III.3.11 PCI-DSS

PCI-DSS staat voor Payment Card Industry Data Security Standard. Deze beveiligingstandaard is rond 2004 ontwikkeld door een aantal toonaangevende financiële dienstverleners: American Express, Discover Financial Services, JCB International, Mastercard en Visa.1 Om de PCI-DSS goed te kunnen begrijpen is een gegronde kennis van de betaalkaartindustrie een vereiste. Een uitgebreide weergave van deze complexe industrie valt buiten het bereik van dit onderzoek.2 Ik volsta dan ook met een beknopte bespreking daarvan teneinde de verzekeringsdekking voor PCI-DSS te kunnen duiden.3

Betaalkaarten worden gebruikt door consumenten en door partijen die deze betaalmiddelen accepteren: winkeliers en handelaren (in de terminologie van de PCI-DSS: ‘merchants’). Daarnaast zijn de actoren in dit betalingslandschap de acquiring organisaties (bijvoorbeeld banken, die creditcardbetalingen verwerken), issuing organisaties (wederom bijvoorbeeld banken, die creditcards uitgeven) en service providers (bijvoorbeeld bedrijven die merchants ondersteunen bij de verwerking van de transacties).4

De bedoeling van de PCI-DSS is om de uiteindelijke eindgebruiker van betaalkaarten, de consumenten, te beschermen tegen privacy-incidenten en creditcard- en identiteitsfraude. Financiële gegevens zijn bijzonder gevoelige persoonsgegevens en misbruik daarvan kan snel grote schade aanrichten bij de consument. Mede om het vertrouwen van de consument in de betaalindustrie te waarborgen, heeft de betaalindustrie zelf een beveiligingsstandaard ontwikkeld.5 Deze standaard is een private aanvulling op het versnipperde Amerikaanse privacyrecht en de bijbehorende beveiligingsvoorschriften.6 De standaard wordt periodiek geüpdatet.7

De PCI-DSS legt beveiligingsvereisten op aan alle organisaties die creditcardtransacties verwerken, verzenden, opslaan of inzien.8 De handhaving van de naleving van deze vereisten is gelegen in de contracten, bijvoorbeeld de overeenkomsten die de merchants sluiten met de banken (Merchant Service Agreement). Daarin wordt compliance met de PCI-DSS overeengekomen op straffe van (contractuele) boetes of verhoogde transactiekosten. De bank garandeert veelal op haar beurt aan de betaalkaartindustrie dat de gecontracteerde merchant compliant is met de PCI-DSS, eveneens op straffe van boetes en (kosten voor) andere maatregelen, bijvoorbeeld de kosten van het opnieuw uitgeven van betaalkaarten.9 Om die reden is in de overeenkomst tussen de banken en de merchants veelal een vrijwaringsbepaling opgenomen ten gunste van de bank voor deze boetes en kosten.10

Een voorbeeld van een Amerikaanse zaak maakt deze verhoudingen duidelijk.11 P.F. Chang’s China Bistro, een restaurantketen, had een Merchant Service Agreement met Bank America Merchant Services (BAMS), om de betaalkaarttransacties van de consumenten te verzorgen. BAMS had op haar beurt een overeenkomst met MasterCard. In deze laatste overeenkomst was opgenomen dat BAMS aan MasterCard verschillende fees and assessments zou vergoeden in het geval van een privacy- of securityincident. In het contract tussen BAMS en Chang’s China was derhalve voor deze fees and assessments een vrijwaringsbeding ten gunste van BAMS opgenomen.

Chang’s China werd getroffen door een grootschalig datalek waarmee 60.000 creditcardnummers van de klanten van Chang’s China op internet werden gepubliceerd. Op grond van de overeenkomst met BAMS diende Chang’s China vervolgens verschillende kosten aan BAMS te vergoeden, waaronder assessments costs, notificatiekosten en, de grootste kostenpost, de kosten van het opnieuw uitgeven van de creditcards.

Voor de gebruikelijke kosten die Chang’s China had moeten maken als gevolg van het privacy-incident, zoals incident-responsekosten, keerde haar cyberverzekeraar meer dan 1,7 miljoen dollar uit. Voor deze PCI-DSS kosten, die ongeveer 2 miljoen dollar zouden bedragen, kwam het echter aan op een rechtszaak. De rechter stelde Chang’s China in het ongelijk. Eén van de overwegingen van de rechtbank was dat deze kosten onder de uitsluiting voor contractuele aansprakelijkheid vielen.

In Nederland bieden vrijwel alle onderzochte cyberverzekeringen dekking voor kosten en boetes als gevolg van PCI-DSS aanspraken.12 De PCI-DSS boete is een contractuele boete. Contractuele boetes zijn standaard van dekking uitgesloten. Anders dan in het geval van Chang’s China maakt iedere cyberverzekeraar in Nederland daarop echter een uitzondering voor PCI-DSS boetes.

De plaats van deze dekkingsomschrijving in de cyberverzekering verschilt per verzekeraar. Er is discussie denkbaar over de vraag of dit dekkingselement moet worden gezien als first-party- of third-partyschade. Nu het hier gaat om een derde partij die aanspraak maakt op betaling van kosten door onzorgvuldig handelen, heb ik deze bepaling onder third-partyschade gebracht.

Ook voor deze dekkingsomschrijving geldt dat de polisbepalingen uiteenlopen. Een aantal verzekeraars hanteert een ruime dekkingsomschrijving:

⁜

⁜

Behoudens mogelijke beperkingen door bijvoorbeeld sublimieten, zijn deze dekkingsomschrijvingen ruim. De dekking omvat bijvoorbeeld PCI-DSS boetes, onderzoekskosten en kosten voor vervanging van betaalkaarten. Andere verzekeraars bakenen de dekking echter scherper af en bieden enkel dekking voor de mogelijke boete en de kosten van verweer:

Zoals uit de zaak Chang’s China volgt, kunnen de kosten die voortvloeien uit een overtreding van de PCI-DSS en de in dat kader gesloten overeenkomsten, veel hoger zijn. In de zaak Chang’s China was de grootste kostenpost bijvoorbeeld de kosten voor het opnieuw uitgeven van de betaalkaarten.17 Deze kosten zijn onder de hierboven geciteerde verzekering mijns inziens niet gedekt.

Wel biedt deze verzekeraar dekking voor de kosten van verweer. Voor een verzekerde kan dekking voor deze kosten waardevol zijn. Of de kosten van verweer bij PCI-DSS aanspraken zijn verzekerd, komt echter niet in iedere polis duidelijk naar voren:

Over de kosten van verweer bij aanspraken uit hoofde van de PCI-DSS bepalen deze polisvoorwaarden niets specifieks. Of die kosten zijn gedekt, is daardoor niet duidelijk.