Update – Zijn de beruchte GDPR boetes verzekerbaar? (Prof. Gerrit Van Daele)

Auteur: Prof. Gerrit Van Daele (UGent)

Publicatiedatum: 25/01/2019

Het is intussen algemeen geweten.  De GDPR regelgeving die op 25/5/2018 in voege trad, voorziet forse tot zeer forse boetes.  Het artikel 83 van Verordening (EU) 2016/679 voorziet in lid 4 een boete tot 10.000.000 EUR voor onder meer de verwerkingsverantwoordelijke die zijn verplichtingen verzuimt.  Het 5de lid gaat nog verder: tot 20.000.000 EUR wanneer bijvoorbeeld de basisbeginselen van de gegevensbeschermingswet worden overtreden.  De toepassing van de boete wordt overgelaten aan de gegevensbeschermingsauthoriteit van de lidstaat.

De eerste boete is nu uitgeschreven.  De Franse gegevensbeschermingsauthoriteit heeft Google beboet omwille van “gebrek aan transparantie, onvoldoende informatie en gebrekkige toestemming” in verband met gerichte reclame.   Sommige bronnen hebben het over een boete van 50.000.00 EUR, wat niet direct strookt met de “beperking” van  20.000.000 EUR. Toch klopt het want het artikel 83 bepaalt dat de boete tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar kan bedragen, indien dit cijfer hoger is dan de gemelde 20.000.000 EUR. De boete voor Google kon dus nog hoger zijn geweest . . .

Het staat in de sterren geschreven dat er nog meer hoge boetes zullen volgen, wellicht vooral bij de grote internetspelers.

Van zulke bedragen begint men te duizelen, zeker als men beseft dat de boete ten laste van de vennootschap maar ook van de individuele verwerkingsverantwoordelijke kan worden gelegd.   Een legitieme vraag die dan naar boven borrelt is : kan een kleine ondernemer zich daarvoor verzekeren ?

De verzekeringswet van 2014 is in eerste instantie duidelijk.  Via het artikel 155  mag geen enkele boete het voorwerp van een verzekeringsovereenkomst uitmaken. Maar bij nadere lezing blijkt dat dit verbod alleen geldt voor geldboetes in strafzaken of regelgeving inzake het wegverkeer of vervoer over de weg.

Of m.a.w. : een verzekering die uw verkeersboete vergoedt is niet toegelaten. Maar een administratieve boete mag wél verzekerd worden.

En dit opent deuren. Want de GDPR boetes zijn nu net administratieve boetes.   Ze kunnen dus verzekerd worden. Maar zijn ze wel verzekerd ?  En is er wel voldoende dekking, want 20.000.000 EUR is een indrukwekkend bedrag.  De dekking  hangt af van uw verzekeringspolis en haar bepalingen.  Heel wat polissen sluiten administratieve boetes uitdrukkelijk uit en daarmee blijft u dus in de kou staan. Maar sommige polissen geven wel degelijk dekking voor administratieve boetes. En aldus ook voor GDPR boetes !   Dat is alvast het geval voor enkele cyberpolissen die op de markt zijn. Zelfs bij de verzekering D&O, de dekking voor de aansprakelijkheid van maatschappelijke lasthebbers, vinden we verzekeraars die bereid zijn om administratieve boetes te verzekeren.  Op de tweede vraag, nl. of er voldoende dekking is, is het antwoord dan weer negatief.  Een aansprakelijkheidsverzekering die tot 20.000.000 EUR dekking geeft is in België een uitzondering. Een doorsnee polis D&O voorziet een verzekerd kapitaal van bv 500.000 EUR, daar komt u dus niet ver mee. Anderzijds is het sentiment op de markt dat het met die boetes niet zo’n vaart zal lopen. Toch is het goed om weten dat u verzekerd kan zijn. Want Google in Frankrijk toont aan dat de waakhond wel degelijk waakt.

Vraag alvast uw makelaar om advies. Hij is de aangewezen persoon om voor u uit te zoeken bij welke verzekeraar u best terecht kan.