Seguros, insurtech e plataformas de reclamações

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 22
• Directive (EU) 2016/97 — insurance distribution
• Regulation (EU) 2024/1689 — AI Act, Annex III for life and health risk pricing
• Regulation (EU) 2022/2554 — DORA for financial entities

Quem tem de designar

Fornecedores fora da União que oferecem tecnologia de seguros, manuseio de reclamações ou serviços de distribuição para clientes da UE. As obrigações de dados se aplicam a qualquer processamento de dados de segurados da UE. A atividade de seguros em si requer autorização ou registro em um estado membro, o que nenhum representante fornece.

Limiares e isenções

Sem limite do RGPD. Sob a Lei de IA, sistemas usados para avaliação de risco e precificação em seguros de vida e saúde são de alto risco sob o Anexo III, com obrigações a partir de agosto de 2026.

O que deve constar do rótulo

Não físico. O representante no aviso de privacidade, as informações pré-contratuais exigidas pela Diretiva de distribuição, e onde decisões automatizadas são tomadas, informações sobre a lógica envolvida sob o Artigo 22 do RGPD.

Campos nos marketplaces

Seguradoras que adquirem tecnologia requerem termos contratuais prontos para DORA, incluindo planos de saída e direitos de auditoria, uma vez que entidades financeiras devem gerenciar o risco de TIC de terceiros. Isso se tornou o fator limitante para fornecedores que vendem para o setor.

Documentação a conservar

Registros do Artigo 30, termos do Artigo 28, a designação do Artigo 27, uma avaliação de impacto sobre a proteção de dados cobrindo perfilagem e quaisquer dados de categoria especial, como saúde, cronogramas de retenção alinhados aos períodos de limitação de reclamações, o mecanismo de transferência, e para IA de alto risco, a documentação técnica e a avaliação de conformidade.

Normas e ensaios

Avaliação de viés e precisão para modelos de precificação e reclamações, e para fornecedores relevantes ao DORA, participação nos testes de resiliência da entidade financeira.

Requisitos linguísticos

Informações voltadas para o segurado na língua do estado membro onde o risco está situado.

A partir de quando

O representante antes do início do processamento. O DORA se aplica desde 17 de janeiro de 2025. Obrigações de alto risco da Lei de IA a partir de 2 de agosto de 2026.

Prazo de conservação

Dados de reclamações pelo período de limitação aplicável à reclamação, que é longo, mas os dados de saúde dentro dele devem ser minimizados e controlados em acesso, em vez de mantidos abertamente.

Em caso de incumprimento

Multas do RGPD de até 4% do faturamento, ação de supervisão de reguladores de seguros, incluindo proibição de distribuição, e penalidades da Lei de IA de até €15 milhões ou 3%.

Quem fiscaliza

Autoridades de proteção de dados, supervisores nacionais de seguros e EIOPA, e autoridades de vigilância de mercado da Lei de IA.

Onde está a fronteira

Recusa automatizada de reclamações sem envolvimento humano aciona o Artigo 22 do RGPD, e precificação de cobertura de vida ou saúde usando um sistema de IA é de alto risco sob o Anexo III. Dados de saúde em reclamações são dados de categoria especial que requerem uma condição do Artigo 9, que para seguros é geralmente consentimento explícito ou uma derrogação nacional.

Perguntas frequentes

Um representante da UE nos permite vender seguros na UE?

Não. A distribuição requer registro ou autorização de uma entidade em um estado membro. O representante satisfaz apenas a proteção de dados.

A triagem de reclamações é de alto risco sob a Lei de IA?

Avaliação de risco e precificação para seguros de vida e saúde estão listadas no Anexo III. Outras automações de reclamações podem não estar, mas o Artigo 22 do RGPD ainda se aplica a decisões sem envolvimento humano.