Gestione dei dati personali: lo scenario in rapidissima trasformazione e espansione sta determinando una nuova geografia del mercato assicurativo cyber (informatico). Quello delle assicurazioni che servono per schermare il patrimonio aziendale dalle possibili conseguenze dannose di un attacco informatico o di un’omissione umana.
Come si prefigura l’assicurazione per la responsabilità civile dei soggetti coinvolti nel trattamento dati verso terzi interessati agli stessi dati? Proviamo a fare chiarezza.
La sempre maggiore diffusione della raccolta di dati personali per i motivi più disparati, anche per semplice comodità e miglior accessibilità all’interno dell’azienda, e la sempre maggiore facilità di registrazione dei dati stessi utilizzando supporti e sistemi informatici ad oggi facilmente disponibili a basso costo, oltreché di relativamente facile apprendimento, comporta il continuo allargamento delle aree a rischio di danneggiamento, perdita, diffusione involontaria o sottrazione di grandi quantità di tali dati.
La esposizione ad azioni risarcitorie da parte dei soggetti interessati alla segretezza degli stessi dati a qualsiasi titolo aumenta in corrispondenza ed impone la adozione di misure tendenti alla protezione in questo settore, mediante la stipulazione di polizze assicurative che, pur rientrano nella generica categoria della responsabilità civile verso terzi, presentano aspetti e peculiarità che meritano una considerazione specifica.
Così cambia il mercato assicurativo informatico
Da parecchi anni ormai il mercato assicurativo cosiddetto ‘cyber’ o ‘informatico’ costituisce un importante segmento in espansione molto rapida, ma sicuramente non corrispondente alla rapidità di diffusione, ad oggi in pratica quasi universale, anche se in diversa misura a seconda dei soggetti, dei sistemi informatici per la gestione di dati.
Quanto sopra per il buon motivo che la consapevolezza di essere tenuti ad osservare regole anche molto particolareggiate circa le modalità di registrazione, consultazione, elaborazione e conservazione di tali dati come stabilite per legge, fino a poco tempo fa il Codice della Privacy e di recente il Regolamento europeo noto come GDPR, non esaurisce affatto gli obblighi e le responsabilità dell’operatore e dei suoi dipendenti o dirigenti.
Deve essere tenuto ben presente infatti che, nel caso del verificarsi di uno qualsiasi dei possibili eventi dannosi che le norme contenute nel citato GDPR prevedono, l’osservanza delle regole imposte dalla normativa in vigore non comporta di per sé esenzione di responsabilità per i danni conseguenti all’evento e ciò non solo all’interno dell’azienda ma e soprattutto nei confronti dei soggetti terzi aventi interesse ai dati ed alla segretezza degli stessi.
La copertura assicurativa intesa al risarcimento dei danni diretti per riparazioni, ripristini, interruzione forzata della attività, trova quindi il suo naturale completamento nella copertura della esposizione a richieste di risarcimento, anche collettive, da parte di terzi che lamentino danni subiti a seguito del disservizio occorso nella gestione dei dati.
Non sempre è sufficiente la compliance al Gdpr
Il GDPR sopra richiamato pone espressamente a carico dei titolari del trattamento di dati la scelta delle tutele da essi considerate adeguate al fine di evitare possibili danni, in considerazione dei tipi e dei modi di trattamento in effetti adottati nel caso specifico, oltre all’obbligo di segnalazione immediata o al più entro 72 ore dalla scoperta, delle violazioni alla sicurezza riscontrate.
Ferma naturalmente restando la prova dell’esistenza del danno a carico di chi ne chiede il risarcimento, una eventuale richiesta di danni da parte dei soggetti interessati alla riservatezza dei dati non viene quindi esclusa dalla avvenuta tempestiva segnalazione e dall’accertata osservanza della normativa, ma soltanto dalla dimostrazione della adeguatezza dei mezzi di tutela adottati a priori.
Per questo motivo la copertura assicurativa della responsabilità in questi casi non può prescindere da una valutazione da parte dell’assicuratore, e molto spesso congiuntamente da assicuratore e assicurato, del rischio dipendente dalle scelte dei sistemi di tutela operate dal Titolare e imposte al Responsabile del trattamento.
Va aggiunto che per i sinistri in campo informatico non esistono statistiche affidabili in base alle quali determinare probabilità e entità valutabili ai fini della determinazione dei premi e che inoltre le potenziali minacce alla integrità dei sistemi informatici sono in continuo sviluppo con corrispondente adeguamento dei sistemi di difesa, e ciò implica una variabilità notevole dei rischi.
Questi due aspetti, costituendo un elemento essenziale del rapporto assicurativo, devono essere esplicitamente considerati e valutati in sede contrattuale al fine di evitare possibili cause di nullità o di adeguamento in sede risarcitoria, conseguenza di vere o presunte non esatte specificazioni del rischio assicurato invocabili da parte dell’assicuratore ex articolo 1892 del codice civile.
Data controller e data processor
Quanto alla identificazione dei soggetti coinvolti nel rapporto assicurativo a copertura della esposizione conseguente alla responsabilità civile in campo informatico, pur tenendo conto della infinita casistica che può riscontrarsi nel singolo caso, alcuni principi generali possono essere comunque accennati.
Va premesso peraltro che la terminologia adottata nella normativa italiana, essendo la stessa rimasta invariata rispetto a quella precedente, può risolversi in una certa confusione rispetto al nuovo significato attribuito agli stessi termini nella recente normativa contenuta nel citato GDPR.
Il soggetto in principio responsabile nei confronti dei terzi interessati è infatti il Titolare del trattamento (data controller) cioè il soggetto avente la materiale disponibilità dei dati, il quale sia in grado di decidere autonomamente come utilizzarli e come raggrupparli ai fini e per gli effetti che intende raggiungere.
La diversa figura del Responsabile del trattamento (data processor), contrariamente alla denominazione in italiano (che va riferita alla funzione soltanto e non comporta di per sé alcuna assunzione di responsabilità dal punto di vista giuridico) si riferisce in realtà ad un soggetto che può essere tenuto responsabile nei confronti dei terzi solo nei casi in cui siano state disattese le istruzioni provenienti dal Titolare ovvero siano state effettuate operazioni sui dati non autorizzate dallo stesso Titolare, il quale mantiene pertanto in ogni caso la responsabilità per il trattamento dei dati e per le possibili conseguenze negative che derivino.
In tali ipotesi è prevista addirittura la responsabilità solidale tra Titolare e Responsabile del trattamento, e potrà quindi ben accadere che anche il Responsabile provveda a dotarsi di idonea copertura assicurativa limitatamente a tale aspetto.
Resta ovviamente escluso che quest’ultima copertura possa essere riferita a casi di dolo o colpa grave, ma in presenza di entità organizzate la necessità può riguardare le colpe dei dipendenti o in genere i comportamenti colposi dell’assicurato nel gestire i dati affidati dal Titolare.
Cosa può fare il titolare dei dati
Sempre allo stesso Titolare sono attribuiti in via esclusiva gli obblighi di notifica al Garante delle violazioni riscontrate nei casi e nei tempi previsti; la adozione delle misure tecniche e organizzative adeguate per garantire la sicurezza dei dati, la elencazione specifica dei trattamenti nel registro apposito, la documentazione delle violazioni eventualmente verificatesi nonché, appunto, la nomina del Responsabile del Trattamento (Data Processor).
Sono stati sollevati dubbi circa la possibilità di nominare il c.d. Responsabile tra i dipendenti del Titolare ovvero di non nominarlo affatto, ciò che appare peraltro poco plausibile, ma ciò non influirebbe in ogni caso sulla sfera di responsabilità globale verso terzi del Titolare stesso.
Il rapporto contrattuale tra Titolare e Responsabile del trattamento comporta comunque una rilevanza notevole a fini assicurativi, sia sotto il profilo della eventuale chiamata in garanzia del Responsabile, ove ne ricorrano i presupposti, sia per la limitazione dei rischi rispetto alla responsabilità del Titolare.
Il relativo documento contrattuale dovrà necessariamente costituire un presupposto del contratto assicurativo in quanto determinante ai fini della valutazione del rischio assicurato in capo al Titolare.
Chi sono i soggetti interessati ai dati?
Ulteriore elemento da considerare a fini assicurativi è il tipo di soggetti interessati ai dati (data subject) potenzialmente portatori di diritti al risarcimento in caso di violazione dei dati stessi, tenendo conto che tali possono essere le persone fisiche a cui si riferiscono i dati personali e quindi abbastanza facilmente desumibili dal tipo di dati trattati. La estensione della protezione ad enti e persone giuridiche riveste carattere eccezionale ed estremamente specifico soltanto ad esempio in caso di utilizzo di materiale proveniente da banche dati per inoltro di comunicazioni indesiderate.
Va tenuto conto sotto questo aspetto che il concetto di interessato è molto cambiato negli anni recenti ed è suscettibile di ulteriori cambiamenti ed estensioni, solo se si consideri che le occasioni di raccolta di dati personali stanno aumentando in maniera esponenziale. Basta pensare al proliferare delle telecamere di sorveglianza, delle tessere, documenti o congegni portatili registrati all’interno di banche dati e simili.
Anche tale circostanza, oltre alla possibilità di azioni collettive in materia, in vista del numero considerevole dei potenziali interessati, deve indurre particolare attenzione nell’ambito assicurativo, sempre ai fini della definizione delle aree di rischio, dei massimali e delle franchigie, se previsti, oltre alla adozione degli opportuni aggiornamenti e adeguamenti per garantire la corrispondenza alle attività di volta in volta svolte in concreto e alle ragioni per l’adozione di tutele specifiche di contrasto alla violazione dei dati.
Concludendo, in pochi settori come quello considerato si rende necessaria la massima duttilità delle coperture assicurative in corrispondenza della evoluzione dei trattamenti e dei loro scopi, della analoga evoluzione degli strumenti di disturbo e intrusione e dello sviluppo equivalente dei mezzi di contrasto e protezione, nei tempi molto ristretti di tali dinamiche.
