Atténuation des risques relatifs au RGPD pour les administrateurs et les dirigeants

Les premières amendes, sanctions et même suspensions, en vertu du règlement général européen sur la protection des données (RGPD), sont attendues d’ici la fin de l’année, selon un haut fonctionnaire de l’UE. Voilà qui exerce une pression sur les organisations qui doivent s’assurer d’être en conformité avec la réglementation, laquelle comporte des dispositions de grande portée révolutionnant le domaine de la protection des données partout dans le monde.

Plus de 42 000 plaintes ont déjà été déposées depuis que le règlement est entré en vigueur le 25 mai 2018. Le RGPD – ainsi que d’autres nouveaux règlements sur la protection de la vie privée, comme la loi californienne sur la protection des données personnelles (California Consumer Privacy Act of 2018), qui entrera en vigueur en 2020 – augmente le risque autant pour les entreprises que pour leurs administrateurs et dirigeants. En fait, des poursuites ainsi que des enquêtes et mesures réglementaires ont déjà été entamées à l’encontre d’administrateurs et de dirigeants.

Comprendre les restrictions de la police

L’augmentation potentielle des pertes liées à la protection de la vie privée rend l’assurance responsabilité civile des administrateurs et dirigeants (assurance A&D) plus essentielle que jamais à la gestion des risques à ce chapitre, y compris ceux associés au RGPD. Dans le cadre de leur analyse des restrictions qui pourraient avoir une incidence sur la garantie, les chefs d’entreprise doivent examiner de près les polices d’assurance responsabilité civile des administrateurs et dirigeants de leur organisation, tout en gardant à l’esprit le RGPD. Les organisations devraient considérer, entre autres, les éléments suivants au moment d’examiner le libellé de leur police d’assurance A&D :

• Est-ce que l’administrateur de la sécurité des données votre entreprise, ou l’administrateur de la protection de la vie privée en vertu de la RGPD, est un véritable « administrateur » de l’entreprise et donc, assuré à ce titre?
• Votre police comporte-t-elle des exclusions pertinentes, notamment en matière de cyberconfidentialité ou de protection de la vie privée?
• Vos limites sont-elles suffisantes pour couvrir les amendes et les sanctions relatives au RGPD et à la protection de la vie privée ainsi que les autres coûts?  
• Savez-vous comment un assureur ou un organisme de réglementation pourrait réagir à l’assurabilité des amendes et des sanctions liées au RGPD?
• Quelle est la réputation des assureurs de votre programme d’assurance A&D relativement au paiement des réclamations? 

Les trois dernières questions devraient aussi être posées au sujet de votre police d’assurance contre les cyberrisques, le cas échéant. L’examen de votre police d’assurance contre les cyberrisques devrait également porter sur les éléments suivants :

• Est-ce que le chapitre relatif à la nature et à l’étendue des garanties (notamment en ce qui concerne les frais des mesures réglementaires ou les frais réglementaires relatifs à la protection de la vie privée) présente un libellé suffisamment large pour inclure les amendes et les sanctions relatives au RGPD, si elles sont assurables?
• La définition que donne votre police à la « loi sur la protection de la vie privée » est-elle suffisamment large pour inclure le RGPD si l’acronyme « RGPD » n’est pas présent?
• La définition de « données personnelles » ou de « renseignements confidentiels » est-elle aussi large que la définition de « données à caractère personnel » de l’article 4.1?
• La définition d’« incident compromettant la vie privée » ou de « cyberincident » est-elle suffisamment large pour inclure les amendes et les sanctions liées au RGPD et déclencher la garantie?
• Y a-t-il des exclusions pertinentes?

L’évolution des règlements sur la protection de la vie privée est susceptible d’augmenter le risque pour les entreprises et leurs administrateurs et dirigeants. Il est important de comprendre les nouvelles exigences en vertu de ces lois et leurs répercussions sur votre profil de risque ainsi que de veiller à ce que votre assurance A&D et votre assurance contre les cyberrisques évoluent au rythme des changements, en passant en revue celles-ci régulièrement avec vos conseillers en assurance.