III.3.7 Boetes

Sinds de inwerkingtreding van de AVG heeft de AP een forse boetebevoegdheid gekregen. Op grond van artikel 83 AVG kan de AP boetes opleggen van maximaal twintig miljoen euro, of vier procent van de wereldwijde omzet. De omvang van deze boetes heeft voor nogal wat reuring gezorgd. Vooralsnog vallen de frequentie en de omvang van de opgelegde boetes echter te overzien.1 De opgelegde boetes zijn bovendien in beroep niet altijd houdbaar gebleken.2

Vrijwel alle cyberverzekeringen op de Nederlandse markt bieden dekking voor deze boetes.3 Deze clausules zijn bij de meeste verzekeraars terug te vinden onder de rubriek ‘aansprakelijkheid’.4 In vrijwel alle gevallen is opgenomen dat dekking voor boetes wordt verleend, ‘voor zover dit wettelijk is toegestaan’ of ‘voor zover wettelijk verzekerbaar’:

Een voorbeeld van een wat meer cryptische omschrijving van een dergelijke polisbepaling is de volgende bepaling:

De overgrote meerderheid van de cyberverzekeraars op de Nederlandse markt is op dit moment dus bereid om de door de AP opgelegde boete te vergoeden (uiteraard binnen de maximaal verzekerde som en in een enkel geval binnen de sublimiet).

Of dat wettelijk is toegestaan, blijft de vraag. Het verzekeren van boetes is mogelijk in strijd met de integriteitsnormen zoals genoemd in artikel 4:11 Wft. Daarnaast kan sprake zijn van strijd met de goede zeden of de openbare orde in de zin van artikel 3:40 BW.7 Indien dat het geval is, is de overeenkomst nietig.8

Artikel 3:40 BW vormt een begrenzing van het uitgangspunt van contractsvrijheid. Dit artikel wordt derhalve met terughoudendheid toegepast.9 Een overeenkomst kan naar inhoud of strekking in strijd zijn met de goede zeden of openbare orde. Noch het begrip ‘goede zeden’, noch ‘openbare orde’ laat zich gemakkelijk concretiseren. De invulling daarvan kan immers naar tijd en plaats verschillen.10 Of een overeenkomst naar inhoud of strekking daarmee strijdig is, dient te worden beoordeeld naar de specifieke omstandigheden van het geval.11 Dit gegeven maakt een sluitende analyse van dit vraagstuk complex.12 Niettemin zijn in dit kader wel enkele overwegingen te geven.

Het verzekeren van civielrechtelijke boetes is in de regel (vaak tegen extra premie) toegestaan, terwijl het verzekeren van strafrechtelijke boetes niet wordt geduld. Toen de Zweedse verzekeraar Bisso in 2006 een verkeersboeteverzekering introduceerde, hield de Minister van Justitie dat tegen onder dreiging met een kort geding.13 Het verzekeren van strafrechtelijke boetes druist in tegen het punitieve karakter van deze boetes. Verzekeringsdekking neemt de prikkel om dergelijk ongewenst niet te vertonen weg en doorkruist de bestraffing die plaatsvindt bij overtreding van wettelijke voorschriften. De partijen bij de verzekeringsovereenkomst zijn zich daar bovendien van bewust. De belangen van – in het geval van Bisso – verkeersveiligheid die met wettelijke verkeersregels worden beschermd, zijn zodanig dat het afschrikwekkend effect van de handhaving daarvan, onder andere door middel van boetes, dient te worden gewaarborgd.

Bij bestuursrechtelijke boetes, zoals de boetes onder de AVG, ligt dat anders. Van een zuiver punitief karakter is daarbij immers geen sprake.14 De boete uit hoofde van de AVG dient ‘doeltreffend, evenredig en afschrikwekkend’ te zijn om de naleving van AVG te handhaven.15 De AVG schrijft verschillende verplichtingen voor, waaronder de verplichting tot het treffen van passende technische en organisatorische maatregelen.16 Het is geen gegeven dat verzekeringsdekking voor (een deel van) de boete deze prikkel wegneemt of doorkruist. Zowel in de acceptatiefase als tijdens de looptijd van de verzekering kan de verzekeraar dezelfde of zelfs nog strengere eisen stellen aan het gedrag van de verzekerde als de AVG voorschrijft. Verzekeringen dragen daarmee in potentie bij aan een hoger niveau van gegevensbescherming en cybersecurity. Hoewel uit hoofdstuk IV zal blijken dat verzekeraars op dit punt nog stappen kunnen zetten, acht ik verzekeringsdekking voor deze bestuurlijke boete niet zonder meer in strijd met artikel 3:40 BW. Dit zal per geval moeten worden beoordeeld.

Op dit moment is er geen jurisprudentie over de mate waarin bestuursrechtelijke boetes rechtsgeldig zijn te verzekeren.17 Ook de jurisprudentie uit andere landen, zoals de Verenigde Staten en het Verenigd Koninkrijk, biedt daarbij weinig aanknopingspunten. In de Verenigde Staten is bijvoorbeeld veelvuldig geprocedeerd en geschreven over de vraag of punitive damages verzekerbaar zijn, maar het beeld daarvan is zeer wisselend.18 In het Verenigd Koninkrijk is geprocedeerd over de vraag of een boete onder de Competition Act kon worden afgewenteld op de (aansprakelijkheidsverzekeraars van de) bestuurders van het beboete bedrijf.19 Dit (negatief luidende) oordeel is echter zodanig verweven met specifieke common law beginselen,20 dat dit weinig bruikbare handvatten biedt voor de Nederlandse situatie.21

Zolang er geen jurisprudentie bestaat of openbare statements van bijvoorbeeld de regering waaruit het tegendeel blijkt, is het uitgangspunt op dit moment, gelet op het beginsel van contractsvrijheid, dat de AVG-boete in Nederland rechtsgeldig is gedekt onder de cyberverzekering.

Uiteraard is dit niet het geval indien sprake is van opzet van de verzekerde. Op grond van artikel 7:952 BW kan schade die door opzet van de verzekerde is ontstaan, niet worden verzekerd. Ook in de polisvoorwaarden is dekking in die gevallen veelal uitgesloten.22 Verzekerden kunnen de AVG echter ook zonder opzet en soms zelfs onbewust overtreden. De AVG bevat zodanig veel open normen dat dit voor veel bedrijven en organisaties onzekerheid oplevert, zeker nu op overtreding van deze open normen een boete staat. Bedrijven die een AVG-boete opgelegd krijgen, zijn niet altijd bewust in overtreding. Een voorbeeld is de boete van € 525.000,- die in december 2019 door de Autoriteit Persoonsgegevens werd opgelegd aan de tennisbond KNLTB.23 De KNLTB heeft beroep ingesteld tegen dit boetebesluit, omdat hij altijd conform het advies van meerdere (privacy)deskundigen stelt te hebben gehandeld en er onder andere daardoor van uitging dat aan de voorschriften uit de AVG werd voldaan.24

In dit voorbeeld is sprake van een hoge boete voor een organisatie die niet bewust laakbaar stelt te hebben gehandeld, maar ‘slachtoffer’ stelt te zijn geworden van een onduidelijke wet en een strikte handhaver. In die gevallen is opzet in de zin van artikel 7:952 BW, enigszins afhankelijk van de concrete omstandigheden, waarschijnlijk niet aan de orde. Dit maakt de AVG-boete een dermate onzeker risico, dat een verzekeringsmogelijkheid een wenselijke – en naar mijn mening wettelijk toegestane – oplossing kan vormen en die mede daarom ook niet in strijd komt met artikel 3:40 BW. Dit is temeer het geval nu de cyberverzekering ook dekking biedt voor kosten van verweer bij een bestuurlijke maatregel. In §4.2.3 ga ik daarop nader in.

Meer helderheid op dit punt is evenwel gewenst. De Europese Organisatie voor Economische Samenwerking en Ontwikkeling (‘OESO’) heeft inmiddels een terechte oproep gedaan aan overheden en toezichthouders om meer duidelijkheid te verschaffen over de verzekerbaarheid van boetes, waarbij rekening moet worden gehouden met de mogelijkheid dat een verzekerde partij niet altijd bewust nalatig is geweest.25