En resumen
- Reglamentación: RGPD.
- Todos los aseguradores están implicados como responsables del tratamiento.
- Identificar una excepción.
- Realizar una EIPD.
- Encuadrar la elaboración de perfiles y las decisiones.
- Multas de hasta 20 M€ o el 4 % del volumen de negocio mundial, con un escrutinio reforzado de las autoridades sobre los datos de salud y la elaboración de perfiles.
Plazos normativos
Las fechas clave de esta normativa.
Mayo de 2018
Entrada en aplicación
En vigor¿De qué trata el RGPD?
El RGPD clasifica los datos de salud entre las categorías especiales del artículo 9, cuyo tratamiento está prohibido salvo excepción (consentimiento explícito, interés público, ejecución del contrato de seguro en determinadas condiciones). La aseguradora debe identificar con precisión la excepción aplicable.
La elaboración de perfiles y las decisiones totalmente automatizadas que produzcan efectos significativos están estrictamente reguladas: información y derecho a intervención humana.
¿El sector «Seguros» está afectado?
Todas las aseguradoras están afectadas como responsables del tratamiento. Los ramos que manejan datos de salud (préstamos, previsión social, salud) soportan los requisitos más exigentes.
Los ramos de daños tratan menos datos sensibles, pero siguen estando plenamente sujetos al RGPD en materia de tarificación, gestión de siniestros y lucha contra el fraude.
Obligaciones detalladas
Identificar una excepción
Basar cada tratamiento de datos de salud en una excepción precisa del artículo 9, debidamente documentada.
Realizar una EIPD
Realizar un análisis de impacto para los tratamientos de datos de salud a gran escala y para la elaboración de perfiles significativa.
Encuadrar el perfilado y las decisiones
Informar a los asegurados sobre la elaboración de perfiles y garantizar, para las decisiones totalmente automatizadas con efecto significativo, el derecho a una intervención humana.
Controlar los plazos
Aplicar plazos de conservación adaptados a los contratos y los siniestros, y posteriormente archivar o suprimir.
Asegurar a alto nivel
Cifrado, segmentación, gestión de accesos y registro de actividad, a la altura de la sensibilidad de los datos.
Respetar las normas sectoriales
Tener en cuenta las normas nacionales que regulan, por ejemplo, el cuestionario médico.
Sanciones y riesgos
Multas de hasta 20 M€ o el 4 % del volumen de negocio mundial, con una vigilancia creciente de las autoridades sobre los datos de salud y la elaboración de perfiles. Un incumplimiento en la tarificación puede revelar además una no conformidad con el AI Act.
Una filtración de datos de salud de asegurados constituye un siniestro mayor, humano y reputacional.
Errores frecuentes en el sector
- 1Datos de salud sin excepción. Tratar datos de salud sin una excepción válida del artículo 9.
- 2Ausencia de EIPD. Omitir el análisis de impacto que sin embargo se espera.
- 3Decisiones automatizadas sin regulación. Rechazar o tarifar de forma totalmente automatizada sin garantías.
- 4Acumulación AI Act ignorada. Tratar la tarificación únicamente desde el ángulo del RGPD.
Caso práctico
Una aseguradora de crédito recopila datos de salud mediante un cuestionario y automatiza parte de las decisiones de suscripción. Fundamenta el tratamiento en una excepción del artículo 9, realiza una EIPD, informa a los solicitantes sobre la elaboración de perfiles y prevé la intervención humana a petición — teniendo en cuenta además las normativas nacionales que regulan el cuestionario médico.
Hoja de ruta de cumplimiento
- 1
Cartografiar. Inventariar los tratamientos de datos de salud y de perfilado, así como sus bases legales.
- 2
Calificar y documentar. Verificar la excepción invocada y realizar las EIPD necesarias.
- 3
Supervisar el perfilado. Documentar la información y las garantías sobre las decisiones automatizadas.
- 4
Definir los plazos. Fijar plazos de conservación por finalidad.
- 5
Securizar. Reforzar la seguridad y la trazabilidad de los datos sensibles.
Preguntas frecuentes
Sí, pero únicamente sobre la base de una excepción específica del artículo 9, con seguridad reforzada y, con frecuencia, una EIPD.
Pase a la acción en RGPD
Diagnóstico gratuito o una charla con un experto dedicado a aseguramiento.
Ya confían en nosotros
Descubra cómo organizaciones del sector aseguramiento aseguraron su cumplimiento con DCO.