczenia. Warto oddzielić koszty poniesione przez samą kancelarię od roszczeń osób trzecich. Pierwsze mogą być objęte ochroną cyber, drugie mogą podlegać OC lub odpowiedzialności cywilnej przewidzianej w polisie cyber.
Zakres ochrony wynika z konkretnej polisy
Wyciek danych z chmury nie oznacza automatycznie, że szkoda zostanie pokryta z OC kancelarii albo z klauzuli cyber. Najpierw trzeba ustalić źródło odpowiedzialności, rodzaj szkody i przyczynę incydentu. Następnie należy porównać te ustalenia z definicjami, limitami i wyłączeniami zawartymi w OWU. OC i ubezpieczenie cyber mogą pełnić różne funkcje, dlatego kancelaria korzystająca z chmury powinna oceniać je łącznie. Dopiero analiza konkretnego zdarzenia pozwala ustalić, z której polisy i w jakim zakresie może zostać pokryta szkoda.
