Respuesta corta: Para una organización de investigación sin fines de lucro, la exposición que más importa no es la oficina, sino la información. Los datos identificables de los encuestados pertenecen a una política cibernética y de privacidad. Las acusaciones sobre la calidad o el contenido de sus hallazgos pertenecen al formulario responsabilidad profesional. Un conjunto de hechos puede afectar a ambos (un encuestado que dice que sus datos fueron mal manejados y que el informe publicado los identificó) y qué póliza responde depende de cómo cada formulario define el acto que asegura.
El formulario responsabilidad civil general está diseñado para mantenerse al margen de esto.
La mayoría de las organizaciones compran responsabilidad civil general primero y asumen que es el piso debajo de todo. Para los datos no lo es.
El formulario de cobertura ISO comercial responsabilidad civil general actual, CG 00 01 04 13, lleva una exclusión de Cobertura A titulada Datos electrónicos. Elimina los daños que surjan de la pérdida, pérdida de uso, daño, corrupción, imposibilidad de acceso o imposibilidad de manipular datos electrónicos, conservando únicamente la responsabilidad por lesiones corporales. El mismo formulario establece, en su definición de daño a la propiedad, que los datos electrónicos no son propiedad tangible. Por lo tanto, un conjunto de datos destruido no es una propiedad dañada como lo sería una sala de archivos inundada.
ISO fue más allá en mayo de 2014 con una familia de endosos. CG 21 06, CG 21 07 y CG 21 08 — excluir la responsabilidad que surja del acceso o la divulgación de información personal o confidencial de una persona u organización. CG 21 08 es la versión Cobertura B.
La cobertura B no es el respaldo de publicación que usted esperaría
el formulario lesiones personales y publicitarias Grant enumera los delitos de publicación: publicación oral o escrita de material que difama o calumnia a una persona u organización, y publicación que viola el derecho de privacidad de una persona. Eso suena como la respuesta a un reclamo por difamación sobre un informe.
Pero el mismo formulario conlleva exclusión de la Cobertura B. j., Asegurados En Negocios Tipo Medios E Internet, que se aplica a un asegurado cuyo negocio sea publicidad, radiodifusión, publicación o transmisión por televisión. Tiene una reducción, y la reducción restablece sólo los tres primeros delitos de la definición: arresto o detención falsos, procesamiento malicioso y desalojo injustificado. La difamación y el derecho a la privacidad no se restablecen.
Podría decirse que una organización cuyo principal resultado es la investigación publicada se dedica al negocio de la publicación. Si una aseguradora presionaría esa exclusión contra una organización de investigación sin fines de lucro es una cuestión viva, y no una que deba plantearse por primera vez después de que llega una carta de demanda.
Donde se abre la unión entre lo cibernético y la E&O
Ninguna de las líneas de especialidad está escrita en un único formulario estándar de la industria como lo está responsabilidad civil general, por lo que las definiciones importan más que las etiquetas. Responsabilidad cibernética y de privacidad generalmente se desencadena por un evento de privacidad o seguridad que involucra información que la propia póliza define. Responsabilidad profesional, o errores y omisiones, generalmente se desencadena por un acto ilícito en la prestación de servicios profesionales, y "servicios profesionales" suele ser una descripción incluida en la página de declaraciones.
Luego, dos excepciones crean la brecha, cada una de las cuales es razonable por sí sola. Los formularios Responsabilidad profesional comúnmente excluyen los reclamos que surjan de una falla de seguridad de la red o un acceso no autorizado a los datos, con el argumento de que lo cibernético es el hogar adecuado para ellos. Los formularios cibernéticos comúnmente excluyen los reclamos que surjan de la prestación de servicios profesionales, basándose en el razonamiento de que E&O lo es. Compre los dos de diferentes aseguradoras, con diferentes definiciones de la actividad excluida, y un reclamo que sea genuinamente de ambos puede cumplir con una exclusión en cada uno.
Ambas líneas también suelen ser reclamaciones presentadas (claims-made), por lo que la fecha de actos retroactivos o anteriores determina hasta dónde puede llegar la conducta cubierta. La investigación tiene una cola larga: cambiar de aseguradora sin adelantar esa fecha puede eliminar silenciosamente la cobertura de todos los estudios que ya están en el archivo.
Qué exigen y qué no exigen las normas federales
el Regla común en 45 CFR parte 46 es una regla de protección de sujetos humanos, no un mandato de seguro; La palabra seguro no aparece en él. En § 46.116(b)(6), y sólo para investigaciones que implican más que un riesgo mínimo, se requiere el consentimiento informado para explicar si cualquier compensación y si cualquier tratamiento médico está disponible si se produce una lesión. Ese es un deber de divulgar lo que existe, no de comprar nada. Las instituciones y los financiadores pueden imponer sus propias condiciones.
un Certificado de Confidencialidad tampoco es un respaldo financiero. Después de que la Ley de Curas del Siglo XXI enmendó la Ley de Servicios de Salud Pública, los NIH comenzaron a emitir automáticamente certificados para investigaciones financiadas por los NIH que recopilan información confidencial e identificable. Protege contra la divulgación obligatoria; no financia una respuesta a una infracción.
HIPAA es más estrecho de lo que la mayoría supone. La Regla de Privacidad llega a las entidades cubiertas (planes de salud, cámaras de compensación de atención médica y proveedores de atención médica que transmiten información de salud electrónicamente en transacciones cubiertas) y a sus socios comerciales. Un investigador no se convierte en tal simplemente por tener información de salud identificable, por lo que muchas organizaciones de investigación sin fines de lucro mantienen datos de encuestas relacionadas con la salud y la HIPAA nunca se aplica.
Sin embargo, a la ley estatal no le importa. Los cincuenta estados tienen estatutos de notificación de incumplimiento y no son uniformes. Missouri se encuentra en Mo. Rev. Stat. 407.1500; Kansas en K.S.A. 50-7a02, que exige una pronta investigación de buena fe y notificación cuando se haya producido un uso indebido o sea razonablemente probable. Encuesta a nivel nacional y tus obligaciones siguen las residencias de tus encuestados, no tu oficina.
El requisito que realmente debe cumplir generalmente llega mediante contrato (un acuerdo de subvención, una subcontratación, un acuerdo de uso de datos) y se encuentra de manera rutinaria después de la firma.
Qué comprobar en su propia póliza
- Lea la descripción de los servicios profesionales en sus declaraciones de errores y omisiones frente a lo que realmente hace. La evaluación, la administración de encuestas, la asistencia técnica y el testimonio son actividades distintas.
- Encuentre la fecha de actos retroactivos o anteriores en ambas pólizas reclamaciones presentadas (claims-made) y confirme que llegue al estudio más antiguo que aún se encuentra en sus archivos.
- Coloque la exclusión de servicios profesionales del formulario cibernético y la exclusión de seguridad de red o datos del formulario E&O una al lado de la otra y léalas como un solo documento.
- Compruebe si la definición cibernética de información protegida llega a identificadores que no son ni financieros ni clínicos: estado migratorio, antecedentes penales, ingresos.
- Verifique sus declaraciones responsabilidad civil general para CG 21 06, CG 21 07, CG 21 08 o un equivalente de la aseguradora y pregunte si la exclusión j. sería argumentado en su contra.
- Eliminar la cláusula de seguro de cada acuerdo de financiación antes de firmar el siguiente; El estado asegurado adicional es un mecanismo responsabilidad civil general que a menudo no se transfiere.
Cómo encaja esto con el resto del programa
Responsabilidad civil general todavía maneja el reclamo por lesiones ordinarias en instalaciones y trabajo de campo; Las disputas sobre qué publicar están más cerca de Responsabilidad directores y funcionarios. Para ver el programa completo vea nuestro página de seguro de investigación de ciencias sociales y el descripción general del seguro sin fines de lucro; por línea, seguro cibernético para organizaciones sin fines de lucro y Elementos esenciales de responsabilidad profesional; y el lista de verificación de seguros sin fines de lucro.
Preguntas frecuentes
No recopilamos datos de salud. ¿Eso hace que lo cibernético sea opcional? No. Los estatutos estatales sobre violaciones generalmente se basan en un nombre combinado con un identificador, y muchos se han modificado para incluir más elementos de datos. Más allá de los estatutos, usted prometió confidencialidad a las personas que respondieran preguntas que no querrían que se revelaran.
Un encuestado dice que nuestros hallazgos los difamaron. ¿Qué póliza responde? Eso depende de las formas que tenga y de los hechos alegados, y es exactamente el reclamo el que aterriza en la costura. Responsabilidad profesional es la línea a la que normalmente se recurre para denuncias que surgen de la prestación de servicios profesionales, sujetas al formulario de póliza, su fecha retroactiva, exclusiones y límites.
¿La aprobación del IRB o un Certificado de Confidencialidad sustituyen al seguro? No, y ninguno de los dos lo intenta. La revisión del IRB es un proceso de ética y cumplimiento; un certificado es una protección legal contra la divulgación obligatoria. Ninguno de los dos financia una defensa, un programa de notificación o un acuerdo.
¿Deberíamos comprar ciber y E&O del misma aseguradora? Es una forma de cerrar la costura: es menos probable que un solo portador que escriba ambos deje un reclamo apuntando a sí mismo en dos direcciones. Se negocian dos formas para que las exclusiones coincidan y funcionen igual de bien. Comprarlos de forma independiente y esperar que no.
Haga que los dos formularios se lean juntos.
Si prefiere que alguien lea los dos textos uno al lado del otro (la descripción de los servicios profesionales, los fecha retroactiva, las exclusiones que crean la brecha), lo haremos. Solicitar una revisión o ponte en contacto.
Información general, no asesoramiento legal o de seguros. La cobertura, endosos, las exclusiones y los límites varían según el proveedor y la póliza, y la cobertura de un reclamo en particular depende del lenguaje de la póliza y de los hechos.