RODO w ubezpieczeniach: orzecznictwo i linia sądowa

Wejście w życie Ogólnego Rozporządzenia o Ochronie Danych (RODO) zrewolucjonizowało sposób, w jaki instytucje finansowe, a w szczególności zakłady ubezpieczeń, przetwarzają dane osobowe swoich klientów. Sektor ubezpieczeniowy opiera się na ciągłym zbieraniu, analizowaniu i profilowaniu danych, w tym informacji o szczególnym charakterze, takich jak dane dotyczące stanu zdrowia, nałogów, a nawet wyroków skazujących czy naruszeń prawa. W związku z tym, stosowanie przepisów o ochronie danych osobowych w ubezpieczeniach napotyka na unikalne wyzwania prawne i operacyjne. Analiza aktualnego orzecznictwa sądowego oraz decyzji wydawanych przez organ nadzorczy pozwala na precyzyjne określenie standardów, jakich wymaga się od ubezpieczycieli, oraz praw, jakie przysługują ubezpieczonym i uprawnionym z umów ubezpieczenia.

Specyfika przetwarzania danych osobowych w sektorze ubezpieczeń

Przetwarzanie danych osobowych w ubezpieczeniach charakteryzuje się ogromną różnorodnością zbieranych informacji. Zakład ubezpieczeń, aby dokonać rzetelnej oceny ryzyka ubezpieczeniowego, a następnie zlikwidować zgłoszoną szkodę, musi wejść w posiadanie danych, które w myśl RODO należą do szczególnych kategorii danych (art. 9 RODO). Mowa tu przede wszystkim o danych medycznych, które są niezbędne przy ubezpieczeniach na życie, ubezpieczeniach NNW czy przy likwidacji szkód osobowych z ubezpieczenia OC posiadaczy pojazdów mechanicznych.

Podstawą prawną przetwarzania tych danych jest najczęściej niezbędność do wykonania umowy ubezpieczenia, wypełnienie obowiązku prawnego ciążącego na administratorze (wynikającego m.in. z ustawy o działalności ubezpieczeniowej i reasekuracyjnej) oraz zgoda osoby, której dane dotyczą, w sytuacjach, gdy inne podstawy nie mają zastosowania. Kluczowym aspektem jest tu zasada minimalizacji danych. Ubezpieczyciel nie może żądać od klienta informacji, które nie są bezpośrednio powiązane z oceną ryzyka lub likwidacją konkretnej szkody. Nadmiarowość zbieranych danych jest jednym z najczęstszych zarzutów stawianych przez organ nadzorczy podczas kontroli.

Obowiązek informacyjny ubezpieczyciela a prawa klienta

Jednym z fundamentalnych filarów RODO jest obowiązek informacyjny. Ubezpieczyciel, jako administrator danych osobowych, ma obowiązek przekazać osobie, której dane dotyczą, szczegółowe informacje o celach, podstawach prawnych oraz okresie przetwarzania jej danych. W ubezpieczeniach obowiązek ten realizowany jest zazwyczaj na etapie zawierania umowy, poprzez dołączenie stosownej klauzuli informacyjnej do wniosku ubezpieczeniowego lub polisy.

W praktyce orzeczniczej sądów oraz w decyzjach Prezesa Urzędu Ochrony Danych Osobowych (PUODO) kładzie się ogromny nacisk na to, aby klauzule te były sformułowane językiem jasnym, prostym i zrozumiałym dla przeciętnego konsumenta. Niedopuszczalne jest stosowanie zawiłych sformułowań prawniczych, które mogłyby wprowadzić klienta w błąd lub zniechęcić go do zapoznania się z treścią dokumentu. Ponadto, w przypadku pozyskiwania danych z innych źródeł (np. od placówek medycznych czy Ubezpieczeniowego Funduszu Gwarancyjnego), ubezpieczyciel musi dopełnić tego obowiązku w ściśle określonym terminie, zazwyczaj w ciągu miesiąca od pozyskania danych.

Prawo do bycia zapomnianym a ustawowe okresy retencji danych

Niezwykle ciekawym i często spornym zagadnieniem w orzecznictwie jest realizacja prawa do usunięcia danych (tzw. prawo do bycia zapomnianym, art. 17 RODO). Klienci zakładów ubezpieczeń bardzo często składają wniosek o usunięcie ich danych osobowych po wygaśnięciu umowy ubezpieczenia lub po zakończeniu procesu likwidacji szkody. Jak do tej kwestii podchodzą sądy i organ nadzorczy?

Linia orzecznicza jest w tym zakresie dość jednolita i korzystna dla ubezpieczycieli, pod warunkiem, że wykażą oni uzasadniony interes prawny. Zakłady ubezpieczeń mają nie tylko prawo, ale wręcz obowiązek przechowywać dane osobowe przez okres niezbędny do obrony przed ewentualnymi roszczeniami lub do ich dochodzenia. Zgodnie z Kodeksem cywilnym, roszczenia z umowy ubezpieczenia przedawniają się co do zasady z upływem 3 lat, a w przypadku szkód wynikających z czynu niedozwolonego (np. wypadki komunikacyjne) termin ten może wynosić nawet 20 lat. W związku z tym, ubezpieczyciel może odmówić spełnienia żądania usunięcia danych, wskazując jako podstawę prawną art. 17 ust. 3 lit. e RODO, czyli niezbędność przetwarzania do ustalenia, dochodzenia lub obrony roszczeń. Niemniej jednak, po upływie tych terminów, dalsze przechowywanie danych staje się bezprawne i może skutkować nałożeniem surowych kar przez organ nadzorczy.

Warto w tym miejscu przywołać konkretne regulacje prawne, które krzyżują się z przepisami RODO. Zgodnie z art. 29 ustawy o działalności ubezpieczeniowej i reasekuracyjnej, zakład ubezpieczeń ma obowiązek przechowywać dokumenty dotyczące umowy ubezpieczenia przez ściśle określony czas. Okres ten jest ściśle powiązany z terminami przedawnienia roszczeń wynikającymi z Kodeksu cywilnego (art. 118, art. 819 k.c.). Ubezpieczyciele muszą precyzyjnie rozróżniać sytuacje, w których klient żąda usunięcia danych po zakończeniu umowy, od sytuacji, w których umowa w ogóle nie doszła do skutku (np. na etapie samej kalkulacji składki).

W przypadku, gdy klient jedynie zapytał o ofertę (tzw. kalkulacja lub niedoszła do skutku oferta), a umowa nie została zawarta, ubezpieczyciel ma bardzo ograniczony czas na przechowywanie takich danych. Jeśli klient złoży wniosek o ich usunięcie, zakład ubezpieczeń co do zasady powinien go uwzględnić, chyba że wykaże, iż dane te są mu niezbędne do obrony przed zarzutem nieuczciwej praktyki rynkowej lub błędnej kalkulacji, co jednak w praktyce bywa trudne do obronienia przed organem nadzorczym. Z kolei w przypadku aktywnej lub zakończonej umowy ubezpieczenia, wniosek o usunięcie danych w trakcie trwania okresu przedawnienia roszczeń będzie bezskuteczny, co wielokrotnie potwierdzały sądy administracyjne, oddalając skargi ubezpieczonych na decyzje PUODO odmawiające nakazania usunięcia danych.

Orzecznictwo sądowe w sprawach o zadośćuczynienie za naruszenie RODO

W ostatnich latach obserwujemy dynamiczny wzrost liczby spraw sądowych, w których powodzi domagają się zadośćuczynienia pieniężnego za naruszenie przepisów RODO przez ubezpieczycieli. Najczęstszą przyczyną takich powództw jest przypadkowe ujawnienie danych osobowych osobom nieuprawnionym, np. poprzez wysłanie dokumentacji szkodowej (zawierającej wrażliwe dane medyczne) na błędny adres e-mail lub adres korespondencyjny.

Sądy powszechne w Polsce, opierając się na wytycznych Trybunału Sprawiedliwości Unii Europejskiej (TSUE), wypracowały linię orzeczniczą, zgodnie z którą samo naruszenie przepisów RODO nie rodzi automatycznie prawa do zadośćuczynienia. Powód musi wykazać, że w wyniku tego naruszenia doznał konkretnej szkody majątkowej lub niemajątkowej (krzywdy). Niemniej jednak, sądy coraz przychylniej patrzą na roszczenia dotyczące naruszenia sfery prywatności. Strach przed kradzieżą tożsamości, poczucie utraty kontroli nad własnymi danymi medycznymi czy dyskomfort psychiczny spowodowany ujawnieniem danych osobom trzecim są uznawane za realną szkodę niemajątkową, która uzasadnia zasądzenie zadośćuczynienia. Kwoty te wahają się zazwyczaj od kilkuset do kilkunastu tysięcy złotych, w zależności od skali naruszenia i rodzaju ujawnionych danych.

Wpływ orzecznictwa TSUE na polski rynek ubezpieczeń

Analizując linię orzeczniczą sądów polskich, nie sposób pominąć fundamentalnego wpływu, jaki na interpretację przepisów RODO ma Trybunał Sprawiedliwości Unii Europejskiej (TSUE). W ostatnich wyrokach TSUE wielokrotnie podkreślał, że pojęcie szkody niemajątkowej w rozumieniu art. 82 RODO nie powinno być interpretowane zawężająco. Trybunał wskazał, że do powstania prawa do odszkodowania lub zadośćuczynienia nie jest wymagane osiągnięcie określonego progu dotkliwości naruszenia. Oznacza to, że nawet stosunkowo niewielki dyskomfort psychiczny, wywołany np. świadomością, że dane dotyczące historii ubezpieczenia lub stanu zdrowia trafiły do nieuprawnionego odbiorcy, może stanowić podstawę do roszczenia finansowego.

Dla polskich ubezpieczycieli wyroki te stanowią wyraźny sygnał ostrzegawczy. Sądy krajowe, zobowiązane do prounijnej wykładni przepisów, coraz częściej odchodzą od dawnej linii, która wymagała od powoda wykazania spektakularnych negatywnych następstw wycieku danych. Obecnie kluczowe staje się samo wykazanie utraty kontroli nad swoimi danymi osobowymi, co w realiach ubezpieczeniowych, gdzie przetwarzane są numery PESEL, numery dowodów osobistych oraz szczegółowe dane finansowe, rodzi realne ryzyko kradzieży tożsamości lub tzw. kradzieży kredytowej.

Decyzje Prezesa UODO i kary nakładane na ubezpieczycieli

Prezes Urzędu Ochrony Danych Osobowych jako organ nadzorczy stoi na straży przestrzegania przepisów RODO i posiada uprawnienia do nakładania administracyjnych kar pieniężnych. Sektor ubezpieczeń, z racji wolumenu i wrażliwości przetwarzanych danych, znajduje się pod szczególnym nadzorem organu.

Analiza decyzji PUODO wskazuje, że najczęstszymi przewinieniami ubezpieczycieli są: niedostateczne środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzania (co prowadzi do wycieków danych), brak odpowiedniej weryfikacji tożsamości osób składających wniosek o dostęp do danych oraz opieszałość w realizowaniu praw osób, których dane dotyczą. Organ nadzorczy wielokrotnie podkreślał, że ubezpieczyciel jako profesjonalista powinien stosować najwyższe standardy bezpieczeństwa, w tym szyfrowanie korespondencji elektronicznej zawierającej dane sensoryczne czy wieloetapową weryfikację tożsamości klienta dzwoniącego na infolinię.

Procedura obsługi wniosków klientów krok po kroku

Aby uniknąć sporów prawnych i kar ze strony organu nadzorczego, każdy zakład ubezpieczeń musi wdrożyć sprawną i zgodną z prawem procedurę obsługi wniosków z zakresu praw osób, których dane dotyczą. Poniżej przedstawiamy, jak powinna wyglądać taka procedura krok po kroku:

Rejestracja wniosku: Każdy wniosek klienta (np. o dostęp do danych, sprostowanie, usunięcie lub ograniczenie przetwarzania) musi zostać niezwłocznie zarejestrowany w systemie ubezpieczyciela.
Weryfikacja tożsamości: Przed przystąpieniem do realizacji wniosku, ubezpieczyciel ma obowiązek upewnić się, że osoba składająca wniosek jest rzeczywiście tą, za którą się podaje. Wymaga to wdrożenia bezpiecznych metod autoryzacji.
Analiza merytoryczna: Inspektor Ochrony Danych (IOD) lub dedykowany zespół prawny ocenia, czy żądanie klienta jest zasadne w świetle obowiązujących przepisów prawa ubezpieczeniowego (np. czy dane nie muszą być przechowywane na potrzeby obrony przed roszczeniami).
Dotrzymanie terminu: Zgodnie z RODO, odpowiedź na wniosek musi zostać udzielona bez zbędnej zwłoki, a w każdym razie nie później niż w terminie miesiąca od otrzymania żądania. W skomplikowanych przypadkach termin ten może zostać przedłużony o kolejne dwa miesiące, o czym należy klienta poinformować przed upływem pierwszego miesiąca.
Udzielenie odpowiedzi: Odpowiedź powinna być sformułowana w sposób jasny i precyzyjny, a w przypadku odmowy realizacji żądania – musi zawierać szczegółowe uzasadnienie prawne i faktyczne oraz pouczenie o prawie do wniesienia skargi do PUODO.

Najczęstsze błędy ubezpieczycieli w obszarze ochrony danych

W praktyce rynkowej można zidentyfikować kilka powtarzających się błędów, które generują największe ryzyko prawne i finansowe dla zakładów ubezpieczeń:

Automatyzm w odmowach: Częste, schematyczne odrzucanie wniosków o usunięcie danych bez indywidualnej analizy sytuacji klienta i faktycznego okresu przedawnienia jego roszczeń.
Brak szyfrowania maili: Wysyłanie dokumentów zawierających dane medyczne, numery PESEL czy adresy zamieszkania w otwartych plikach PDF bez zabezpieczenia hasłem.
Niewystarczające szkolenia personelu: Błędy ludzkie, takie jak pomylenie kopert przy wysyłce tradycyjnej czy udostępnienie danych osobie podającej się przez telefon za członka rodziny ubezpieczonego bez należytej weryfikacji.
Ignorowanie incydentów: Brak zgłaszania naruszeń ochrony danych osobowych do PUODO w ustawowym terminie 72 godzin od wykrycia incydentu, co samo w sobie stanowi rażące naruszenie RODO.

Praktyczny przykład: Wyciek danych medycznych w procesie likwidacji szkody

Wyobraźmy sobie sytuację, w której pan Jan zgłosił szkodę osobową z ubezpieczenia OC sprawcy wypadku. W toku likwidacji szkody ubezpieczyciel zgromadził obszerną dokumentację medyczną, w tym historię chorób i opisy zabiegów operacyjnych. Likwidator szkody, przygotowując decyzję o wypłacie zadośćuczynienia, przez pomyłkę wpisał błędny adres e-mail odbiorcy, wysyłając komplet dokumentów medycznych pana Jana do całkowicie obcej osoby.

Odbiorca wiadomości poinformował ubezpieczyciela o pomyłce. W tej sytuacji ubezpieczyciel musiał podjąć natychmiastowe działania: zgłosić naruszenie do organu nadzorczego (PUODO) w terminie 72 godzin oraz zawiadomić pana Jana o incydencie, opisując możliwe konsekwencje i środki zaradcze. Pan Jan, powołując się na ogromny stres i obawę przed nieuprawnionym wykorzystaniem jego danych wrażliwych, wystąpił na drogę sądową, domagając się od ubezpieczyciela zadośćuczynienia w kwocie 10 000 zł. Sąd, biorąc pod uwagę charakter ujawnionych danych (dane medyczne należą do danych szczególnie wrażliwych) oraz zaniedbanie pracownika ubezpieczyciela, uznał powództwo za uzasadnione i zasądził na rzecz powoda kwotę 5 000 zł, podkreślając, że ubezpieczyciel nie dopełnił obowiązku zapewnienia poufności danych.

Podsumowanie i rekomendacje

Stosowanie RODO w ubezpieczeniach wymaga ciągłego balansowania między rygorystycznymi przepisami o ochronie danych a specyfiką działalności ubezpieczeniowej, która bez dostępu do informacji nie mogłaby funkcjonować. Kluczem do sukcesu jest wdrożenie zasady privacy by design oraz privacy by default na każdym etapie projektowania produktów ubezpieczeniowych i procedur likwidacji szkód. Ubezpieczyciele muszą pamiętać, że dbałość o bezpieczeństwo danych osobowych to nie tylko obowiązek prawny, którego niedopełnienie grozi dotkliwymi karami finansowymi ze strony organu nadzorczego, ale przede wszystkim element budowania zaufania i przewagi konkurencyjnej na rynku.