II.5.1 Compliance en kosten rondom de meldplicht datalekken

Compliance en verantwoording zijn belangrijke thema’s in de AVG. Vertaald naar verzekeringsdekking is dit element met name te zien rondom de meldplicht datalekken. Een voorbeeld daarvan is het feit dat alle getoetste polissen voorzien in incident response services. Daarmee kan de aangeboden dekking voor de verwerkingsverantwoordelijke een middel vormen om in geval van een datalek aan de AVG te voldoen.

Verzekerden kunnen aanspraak maken op crisismanagement,1 juridische ondersteuning bij de beoordeling of de inbreuk meldingplichtig is,2 of juist voor de communicatie met de overheid.3 De technische ondersteuning kan bestaan uit forensische of IT-diensten die de oorzaak van de inbreuk vaststellen4 of herstelwerkzaamheden uitvoeren.5 Verder bieden alle getoetste polissen dekking voor het opzetten van een callcenter om betrokkenen van informatie te voorzien, al is daar in een enkele polis voorafgaande toestemming van de verzekeraar voor nodig.6

Dekking voor deze diensten is met het oog op de 72-uurstermijn uit de AVG in Europa wellicht nog wenselijker dan in de VS. De verzekerde kan gebruik maken van het netwerk van specialisten van de verzekeraar, wat een grote tijdbesparing kan opleveren. Het wordt daarmee voor hem een stuk beheersbaarder om te voldoen aan de eisen van de AVG rondom het melden van datalekken.

Het merendeel van de onderzochte polissen noemt bij incident response services ook diensten zoals (krediet)monitoring.7 De polissen definiëren dit begrip niet. De AVG kent geen wettelijke verplichting voor verwerkingsverantwoordelijken om deze dienst aan de betrokkenen aan te bieden. De vraag is dan ook hoe dergelijke clausules in het licht van de Europese regelgeving dienen te worden uitgelegd; wanneer is kredietmonitoring bijvoorbeeld ‘noodzakelijk’, zoals in een aantal polissen als voorwaarde is opgenomen?8 Is dit in Europa bovendien wel een uitvoerbare en effectieve dienst, waar kredietbureaus veel minder gebruikelijk zijn dan in de VS? Bij gebrek aan een wettelijke verplichting die een dergelijke dienst voorschrijft,9 ligt de noodzaak (dan wel het effect) van het verlenen van een dergelijke dienst eerder in de beperking van de eigen (reputatie)schade van de verzekerde, dan in compliance. Overigens lijkt kredietmonitoring ook als beperking van reputatieschade eerder een Amerikaans dan een Europees fenomeen.10 Vooralsnog zie ik in dit aspect van de dekking geen directe aansluiting op een uit de AVG voortvloeiende behoefte.

De in Nederland aangeboden polissen bieden net als de polissen in de VS dekking voor notificatiekosten.11 De waarde die aan deze dekking in Europa zal worden gehecht – en daarmee de vraag of dit voor Europese bedrijven een reden vormt om een cyberverzekering af te sluiten – kan echter van de VS verschillen door het one-stop-shop beginsel uit de AVG: er dient te worden gemeld aan één instantie, de toezichthouder. De drempel om ook aan de betrokkenen te melden, ligt hoger en kent verschillende uitzonderingen (bijvoorbeeld als individuele notificatie onevenredige inspanningen zou vergen).12 In de VS is dit juist andersom: het uitgangspunt is dat melding altijd aan alle betrokkenen wordt gedaan, niet zozeer aan de toezichthoudende autoriteit. Daar komt bij dat er in de Amerikaanse regelgeving, anders dan onder de AVG, geen verdere toetsingsdrempel voor de meldingsplichtigheid van de inbreuk bestaat. Er zal dus sneller moeten worden gemeld aan (veel) meer geadresseerden dan in Europa. De daaraan verbonden kosten zullen in de VS dus hoger zijn dan in Europa.13 Dat notificatiekosten in de VS een grotere drijfveer vormen voor het afsluiten van verzekeringsdekking dan in Europa is derhalve aannemelijk.

Andere aspecten van compliance, bijvoorbeeld preventieve maatregelen zoals beveiliging, vergen op de eerste plaats een investering van verzekeringnemers zelf. Toch lijkt er net als in de VS ook in Europa een groeimogelijkheid te bestaan in dekking voor zogenoemde pre-breach services. Verzekeraars kunnen verzekerden helpen om reeds in de acceptatiefase de beveiliging tegen datalekken op een hoger niveau te brengen, adequate response plannen op te stellen en organisatorische maatregelen te treffen, zoals training van het personeel. Indien (een deel van) deze kosten door de verzekeraar wordt vergoed of anderszins in de premie wordt verdisconteerd, dan lijkt dat een aantrekkelijke reden voor organisaties om zich te verzekeren.