Co znamená GDPR pro pojištění
Pojistné produkty (povinné ručení – auto, havarijní, cestovní, zdravotní) fungují na rozsáhlé výměně a vyhodnocování údajů. GDPR (Nařízení (EU) 2016/679) stanovuje, jaké osobní údaje může pojišťovna zpracovávat, pro jaké účely, jak dlouho, komu je smí poskytovat a jaká máte práva jako dotčená osoba. Tento článek vysvětluje nejdůležitější principy, specifika jednotlivých produktů a praktická doporučení, abyste věděli, co pojišťovna o vás zpracovává a proč.
Právní základy: proč může pojišťovna vaše údaje zpracovávat
- Plnění smlouvy: uzavření pojistné smlouvy, posouzení rizika (underwriting), správa smlouvy, likvidace pojistných událostí, vyplacení plnění.
- Plnění zákonné povinnosti: povinnosti podle sektorových zákonů (pojištění odpovědnosti z provozu vozidla, daňové a účetní předpisy, AML/KYC).
- Oprávněný zájem: prevence pojistných podvodů, interní statistika a modelování, ochrana IT a majetku, obhajoba právních nároků.
- Souhlas: dobrovolná zpracování, která nejsou nezbytná pro smlouvu či zákon (např. marketing, některé typy telematiky nebo rozšířené zdravotní údaje mimo nutnou míru).
- Životně důležité zájmy: výjimečně při urgentních situacích (asistence, zdravotní rizika v zahraničí), pokud nelze získat souhlas.
Zvláštní kategorie údajů: zdravotní údaje a GDPR
Při cestovním a komerčním zdravotním pojištění/úrazech pojišťovna zpracovává údaje o zdraví, které patří mezi zvláštní kategorii. Zpracování je možné pouze, pokud je nezbytné pro plnění smlouvy a uplatnění právních nároků, často s přiměřenými zárukami (omezený přístup, speciální režim ve spisech, lékařské posudky, mlčenlivost zdravotnických pracovníků). Při rozšířeném rozsahu (např. preexistující diagnózy nad rámec nezbytného posouzení) je vyžadován souhlas nebo jiný zákonný titul.
Jaké údaje pojišťovna typicky zpracovává (dle účelu)
- Identifikační a kontaktní: jméno, příjmení, rodné číslo/ datum narození, adresa, kontakty, číslo dokladu totožnosti.
- Údaje o smlouvě: číslo pojistky, produkt, rizikové parametry, pojistná částka, spoluúčasti, připojištění, historie změn.
- Povinné ručení a auto: registrační značka, VIN, technické parametry, škodová historie, bonus-malus, telematické údaje (pokud souhlasíte), záznamy z asistenčních zásahů, fotodokumentace a kalibrace ADAS.
- Cestovní pojištění: cíle a délka cesty, typ aktivit, asistenční protokoly, zdravotní zprávy v nezbytném rozsahu, doklady o nákladech.
- Zdravotní/úrazové: diagnózy, léčba, lékařské zprávy, nemocenská, rehabilitační plán, posudky znalců/posudkových lékařů.
- Finanční: pojistné, platby, bankovní spojení pro plnění, faktury, účetní doklady.
- Komunikace a důkazní materiály: záznamy telefonátů (pokud se nahrávají), korespondence, fotografie/video škody, výpovědi svědků.
Profilování a automatizované rozhodování (scoring)
V pojištění je běžné profilování (např. rizikové skóre pro sazbu nebo pravděpodobnost podvodu). Pokud se používají automatizovaná rozhodnutí, která mají právní účinky (zamítnutí smlouvy, výše pojistného), máte právo na lidský zásah, vyjádření stanoviska a napadení rozhodnutí. Pojišťovna musí vysvětlit logiku a význam takového zpracování v přiměřeném rozsahu.
Odkud údaje pocházejí: zdroje a sdílení
- Přímo od vás: dotazníky, formuláře, klientský portál, e-mail, telefonát, mobilní aplikace.
- Třetí strany: zprostředkovatelé (makléři), asistence, servisní sítě, zdravotnická zařízení, partnerské banky (bancassurance), likvidátoři, znalci.
- Registry a databáze: škodové registry, bonus-malus systémy, veřejné registry vozidel a vlastnictví, komerční databáze na prevenci podvodů, AML/PEP/sankční seznamy.
Údaje mohou být poskytovány zajišťovnám (reinsurance), externím zpracovatelům (IT, call centra, tisk dokumentů, cloud), orgánům veřejné moci (na základě zákona) a partnerům v síti (servisy, lékaři) pouze v nezbytném rozsahu, s rámcovými smlouvami o zpracování a bezpečnostními požadavky.
Mezinárodní přenosy: mimo EHP a standardní smluvní doložky
Pokud pojišťovna nebo její zpracovatel přenáší údaje do země mimo EHP, musí zajistit přiměřenou úroveň ochrany (rozhodnutí o přiměřenosti, standardní smluvní doložky, doplňující technická a organizační opatření). V praxi se jedná zejména o globální cloudové služby nebo o zajišťovnu se sídlem mimo EU.
Doby uchovávání: jak dlouho se údaje uchovávají
- Pojistná smlouva a související dokumenty: po dobu trvání smlouvy a následně dle promlčecích lhůt a sektorových předpisů (obvykle 5–10 let).
- Likvidace škod: minimálně po dobu do ukončení sporu nebo nároků, často 10 let od uzavření případu.
- Účetní a daňové doklady: podle lex specialis (obvykle 10 let).
- Záznamy hovorů: dle interních lhůt (měsíce až roky) s ohledem na obranu právních nároků a kvalitu služeb.
- Marketingové souhlasy: do odvolání souhlasu nebo do uplynutí stanovené doby neaktivity.
Práva dotčené osoby: jak je uplatnit
- Právo na přístup: získat informaci, zda a jaké údaje se zpracovávají, účely, kategorie, příjemci, doby uchování, zdroje, existence profilování.
- Právo na opravu: opravit nepřesné nebo neúplné údaje (např. kontakty, registrační údaje vozidla).
- Právo na vymazání („zapomenutí“): pokud již údaje nejsou potřebné, odvolali jste souhlas nebo byl zpracovatelský titul ukončen; nevztahuje se, pokud zákon vyžaduje uchování.
- Právo na omezení: během prověřování námitky či sporu.
- Právo na přenositelnost: u údajů poskytnutých na základě souhlasu nebo smlouvy, ve strojově čitelném formátu.
- Právo namítat: proti zpracování na základě oprávněného zájmu (např. při marketingu, profilování); pojišťovna musí prokázat vážné oprávněné důvody nebo zpracování zastavit.
- Právo na lidský zásah: u rozhodnutí založených výlučně na automatizovaném zpracování s právními účinky.
- Právo podat stížnost: u příslušného dozorového úřadu (úřad na ochranu osobních údajů) a domáhat se nápravy soudní cestou.
Bezpečnost zpracování: technická a organizační opatření
- Řízení přístupů: role a oprávnění, princip minimálních oprávnění, dvoufaktorové přihlášení.
- Šifrování: dat v klidu i při přenosu, bezpečné protokoly, segmentace sítí.
- Audit a logování: záznam přístupů, detekce anomálií, testování odolnosti (penetrační testy).
- Pseudonymizace: při modelování rizika a statistikách, pokud není nutná přímá identifikace.
- DPIA (posouzení vlivu na ochranu údajů): pro zpracování s vysokým rizikem (telematika, rozsáhlé zdravotní údaje, nové technologie).
- Incident management: postupy při úniku údajů, oznamovací povinnost dozorovému úřadu a dotčeným osobám, nápravná opatření.
Specifika podle produktu: povinné ručení a havarijní pojištění
- Identifikace vozidla: registrační značka, VIN, technické údaje, emisní třídy, bezpečnostní výbava.
- Škodová historie a bonus-malus: výměna informací v rámci trhu pro spravedlivé ocenění; povolena v rozsahu daném regulací.
- Likvidace škody: fotodokumentace, kalkulace servisů, diagnostické zprávy, kalibrace ADAS, záznamy z asistenčních zásahů; při podezření na podvod vyšší bezpečnostní opatření a forenzní analýza.
- Telematika: sběr údajů o jízdním stylu a lokalitě pouze se souhlasem; transparentní vysvětlení, jaké metriky ovlivňují pojistné.
Specifika podle produktu: cestovní pojištění
- Asistenční služba: v případě události se zpracovává minimum údajů potřebných k autorizaci léčby a garanci platby; může zahrnovat lokalizační údaje a zdravotní informace.
- Preexistující diagnózy: pouze v rozsahu nezbytném pro posouzení výluk/limitů; preferuje se dokumentace v anonymizovaném/doporučeném rozsahu.
- Doklady o cestě: letenky, rezervace, potvrzení o zpoždění; účelem je prokázat pojistnou událost a náklady.
Specifika podle produktu: komerční zdravotní a úrazové pojištění
- Údaje o zdraví se zpracovávají v režimu zvýšené ochrany, s přístupem omezeným na posudkové pracovníky a likvidátory s zákonnou/mlčenlivostní povinností.
- Psychické zdraví: citlivý režim dokumentace (diagnóza, doporučení, zprávy); pojišťovna nezpracovává terapeutické zápisy nad rámec medicínské nezbytnosti.
- Falešné výkazy a podvody: oprávněný zájem ověřit pravost dokladů; jakékoli externí ověření probíhá v souladu s právem a jen v nezbytném rozsahu.
Marketing, profilování pro marketing a cookies
- Marketingové zprávy: vyžadují souhlas (opt-in) nebo se zakládají na oprávněném zájmu s možností „opt-out“; každá zpráva má mít mechanismus pro odhlášení.
- Profilování pro marketing: segmentace klientů podle produktů a chování s důrazem na minimalizaci údajů; automatizované rozhodování s právním účinkem se neaplikuje.
- Cookies a portály: analytické a marketingové cookies pouze s vaším souhlasem; technicky nezbytné cookies v režimu oprávněného zájmu.
Děti a zranitelné osoby: zvláštní péče
Při pojištění dětí nebo zranitelných osob (senioři, osoby s omezenou způsobilostí) je dbáno na srozumitelné informování, přiměřenost rozsahu a zastoupení zákonného zástupce. Pojišťovna zpracovává jen to, co je nezbytné pro krytí a likvidaci.
Role odpovědné osoby (DPO) a kontakt
Pojišťovna má jmenovanou odpovědnou osobu pro ochranu údajů (DPO). Můžete se na ni obrátit při dotazech, uplatnění práv, poskytnutí zpětné vazby ke zpracování nebo při podezření na porušení bezpečnosti údajů.
Praktický checklist pro klienta
- Před uzavřením smlouvy si přečtěte informační povinnost o zpracování (účely, právní základy, doby uchování, příjemci).
- Při likvidaci škody posílejte pouze nezbytné doklady, citlivé údaje chraňte (šifrování, zabezpečený upload).
- Pokud nesouhlasíte s marketingem, využijte opt-out; pokud chcete přístup ke svým údajům, požádejte o kopii spisu.
- Při telematice a jiných dobrovolných modulech si vyžádejte popis metrik a vliv na pojistné; souhlas můžete odvolat.
- Ověřte si retenci (jak dlouho budou údaje uloženy) a transfery mimo EHP (na základě jakých záruk).
Checklist pro zpracování zdravotních údajů
- Poskytněte pouze ty lékařské zprávy, které jsou vyžadovány v rozsahu medicínské nezbytnosti.
- Žádejte, aby zdravotní údaje byly vedeny odděleně a mě
