- Regulation (EU) 2016/679 — GDPR, Articles 27 and 22
- Directive (EU) 2016/97 — insurance distribution
- Regulation (EU) 2024/1689 — AI Act, Annex III for life and health risk pricing
- Regulation (EU) 2022/2554 — DORA for financial entities
誰が選任するか
EU顧客に保険技術、クレーム処理または流通サービスを提供する連合外のプロバイダー。データ義務はEUの保険契約者のデータの処理に付随します。保険活動自体は、代表者が提供することのない加盟国での認可または登録を必要とします。
しきい値と適用除外
GDPRの閾値なし。AI法の下では、生命保険および健康保険におけるリスク評価および価格設定に使用されるシステムは、附属書IIIに基づき高リスクと見なされ、2026年8月から義務が発生します。
ラベルに必要な記載
物理的ではありません。プライバシー通知における代表者、流通指令によって要求される契約前情報、および自動化された決定が行われる場合には、GDPR第22条に基づく論理に関する情報。
マーケットプレイスの項目
技術を調達する保険会社は、第三者ICTリスクを管理しなければならないため、DORA対応の契約条件を必要とし、退出計画および監査権を含む必要があります。これは、セクターに販売するベンダーにとってのゲーティングファクターとなっています。
保管すべき文書
第30条の記録、第28条の条件、第27条の指定、プロファイリングおよび健康などの特別カテゴリーのデータを含むデータ保護影響評価、請求制限期間に合わせた保持スケジュール、移転メカニズム、および高リスクAIに対する技術文書および適合性評価。
規格と試験
価格設定およびクレームモデルのバイアスおよび精度評価、DORA関連のベンダーに対しては、金融機関のレジリエンステストへの参加。
言語要件
リスクが所在する加盟国の言語での保険契約者向け情報。
いつから適用されるか
処理が始まる前の代表者。DORAは2025年1月17日から適用されています。AI法の高リスク義務は2026年8月2日からです。
文書の保管期間
請求に適用される制限期間のクレームデータは長期間保持されますが、その中の健康データは最小限に抑え、アクセス制御される必要があります。
違反した場合
GDPR違反に対する罰金は売上の最大4%、保険規制当局からの監督措置には流通の禁止が含まれ、AI法の罰則は最大€1500万または3%です。
執行機関
データ保護当局、国家保険監督機関およびEIOPA、AI法の市場監視当局。
境界線
人間の関与なしに自動的にクレームを拒否することはGDPR第22条に関与し、AIシステムを使用して生命または健康保険の価格設定を行うことは附属書IIIに基づき高リスクです。クレームにおける健康データは特別カテゴリーのデータであり、GDPR第9条の条件が必要で、保険の場合は通常、明示的な同意または国家の特例が必要です。
よくある質問
- EU代表者は私たちがEUで保険を販売することを許可しますか？
- いいえ。流通には加盟国のエンティティの登録または認可が必要です。代表者はデータ保護のみを満たします。
- クレームトリアージはAI法の下で高リスクですか？
- 生命保険および健康保険のリスク評価および価格設定は附属書IIIに記載されています。他のクレームの自動化はそうでないかもしれませんが、人間の関与なしの決定にはGDPR第22条が依然として適用されます。