Tap av data og ansvarsbegrensning ved kjøp av hostingtjenester

Transkript

1 Tap av data og ansvarsbegrensning ved kjøp av hostingtjenester Lene Cecilie Høydahl Trine Lysaker Lehn 16. Januar 2014

2 Lene Cecilie Høydahl Kontraktsdirektør SAS Institute AS Trine Lysaker Lehn Senior Manager, IT Procurement Statoil Fuel & Retail AS

3 Forskjellige årsaker til tap av data - Total for alle bransjer i 2012 Kilde:KPMG

4 Trender i utviklingen Hacking! Kilde:KPMG

5 Hvem er utsatt for hacking? Alle aktører med data tilgjengelig via elektroniske systemer

6 Eksempler på norske aktører som har vært utsatt for Hacking

7 Kundes utgangspunkt Erstatning Kunden kan kreve erstattet ethvert direkte tap, herunder tap som skyldes merarbeid og andre direkte kostnader i forbindelse med forsinket driftsstart eller driftsavbrudd, som med rimelighet kan tilbakeføres til forsinkelse, mangel eller annet mislighold fra Leverandørens side, med mindre Leverandøren godtgjør at misligholdet eller årsaken til misligholdet ikke skyldes Leverandøren. Tap av data som kan skyldes programvaren eller behandling av data som er ansvaret til Leverandøren, eller en 3. part tilknyttet leverandøren, er å betrakte som direkte tap. Erstatningsbegrensning Erstatning for indirekte tap kan forøvrig ikke kreves. Har Leverandøren eller noen denne svarer for utvist grov uaktsomhet eller forsett, gjelder ikke de nevnte erstatningsbegrensningene.

8 Kundes utgangspunkt Erstatning Kunden kan kreve erstattet ethvert direkte tap, herunder tap som skyldes merarbeid og andre direkte kostnader i forbindelse med forsinket driftsstart eller driftsavbrudd, som med rimelighet kan tilbakeføres til forsinkelse, mangel eller annet mislighold fra Leverandørens side, med mindre Leverandøren godtgjør at misligholdet eller årsaken til misligholdet ikke skyldes Leverandøren. Tap av data som kan skyldes programvaren eller behandling av data som er ansvaret til Leverandøren, eller en 3. part tilknyttet leverandøren, er å betrakte som direkte tap. Erstatningsbegrensning Erstatning for indirekte tap kan forøvrig ikke kreves. Har Leverandøren eller noen denne svarer for utvist grov uaktsomhet eller forsett, gjelder ikke de nevnte erstatningsbegrensningene.

9 Leverandørs tilsvar Exclusions of Damages; Limitation of Liability. Exclusions of Damages. NEITHER CUSTOMER, VENDOR, NOR VENDOR S LICENSORS ARE LIABLE FOR SPECIAL, INCIDENTAL, INDIRECT, CONSEQUENTIAL, PUNITIVE, OR RELIANCE DAMAGES (ARISING IN TORT, CONTRACT OR OTHERWISE), EVEN IF THEY HAVE BEEN INFORMED OF THE POSSIBILITY OF SUCH DAMAGES. NEITHER VENDOR NOR VENDOR S LICENSORS ARE LIABLE FOR ANY CLAIM AGAINST CUSTOMER BY A THIRD PARTY RELATING TO USE OF THE SOFTWARE OR THE WORK PRODUCT, EXCEPT AS PROVIDED IN SECTION 12 (INDEMNIFICATION). VENDOR S LICENSORS ARE NOT LIABLE FOR DIRECT DAMAGES (ARISING IN TORT, CONTRACT OR OTHERWISE) AND DISCLAIM ANY LIABILITY CONNECTED WITH USE OF THE SOFTWARE AND THE WORK PRODUCT. THE PARTIES MAKE THESE EXCLUSIONS IN CONSIDERATION OF THE FEES PAID, LICENSES GRANTED, AND THE SERVICES AND HOSTING SERVICES PROVIDED UNDER THE AGREEMENT. Limitation of Liability. THE TOTAL AMOUNT EITHER PARTY MAY RECOVER FOR ALL CLAIMS RELATING TO THE AGREEMENT IS LIMITED IN THE AGGREGATE TO THE FEES PAID DURING THE ANNUAL LICENSE PERIOD WHEN THE CLAIM AROSE FOR THE SOFTWARE AND SERVICES AT ISSUE Applicability. SUBSECTION 11.1 (EXCLUSIONS OF DAMAGES) AND SUBSECTION 11.2 (LIMITATION OF LIABILITY) DO NOT APPLY TO THE OBLIGATIONS IN SECTION 12 (INDEMNIFICATION) OR TO EITHER PARTY S VIOLATION OF THE OTHER S INTELLECTUAL PROPERTY RIGHTS. THE LIMITATIONS IN THESE SUBSECTIONS SHALL APPLY EVEN IF ANY OF THE WARRANTIES PROVIDED IN SECTION 10 (LIMITED WARRANTIES; REMEDIES) FAIL OF THEIR ESSENTIAL PURPOSE. SOME JURISDICTIONS DO NOT ALLOW LIMITATIONS OF LIABILITY OR EXCLUSIONS FOR INCIDENTAL OR CONSEQUENTIAL DAMAGES, SO CERTAIN PROVISIONS OF SUBSECTION 11.1 (EXCLUSIONS OF DAMAGES) AND SUBSECTION 11.2 (LIMITATION OF LIABILITY) MAY NOT APPLY; HOWEVER, THEY APPLY TO THE GREATEST EXTENT PERMITTED BY APPLICABLE LAW. Force Majeure Except for Customer s obligations to pay the Fees, neither party shall be liable to the other party for any failure or delay in performance caused by reasons beyond its reasonable control, including, but not limited to, restrictions of law, regulations, orders or other governmental directives, labor disputes, acts of God, third-party mechanical or other equipment breakdowns, cyber-attacks, fire, explosions, fiber optic cable cuts, interruption or failure of telecommunication or digital transmission links, Internet failures or delays, storms or other similar events.

10 Hvor reell og aktuell er denne problemstillingen i norsk rett? Erstatningsansvar forutsetter som hovedregel et økonomisk tap Datatilsynet kan pålegge bøter for brudd på Pol, men historisk sett er disse beløpene er ofte begrensede Tapt fortjeneste, tapt profitt og tapt produksjon er som oftest definert som indirekte tap, også av kunde selv, og kan følgelig ikke kreves Så, hva er det da som skal erstattes? Er det i det heletatt nødvendig å avtalefeste dette?

11 Hvorfor ansvarsbegrensning for tap/tyveri av data? Det er nyttig for begge parter at ansvaret er klart og tydelig definert i kontrakt. Stadig flere kunder ber leverandører motta, få tilgang til, oppbevare eller prosessere data av sensitiv karakter Kunder krever stadig mer komplekse løsninger og helhetlige tjenester Det er en voldsom økning i hacking og annen ondsinnet aktivitet på nettet Det er ikke riktig at en leverandør skal måtte bære denne risiko alene!

12 Hvorfor ønsker Kunden at leverandøren tar ansvar? Erstatningsansvar fra kundens egne kunder Forretningshemmeligheter er kundens levebrød Omdømme Personvern Når leverandøren tar betalt for sine tjenester, anser kunden det som selvsagt at dataene oppbevares og behandles på en forsvarlig måte, som ikke forårsaker tap Leverandøren er nærmest til å sikre og dermed dekke tap

13 Hva ønsker kunden at leverandøren tar ansvar for? Leverandøren må dekke alt tap Jobben som eventuelt må gjøres for å innhente og legge inn data på nytt Tap av fortjeneste- forretningshemmeligheter, spesielt viktig

14 Hvorfor kan ikke vi som leverandør ta et større ansvar for dataene i vår løsning? Tap i forbindelse med tap av data er vanskelig å beregne og er utenfor leverandørens kontroll Den typiske lisensavgift for en Hosted SW-tjeneste er ikke i samsvar med de tap leverandøren muligens vil måtte dekke Dersom en leverandør påtar seg ubegrenset ansvar for tap av data, opptrer denne faktisk som et forsikringsselskap dette reflekteres ikke i avtalene eller i lisensavgiften Kundene er stort sett like godt rustet som leverandøren til å evaluere risikoen ved å overlate data til en 3.part

15 Hvem sitt ansvar er sikkerheten? Vi som leverandør gjør alt vi kan for å sikre den data vi mottar fra kunder: Brannmurer Kryptering Anonymisering MEN; Vi kan ikke garantere at dette er nok. På samme måte som for kunder, har vi vi som leverandør ingen mulighet til å beskytte oss 100% mot hacking.

16 Hvordan enes om en avtale begge parter kan leve med? Bestemme noen grunnleggende krav i tilfelle et tap av data eller brudd - partene skal samarbeide for å hindre ytterligere skade Kunde er villig til å se at Leverandør ikke kan sitte med ansvaret alene Enes om hva som er god nok sikkerhet - klart definere hver parts ansvar, sikkerhetstiltak bør være konkret og tydelig identifisert Ha erstatnings- og oppsigelses bestemmelser, som spesifikt adresserer problemet og konsekvensene av tap av data på leverandørens forårsaket av leverandøren Leverandøren kan være villig til å sette beløpet for ansvarsbegrensningen høyere, men det er viktig at det er et tak