Compliance RGPD per a Corredories d'Assegurances

Consultes genèriques sobre cobertures

Exemple: "Què cobreix la meva pòlissa de salut en cas d'hospitalització?" o "Quin és el període de carència per a un part?". Aquestes preguntes no impliquen cap dada personal de salut concreta: consulten el condicionat general del producte.

IgeraCorredories gestiona aquest tipus de manera nativa, sense necessitat de base legal de l'article 9 ni configuració addicional. La base legal aplicable és l'interès legítim del responsable (article 6.1.f) per millorar l'atenció al client.

Preguntes amb context personal anònim

Exemple: "Tinc hipertensió, això m'afectaria en una renovació de pòlissa de vida?". El client revela informació de salut, però sense identificar-se amb nom o número de pòlissa.

IgeraCorredories tracta aquest tipus amb arquitectura anonimitzada: la consulta no es vincula a cap identificador personal, i la resposta es basa en el condicionat del producte sense emmagatzemar el context de salut revelat. Requereix política de retenció mínima i avís de privacitat adequat al canal.

Consultes amb historial nominatiu de l'assegurat

Exemple: "El client Joan Martí té diabetis tipus 2 i vol contractar una pòlissa de vida-risc, quina prima li correspondria?" o "Consulta l'informe mèdic adjunt al sinistre de la senyora Puig".

Aquestes dades són inequívocament de categoria especial (article 9 RGPD). Requereixen: base legal explícita (article 9.2.h, prestació d'assegurança, o 9.2.a, consentiment explícit), contracte d'encàrrec (DPA) amb IgeraCorredories, registre d'activitats de tractament actualitzat (article 30) i, segons el volum, una DPIA prèvia (article 35). La configuració enterprise d'IgeraCorredories cobre aquest escenari amb les garanties tècniques i jurídiques necessàries.

Quines dades que gestiona una corredoria d'assegurances es consideren dades de categoria especial segons el RGPD?

L'article 9 del RGPD classifica com a categoria especial les dades que revelen l'origen ètnic, les opinions polítiques, les conviccions religioses, l'afiliació sindical, i també les dades de salut, les dades genètiques, les dades biomètriques i les dades relatives a la vida o orientació sexual. En el dia a dia d'una corredoria, això apareix sobretot en tres línies de producte: assegurances de salut privada (qüestionaris de salut, declaracions de patologies prèvies, informes mèdics adjunts a un sinistre), assegurances de vida-risc i vida-estalvi (declaracions de salut per calcular la prima, informes de causa de mort en sinistres de vida), i assegurances de decés (certificats de defunció, informes mèdics). També pot aparèixer de manera incidental en pòlisses d'auto o llar quan un sinistre inclou lesions personals. Qualsevol document, camp de formulari o consulta a un assistent d'IA que contingui aquesta informació requereix les garanties reforçades de l'article 9, no les generals de l'article 6.

Necessita una corredoria signar un contracte d'encarregat del tractament (DPA) amb IgeraCorredories?

Sí, sempre. En el moment en què la corredoria utilitza IgeraCorredories per processar qualsevol document o consulta que pugui relacionar-se amb persones físiques identificades o identificables —assegurats, prenedors, beneficiaris—, IgeraCorredories actua com a encarregat del tractament segons l'article 28 del RGPD, i el contracte d'encàrrec (DPA) és obligatori, no opcional. Això aplica independentment que la corredoria treballi amb pòlisses de salut sensibles o només amb ram d'auto i llar: el DPA cobreix la relació contractual completa, i s'inclou sense cost addicional en qualsevol pla d'IgeraCorredories.

Pot un assistent d'IA respondre preguntes de clients que continguin dades de salut sense infringir el RGPD?

Depèn del tipus de consulta. Una pregunta genèrica com "què cobreix el meu tot risc de salut en cas d'hospitalització?" no revela cap dada de salut concreta del client i es pot processar amb normalitat consultant el condicionat de la pòlissa. Una pregunta com "tinc diabetis tipus 2 des de fa 3 anys, això afecta la meva pòlissa de vida?" sí revela una dada de salut identificable si es vincula a una persona concreta. IgeraCorredories està dissenyat per gestionar el primer tipus de manera nativa; el segon tipus requereix que la corredoria tingui base legal explícita (consentiment o prestació d'assegurança segons l'article 9.2) i configuració addicional perquè la consulta es tracti amb les garanties reforçades corresponents.

Quina base legal permet a una corredoria tractar dades de salut d'un assegurat sense demanar consentiment explícit cada vegada?

L'article 9.2.h del RGPD permet el tractament de dades de salut quan és necessari per a la prestació d'assistència o gestió d'assegurances, sempre que hi hagi una relació contractual vigent i es respecti el secret professional. En la pràctica, això cobreix la gestió ordinària d'una pòlissa de salut o de vida ja contractada: valorar un sinistre, calcular una prima en la renovació, gestionar un reemborsament. El que aquesta base legal NO cobreix és l'ús d'aquestes dades per a finalitats alienes a la gestió de la pòlissa —màrqueting personalitzat, perfilat comercial—, que requereixen consentiment explícit i específic segons l'article 9.2.a.

Què passa si una corredoria utilitza ChatGPT o una IA genèrica per resoldre dubtes sobre una pòlissa de salut o de vida d'un client concret?

Si el corredor introdueix dades identificatives del client —nom, DNI, número de pòlissa, diagnòstic— en una eina d'IA genèrica com ChatGPT, es produeix normalment una transferència internacional de dades de categoria especial a un tercer país (habitualment EUA) sense les garanties que exigeix l'article 46 del RGPD, i sense un contracte d'encàrrec del tractament adaptat a aquest tipus de dades. L'Agencia Española de Protección de Datos (AEPD) pot sancionar directament la corredoria per aquesta transferència no autoritzada, amb independència de si l'eina genèrica ha comès o no un error en la resposta. IgeraCorredories evita aquest risc perquè opera sobre infraestructura ubicada a la UE i amb DPA vinculant des del primer dia.

Quan és obligatòria una Avaluació d'Impacte relativa a la Protecció de Dades (DPIA) en una corredoria que fa servir IA?

L'article 35 del RGPD exigeix una DPIA quan el tractament comporta un risc alt per als drets i llibertats dels interessats, cosa que sol donar-se quan hi ha tractament a gran escala de dades de categoria especial, decisions automatitzades amb efectes significatius sobre l'assegurat (per exemple, denegació automàtica d'una cobertura basada en un perfilat d'IA), o creuament de bases de dades de salut amb altres fonts. Una corredoria que utilitzi IgeraCorredories en la seva configuració estàndard —consultes sobre condicionats sense processar automàticament dades de salut nominatives per prendre decisions— normalment no supera aquest llindar. Una corredoria gran amb cartera de salut i vida a gran escala i processos automatitzats de subscripció hauria de valorar-ho amb el seu delegat de protecció de dades (DPO).

Quines sancions pot imposar l'AEPD a una corredoria d'assegurances per un incompliment del RGPD relacionat amb dades de salut?

Les infraccions relacionades amb el tractament indegut de dades de categoria especial es consideren greus o molt greus segons la Llei orgànica 3/2018 (LOPDGDD), i poden comportar sancions de fins al 4% de la facturació anual global de l'entitat o 20 milions d'euros, la xifra que sigui més alta, segons l'article 83 del RGPD. Més enllà de la sanció econòmica, una corredoria que gestiona pòlisses de salut i vida té una exposició reputacional elevada davant els seus assegurats si es filtren o es tracten indegudament dades mèdiques, un risc que sol pesar més que la multa mateixa a l'hora de justificar la inversió en compliance.