Bestuurder aansprakelijk voor datalek?

Bjorn Jalving Turien & Co 2017

De afgelopen maanden is er veel aandacht besteed aan cyberrisico’s en de Meldplicht Datalekken. Ook advocatenkantoren en accountants bloggen graag over dit onderwerp. Een cyberverzekering is een oplossing voor dit risico. Maar wie draait er op voor de kosten als deze er niet is, vraagt Björn Jalving (Turien & Co) zich af. “Kunnen de bestuurders hiervoor uiteindelijk in hun privévermogen worden aangesproken?”

Bij een datalek onderscheiden wij grofweg de volgende kostensoorten:
• de boete op grond van de Meldplicht Datalekken;
• de interne kosten die een organisatie moet maken om een datalek af te handelen. Hierbij valt te denken aan opsporings-, onderzoeks-, meldings-, correspondentiekosten en juridisch advies;
• de externe kosten. Hierbij valt te denken aan aansprakelijkheids- en verweerkosten.

Een bestuurder van een rechtspersoon is niet zomaar aansprakelijk. Hiervan kan echter wel sprake zijn bij een onbehoorlijke taakvervulling of wanneer de bestuurder een ernstig verwijt te maken valt. Rechterlijke uitspraken op het gebied van bestuurdersaansprakelijkheid en datalekken of privacyschending zijn er bij mijn weten op dit moment nog niet. Wel zien wij twee nationale en één internationale ontwikkelingen op het gebied van bestuurdersaansprakelijkheid waardoor dit mogelijk in de toekomst verandert.

Uit onachtzaamheid fundamentele bestuursplichten verwaarlozen. Het bijhouden van een behoorlijke administratie is een duidelijke plicht van het bestuur. Vandaag de dag zou je eveneens van een bestuurder mogen verwachten dat deze administratie adequaat wordt beveiligd. Zeker wanneer het hier gaat om privacygevoelige persoonsgegevens.

Enerzijds is dit in het belang van de organisatie. Een datalek kost simpelweg geld en is bovendien van invloed op de reputatie van een organisatie, daarnaast verlangt de Meldplicht Datalekken (Wet Bescherming Persoonsgegevens) dit van een organisatie. Anderzijds kan een datalek ook anderen (klanten, cliënten en patiënten) schade toebrengen. Denk hierbij bijvoorbeeld aan een datalek bij een bedrijfsarts, waardoor een medewerker geen kans maakt op een andere baan.

Zou je van een bestuurder niet mogen verwachten dat de rechtspersoon – in het bijzonder wanneer deze privacygevoelige informatie onder zich heeft – adequate technische en organisatorische preventie- en beveiligingsmaatregelen treft?

Nalaten zich in te dekken tegen voorzienbare (financiële) risico's. In een eerdere blog op de website van Turien publiceerden wij een overzicht van de kosten bij een datalek. Naast deze kosten zijn er ook andere cyberrisico’s die mogelijk tot een grote schadepost kunnen leiden; denk bijvoorbeeld aan omzetderving door een offline website of portaal. Zijn deze risico’s duidelijk te voorzien? Datalekken zijn wekelijks in het nieuws. Cyberrisico zouden dus in iedere bestuurskamer besproken moeten worden, het is immers 2016!

In de VS hebben aandeelhouders de afgelopen jaren diverse malen getracht bestuurders aansprakelijk te stellen voor een datalek. Overigens zijn deze claims lang niet altijd succesvol. Argumenten die in deze zaken worden aangevoerd zijn onder meer het hebben van zwaar verouderde systemen of het niet adequaat monitoren van de ICT-processen (gebrek aan controle).

Dekking bestuurdersaansprakelijkheidsverzekering

Boetes zijn een met name genoemde uitsluiting op de bestuurdersaansprakelijkheidsverzekering, dus hiervoor biedt deze verzekering dan ook geen dekking. Voor de interne en externe kosten ligt dit anders en is deze dekking er doorgaans bij de meeste maatschappijen wel. Een goede bestuurdersaansprakelijkheidsverzekering biedt dekking bij doen en bij nalaten en biedt tevens dekking voor het niet afsluiten van een adequate verzekering. Dat er mogelijk voor een deel van de kosten uiteindelijk dekking bestaat op een bestuurdersaansprakelijkheidsverzekering, betekent uiteraard niet dat een cyberverzekering overbodig is.

Vaker verhaal op bestuurders
Wanneer de financiële consequenties erg groot zijn, zou een aandeelhouder of een andere belangrijke stakeholder een bestuurder succesvol kunnen aanspreken bij een datalek. Die duurbetaalde en ervaren bestuurder moet toch immers weten dat er voor Windows XP geen beveiligingsupdates meer plaatsvinden?

Waar ik persoonlijk het meest van verwacht is bestuurdersaansprakelijkheid op grond van de externe kosten. Wanneer particulieren schade hebben als gevolg van een datalek en de rechtspersoon onvoldoende financiële middelen heeft om deze schade te vergoeden, is het dan niet redelijk dat de particuliere klanten dit op de bestuurders kunnen verhalen? Ik zie meerdere aanknopingspunten waaronder de meldplicht datalekken, de aankomende Dataprotectieverordening, de Autoriteit Persoonsgegevens die in een open brief aan bestuurders van zorginstellingen aandacht vraagt voor de bescherming van patiëntgegevens en de maatschappelijke ontwikkelingen die tenderen naar het secuur omgaan met privacygevoelige informatie. Ik ben benieuwd hoe dit zich verder zal gaan ontwikkelen!

Reactie toevoegen

 
Mogelijk geen verzekering meer voor bedrijven met gebrekkige cybersecurity

Mogelijk geen verzekering meer voor bedrijven met gebrekkige cybersecurity

Volgens Marie-Louise de Smit, Cyber Broking Director bij Aon’s Cyber Solutions, moet cybersecurity binnen organisaties fors verbeterd worden, willen de verzekeringen...

Meer cybercriminaliteit

Meer cybercriminaliteit

Het criminaliteitsbeeld is vorig jaar sterk beïnvloed door de coronapandemie, aldus de politie. Het aantal geregistreerde woninginbraken daalde met 23 procent...

Bestuurdersaansprakelijkheid: meer en hogere (collectieve) claims

Bestuurdersaansprakelijkheid: meer en hogere (collectieve) claims

(Partner VVP door Michel Mackaaij, Financial Lines Manager Benelux bij Chubb) Wereldwijd liggen bestuurders onder een vergrootglas en de risico’s waarvoor...

BAVAM-polis uitgebreid met aanvullende cyberdekking

BAVAM-polis uitgebreid met aanvullende cyberdekking

De BAVAM-polis is uitgebreid met een aanvullende cyberdekking. Dit in samenwerking met Hiscox. De Vereende mag de cyberverzekering namens Hiscox vanaf 1 januari...

ACL Verzekeringen lanceert cyberverzekering

ACL Verzekeringen lanceert cyberverzekering

ACL Verzekeringen, onderdeel van de Nyenborgh Group, heeft een cyberverzekering gelanceerd. Los van social engineering en het verlies van onversleutelde draagbare...

Van IT-beslissers weet 28 procent niet of organisatie cyberdekking heeft

Van IT-beslissers weet 28 procent niet of organisatie cyberdekking heeft

In onderzoek door Orange Cyberdefense geeft 35 procent van de 264 ondervraagde Nederlandse IT-verantwoordelijken aan een cyberverzekering te hebben. Achtendertig...

Turien & Co. opent Financial Lines Portaal

Turien & Co. opent Financial Lines Portaal

Turien & Co. heeft het Financial Lines Portaal geopend, een vergelijkingsmodule waarmee adviseurs de premies, acceptatiecriteria en voorwaarden van vier verschillende...

Mes aansprakelijkheidsregime bot bij cybersecurityschade

Mes aansprakelijkheidsregime bot bij cybersecurityschade

Het Nederlandse aansprakelijkheidsrecht biedt onvoldoende mogelijkheden biedt om in een b2b-relatie cybersecurityschade te verhalen. De conclusie in een studie in...

Kabinet: cyberpool niet nodig nu

Kabinet: cyberpool niet nodig nu

Het kabinet vindt een cyberpool nu niet nodig. Verzekeringen kunnen volgens de regering schade door cyberincidenten goed opvangen. Minister Grapperhaus in de kabinetsreactie...

Dekkingsbedragen BAV tussenpersonen omhoog

Dekkingsbedragen BAV tussenpersonen omhoog

De dekkingsbedragen in de BAV voor verzekerings- en herverzekeringstussenpersonen gaan met 4,03 procent omhoog. Het betreft de vijfjaarlijkse aanpassing op grond...