Wyciek danych z biura rachunkowego i postępowanie przed UODO: co pokryje sekcja Cyber i RODO

Sytuacja

Pracownica biura loguje się na fałszywej stronie „poczty” z wiadomości phishingowej. Przestępca przejmuje skrzynkę i pobiera z niej listy płac kilku klientów — z imionami, nazwiskami, numerami PESEL i wynagrodzeniami ponad stu osób. Biuro orientuje się po dwóch dniach.

Klienci biura (administratorzy danych) zgłaszają naruszenie do Prezesa UODO. UODO wszczyna postępowanie także wobec biura jako podmiotu przetwarzającego i bada, jak było zabezpieczone.

Co mówią przepisy

• Biuro przetwarza dane pracowników klienta na podstawie umowy powierzenia (art. 28 RODO) — jest podmiotem przetwarzającym.
• Po stwierdzeniu naruszenia biuro musi bez zbędnej zwłoki zawiadomić klienta (art. 33 ust. 2 RODO). Klient zgłasza naruszenie do UODO w ciągu 72 godzin.
• Prezes UODO może nałożyć administracyjną karę pieniężną także na podmiot przetwarzający (art. 83 RODO). Osoby, których dane wyciekły, mogą żądać odszkodowania (art. 82 RODO).

Co mówi polisa

Podstawowe OWU wyłączają szkody z działań elektronicznych i naruszeń przepisów o ochronie danych (§ 6 ust. 25). Ten obszar wraca w pakiecie jako sekcja V — klauzula LW203:

• Dochodzenie regulacyjne: koszty obrony w postępowaniu po naruszeniu bezpieczeństwa danych — przed Prezesem UODO, organami ścigania lub samorządu zawodowego — oraz ubezpieczalne kary administracyjne nałożone w takim postępowaniu.
• OC wobec osób trzecich m.in. za naruszenie poufności i prywatności związane z treścią e-maili biura, także po zmianach wprowadzonych przez hakera, za nieumyślne przesłanie wirusa i za niewłaściwe wykorzystanie danych klientów pozyskanych przez internet. Czy roszczenia konkretnych osób się w tym mieszczą, ocenia ubezpieczyciel w danej sprawie.
• Limit: do 200 000 zł łącznie, w ramach sumy sekcji II. Udział własny: 2 000 zł na każde roszczenie lub postępowanie, łącznie z kosztami obrony.

Warunki, bez których sekcja V nie zadziała

Klauzula LW203 uzależnia wypłatę od trzech środków ostrożności. Biuro musi:

1. używać i aktualizować oprogramowanie chroniące przed wirusami i nieuprawnionym dostępem,
2. robić kopie zapasowe danych używanych w pracy — nie rzadziej niż raz w tygodniu,
3. usunąć lub zmienić loginy i hasła, gdy wie albo podejrzewa, że dostała się do nich niepowołana osoba.

Uwaga: w sekcji V wyłączone są uchybienia rażąco niedbałe — inaczej niż w pozostałej części pakietu.

Czego sekcja V nie pokryje

• Własnych strat biura: odtworzenia danych, przestoju, informatyków śledczych, okupu, utraty klientów. Do tego służy osobna polisa cyber — opisujemy ją na OchronaCyber.
• Skutków awarii internetu i usług telekomunikacyjnych.

A jeśli księgowa po prostu wyśle listę płac do złego adresata?

To inny przypadek. Wyłączenie „cyber” w OWU wprost nie dotyczy błędnej wysyłki wiadomości elektronicznych, a pakiet obejmuje nieumyślne naruszenie obowiązku zachowania tajemnicy (§ 3 ust. 2 OWU). Taką pomyłkę ocenia się więc w ramach sekcji II, bez udziału własnego z sekcji V.

Przykład opracowany na podstawie OWU Leadenhall LW023/PI/BK/PL/11 oraz klauzul LW200 i LW203 stosowanych w programie dla biur rachunkowych. Osoby, firmy i kwoty są fikcyjne. O wypłacie zawsze decyduje ubezpieczyciel po ocenie konkretnej sprawy, a zakres ochrony określa polisa.