Čo znamená GDPR pre poistenie
Poistné produkty (PZP – auto, havarijné, cestovné, zdravotné) fungujú na rozsiahlej výmene a vyhodnocovaní údajov. GDPR (Nariadenie (EÚ) 2016/679) stanovuje, aké osobné údaje môže poisťovňa spracúvať, na aké účely, ako dlho, komu ich smie poskytovať a aké máte práva ako dotknutá osoba. Tento článok vysvetľuje najdôležitejšie princípy, špecifiká jednotlivých produktov a praktické odporúčania, aby ste vedeli, čo poisťovňa o vás spracúva a prečo.
Právne základy: prečo môže poisťovňa vaše údaje spracúvať
- Plnenie zmluvy: uzatvorenie poistnej zmluvy, posúdenie rizika (underwriting), správa zmluvy, likvidácia poistných udalostí, vyplatenie plnenia.
- Plnenie právnej povinnosti: povinnosti podľa sektorových zákonov (poistenie zodpovednosti z prevádzky vozidla, daňové a účtovné predpisy, AML/KYC).
- Oprávnený záujem: prevencia poistných podvodov, interná štatistika a modelovanie, ochrana IT a majetku, obhajoba právnych nárokov.
- Súhlas: voliteľné spracúvania, ktoré nie sú nevyhnutné na zmluvu či zákon (napr. marketing, niektoré typy telematiky alebo rozšírené zdravotné údaje mimo nutnej miery).
- Životne dôležité záujmy: výnimočne pri urgentných situáciách (asistencie, zdravotné riziká v zahraničí), ak nemožno získať súhlas.
Osobitné kategórie údajov: zdravotné údaje a GDPR
Pri cestovnom a komerčnom zdravotnom poistení/úrazoch poisťovňa spracúva údaje o zdraví, ktoré patria medzi osobitnú kategóriu. Spracúvanie je možné len, ak je nevyhnutné na plnenie zmluvy a uplatnenie právnych nárokov, často s primeranými zárukami (obmedzený prístup, špeciálny režim v spisoch, lekárske posudky, mlčanlivosť zdravotníckych pracovníkov). Pri rozšírenom rozsahu (napr. pre-existing diagnózy nad rámec nutného posúdenia) sa vyžaduje súhlas alebo iný zákonný titul.
Aké údaje poisťovňa typicky spracúva (podľa účelu)
- Identifikačné a kontaktné: meno, priezvisko, rodné číslo/dátum narodenia, adresa, kontakty, číslo dokladu totožnosti.
- Údaje o zmluve: číslo poistky, produkt, rizikové parametre, poistná suma, spoluúčasti, pripoistenia, história zmien.
- PZP a auto: EČV, VIN, technické parametre, škodová história, bonus-malus, telematické údaje (ak súhlasíte), záznamy z asistenčných zásahov, fotodokumentácia a kalibrácie ADAS.
- Cestovné poistenie: ciele a trvanie cesty, typ aktivít, asistenčné protokoly, zdravotné správy v nevyhnutnom rozsahu, doklady o nákladoch.
- Zdravotné/úrazové: diagnózy, liečba, lekárske správy, PN, rehabilitačný plán, posudky znalcov/posudkových lekárov.
- Finančné: prémie, úhrady, bankové spojenie pre plnenia, faktúry, účtovné doklady.
- Komunikácia a dôkazné materiály: záznamy telefonátov (ak sa nahrávajú), korešpondencia, fotky/video škody, výpovede svedkov.
Profilovanie a automatizované rozhodovanie (scoring)
V poistení je bežné profilovanie (napr. rizikové skóre pre sadzbu alebo pravdepodobnosť podvodu). Ak sa používajú automatizované rozhodnutia, ktoré majú právne účinky (odmietnutie zmluvy, výška poistného), máte právo na ľudský zásah, vyjadrenie stanoviska a napadnutie rozhodnutia. Poisťovňa má povinnosť vysvetliť logiku a význam takého spracúvania v primeranom rozsahu.
Odkiaľ údaje pochádzajú: zdroje a zdieľanie
- Priamo od vás: dotazníky, formuláre, klientsky portál, e-mail, telefonát, mobilná aplikácia.
- Tretie strany: sprostredkovatelia (makléri), asistencie, servisné siete, zdravotnícke zariadenia, partnerské banky (bancassurance), likvidátori, znalci.
- Registre a databázy: škodové registre, bonus-malus systémy, verejné registre vozidiel a vlastníctva, komerčné databázy na prevenciu podvodov, AML/PEP/ sankčné zoznamy.
Údaje sa môžu poskytovať zaisťovniam (reinsurance), externým spracovateľom (IT, call centrá, tlač dokumentov, cloud), orgánom verejnej moci (na základe zákona), a partnerom v sieti (servisy, lekári) len v nevyhnutnom rozsahu, s rámcovými zmluvami o spracúvaní a bezpečnostnými požiadavkami.
Medzinárodné prenosy: mimo EHP a štandardné zmluvné doložky
Ak poisťovňa alebo jej spracovateľ prenáša údaje do krajiny mimo EHP, musí zabezpečiť primeranú úroveň ochrany (rozhodnutie o primeranosti, štandardné zmluvné doložky, doplňujúce technické a organizačné opatrenia). V praxi to býva najmä pri globálnych cloudových službách alebo pri zaisťovni so sídlom mimo EÚ.
Doby uchovávania: ako dlho sa údaje držia
- Poistná zmluva a súvisiace dokumenty: po dobu trvania zmluvy a následne podľa premlčacích lehôt a sektorových predpisov (obvykle 5–10 rokov).
- Likvidácia škôd: minimálne po dobu do skončenia sporu alebo nárokov, často 10 rokov od uzavretia prípadu.
- Účtovné a daňové doklady: podľa lex specialis (zvyčajne 10 rokov).
- Záznamy hovorov: podľa interných lehôt (mesiace až roky) pri zohľadnení obrany právnych nárokov a kvality služieb.
- Marketingové súhlasy: do odvolania súhlasu alebo do uplynutia stanovenej lehoty neaktivity.
Práva dotknutej osoby: ako ich uplatniť
- Právo na prístup: získať informáciu, či a aké údaje sa spracúvajú, účely, kategórie, príjemcovia, doby uchovávania, zdroje, existencia profilovania.
- Právo na opravu: opraviť nepresné alebo neúplné údaje (napr. kontakty, registračné údaje vozidla).
- Právo na vymazanie („zabudnutie“): ak už údaje nie sú potrebné, odvolali ste súhlas alebo bol spracovateľský titul ukončený; nevzťahuje sa, ak zákon vyžaduje uchovanie.
- Právo na obmedzenie: počas prešetrovania námietky či sporu.
- Právo na prenosnosť: pri údajoch poskytnutých na základe súhlasu alebo zmluvy, v strojovo čitateľnom formáte.
- Právo namietať: proti spracúvaniu na základe oprávneného záujmu (napr. pri marketingu, profilovaní); poisťovňa musí preukázať závažné oprávnené dôvody alebo spracúvanie zastaviť.
- Právo na ľudský zásah: pri rozhodnutiach založených výlučne na automatizovanom spracúvaní s právnymi účinkami.
- Právo podať sťažnosť: na príslušnom dozornom orgáne (úrad na ochranu osobných údajov) a domáhať sa nápravy súdnou cestou.
Bezpečnosť spracúvania: technické a organizačné opatrenia
- Riadenie prístupov: roly a oprávnenia, princíp minimálnych oprávnení, dvojfaktorové prihlásenie.
- Šifrovanie: dát v pokoji a pri prenose, bezpečné protokoly, segmentácia sietí.
- Audit a logovanie: záznam prístupov, detekcia anomálií, testovanie odolnosti (penetračné testy).
- Pseudonymizácia: pri modelovaní rizika a štatistikách, ak nie je potrebná priama identifikácia.
- DPIA (posúdenie vplyvu na ochranu údajov): pre spracúvania s vysokým rizikom (telematika, rozsiahle zdravotné údaje, nové technológie).
- Incident management: postupy pri úniku údajov, oznamovacia povinnosť dozornému orgánu a dotknutým osobám, nápravné opatrenia.
Špecifiká podľa produktu: PZP a havarijné poistenie
- Identifikácia vozidla: EČV, VIN, technické údaje, emisné triedy, bezpečnostná výbava.
- Škodová história a bonus-malus: výmena informácií v rámci trhu pre spravodlivé nacenenie; povolená v rozsahu danom reguláciou.
- Likvidácia škody: fotodokumentácia, kalkulácie servisov, diagnostické správy, kalibrácie ADAS, záznamy z asistenčných zásahov; pri podozrení na podvod vyššie bezpečnostné opatrenia a forenzná analýza.
- Telematika: zber údajov o jazdnom štýle a lokalite len so súhlasom; transparentné vysvetlenie, aké metriky ovplyvňujú poistné.
Špecifiká podľa produktu: cestovné poistenie
- Asistenčná služba: v prípade udalosti sa spracúva minimum údajov potrebných na autorizáciu liečby a garanciu platby; môže zahŕňať lokalizačné údaje a zdravotné informácie.
- Pre-existing diagnózy: len v rozsahu nevyhnutnom pre posúdenie výluk/limitov; preferencia dokumentov v anonymizovanom/odporúčanom rozsahu.
- Doklady o ceste: letenky, rezervácie, potvrdenia o meškaní; účelom je preukázať poistnú udalosť a náklady.
Špecifiká podľa produktu: komerčné zdravotné a úrazové poistenie
- Údaje o zdraví sa spracúvajú v režime zvýšenej ochrany, s prístupom obmedzeným na posudkových pracovníkov a likvidátorov so zákonnou/mlčanlivostnou povinnosťou.
- Psychické zdravie: citlivý režim dokumentácie (diagnóza, odporúčania, správy); poisťovňa nespracúva terapeutické zápisky nad rámec medicínskej nevyhnutnosti.
- Falošné výkazy a podvody: oprávnený záujem preveriť pravosť dokladov; akékoľvek externé overenie sa deje v súlade s právom a len v nutnom rozsahu.
Marketing, profilovanie pre marketing a cookies
- Marketingové správy: vyžadujú súhlas (opt-in) alebo sa zakladajú na oprávnenom záujme s možnosťou „opt-out“; každá správa má mať odhlasovací mechanizmus.
- Profilovanie pre marketing: segmentácia klientov podľa produktov a správania s dôrazom na minimalizáciu údajov; automatizované rozhodovanie s právnym účinkom sa neaplikuje.
- Cookies a portály: analytické a marketingové cookies len s vaším súhlasom; technicky potrebné cookies v režime oprávneného záujmu.
Deti a zraniteľné osoby: osobitná starostlivosť
Pri poistení detí alebo zraniteľných osôb (seniori, osoby s obmedzenou spôsobilosťou) sa dbá na zrozumiteľné informovanie, primeranosť rozsahu a zastúpenie zákonného zástupcu. Poisťovňa spracúva len to, čo je nevyhnutné pre krytie a likvidáciu.
Úloha zodpovednej osoby (DPO) a kontakt
Poisťovňa má určeného zodpovednú osobu pre ochranu údajov (DPO). Môžete sa na ňu obrátiť pri otázkach, uplatnení práv, poskytnutí spätnej väzby k spracúvaniu alebo pri podozrení na porušenie bezpečnosti údajov.
Praktický checklist pre klienta
- Pred uzatvorením zmluvy si prečítajte informačnú povinnosť o spracúvaní (účely, právne základy, doby uchovávania, príjemcovia).
- Pri likvidácii škody posielajte len nevyhnutné doklady, citlivé údaje chráňte (šifrovanie, zabezpečený upload).
- Ak nesúhlasíte s marketingom, využite opt-out; ak chcete prístup k svojim údajom, požiadajte o kópiu spisu.
- Pri telematike a iných voliteľných moduloch si vyžiadajte popis metrík a vplyv na poistné; súhlas môžete odvolať.
- Overte si retenciu (ako dlho budú údaje uložené) a transfery mimo EHP (na základe akých záruk).
Checklist pre spracovanie zdravotných údajov
- Poskytnite len tie lekárske správy, ktoré sú požadované v rozsahu medicínskej nevyhnutnosti.
- Žiadajte, aby zdravotné údaje boli vedené oddelene a mali obmedzený prístup.
- Pri pre-existing diagnózach si vyžiadajte jasné zdôvodnenie rozsahu spracúvania a právneho titulu.
FAQ: krátke odpovede
- Môžem odmietnuť poskytnúť údaje? Áno, ale v rozsahu nevyhnutnom na uzavretie a správu zmluvy môže poisťovňa zmluvu neuzavrieť alebo obmedziť krytie.
- Musí poisťovňa nahrávať telefonáty? Nemusí, ale môže – na ochranu práv a kvalitu služieb, s informovaním na začiatku hovoru.
- Prečo si poisťovňa pýta rodné číslo? Na jednoznačnú identifikáciu pri zmluvách/škodách; ide o zákonný identifikátor so zvýšenou ochranou.
- Kto vidí moje zdravotné údaje? Len určené osoby (posudkoví lekári, likvidátori v režime potreby vedieť) a zmluvní poskytovatelia zdravotných služieb/asistencie.
- Môžem žiadať zmazanie škodového spisu? Po uplynutí zákonných a zmluvných lehôt áno; počas lehoty uchovávania nie.
Zhrnutie: transparentnosť, minimalizácia a kontrola
GDPR v poistení stojí na troch pilieroch: transparentnosť (vedieť, čo sa spracúva a prečo), minimalizácia (len nevyhnutné údaje, v primeranej dobe) a kontrola (možnosť uplatniť práva, namietať, odvolať súhlas, získať ľudský zásah pri automatizácii). Ak poisťovňa aj klient dodržia tieto zásady, dosiahnu rovnováhu medzi férovým nacenením rizika, rýchlou likvidáciou škôd a ochranou súkromia.
