Kara nałożona przez UODO wynosi dokładnie 2 830 410 zł, czyli równowartość 660 tys. euro. Nie oceniając na tym etapie ani jej zasadności, ani kwestii wysokości, należy wskazać, iż jednym z istotnych aspektów poruszonych w decyzji jest kwestia niewystarczającego zabezpieczenia organizacyjnego i technicznego przechowywanych danych. Kwestia ta stanowi niejako podstawę nałożenia kary. Efektem rzekomych uchybień był powszechnie znany wyciek informacji o około 2,2 mln użytkownikach serwisu, przy czym oprócz danych logowania w serwisie i kontaktowych użytkowników mogły wśród nich znaleźć się też dane z formularzy ratalnych.
Polecamy: RODO 2019. Plusy i minusy zmian od 4 maja
Na atak narażeni są wszyscy
Sytuacja ta pokazuje, że nawet przedsiębiorstwa działające w sferze cyfrowej od wielu lat, mogą stać się ofiarą ataku hackerskiego. Można zaryzykować tezę, że ziszczenie się ryzyka ataku jest w zasadzie kwestią czasu i w pewnym stopniu może dotknąć każdego z nas. Przed prawnikami i branżą ubezpieczeniową stoi zatem niebagatelna kwestia określenia sposobu zabezpieczenia przed skutkami ryzyk określanych mianem zagrożeń cybernetycznych. Taką rolę pełni umowa ubezpieczenia. Zatem, o ile aspekty techniczne mają za zadanie zatrzymać i zminimalizować ryzyko incydentu, to polisa ma pomóc zmierzyć się ze skutkami, jeśli do incydentu już dojdzie. Pewnym jest, że posiadanie przez firmę ubezpieczenia od ryzyk cybernetycznych może okazać się nieocenionym wsparciem.
Polisa zapewnia środki na kampanię informacyjną i likwidację zagrożenia
Rzecz jasna nie zapobiegnie samemu atakowi. Jednakże środki, których wypłatę przewiduje polisa, mogą być przeznaczone na wiele działań minimalizujących skutki ataku. Przede wszystkim pozwalają one na przeprowadzenie dokładnego audytu bezpieczeństwa, także z udziałem ekspertów zewnętrznych, a następnie likwidację zagrożenia i szeroką rozumianą informatykę śledczą. Drugim istotnym obszarem wsparcia, które zapewnia ubezpieczenie, jest pokrycie kosztów akcji informacyjnej, np. masowej wysyłki poczty elektronicznej czy tradycyjnej lub uruchomienie call center. Jak wiadomo, jest to jeden z głównych obowiązków administratora w przypadkach naruszenia bezpieczeństwa danych. Z pomocą ubezpieczyciela można też przeprowadzić kampanię informacyjną w mediach masowego przekazu. Trzeba bowiem pamiętać, że w myśl przepisów prowadzone przez firmę działania muszą być skuteczne. Jest to bardzo istotne, ponieważ mogą ona wpłynąć na skalę strat w wyniku wycieku. Co więcej, jedna z wcześniejszych kar UODO została nałożona właśnie za niespełnienie obowiązku informacyjnego.
Wsparcie wizerunkowe
Wyciek danych prowadzi też zazwyczaj do kryzysu wizerunkowego firmy, która nimi zarządzała. Również zabezpieczenie na ten wypadek przewiduje umowa ubezpieczenia, ponieważ zapewnia wypłatę środków równoważących koszty zarządzania kryzysowego służącego odzyskaniu zaufania klientów. W przypadku zaś sklepu internetowego atak może prowadzić do utraty przychodów i braku możliwości sprzedaży przez pewien okres czasu. Można zatem rozmawiać o ubezpieczeniu zysku przedsiębiorstwa, który spada w przypadku cyber incydentu.
Cyberpolisa zapewnia też wsparcie w postępowaniach administracyjnych
Istotnym elementem ochrony, zwłaszcza w analogicznych przypadkach jak sprawa Morele.net, jest wsparcie w zakresie obrony w postępowaniach regulacyjnych i pokrycie jej kosztów. Rzecz jasna istnieje szereg różnych indywidualnych i szczegółowych obostrzeń w zakresie udzielanej ochrony ubezpieczeniowej. Po pierwsze, naruszenie musi mieć charakter nieumyślny. Niektóre towarzystwa ubezpieczeń zastrzegają także, że udzielą wsparcia tylko w przypadku, jeżeli będzie to pierwsze postępowanie wszczęte z tego tytułu. Wśród kosztów obrony, które może pokryć ubezpieczenie, znajdują się nakłady potrzebne na porady i reprezentację prawną, koszty postępowań sądowych oraz inne wydatki jak zatrudnienie niezależnych rzeczoznawców.
Polisa powinna też przewidywać wypłatę środków finansowych na pokrycie nałożonych kar administracyjnych. Wskazany zakres jest jednak często ograniczany do ustalonego limitu. Wszystko jest jednak kwestią właściwych i skutecznych negocjacji umowy ubezpieczenia.
Ile kosztuje cyberubezpieczenie?
Na cenę cyberpolisy składa się wiele elementów. Bezpośredni wpływ jednak mają wysokość sumy ubezpieczenia (kwoty, do jakiej odpowiada ubezpieczyciel), ocena ryzyka (stopień zabezpieczeń i wewnętrzne procedury ubezpieczonego) oraz wnioskowany zakres ubezpieczenia. Można jednak z dużym uproszczeniem powiedzieć, że koszt udzielenia ochrony do wysokości miliona złotych oscyluje w granicach 8 000 – 15000 zł dla prostych ryzyk. Skomplikowane w swej strukturze i wymagające podmioty wymagają indywidualnego podejścia i odrębnej kwotacji.
Polecamy serwis: Ubezpieczenia