Praca w IT to nie tylko kod i infrastruktura. To również dostęp do danych klientów, baz danych, dokumentacji, systemów oraz cudzej własności intelektualnej. Błąd specjalisty może więc oznaczać nie tylko awarię, ale również utratę danych, naruszenie ich poufności albo nieumyślne naruszenie cudzych praw. Czy OC zawodowe może chronić również w takich sytuacjach?

W poprzednich artykułach naszej serii pisaliśmy o błędach zawodowych oraz rażącym niedbalstwie.

Tym razem przyjrzymy się obszarowi, z którym specjaliści IT mają do czynienia właściwie każdego dnia - danym i własności intelektualnej.

Developer pracuje z kodem i bibliotekami. Administrator ma dostęp do systemów i baz danych. DevOps zarządza infrastrukturą. Konsultant może pracować na środowisku klienta. Wdrożeniowiec importuje i migruje dane.

Zakres odpowiedzialności specjalisty IT może więc wykraczać daleko poza pytanie:

„Czy system działa?”

Dane są jednym z najważniejszych aktywów klienta

Wyobraź sobie sytuację, w której podczas wykonywania prac specjalista przez pomyłkę usuwa część danych klienta.

Albo wykonuje operację, po której dane nadal fizycznie istnieją, ale klient traci do nich dostęp.

Inny przykład: podczas migracji część informacji zostaje uszkodzona i trzeba ją odtworzyć.

Nie musi dojść do uszkodzenia serwera czy komputera. Problemem są same dane i koszty związane z ich odzyskaniem.

OC zawodowe może obejmować odpowiedzialność za szkody w powierzonych danych elektronicznych i dokumentach. Ochrona może dotyczyć również kosztów poniesionych w celu przywrócenia danych albo dostępu do nich, jeśli zostały utracone wskutek uchybienia podczas wykonywania czynności zawodowych.

W praktyce jest to bardzo istotne dla specjalistów IT, którzy pracują bezpośrednio na systemach, środowiskach i danych należących do innych podmiotów.

Utrata danych to nie zawsze to samo co naruszenie RODO

Te dwa pojęcia łatwo wrzucić do jednego worka, ale warto je rozdzielić.

Można uszkodzić bazę danych, która nie zawiera danych osobowych.

Można również doprowadzić do sytuacji, w której dane osobowe nie zostaną usunięte ani uszkodzone, ale uzyska do nich dostęp osoba, która nie powinna ich zobaczyć.

W pierwszym przypadku problemem może być szkoda w danych elektronicznych.

W drugim może dojść do naruszenia ochrony danych osobowych.

Dlatego zakres OC zawodowego dla IT przewiduje te ryzyka oddzielnie.

RODO to nie tylko problem administratora danych

W kontekście RODO często myślimy przede wszystkim o firmie, która gromadzi dane swoich klientów lub pracowników.

Specjalista IT może jednak mieć dostęp do takich informacji właśnie dlatego, że wykonuje swoją pracę.

Administrator zarządza bazą użytkowników. Developer pracuje na systemie przetwarzającym dane osobowe. Konsultant konfiguruje aplikację klienta. Wdrożeniowiec wykonuje migrację. Specjalista utrzymania diagnozuje problem w środowisku produkcyjnym.

W każdej z tych sytuacji może dojść do błędu.

OC zawodowe może obejmować odpowiedzialność za nieumyślne naruszenie przepisów dotyczących ochrony danych osobowych w związku z wykonywaniem czynności zawodowych.

Co istotne, ochrona może dotyczyć również szkód wyrządzonych osobom, których dane osobowe zostały naruszone.

Przykład: niewłaściwa osoba otrzymuje dostęp do danych

Załóżmy, że specjalista odpowiada za konfigurację uprawnień w systemie klienta.

Przez pomyłkę nadaje jednemu z użytkowników zbyt szeroki zakres dostępu.

W efekcie osoba ta może zobaczyć informacje, do których nie powinna mieć dostępu.

System działa. Dane nie zostały skasowane. Nie doszło do awarii sprzętu.

A mimo to powstał poważny problem.

Jeżeli informacje zawierają dane osobowe, zdarzenie może mieć zupełnie inny charakter niż zwykły błąd konfiguracyjny.

To dobry przykład pokazujący, dlaczego w IT bezpieczeństwo informacji jest częścią odpowiedzialności zawodowej, a nie wyłącznie zagadnieniem technicznym.

A co z karami za naruszenie RODO?

Tutaj trzeba postawić wyraźną granicę.

Objęcie ochroną odpowiedzialności związanej z naruszeniem danych osobowych nie oznacza automatycznie, że ubezpieczyciel zapłaci każdą administracyjną karę nałożoną w związku z RODO.

Zakres ochrony dotyczącej danych osobowych koncentruje się na odpowiedzialności cywilnej za szkody wynikające z nieumyślnego naruszenia przepisów. Jednocześnie wyłączenia obejmują grzywny, kary pieniężne, administracyjne i sądowe oraz inne sankcje o charakterze karnym.

Dlatego nie należy utożsamiać:

„OC obejmuje naruszenie ochrony danych osobowych”

z:

„OC zapłaci każdą karę za RODO”.

To nie jest to samo.

Nie tylko dane. Specjalista IT pracuje również z cudzą własnością intelektualną

Drugi ważny obszar to prawa własności intelektualnej.

W IT szczególne znaczenie ma oczywiście oprogramowanie, ale zakres tego pojęcia jest znacznie szerszy.

Może chodzić między innymi o prawa autorskie do programów komputerowych i baz danych, ale również patenty czy znaki towarowe.

Dlaczego ma to znaczenie dla pojedynczego specjalisty IT?

Bo w codziennej pracy korzystamy z kodu, bibliotek, komponentów, dokumentacji, baz danych, materiałów dostarczanych przez klienta i wielu innych zasobów, do których ktoś posiada określone prawa.

Nie każde ich wykorzystanie musi być dozwolone w dowolny sposób.

Nieumyślne naruszenie praw może prowadzić do roszczenia

Wyobraźmy sobie developera, który podczas realizacji projektu wykorzystuje fragment rozwiązania, sądząc, że może legalnie zastosować go w produkcie klienta.

Okazuje się jednak, że sposób wykorzystania narusza prawa osoby trzeciej.

Nie było intencji naruszenia prawa. Nie było świadomego działania na szkodę właściciela.

Mimo to może pojawić się roszczenie.

OC zawodowe może obejmować odpowiedzialność za nieumyślne naruszenie praw własności intelektualnej powstałe podczas wykonywania czynności zawodowych.

To istotne szczególnie w branży, w której ogromna część pracy opiera się na istniejących rozwiązaniach, komponentach i zasobach cyfrowych.

Ale nie każde naruszenie własności intelektualnej jest objęte ochroną

Tutaj również istnieją granice.

Ochrona dotyczy naruszeń nieumyślnych. Nie obejmuje więc sytuacji, w której specjalista świadomie wykorzystuje cudzą własność intelektualną bez odpowiednich praw.

Istotne jest także terytorium. Klauzula dotycząca własności intelektualnej przewiduje ochronę dla naruszeń dokonanych na terytorium państw Europejskiego Obszaru Gospodarczego oraz według prawa obowiązującego na tym obszarze.

To dobry przykład pokazujący, dlaczego przy OC zawodowym zawsze warto patrzeć nie tylko na nazwę ryzyka, ale również na warunki i granice konkretnej ochrony.

Dane osobowe, dane elektroniczne i własność intelektualna to trzy różne ryzyka

Choć wszystkie dotyczą informacji lub zasobów cyfrowych, warto je rozróżnić.

Dane elektroniczne – problemem może być ich utrata, uszkodzenie albo utrata dostępu.

Dane osobowe – istotne jest nieumyślne naruszenie przepisów dotyczących ich ochrony.

Własność intelektualna – problemem jest naruszenie praw należących do innej osoby lub podmiotu.

Jedno zdarzenie może oczywiście dotknąć więcej niż jednego obszaru, ale z punktu widzenia ubezpieczenia są to odrębne ryzyka.

I właśnie dlatego warto sprawdzić, które z nich rzeczywiście znajdują się w zakresie posiadanej polisy.

A co z cyberatakiem?

To kolejna ważna granica.

Utrata danych wskutek błędu specjalisty IT i utrata danych będąca skutkiem cyberataku nie muszą być traktowane tak samo.

OC zawodowe i ubezpieczenie cyber to dwa różne obszary ochrony.

W podstawowym zakresie szkody wynikające z ataku komputerowego są wyłączone, chyba że ochrona została odpowiednio rozszerzona. Warunki przewidują osobną klauzulę cyber, która może obejmować m.in. szkody wynikające z ataku komputerowego oraz określone koszty związane z takim zdarzeniem.

Dlatego hasło „ochrona danych” nie powinno być automatycznie rozumiane jako:

„polisa chroni przed każdym cyberatakiem”.

To dwa różne rodzaje ryzyka.

Nie tylko programista – dane dotyczą praktycznie całego IT

Temat danych i własności intelektualnej dobrze pokazuje też, dlaczego OC zawodowe IT nie powinno być utożsamiane wyłącznie z „OC programisty”.

Developer może popełnić błąd w kodzie.

Administrator może błędnie skonfigurować dostęp.

DevOps może wykonać nieprawidłową operację na środowisku.

Wdrożeniowiec może popełnić błąd podczas migracji.

Konsultant może niewłaściwie skonfigurować system klienta.

Specjalista baz danych może wykonać operację prowadzącą do utraty lub uszkodzenia informacji.

W każdym z tych przypadków charakter pracy jest inny, ale wspólnym mianownikiem jest odpowiedzialność za wykonywane czynności zawodowe.

OC zawodowe dla IT to więcej niż ochrona przed błędem w kodzie

Błąd w oprogramowaniu jest prawdopodobnie pierwszym skojarzeniem z odpowiedzialnością zawodową programisty.

Współczesne IT jest jednak znacznie bardziej złożone.

Specjaliści pracują na cudzych systemach, mają dostęp do informacji, przetwarzają dane osobowe, wykorzystują istniejące rozwiązania i tworzą nowe.

Dlatego ryzyko zawodowe może dotyczyć nie tylko tego, czy aplikacja działa prawidłowo, ale również:

• czy dane klienta pozostały dostępne i nienaruszone,
• czy dostęp do danych otrzymały właściwe osoby,
• czy dane osobowe były odpowiednio chronione,
• oraz czy podczas wykonywania pracy nie zostały naruszone prawa należące do osób trzecich.

Dobrze dobrane OC zawodowe powinno odpowiadać właśnie na rzeczywisty charakter wykonywanej pracy.