Защита персональных данных в страховании
Страховщик обрабатывает данные страхователей и выгодоприобретателей, а при страховании жизни, здоровья и при урегулировании убытков — ещё и сведения о здоровье. Данные идут через агентов, медорганизации и перестраховщиков, поэтому и роли, и меры защиты нужно расписывать точно.
Знакомые ситуации
- •При страховании жизни и урегулировании убытков собираем данные о здоровье.
- •Продажи идут через агентов и партнёров — чьи это данные.
- •Запрашиваем сведения у медорганизаций и передаём перестраховщику.
Что нужно по 152-ФЗ
Сведения о здоровье
Данные о состоянии здоровья — специальная категория (статья 10 Федерального закона от 27.07.2006 № 152-ФЗ): при страховании жизни и здоровья и при рассмотрении заявления о выплате их обрабатывают с согласия в письменной форме и в объёме, относящемся к делу. Медицинскую карту целиком получать и хранить не нужно.
Страховая тайна
Сведения о страхователе, застрахованном лице и выгодоприобретателе, полученные в связи с договором, страховщик разглашать не вправе (статья 946 Гражданского кодекса Российской Федерации). Требования о персональных данных и о страховой тайне действуют вместе: одно не заменяет другое.
Агенты, партнёры, медорганизации
С каждым каналом определяют роль: агент и партнёр обычно действуют по заданию страховщика — это поручение на обработку (часть 3 статьи 6); медорганизация и перестраховщик чаще самостоятельные операторы, и тогда фиксируют состав передаваемых данных и основание передачи. Условия обработки и требования к безопасности включают в договор.
Учётная система и уровень защищённости
Система полисов и урегулирования убытков — информационная система персональных данных: уровень защищённости определяют по постановлению Правительства Российской Федерации от 01.11.2012 № 1119, меры — по приказу ФСТЭК России от 18.02.2013 № 21. Из-за специальных категорий и большого числа субъектов уровень здесь, как правило, выше.
Уведомление Роскомнадзора
Уведомить надзорный орган об обработке нужно до её начала (часть 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ); если обработка уже идёт, уведомление подают, не откладывая. Исключение осталось за обработкой исключительно без средств автоматизации — то есть за полностью бумажным учётом. В уведомлении отражают обработку специальных категорий данных.
Политика обработки
Политику обработки публикуют и дают к ней доступ там, где собираются данные — на сайте и в формах расчёта и оформления полиса (часть 2 статьи 18.1 того же закона). Политика отвечает на вопрос, что и зачем вы обрабатываете, поэтому её текст пишется под ваши процессы, а не берётся с чужого сайта.
Обращения и сроки
Обращение страхователя о том, какие его данные обрабатываются, рассматривают в течение десяти рабочих дней с возможностью продления не более чем на пять (часть 1 статьи 20 и часть 2 статьи 14 того же закона). Сроки хранения договорных документов определяют законодательство о страховом деле и архивные требования; данные, собранные для других целей, уничтожают по достижении цели (часть 4 статьи 21).
С чего начать
Уровень защищённости ИСПДн →Профиль обработки и типовые объекты преднастроятся под вашу отрасль — можно изменить позже.
С каких документов начать
Каждый собирается под вашу организацию: реквизиты по ИНН, содержание — по ответам о том, что и как вы обрабатываете. Сколько документов входит в комплект, написано на карточке.
Что должно быть в приказе о назначении ответственного за организацию обработки персональных данных (статья 22.1 152-ФЗ): кого назначают, его функции и как оформить. Структура документа.
Что должно быть в политике обработки персональных данных по части 2 статьи 18.1 152-ФЗ, как её составить под реальные процессы и где опубликовать. Структура документа и частые ошибки.
Что должно быть в положении об обработке и защите персональных данных: цели и порядок обработки, основания, доступ работников, обработка в информационных системах и на бумаге, сроки хранения и уничтожение, права субъектов. Чем положение отличается от политики и как его утвердить.
Какие реквизиты должны быть в согласии на обработку персональных данных по части 4 статьи 9 152-ФЗ, когда оно нужно, а когда основанием служит договор. Структура и требование об отдельном документе.
Какие условия должны быть в поручении на обработку персональных данных (договоре с обработчиком) по части 3 статьи 6 152-ФЗ: перечень данных, цели, конфиденциальность, меры защиты, уведомление об инцидентах.
Какие сведения указывают в уведомлении об обработке персональных данных (статья 22 152-ФЗ), кому обязательно его подавать и как это сделать бесплатно через Портал персональных данных Роскомнадзора (pd.rkn.gov.ru).
Частые вопросы
Нужно ли согласие на обработку данных о здоровье при страховании жизни?
Да, по общему правилу: сведения о здоровье — специальная категория данных, и для страхования жизни и здоровья их обрабатывают с согласия в письменной форме (статья 10 Федерального закона от 27.07.2006 № 152-ФЗ), в объёме, относящемся к оценке риска и выплате.
Агент продаёт полисы и собирает данные — кто отвечает перед клиентом?
Если агент действует по заданию страховщика, он обработчик, а отвечает перед клиентом страховщик как оператор; условия обработки и требования к безопасности при этом включают в договор с агентом (часть 3 статьи 6). Если агент решает сам, зачем и какие данные собирать, он в этой части самостоятельный оператор со своими обязанностями.
Подробнее в Базе знаний
Материал носит информационный характер и не заменяет индивидуальную оценку. Требования применяются с учётом целей обработки и особенностей организации.