Ubezpieczenia, insurtech i platformy roszczeniowe

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 22
• Directive (EU) 2016/97 — insurance distribution
• Regulation (EU) 2024/1689 — AI Act, Annex III for life and health risk pricing
• Regulation (EU) 2022/2554 — DORA for financial entities

Kto musi wyznaczyć

Dostawcy spoza Unii oferujący technologie ubezpieczeniowe, obsługę roszczeń lub usługi dystrybucji dla klientów z UE. Obowiązki dotyczące danych odnoszą się do wszelkiego przetwarzania danych posiadaczy polis z UE. Sama działalność ubezpieczeniowa wymaga autoryzacji lub rejestracji w państwie członkowskim, co żaden przedstawiciel nie zapewnia.

Progi i wyłączenia

Brak progu RODO. Zgodnie z ustawą o AI, systemy używane do oceny ryzyka i ustalania cen w ubezpieczeniach na życie i zdrowie są wysokiego ryzyka zgodnie z załącznikiem III, z obowiązkami od sierpnia 2026.

Co musi być na etykiecie

Nie fizyczny. Przedstawiciel w informacji o prywatności, informacje przedumowne wymagane przez dyrektywę o dystrybucji oraz tam, gdzie podejmowane są decyzje automatyczne, informacje o logice zaangażowanej zgodnie z artykułem 22 RODO.

Pola na platformach

Ubezpieczyciele pozyskujący technologie wymagają umów zgodnych z DORA, w tym planów wyjścia i praw audytowych, ponieważ podmioty finansowe muszą zarządzać ryzykiem ICT osób trzecich. To stało się czynnikiem decydującym dla dostawców sprzedających w tym sektorze.

Dokumentacja do przechowywania

Rekordy zgodnie z artykułem 30, warunki zgodnie z artykułem 28, oznaczenie zgodnie z artykułem 27, ocena skutków ochrony danych obejmująca profilowanie oraz wszelkie dane szczególnej kategorii, takie jak zdrowie, harmonogramy przechowywania zgodne z okresami przedawnienia roszczeń, mechanizm transferu, a dla wysokiego ryzyka AI dokumentacja techniczna i ocena zgodności.

Normy i badania

Ocena stronniczości i dokładności dla modeli ustalania cen i roszczeń, a dla dostawców istotnych dla DORA, uczestnictwo w testach odporności podmiotu finansowego.

Wymogi językowe

Informacje skierowane do posiadaczy polis w języku państwa członkowskiego, w którym znajduje się ryzyko.

Od kiedy obowiązuje

Przedstawiciel przed rozpoczęciem przetwarzania. DORA obowiązuje od 17 stycznia 2025. Obowiązki wysokiego ryzyka ustawy o AI od 2 sierpnia 2026.

Jak długo przechowywać

Dane dotyczące roszczeń przez okres przedawnienia mającego zastosowanie do roszczenia, który jest długi, ale dane zdrowotne w nim muszą być minimalizowane i kontrolowane w dostępie, a nie przechowywane otwarcie.

Co grozi za brak zgodności

Kary RODO do 4% obrotu, działania nadzorcze ze strony regulatorów ubezpieczeniowych, w tym zakaz dystrybucji, oraz kary ustawy o AI do 15 milionów € lub 3%.

Kto egzekwuje

Organy ochrony danych, krajowi nadzorcy ubezpieczeniowi oraz EIOPA, a także organy nadzoru rynku ustawy o AI.

Gdzie przebiega granica

Automatyczne odrzucenie roszczenia bez udziału człowieka angażuje artykuł 22 RODO, a ustalanie cen ubezpieczenia na życie lub zdrowie przy użyciu systemu AI jest wysokiego ryzyka zgodnie z załącznikiem III. Dane zdrowotne w roszczeniach są danymi szczególnej kategorii wymagającymi warunku z artykułu 9, który dla ubezpieczeń zazwyczaj wymaga wyraźnej zgody lub krajowego derogacji.

Najczęstsze pytania

Czy przedstawiciel UE pozwala nam sprzedawać ubezpieczenia w UE?

Nie. Dystrybucja wymaga rejestracji lub autoryzacji podmiotu w państwie członkowskim. Przedstawiciel zaspokaja jedynie ochronę danych.

Czy triage roszczeń jest wysokiego ryzyka zgodnie z ustawą o AI?

Ocena ryzyka i ustalanie cen dla ubezpieczeń na życie i zdrowie są wymienione w załączniku III. Inna automatyzacja roszczeń może nie być, ale artykuł 22 RODO nadal ma zastosowanie do decyzji bez udziału człowieka.