- Regulation (EU) 2016/679 — GDPR, Articles 27 and 22
- Directive (EU) 2016/97 — insurance distribution
- Regulation (EU) 2024/1689 — AI Act, Annex III for life and health risk pricing
- Regulation (EU) 2022/2554 — DORA for financial entities
누가 지정해야 하는가
EU 고객에게 보험 기술, 청구 처리 또는 유통 서비스를 제공하는 유럽 연합 외부의 제공자. 데이터 의무는 EU 보험 가입자의 데이터 처리에 부착됩니다. 보험 활동 자체는 회원국에서의 허가 또는 등록이 필요하며, 어떤 대표자도 이를 제공하지 않습니다.
기준과 면제
GDPR 기준 없음. AI 법에 따라 생명 및 건강 보험의 위험 평가 및 가격 책정에 사용되는 시스템은 부록 III에 따라 고위험으로 분류되며, 2026년 8월부터 의무가 발생합니다.
라벨에 표시할 사항
물리적이지 않음. 개인정보 보호 고지서의 대표자, 유통 지침에 의해 요구되는 계약 전 정보, 자동화된 결정이 이루어지는 경우 GDPR 제22조에 따른 관련 논리에 대한 정보.
마켓플레이스 항목
기술을 조달하는 보험사는 DORA 준비가 된 계약 조건을 요구하며, 여기에는 종료 계획 및 감사 권리가 포함됩니다. 금융 기관은 제3자 ICT 위험을 관리해야 하므로, 이는 이 부문에 판매하는 공급업체의 관문 요인이 되었습니다.
보관해야 할 문서
제30조 기록, 제28조 조건, 제27조 지정, 프로파일링 및 건강과 같은 특별 범주 데이터에 대한 데이터 보호 영향 평가, 청구 제한 기간에 맞춘 보존 일정, 전송 메커니즘, 고위험 AI의 경우 기술 문서 및 적합성 평가.
표준과 시험
가격 책정 및 청구 모델에 대한 편향 및 정확성 평가, DORA 관련 공급업체의 경우 금융 기관의 회복력 테스트 참여.
언어 요건
위험이 위치한 회원국의 언어로 보험 가입자에게 제공되는 정보.
언제부터 적용되는가
처리가 시작되기 전에 대표자가 필요합니다. DORA는 2025년 1월 17일부터 적용됩니다. AI 법의 고위험 의무는 2026년 8월 2일부터 발생합니다.
문서 보관 기간
청구에 적용되는 제한 기간 동안 청구 데이터 보관, 이는 길지만 그 안의 건강 데이터는 최소화되고 접근 제어되어야 하며 공개적으로 보관되어서는 안 됩니다.
미준수 시 결과
GDPR 위반 시 최대 4%의 매출에 해당하는 벌금, 유통 금지를 포함한 보험 규제 기관의 감독 조치, AI 법 위반 시 최대 €1500만 또는 3%의 벌금.
집행 기관
데이터 보호 당국, 국가 보험 감독 기관 및 EIOPA, AI 법 시장 감시 당국.
경계선
인간의 개입 없이 자동화된 청구 거부는 GDPR 제22조를 적용하며, AI 시스템을 사용하여 생명 또는 건강 보험을 가격 책정하는 것은 부록 III에 따라 고위험입니다. 청구의 건강 데이터는 특별 범주 데이터로, 제9조 조건이 필요하며, 보험의 경우 일반적으로 명시적 동의 또는 국가 면제가 필요합니다.
자주 받는 질문
- EU 대표가 우리에게 EU에서 보험을 판매할 수 있게 해주나요?
- 아니요. 유통은 회원국의 법인 등록 또는 허가가 필요합니다. 대표자는 데이터 보호만 충족합니다.
- 청구 분류가 AI 법에 따라 고위험인가요?
- 생명 및 건강 보험의 위험 평가 및 가격 책정은 부록 III에 나열되어 있습니다. 다른 청구 자동화는 아닐 수 있지만, 인간의 개입 없이 이루어지는 결정에는 여전히 GDPR 제22조가 적용됩니다.