JK Sp zoo

Warszawa 02-546

ul Kazimierzowska 46/48

Książek

Ubezpieczenia

Na rynku obecnie jest kilka propozycji produktu OC konsultantów IT

 

Chciałbym jednak przybliżyć nieco dwa z nich, chyba najbardziej znanych firm: PZU i Leadenhall Insurance S.A., który działa w Polsce jako Lloyd’s coverholder i jest przedstawicielem Ubezpieczyciela w Polsce.

 

1. OC konsultantów IT: Zakres

PZU wprowadza ochronę w zakresie OC IT klauzulą 24 do OC ogólnej. Klauzula ta rozszerza „zakres ubezpieczenia o odpowiedzialność cywilną za czyste straty finansowe, szkody rzeczowe i szkody na osobie, wyrządzone z tytułu świadczenia usług informatycznych, określonych w umowie ubezpieczenia, w zakresie ustalonym w niniejszej klauzuli lub  związanych z oprogramowaniem, w szczególności w związku z:

1) projektowaniem, wytwarzaniem, dostarczaniem, modyfikowaniem oprogramowania oraz instalacją oprogramowania, w tym:

a) oprogramowania zintegrowanego ze sprzętem komputerowym,

b) oprogramowania dla zastosowań internetowych lub intranetowych;

2) konserwacją i administrowaniem oprogramowaniem wyprodukowanym przez ubezpieczonego;

3) przetwarzaniem danych na zlecenie osób trzecich;

4) instalacją, integracją, uruchamianiem oprogramowania, które nie zostało wytworzone przez ubezpieczonego; [ ochrona dla administratorów odpowiedzialnych za hardware, dane, sieci ]

5) analizą potrzeb zleceniodawców w zakresie oprogramowania; [ dla planistów sieci, oprogramowania ]

6) doradztwem w zakresie oprogramowania;

7) szkoleniem dotyczącym oprogramowania.

Tak więc, jeśli PZU odpowiada za czyste straty finansowe, to Leadenhall określa swoją odpowiedzialność za wszelkie koszty:

„Ubezpieczyciel zobowiązuje się zapłacić za Ubezpieczonego wszelkie kwoty (z włączeniem kosztów i wydatków poniesionych przez poszkodowanego), do zapłaty których Ubezpieczony zostanie prawnie zobligowany w efekcie wniesionego przeciwko niemu Roszczenia, które zostało zgłoszone Ubezpieczonemu i Ubezpieczycielowi po raz pierwszy w Okresie ubezpieczenia albo w dodatkowym okresie zgłaszania roszczeń (o ile ma on zastosowanie) i powstało w wyniku uchybienia popełnionego lub rzekomo popełnionego przez Ubezpieczonego lub inną osobę, za którą Ubezpieczony jest prawnie odpowiedzialny, w trakcie świadczenia na podstawie pisemnej umowy, usług zawodowych określonych we Wniosku”

Oczywiście zarówno jeden jak i drugi ubezpieczyciel ogranicza swoją ochronę o pewne sytuacje, które jednocześnie będą decydowały dla kogo jest przeznaczony produkt PZU, a dla kogo Leadenahall’a! Oprócz wyłączeń ogólnych, które omówię poniżej, należy zwrócić uwagę najpierw na ograniczenia zakresu.

PZU wyłącza z ochrony szkody „wynikłe z naruszenia danych osobowych, praw autorskich lub patentów, praw własności przemysłowej, prawa o nieuczciwej konkurencji, prawa antymonopolowego, znaku towarowego i innych praw własności intelektualnej”.

 

Tymczasem produkt Leadenhall’a w ramach rozszerzeń zakresu ubezpieczenia wylicza:

• Naruszenie praw własności intelektualnej, tj.: Ubezpieczyciel zobowiązuje się zapłacić za Ubezpieczonego wszelkie kwoty (z włączeniem kosztów i wydatków poniesionych przez poszkodowanego), do zapłaty których Ubezpieczony zostanie prawnie zobligowany w efekcie nieumyślnego naruszenia praw autorskich, projektowych, zastrzeżonego znaku handlowego lub patentu, popełnionego przez Ubezpieczonego albo jakąkolwiek osobę wyznaczoną i wykonującą czynności w imieniu i na rzecz Ubezpieczonego w związku ze świadczeniem usług zawodowych określonych we Wniosku.

W wyłączeniach jednak wszystko co przekracza w/w definicję naruszenia praw własności intelektualnej jest też wyłączone!

Jeśli więc szukasz ochrony w zakresie nieumyślnego naruszenia praw własności intelektualnej itp. to produkt Leadenhalla jest rozwiązaniem.

Inne rozszerzenia ochrony to:

• Pokrycie Kosztów obrony;
• Naruszenie obowiązku zachowania tajemnicy;
• Oszczerstwo, zniesławienie lub pomówienie;
• Odpowiedzialność w ramach wspólnego przedsięwzięcia;
• Utrata Dokumentów (w tym danych elektronicznych);
• Pokrycie Kosztów obrony w postępowaniu karnym, karno-skarbowym lub administracyjnym;
• Pokrycie rażącego niedbalstwa.

 

2. Wirusy i szkody z nimi związane.

W kwestii wirusów PZU w klauzuli nie odnosi się do nich dosłownie, ale uzależnia ochronę w ramach użytkowania sieci publicznych od następujących warunków:

Szkody powstałe w związku z użytkowaniem sieci publicznych są objęte ochroną ubezpieczeniową tylko pod warunkiem, że ubezpieczony:

1) podjął środki ochronne w celu zapobieżenia nieuprawnionemu dostępowi do serwera;

2) postępował zgodnie z aktualnym stanem techniki w dziedzinie bezpieczeństwa kodowania lub szyfrowania informacji;

3) udokumentował zastosowanie oraz stan aktualnych rozwiązań w zakresie bezpieczeństwa.

Leadenhall nieco bardziej wg mnie ogranicza ochronę, bo:

w wersji podstawowej (bez klauzuli LW203) ubezpieczyciel wyłącza odpowiedzialność za:

• szkody wynikające z wirusów, robaków, Trojanów, itd.,
• działania Ubezpieczonego (zamierzone lub przypadkowe) prowadzące do rozpowszechniania złośliwego oprogramowania.

ale klauzula LW203 włącza z powrotem wybrane ryzyka cyber, m.in.:

• nieumyślne rozesłanie wirusa,
• nieautoryzowane użycie danych osobowych,
• skutki ataków hakerskich (zmiany na stronie, zniesławienie, naruszenie praw itd.).

gdzie: Czynności wykonywane elektronicznie oznaczają korzystanie z sieci elektronicznych, w tym Internetu lub sieci prywatnych, intranetu, ekstranetu, poczty elektronicznej, stron www lub podobnych mediów elektronicznych (ale nie obejmuje sprzedaży wysyłkowej,  telemarketingu lub podobnych operacji) będących własnością lub znajdujących się pod kontrolą Ubezpieczonego lub jakiejkolwiek osoby fizycznej, osoby prawnej lub osoby niemającej osobowości prawnej, która działa na rzecz Ubezpieczonego lub w jego imieniu.

Klauzula LW203 włącza więc ochronę w ograniczonym zakresie, m.in.:

• jeśli Ubezpieczony nieumyślnie rozesłał wirusa (pkt 1.2),
• jeśli roszczenie dotyczy danych osobowych lub prywatności (pkt 1.3).

Natomiast szkody wynikające z awarii systemu przez wirusa (pkt 5.1 i 5.2) pozostają wyłączone., tj.:

• wirusami powstałymi wskutek awarii systemu (5.1),
• złośliwym kodem ukierunkowanym na awarię systemu, ale bez ukierunkowania na konkretnego odbiorcę (5.2).

Nie są chronione też:

• awarie sprzętu,
• koszty przestoju systemów,
• straty finansowe wynikające z przerw w działaniu infrastruktury IT.

Polisa podstawowa pokrywa też ryzyka rażącego niedbalstwa, a LW203 je wyłącza.

• W podstawie (Par. 3) TU pokrywa roszczenia wynikające z rażącego niedbalstwa – to korzystne dla klienta.
• Klauzula LW203 (pkt 5.12) wyłącza odpowiedzialność za rażące niedbalstwo w kontekście ryzyk cyber (czyli: np. rażące zaniedbanie zabezpieczeń strony, brak haseł, ignorowanie RODO itd.) – czyli to co PZU wyraziło w 3 punktach dotyczących aktualnego stanu zabezpieczeń i dostępu do informacji i serwera.

Jak widać jest to skomplikowany system i być może dla niektórych dopiero połączenie obu produktów może dać oczekiwaną ochronę.

 

3. Wyłączenia ogólne dotyczące OC konsultantów IT:

PZU wyłączenia ogólne są zdefiniowane w klauzuli 24 w p. 4:

Z zastrzeżeniem § 12 i § 13 OWU, PZU nie odpowiada także za szkody:

1) wyrządzone w związku ze świadczeniem usług w związku z projektowaniem, rozwojem lub zmianą w oprogramowaniu wykorzystywanym w przygotowywaniu, rekomendowaniu, przetwarzaniu transakcji pieniężnych, kredytowych, ubezpieczeniowych, obrotu gruntami, leasingowych lub wyrządzone w związku z doradztwem w tym zakresie oraz w oprogramowaniu stanowiącym kluczowe systemy instytucji finansowych;

2) powstałe w związku z wytwarzaniem oprogramowania dla elektronicznego obrotu płatniczego, w tym pomiędzy instytucjami finansowymi, wypłatą lub podjęciem środków pieniężnych, niedoborami przy prowadzeniu czynności kasowych, czynnościami płatniczymi wszelkiego rodzaju, w tym za pośrednictwem Internetu oraz innych sieci elektronicznej transmisji danych, płatnościami kryptowalutami, sprzeniewierzeniem oraz defraudacją, obsługą handlu elektronicznego (E-Commerce);

3) wynikłe z naruszenia danych osobowych, praw autorskich lub patentów, praw własności przemysłowej [Leadenhall określa je jako: naruszenia praw projektowych], prawa o nieuczciwej konkurencji, prawa antymonopolowego, znaku towarowego i innych praw własności intelektualnej;

4) wynikłe z niedotrzymania terminów, kosztorysów i kosztów wszelkiego rodzaju, niedokładnej lub niekompletnej dokumentacji przekazanej przez ubezpieczonego, dotyczącej dostarczonego oprogramowania;

5) wynikające z wytwarzania, dostarczania oprogramowania zabezpieczającego (np. firewall’ów i programów antywirusowych).

5. PZU nie ponosi także odpowiedzialności za koszty:

1) poniesione w związku z wycofaniem oprogramowania z rynku;

2) wynikłe z naprawy, odnowienia, modyfikacji lub wymiany jakiegokolwiek oprogramowania lub jego części, która jest wadliwa.

Wyłączenia Leadenhall’a zawierają też powyżej wypisane i oznaczone dodatkowo kolorem turkusowym. Jak widać prawie w całości Leadenhall kopiuje listę wyłączeń z PZU, choć określa je czasem bardziej ogólnie lub są wyłączone tylko wtedy, kiedy odnoszą się do pracy nad systemami działającymi online, in real time itp.! Całość wyłączeń Leadenhall’a przedstawia się następująco:

§ 6

WYŁĄCZENIA

Ubezpieczyciel nie jest obowiązany do wypłaty Kosztów obrony ani jakiegokolwiek innego odszkodowania lub świadczenia będącego następstwem Roszczenia opartego na, bezpośrednio lub pośrednio stanowiącego skutek, albo które można przypisać lub powiązać z którymkolwiek z poniższych zdarzeń [wymieniam tutaj tylko te, które odnoszą się do działalności związanej z IT]:

….

7. Naruszenie praw własności intelektualnej

jakimkolwiek faktycznym lub rzekomym naruszeniem praw autorskich, projektowych, zastrzeżonych znaków towarowych, patentu lub innych praw własności intelektualnej w zakresie, w którym nie jest objęte ochroną ubezpieczeniową na podstawie § 3 ust. 4 warunków ubezpieczenia.

15. Inne ubezpieczenie

jakimikolwiek wydatkami lub odpowiedzialnością pokrytą inną umową ubezpieczenia, jednak niniejsze wyłączenie nie dotyczy wydatków i odpowiedzialności, których wartość przekracza limit odpowiedzialności innej umowy ubezpieczenia.

16. Działalność w Stanach Zjednoczonych

jakąkolwiek działalnością wykonywaną w biurach znajdujących się w Stanach Zjednoczonych albo innym państwie, terytorium lub jurysdykcji, w którym obowiązuje prawo amerykańskie (stanowe lub federalne).

17. Jurysdykcja Stanów Zjednoczonych

postępowaniem prawnym prowadzonym przed sądem w Stanach Zjednoczonych albo jakimkolwiek państwie, terytorium lub jurysdykcji, w których obowiązuje prawo amerykańskie (stanowe lub federalne), albo w których orzeczenie wydane w oparciu o takie prawo może być wykonywane w całości lub w części.

…

24. Cyber

czynnościami wykonywanymi elektroniczne przez Ubezpieczonego (w sposób zamierzony lub przypadkowy), w tym przez rozprzestrzenianie wirusów komputerowych, złośliwych i / lub nieodpowiednich wiadomości e-mail oraz jakimkolwiek naruszeniem przepisów dotyczących ochrony danych osobowych. Czynności wykonywane elektronicznie oznaczają korzystanie z sieci elektronicznych, w tym Internetu lub sieci prywatnych, intranetu, ekstranetu, poczty elektronicznej, stron www lub podobnych mediów elektronicznych (ale nie obejmuje sprzedaży wysyłkowej, telemarketingu lub podobnych operacji) będących własnością lub znajdujących się pod kontrolą Ubezpieczonego lub jakiejkolwiek osoby fizycznej, osoby prawnej lub osoby niemającej osobowości prawnej, która działa na rzecz Ubezpieczonego lub w jego imieniu. W celu uniknięcia wątpliwości wyłączenie to nie dotyczy błędnej transmisji lub nieprzekazania przez Ubezpieczonego wiadomości elektronicznych lub jakichkolwiek innych dokumentów w ramach normalnej działalności zawodowej Ubezpieczonego określonej w p. 3 Polisy, z wyjątkiem przypadków, w których przyczynę Roszczenia lub innego żądania można bezpośrednio lub pośrednio przypisać wirusowi komputerowemu, złośliwemu i / lub niewłaściwemu użyciu poczty elektronicznej lub jakiemukolwiek naruszeniu przepisów dotyczących ochrony danych osobowych.

…

26. Mechaniczna lub elektryczna awaria sprzętu

stratami finansowymi, uszkodzeniem lub zniszczeniem mienia spowodowanym awarią mechaniczną lub elektryczną lub wadliwym działaniem jakiegokolwiek sprzętu elektronicznego, komputerowego, maszyn liczących, sprzętu do przetwarzania danych lub ich części.

27. Konserwacja lub naprawa sprzętu

konserwacją lub naprawą sprzętu elektronicznego, komputerowego, maszyn liczących, sprzętu do przetwarzania danych lub ich części.

28. Sprzedaż sprzętu

sprzedażą jakiegokolwiek sprzętu elektronicznego, komputerowego, maszyn liczących, sprzętu do przetwarzania danych lub ich części składowych, chyba że wynikają ze specyfikacji takiego sprzętu dostarczonej przez Ubezpieczonego.

29. Niektóre systemy, rodzaje działalności lub treści

dowolnymi systemami transakcyjnymi online realizującymi płatności online, systemami transakcyjnymi Real-Time, platformami do modelowania lub doradztwa finansowego, giełdowymi systemami transakcyjnymi, systemami do przetwarzania płatności, działalnością medyczną (w tym dokumentacją medyczną, którą można jednoznacznie przypisać danej osobie), hostingiem, usługami chat room, lub forami internetowymi, jakimikolwiek treściami tylko dla dorosłych lub pornografią, grami komputerowymi lub oprogramowaniem działalności hazardowej.

 

A oto kilka spostrzeżeń, jeśli chodzi o różnice wynikające z porównania obu rozdziałów wyłączeń, tych które odnoszą się tylko do działalności związanych z IT:

a/ PZU może objąć ochroną działalność z pracy w USA, co kosztuje znacznie więcej, ale daje ochronę na tamtym rynku, co Leadenhall wyłącza w całości. Co prawda dopuszcza za oddzielną zgodą jakąś część obrotu pochodzącego z tamtego rynku, to jednak jest to raczej wyjątek od reguły, podlegający dodatkowej ocenie underwritera.

b/ zarówno zakres jak i lista wyłączeń w ofercie Leadenhall jest bardziej rozbudowana i dokładniej opisana. Ma to i złe, i dobre znaczenie, bo więcej jest tych wyłączeń, ale też są one bardziej szczegółowo opisane.

c/ PZU ma w ogóle wyłączone z ochrony szkody spowodowane naruszeniem praw własności intelektualnej, a Leadenhall, po zakupie klauzuli LW203 włącza ochronę w ograniczonym zakresie.

d/ PZU nie odnosi się do szkód z tytułu działania wirusów w szczególności, choć podaje warunki ochrony do spełnienia, które odnoszą się w zasadzie do ochrony serwera przy użyciu aktualnej wiedzy do jego ochrony (firewall, hasła, kodowanie dostępu itp.) . Leadenhall wyłącza roszczenia z tytułu działania wirusów w wersji podstawowej, natomiast Leadenhall włącza roszczenia z tytułu działania wirusów w ograniczonym zakresie (z tytułu nieumyślnego rozesłania go emailem, jeśli roszczenie dotyczy danych osobowych i prywatności).