網(wǎng)絡保險公司Coalition宣布新保險政策,專為歐盟GDPR所設(shè),支持賠付因GDPR違規(guī)而產(chǎn)生的罰款和其他損失。
新政策主要針對向歐盟居民提供商品或服務的中小企業(yè)。賠付金額從2.5萬美元到1,000萬美元不等,涵蓋防御開支和GDPR違規(guī)產(chǎn)生的罰款和處罰。
Coalition的新保險政策所需保費最低50美元/年,如果想要獲得最高1,000萬美元的賠付,每年需支付10萬美元保費。賠付金額在100萬美元到200萬美元之間的普通保單每年保費在4,000美元左右。
Coalition創(chuàng)始人兼首席執(zhí)行官 Joshua Motta 表示:
保單不僅包括網(wǎng)絡保險市場普遍涵蓋的數(shù)據(jù)和隱私泄露所致罰款與處罰,更重要的是為公司未能遵從隱私策略而引發(fā)的處罰兜了底。
與其他數(shù)據(jù)隱私法律不同,即便沒有造成切實的數(shù)據(jù)泄露,只要公司未能合規(guī),GDPR就會加以處罰。事實上,自去年5月GDPR生效以來,歐盟監(jiān)管機構(gòu)已經(jīng)對多家公司企業(yè)采取了行動,無論是未能遵從公司自身的策略,還是沒有完全符合GDPR對隱私披露、數(shù)據(jù)收集、處理及使用的規(guī)定,都會收到歐盟監(jiān)管機構(gòu)的罰單。案例之一就是今年1月法國數(shù)據(jù)保護機構(gòu)CNIL對谷歌開出的5,000萬歐元罰單——原因是該公司出于定向廣告目的收集數(shù)據(jù)時缺乏透明性,沒有提供足夠的提示信息,未征得用戶的有效同意。
以前,只要有數(shù)據(jù)泄露保險政策便已足夠,因為現(xiàn)有隱私法律下的罰款和處罰僅在發(fā)生數(shù)據(jù)泄露的情況下才會被觸發(fā)。但GDPR一生效,即便沒有泄露一個比特的客戶數(shù)據(jù),公司企業(yè)也有可能遭到處罰。這就導致大多數(shù)網(wǎng)絡保險政策當中出現(xiàn)了一個巨大的空白。Coalition的新保險政策正是為了解決這一問題。
令人頭暈的不確定性
GDPR違規(guī)保險的可用性和該法治下罰款及處罰的可保性,直到這項法律生效后的第9個月仍處在誰都說不清的狀態(tài)。
去年11月的一份報告中,《國家法律評論》就GDPR違規(guī)相關(guān)罰款和處罰是否在現(xiàn)有網(wǎng)絡保險政策覆蓋范圍之中提出了疑問。該文章援引多項研究,懷疑GDPR所致巨額罰款是否有哪家公司能夠承保。畢竟,GDPR治下,罰款最高可達公司全球年營業(yè)額的4%和2,000萬歐元中的數(shù)額較高者。
援引的文章中有一篇出自保險業(yè)巨頭怡安集團(Aon)和英國歐華律師事務所( DLA Piper ),就在GDPR生效前幾天發(fā)布的。文章稱,除了挪威和芬蘭,GDPR罰款在絕大多數(shù)其他歐盟國家都是不可保的。即便如此,保險也應成為公司企業(yè)GDPR風險管理策略當中的一個部分。
Freeborn & Peters 律師事務所合伙人 Robert Stines 稱,網(wǎng)絡保險作為GDPR風險轉(zhuǎn)移方法的有效性尚待驗證,且將取決于保險政策用語。如果用語寬泛,能夠涵蓋所有行政罰款和GDPR的所有處罰,那么網(wǎng)絡保險就是有效的風險轉(zhuǎn)移方法。
但保險政策往往有免責條款,且會使用留有較大解釋空間的用語。考慮入保時,公司企業(yè)需注意次高限額、免責條款和“索賠”、“損失”、“罰款”等特定術(shù)語是如何定義的。
很多美國公司并不具備解決GDPR要求的責任性風險的技術(shù)能力,比如數(shù)據(jù)偽匿名或匿名化、向用戶提供其數(shù)據(jù)的可移植副本、按用戶要求刪除數(shù)據(jù)等。但GDPR實在是太新了,到底該如何實施誰也沒個準數(shù),尤其是對沒在歐盟運營但處理歐盟居民數(shù)據(jù)的公司企業(yè)而言。
對GDPR將給公司企業(yè)帶來新風險的預期,推動了對GDPR相關(guān)保險的需求。保險公司正試圖提供順應該需求的產(chǎn)品。保險公司面臨的難點就是核保該風險——因為GDPR真的太新了。
在簽下保險合同之前,公司企業(yè)需弄清自己收集、存儲、使用和銷毀歐盟公民相關(guān)數(shù)據(jù)的情況。如果適用GDPR,保險就是增強網(wǎng)絡彈性的極佳辦法,但不能作為主要來源使用。
Coalition的新策略:
《國家法律評論》文章:
怡安集團和歐華律所的研究: