RODO ubezpieczenia: termin na pismo i skutki zwłoki

Sektor ubezpieczeniowy przetwarza ogromne ilości danych osobowych, w tym dane szczególnych kategorii, takie jak informacje o stanie zdrowia czy historii medycznej. W związku z tym ubezpieczyciele są poddawani szczególnej kontroli w zakresie przestrzegania przepisów Ogólnego Rozporządzenia o Ochronie Danych (RODO). Jednym z kluczowych wyzwań, przed którymi stają zakłady ubezpieczeń, jest terminowa i prawidłowa obsługa wniosków składanych przez osoby, których dane dotyczą. Klienci, ubezpieczeni, a także uposażeni coraz częściej korzystają ze swoich praw, żądając dostępu do danych, ich sprostowania, usunięcia czy przeniesienia. Niedopełnienie obowiązków terminowych przez ubezpieczyciela rodzi poważne konsekwencje prawne i finansowe.

Wnioski z zakresu RODO w sektorze ubezpieczeniowym – o co wnioskują klienci?

Klienci zakładów ubezpieczeń posiadają szereg uprawnień gwarantowanych przez RODO. Najczęściej składane wnioski dotyczą prawa dostępu do danych (art. 15 RODO), w ramach którego wnioskodawca może żądać potwierdzenia, czy jego dane są przetwarzane, a także uzyskania kopii tych danych. W ubezpieczeniach kopia ta często obejmuje historię przebiegu ubezpieczenia, dokumentację medyczną zgromadzoną w procesie likwidacji szkody czy nagrania rozmów z infolinią.

Innym popularnym żądaniem jest prawo do usunięcia danych, znane jako 'prawo do bycia zapomnianym' (art. 17 RODO). Warto jednak pamiętać, że w branży ubezpieczeniowej uprawnienie to napotyka na istotne ograniczenia. Ubezpieczyciel ma bowiem obowiązek przechowywać dane przez okres niezbędny do dochodzenia lub obrony przed roszczeniami, co wynika z przepisów Kodeksu cywilnego oraz ustawy o działalności ubezpieczeniowej i reasekuracyjnej. Niemniej jednak, nawet jeśli żądanie usunięcia danych jest nieuzasadnione, zakład ubezpieczeń musi odpowiedzieć na pismo w terminie, wyjaśniając podstawę prawną odmowy.

Podstawowy termin na odpowiedź na wniosek RODO

Zgodnie z art. 12 ust. 3 RODO, administrator danych – czyli w tym przypadku zakład ubezpieczeń – ma obowiązek udzielić informacji o działaniach podjętych w związku z wnioskiem bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. Jest to termin absolutnie kluczowy i rygorystyczny. Miesiąc ten liczy się od dnia wpływu pisma do ubezpieczyciela, niezależnie od tego, czy wpłynęło ono drogą elektroniczną, tradycyjną pocztą, czy zostało złożone osobiście w oddziale.

Kiedy i jak można przedłużyć termin?

W skomplikowanych przypadkach RODO dopuszcza przedłużenie miesięcznego terminu o kolejne dwa miesiące. Sektor ubezpieczeń, ze względu na wielowątkowość spraw (np. konieczność zgromadzenia archiwalnej dokumentacji medycznej od placówek zewnętrznych), może w określonych sytuacjach z tej możliwości skorzystać. Aby jednak przedłużenie było legalne, ubezpieczyciel musi spełnić dwa warunki:

opóźnienie musi być uzasadnione skomplikowanym charakterem żądania lub liczbą wniosków,
ubezpieczyciel musi poinformować wnioskodawcę o przedłużeniu terminu w ciągu miesiąca od otrzymania żądania, podając konkretne przyczyny opóźnienia.

Brak takiego powiadomienia w ciągu pierwszego miesiąca oznacza, że ubezpieczyciel uchybił terminowi, co stanowi bezpośrednie naruszenie przepisów RODO.

Obowiązki ubezpieczyciela po otrzymaniu pisma

Procedura obsługi wniosku RODO wymaga od ubezpieczyciela podjęcia natychmiastowych działań. Po pierwsze, konieczna jest identyfikacja tożsamości wnioskodawcy. W branży ubezpieczeniowej, gdzie przetwarzane są dane wrażliwe, ujawnienie informacji osobie nieuprawnionej stanowi ciężkie naruszenie bezpieczeństwa. Jeśli ubezpieczyciel ma uzasadnione wątpliwości co do tożsamości osoby składającej wniosek, może zażądać dodatkowych informacji niezbędnych do jej potwierdzenia. Co ważne, żądanie takich informacji nie zawiesza automatycznie biegu miesięcznego terminu, chyba że wnioskodawca zwleka z odpowiedzią w sposób uniemożliwiający realizację prawa.

Po drugie, ubezpieczyciel musi przeanalizować zasadność wniosku pod kątem innych przepisów prawa krajowego. Przykładowo, jeśli klient żąda przeniesienia danych (art. 20 RODO), ubezpieczyciel musi ocenić, czy dane te są przetwarzane na podstawie zgody lub umowy oraz czy przetwarzanie odbywa się w sposób zautomatyzowany. Cały ten proces analityczny oraz przygotowanie odpowiedzi muszą zamknąć się w ustawowym terminie.

Zbieg terminów: RODO a reklamacja ubezpieczeniowa

W praktyce ubezpieczeniowej często dochodzi do zbiegu przepisów RODO oraz ustawy o rozpatrywaniu reklamacji przez podmioty rynku finansowego. Klienci w jednym piśmie potrafią zawrzeć zarówno zarzuty dotyczące likwidacji szkody (reklamacja), jak i żądanie dostępu do danych osobowych (wniosek RODO). Ubezpieczyciel musi pamiętać, że są to dwa niezależne tryby prawne. Reklamacja finansowa co do zasady wymaga odpowiedzi w terminie 30 dni, natomiast wniosek RODO – w terminie jednego miesiąca. Choć terminy te są zbliżone, różnią się sposobem ich obliczania oraz konsekwencjami uchybienia. Odpowiedź na reklamację nie może zastępować formalnej odpowiedzi na wniosek RODO i odwrotnie. Każde z tych żądań musi zostać rozpatrzone zgodnie ze swoją podstawą prawną.

Rola Inspektora Ochrony Danych (IOD) w procesie terminowości

Każdy zakład ubezpieczeń, jako podmiot przetwarzający dane na dużą skalę, ma obowiązek wyznaczenia Inspektora Ochrony Danych (IOD). To właśnie IOD odgrywa kluczową rolę w nadzorowaniu terminowości udzielania odpowiedzi na pisma klientów. Inspektor nie tylko monitoruje zgodność procesów z prawem, ale również stanowi punkt kontaktowy dla osób, których dane dotyczą. W przypadku skomplikowanych żądań, to IOD powinien dokonać oceny, czy zachodzą przesłanki do przedłużenia terminu o kolejne dwa miesiące, oraz przygotować stosowne uzasadnienie. Sprawna współpraca między działem obsługi klienta a biurem IOD jest warunkiem koniecznym do uniknięcia zwłoki.

Skutki prawne i finansowe zwłoki ubezpieczyciela

Niedotrzymanie terminu na odpowiedź na wniosek RODO niesie za sobą poważne konsekwencje dla zakładu ubezpieczeń. Skutki te można podzielić na administracyjne, cywilne oraz wizerunkowe.

Skarga do Prezesa Urzędu Ochrony Danych Osobowych (UODO)

Osoba, której wniosek został zignorowany lub na który odpowiedziano z opóźnieniem, ma prawo wnieść skargę do Prezesa UODO. Organ nadzorczy wszczyna wówczas postępowanie administracyjne. W jego toku ubezpieczyciel musi wykazać, dlaczego doszło do zwłoki. Jeśli Prezes UODO uzna, że doszło do naruszenia art. 12 ust. 3 RODO, może wydać decyzję nakazującą spełnienie żądania wnioskodawcy w określonym terminie, a także nałożyć upomnienie lub karę finansową.

Administracyjne kary pieniężne

Zgodnie z art. 83 ust. 5 RODO, naruszenie praw osób, których dane dotyczą (w tym nieterminowa realizacja wniosków), podlega administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Choć w polskich realiach kary dla ubezpieczycieli rzadko osiągają maksymalny pułap, to jednak kary rzędu kilkudziesięciu lub kilkuset tysięcy złotych za systemowe opóźnienia są realnym zagrożeniem.

Roszczenia odszkodowawcze na drodze cywilnej

Art. 82 RODO daje każdej osobie, która poniosła szkodę majątkową lub niemajątkową (krzywdę) w wyniku naruszenia rozporządzenia, prawo do uzyskania odszkodowania od administratora. Zwłoka w udzieleniu odpowiedzi, zwłaszcza jeśli uniemożliwiła klientowi np. szybkie zawarcie innej umowy ubezpieczenia lub dochodzenie roszczeń przed sądem, może być podstawą do wytoczenia powództwa cywilnego przeciwko ubezpieczycielowi.

Praktyczny przykład: Opóźnienie w realizacji prawa do usunięcia danych

Wyobraźmy sobie sytuację, w której pan Jan złożył wniosek o usunięcie jego danych marketingowych z bazy ubezpieczyciela po wygaśnięciu polisy OC. Ubezpieczyciel, z powodu błędu w systemie IT, nie przetworzył tego wniosku w terminie jednego miesiąca. Co więcej, po upływie sześciu tygodni pan Jan otrzymał kolejną ofertę marketingową. W tym przypadku doszło do podwójnego naruszenia: uchybienia terminowi na odpowiedź oraz dalszego przetwarzania danych bez podstawy prawnej. Pan Jan skierował skargę do Prezesa UODO. Organ nadzorczy po przeprowadzeniu postępowania nałożył na ubezpieczyciela karę finansową za brak terminowej reakcji oraz nakazał natychmiastowe usunięcie danych z bazy marketingowej.

Najczęstsze błędy ubezpieczycieli przy obsłudze wniosków RODO

Analiza postępowań przed UODO pozwala wskazać najczęstsze uchybienia popełniane przez zakłady ubezpieczeń:

Brak procedur wewnętrznych: Wnioski RODO trafiają do różnych działów (np. do agentów, likwidacji szkód, infolinii) i bez jasnej ścieżki eskalacji ulegają zagubieniu lub opóźnieniu.
Błędna kwalifikacja pism: Traktowanie wniosku RODO jako zwykłej reklamacji, co wydłuża czas reakcji (reklamacje ubezpieczeniowe mają często inny, 30-dniowy termin, ale procedury RODO wymagają specyficznego podejścia).
Niewystarczające uzasadnienie przedłużenia terminu: Wysyłanie szablonowych pism o przedłużeniu terminu o 2 miesiące bez wykazania rzeczywistego, skomplikowanego charakteru sprawy.
Ignorowanie wniosków byłych klientów: Przekonanie, że skoro umowa wygasła, ubezpieczyciel nie musi już sprawnie obsługiwać pism od danej osoby.

Podsumowanie – jak ubezpieczyciele powinni zarządzać terminami?

Aby uniknąć dotkliwych kar i utraty zaufania klientów, zakłady ubezpieczeń muszą wdrożyć zautomatyzowane systemy monitorowania terminów wniosków RODO. Kluczowe jest przeszkolenie personelu pierwszej linii kontaktu, aby potrafił natychmiast zidentyfikować żądanie oparte na przepisach o ochronie danych osobowych. Szybka weryfikacja tożsamości, sprawny przepływ informacji między departamentami oraz rzetelne informowanie klientów o każdym etapie rozpatrywania ich spraw to jedyna droga do zapewnienia pełnej zgodności z RODO i ochrony przed ryzykiem prawnym.