Assurance, insurtech et plateformes de gestion des sinistres

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 22
• Directive (EU) 2016/97 — insurance distribution
• Regulation (EU) 2024/1689 — AI Act, Annex III for life and health risk pricing
• Regulation (EU) 2022/2554 — DORA for financial entities

Qui doit le désigner

Fournisseurs situés en dehors de l'Union offrant des technologies d'assurance, des services de gestion des sinistres ou de distribution aux clients de l'UE. Les obligations en matière de données s'appliquent à tout traitement des données des assurés de l'UE. L'activité d'assurance elle-même nécessite une autorisation ou un enregistrement dans un État membre, ce qu'aucun représentant ne fournit.

Seuils et exemptions

Pas de seuil RGPD. En vertu de la Loi sur l'IA, les systèmes utilisés pour l'évaluation des risques et la tarification en assurance vie et santé sont considérés comme à haut risque selon l'Annexe III, avec des obligations à partir d'août 2026.

Ce qui doit figurer sur l’étiquette

Pas physique. Le représentant dans l'avis de confidentialité, les informations précontractuelles requises par la Directive de distribution, et lorsque des décisions automatisées sont prises, des informations sur la logique impliquée en vertu de l'Article 22 RGPD.

Champs des marketplaces

Les assureurs acquérant des technologies nécessitent des conditions contractuelles conformes à DORA, y compris des plans de sortie et des droits d'audit, puisque les entités financières doivent gérer le risque ICT des tiers. Cela est devenu le facteur limitant pour les fournisseurs vendant dans le secteur.

Documents à conserver

Registres de l'Article 30, termes de l'Article 28, désignation de l'Article 27, une évaluation d'impact sur la protection des données couvrant le profilage et toute donnée de catégorie spéciale telle que la santé, des calendriers de conservation alignés sur les périodes de limitation des réclamations, le mécanisme de transfert, et pour l'IA à haut risque, la documentation technique et l'évaluation de conformité.

Normes et essais

Évaluation des biais et de l'exactitude pour les modèles de tarification et de réclamations, et pour les fournisseurs pertinents pour DORA, participation aux tests de résilience de l'entité financière.

Exigences linguistiques

Informations destinées aux assurés dans la langue de l'État membre où le risque est situé.

À partir de quand

Le représentant avant le début du traitement. DORA s'applique depuis le 17 janvier 2025. Obligations à haut risque de la Loi sur l'IA à partir du 2 août 2026.

Durée de conservation

Données de réclamation pour la période de limitation applicable à la réclamation, qui est longue, mais les données de santé doivent être minimisées et contrôlées plutôt que conservées ouvertement.

En cas de manquement

Amendes RGPD jusqu'à 4 % du chiffre d'affaires, actions de supervision des régulateurs d'assurance, y compris l'interdiction de distribution, et pénalités de la Loi sur l'IA jusqu'à 15 millions d'euros ou 3 %.

Qui contrôle

Autorités de protection des données, superviseurs nationaux des assurances et EIOPA, et autorités de surveillance du marché de la Loi sur l'IA.

Où se situe la limite

Le refus automatisé de réclamation sans intervention humaine engage l'Article 22 RGPD, et la tarification de la couverture vie ou santé utilisant un système d'IA est à haut risque selon l'Annexe III. Les données de santé dans les réclamations sont des données de catégorie spéciale nécessitant une condition de l'Article 9, qui pour l'assurance est généralement le consentement explicite ou une dérogation nationale.

Les questions qu’on nous pose

Un représentant de l'UE nous permet-il de vendre de l'assurance dans l'UE ?

Non. La distribution nécessite l'enregistrement ou l'autorisation d'une entité dans un État membre. Le représentant satisfait uniquement aux exigences de protection des données.

Le triage des réclamations est-il à haut risque en vertu de la Loi sur l'IA ?

L'évaluation des risques et la tarification pour l'assurance vie et santé sont listées dans l'Annexe III. D'autres automatisations de réclamations peuvent ne pas l'être, mais l'Article 22 RGPD s'applique toujours aux décisions sans intervention humaine.