GDPR a pojištění: Jaké údaje pojišťovna zpracovává a proč

Co znamená GDPR pro pojištění

Pojišťovací produkty (Povinné ručení – auto, havarijní, cestovní, zdravotní) fungují na rozsáhlé výměně a vyhodnocování údajů. GDPR (Nařízení (EU) 2016/679) určuje, jaké osobní údaje může pojišťovna zpracovávat, za jakými účely, jak dlouho, komu je může poskytovat a jaká máte práva jako dotčená osoba. Tento článek vysvětluje nejdůležitější principy, specifika jednotlivých produktů a praktická doporučení, abyste věděli, co pojišťovna o vás zpracovává a proč.

Právní základy: proč může pojišťovna vaše údaje zpracovávat

Plnění smlouvy: uzavření pojistné smlouvy, posouzení rizika (underwriting), správa smlouvy, likvidace pojistných událostí, vyplacení plnění.
Plnění právní povinnosti: povinnosti podle sektorových zákonů (pojištění odpovědnosti z provozu vozidla, daňové a účetní předpisy, AML/KYC).
Oprávněný zájem: prevence pojistných podvodů, interní statistika a modelování, ochrana IT a majetku, obhajoba právních nároků.
Souhlas: dobrovolné zpracování, které není nezbytné pro smlouvu či zákon (např. marketing, některé typy telematiky nebo rozšířené zdravotní údaje nad rámec nutné míry).
Životně důležité zájmy: výjimečně při urgentních situacích (asistence, zdravotní rizika v zahraničí), pokud nelze získat souhlas.

Zvláštní kategorie údajů: zdravotní údaje a GDPR

U cestovního a komerčního zdravotního pojištění/úrazů pojišťovna zpracovává údaje o zdraví, které jsou zařazeny do zvláštní kategorie. Zpracování je možné pouze, pokud je nezbytné pro plnění smlouvy a uplatnění právních nároků, často s přiměřenými zárukami (omezený přístup, speciální režim ve spisech, lékařské posudky, mlčenlivost zdravotnických pracovníků). Při rozšířeném rozsahu (např. preexistující diagnózy nad rámec nutného posouzení) je vyžadován souhlas nebo jiný zákonný důvod.

Jaké údaje pojišťovna typicky zpracovává (podle účelu)

Identifikační a kontaktní: jméno, příjmení, rodné číslo/datump narození, adresa, kontaktní údaje, číslo dokladu totožnosti.
Údaje o smlouvě: číslo pojistky, produkt, rizikové parametry, pojistná částka, spoluúčasti, připojištění, historie změn.
Povinné ručení a auto: registrační značka, VIN, technické parametry, škodová historie, bonus-malus, telematické údaje (pokud souhlasíte), záznamy z asistenčních zásahů, fotodokumentace a kalibrace ADAS.
Cestovní pojištění: cíle a délka cesty, typ aktivit, asistenční protokoly, zdravotní zprávy v nezbytném rozsahu, doklady o nákladech.
Zdravotní/úrazové: diagnózy, léčba, lékařské zprávy, pracovní neschopnost, rehabilitační plán, posudky znalců/expertních lékařů.
Finanční: pojistné, platby, bankovní spojení pro plnění, faktury, účetní doklady.
Komunikace a důkazní materiály: záznamy telefonátů (pokud jsou nahrávány), korespondence, fotografie/video škody, výpovědi svědků.

Profilování a automatizované rozhodování (scoring)

V pojištění je běžné profilování (např. rizikové skóre pro sazbu nebo pravděpodobnost podvodu). Pokud jsou používána automatizovaná rozhodnutí, která mají právní účinky (odmítnutí smlouvy, výše pojistného), máte právo na lidský zásah, vyjádření stanoviska a napadení rozhodnutí. Pojišťovna je povinna vysvětlit logiku a význam takového zpracování v přiměřeném rozsahu.

Odkud údaje pocházejí: zdroje a sdílení

Přímo od vás: dotazníky, formuláře, klientský portál, e-mail, telefonát, mobilní aplikace.
Třetí strany: zprostředkovatelé (makléři), asistence, servisní sítě, zdravotnická zařízení, partnerské banky (bancassurance), likvidátoři, znalci.
Registry a databáze: registr škod, bonus-malus systémy, veřejné registry vozidel a vlastnictví, komerční databáze na prevenci podvodů, seznamy AML/PEP/sankční seznamy.

Údaje mohou být poskytovány zajišťovnám (reinsurance), externím zpracovatelům (IT, call centra, tisk dokumentů, cloud), orgánům veřejné moci (na základě zákona) a partnerům v síti (servisy, lékaři) jen v nezbytném rozsahu, s rámcovými smlouvami o zpracování a bezpečnostními požadavky.

Mezinárodní přenosy: mimo EHP a standardní smluvní doložky

Pokud pojišťovna nebo její zpracovatel přenáší údaje do země mimo EHP, musí zajistit přiměřenou úroveň ochrany (rozhodnutí o přiměřenosti, standardní smluvní doložky, doplňující technická a organizační opatření). V praxi se jedná zejména o globální cloudové služby nebo o zajišťovnu se sídlem mimo EU.

Doby uchování: jak dlouho se údaje uchovávají

Pojistná smlouva a související dokumenty: po dobu trvání smlouvy a následně podle promlčecích lhůt a sektorových předpisů (obvykle 5–10 let).
Likvidace škod: minimálně do ukončení sporu či nároků, často 10 let od uzavření případu.
Účetní a daňové doklady: podle speciální právní úpravy (obvykle 10 let).
Záznamy hovorů: podle interních lhůt (měsíce až roky) s přihlédnutím k obraně právních nároků a kvalitě služeb.
Marketingové souhlasy: do odvolání souhlasu nebo do uplynutí stanovené doby neaktivity.

Práva dotčené osoby: jak je uplatnit

Právo na přístup: získat informaci, zda a jaké údaje se zpracovávají, účely, kategorie, příjemci, doby uchování, zdroje, existence profilování.
Právo na opravu: opravit nepřesné nebo neúplné údaje (např. kontakty, registrační údaje vozidla).
Právo na vymazání („zapomenutí“): pokud údaje nejsou již potřebné, odvolali jste souhlas nebo skončil právní titul zpracování; nevztahuje se, pokud zákon vyžaduje uchování.
Právo na omezení: během vyšetřování námitky či sporu.
Právo na přenositelnost: u údajů poskytnutých na základě souhlasu nebo smlouvy, ve strojově čitelném formátu.
Právo namítat: proti zpracování na základě oprávněného zájmu (např. marketing, profilování); pojišťovna musí prokázat závažné oprávněné důvody nebo zpracování zastavit.
Právo na lidský zásah: u rozhodnutí založených výlučně na automatizovaném zpracování s právními účinky.
Právo podat stížnost: u příslušného dozorového orgánu (úřad pro ochranu osobních údajů) a domáhat se nápravy soudní cestou.

Bezpečnost zpracování: technická a organizační opatření

Řízení přístupů: role a oprávnění, princip minimálních oprávnění, dvoufaktorové přihlášení.
Šifrování: dat v klidu i při přenosu, bezpečné protokoly, segmentace sítí.
Audit a logování: záznam přístupů, detekce anomálií, testování odolnosti (penetrační testy).
Pseudonymizace: při modelování rizika a statistikách, pokud není nutná přímá identifikace.
DPIA (posouzení vlivu na ochranu údajů): pro zpracování s vysokým rizikem (telematika, rozsáhlé zdravotní údaje, nové technologie).
Incident management: postupy při úniku dat, oznamovací povinnost dozorovému orgánu a dotčeným osobám, nápravná opatření.

Specifika podle produktu: Povinné ručení a havarijní pojištění

Identifikace vozidla: registrační značka, VIN, technické údaje, emisní třídy, bezpečnostní výbava.
Škody a bonus-malus: výměna informací v rámci trhu pro spravedlivé ocenění; povoleno v rozsahu daném regulací.
Likvidace škody: fotodokumentace, kalkulace servisů, diagnostické zprávy, kalibrace ADAS, záznamy z asistenčních zásahů; při podezření na podvod zvýšená bezpečnostní opatření a forenzní analýza.
Telematika: sběr údajů o jízdním stylu a poloze pouze se souhlasem; transparentní vysvětlení, které metriky ovlivňují pojistné.

Specifika podle produktu: cestovní pojištění

Asistenční služba: v případě události se zpracovává minimum údajů nezbytných pro autorizaci léčby a záruku platby; může zahrnovat lokalizační údaje a zdravotní informace.
Preexistující diagnózy: pouze v rozsahu nezbytném pro posouzení výluk/limitů; preferována anonymizovaná či doporučená dokumentace.
Doklady o cestě: letenky, rezervace, potvrzení o zpoždění; účelem je prokázat pojistnou událost a náklady.

Specifika podle produktu: komerční zdravotní a úrazové pojištění

Údaje o zdraví jsou zpracovávány ve zvýšeném režimu ochrany, s přístupem omezeným na posudkové pracovníky a likvidátory s zákonnou/mlčenlivostní povinností.
Psychické zdraví: citlivý režim dokumentace (diagnóza, doporučení, zprávy); pojišťovna nezpracovává terapeutické záznamy nad rámec medicínské nezbytnosti.
Falešné výkazy a podvody: oprávněný zájem prověřit pravost dokladů; veškeré externí ověřování probíhá v souladu se zákonem a pouze v nezbytném rozsahu.

Marketing, profilování pro marketing a cookies

Marketingové zprávy: vyžadují souhlas (opt-in) nebo se zakládají na oprávněném zájmu s možností „opt-out“; každá zpráva má mít mechanismus pro odhlášení.
Profilování pro marketing: segmentace klientů podle produktů a chování s důrazem na minimalizaci údajů; automatizované rozhodování s právním účinkem se neaplikuje.
Cookies a portály: analytické a marketingové cookies pouze s vaším souhlasem; technicky nezbytné cookies v režimu oprávněného zájmu.

Děti a zranitelné osoby: zvláštní péče

Při pojištění dětí nebo zranitelných osob (senioři, osoby s omezenou způsobilostí) se dbá na srozumitelné informování, přiměřenost rozsahu a zastoupení zákonného zástupce. Pojišťovna zpracovává pouze to, co je nezbytné pro krytí a likvidaci.

Úloha odpovědné osoby (DPO) a kontakt

Pojišťovna má určenou odpovědnou osobu pro ochranu údajů (DPO). Můžete se na ni obrátit při otázkách, uplatnění práv, poskytnutí zpětné vazby k zpracování nebo při podezření na porušení bezpečnosti údajů.

Praktický checklist pro klienta

Před uzavřením smlouvy si přečtěte informační povinnost o zpracování (účely, právní základy, doby uchování, příjemci).
Při likvidaci škody posílejte pouze nezbytné doklady, citlivé údaje chraňte (šifrování, zabezpečený upload).
Pokud nesouhlasíte s marketingem, využijte opt-out; pokud chcete přístup ke svým údajům, požádejte o kopii spisu.
Při telematice a jiných dobrovolných modulech si vyžádejte popis metrik a vliv na pojistné; souhlas můžete odvolat.
Zkontrolujte si retenci (jak dlouho budou údaje uloženy) a transfery mimo EHP (na základě jakých záruk).