Il GDPR nelle assicurazioni richiede di distinguere attività che spesso convivono nello stesso fascicolo: preventivazione, valutazione del rischio, gestione della polizza, liquidazione del sinistro, controlli antifrode e comunicazioni commerciali. Ciascuna attività ha uno scopo, dati necessari e destinatari propri. Il fatto che un documento sia utile per liquidare un danno non autorizza automaticamente a usarlo per selezionare offerte commerciali o alimentare altri modelli.
Per compagnia, intermediario e fornitore il lavoro inizia quindi dalla ricostruzione dei trattamenti, non da una raccolta generalizzata di firme. Servono una base giuridica adeguata, condizioni ulteriori quando si trattano dati sanitari, ruoli corretti e procedure che funzionino lungo la rete distributiva. Questa guida considera anche le regole italiane sull’oblio oncologico e le disposizioni IVASS vigenti al 29 settembre 2026.
Mappare il percorso del cliente senza confondere le persone
Contraente, assicurato, beneficiario e danneggiato possono essere persone diverse. Anche una polizza stipulata da un’impresa può contenere dati dei dipendenti o dei familiari. Prima di definire moduli e informative, identificate chi fornisce le informazioni, a chi si riferiscono e da quale fonte provengono. Questa distinzione incide sulle informazioni da comunicare e sull’individuazione della base giuridica. Il contratto con il contraente non risolve automaticamente la posizione di ogni altra persona coinvolta.
Per ogni fase descrivete quali dati entrano, dove sono conservati e chi li riceve. Un questionario sanitario può passare dall’intermediario a una funzione dedicata della compagnia, mentre un perito riceve solo gli elementi necessari all’accertamento del danno. La mappa deve mostrare questi passaggi e i soggetti che possono consultare gli allegati. Un fascicolo accessibile indistintamente a tutta la rete non costituisce una conseguenza necessaria della distribuzione assicurativa.
Il registro dei trattamenti aiuta a rendere visibili finalità, categorie di dati, destinatari, trasferimenti e tempi o criteri di cancellazione pertinenti. Conviene collegarlo alle procedure operative e ai sistemi effettivi. Se viene introdotto un nuovo portale per i sinistri, il registro e le istruzioni devono descrivere il flusso aggiornato. Una descrizione generica dell’attività assicurativa difficilmente permette di capire quali operazioni richiedano una verifica specifica.
Basi giuridiche: distinguere articolo 6 e articolo 9
Per i dati ordinari l’articolo 6 GDPR richiede una base giuridica appropriata. L’esecuzione del contratto o delle misure precontrattuali richieste dall’interessato riguarda i trattamenti necessari a tale scopo. Gli obblighi legali devono essere identificati, mentre l’interesse legittimo richiede la verifica dei relativi presupposti e del bilanciamento. Non basta selezionare più basi in un modulo per rendere intercambiabili tutte le giustificazioni.
Quando sono presenti dati sulla salute occorre anche una condizione dell’articolo 9, perché la base contrattuale da sola non supera il divieto relativo alle categorie particolari. Il consenso esplicito può essere pertinente, purché ne ricorrano i requisiti. La necessità per accertare, esercitare o difendere un diritto va riferita alle operazioni che soddisfano davvero quella condizione: non è una formula universale per qualunque raccolta sanitaria effettuata da un assicuratore. Le altre condizioni dell’articolo 9 hanno presupposti e garanzie propri.
Non è corretto assimilare automaticamente la valutazione assicurativa alla prestazione sanitaria. L’articolo 9, paragrafo 2, lettera h), disciplina specifiche finalità sanitarie e sociali, con le condizioni del paragrafo 3; non copre indistintamente ogni utilizzo di un referto da parte di una compagnia. La guida al GDPR in sanità può aiutare a comprendere queste differenze, mantenendo separati il ruolo del professionista sanitario e quello dell’impresa assicurativa.
Nella pratica, motivate quali informazioni servano per la decisione da prendere. Per verificare un evento coperto potrebbe bastare una documentazione circoscritta, senza acquisire l’intera storia clinica. Se un allegato contiene informazioni eccedenti, predisponete un modo per separarle o limitarne la disponibilità. Il consenso non rende irrilevante la minimizzazione e non permette di aggirare divieti specifici, compresi quelli relativi all’oblio oncologico.
Compagnia, agente e broker: i ruoli seguono le attività
La qualifica di titolare dipende dalla determinazione delle finalità e dei mezzi del trattamento. Il responsabile tratta dati per conto del titolare secondo la disciplina applicabile e le sue istruzioni. Il numero di mandati commerciali non risolve da solo questa valutazione. Un agente monomandatario non diventa automaticamente responsabile per ogni operazione, così come il nome attribuito al contratto non può sostituire l’esame di ciò che avviene realmente.
Analizzate separatamente la raccolta di una proposta per conto della compagnia, gli adempimenti propri dell’intermediario e le iniziative commerciali decise autonomamente. Lo stesso soggetto può avere ruoli differenti in operazioni diverse. Se le finalità e i mezzi sono determinati congiuntamente, va valutata la contitolarità; il semplice scambio di dati non la dimostra. La distinzione tra titolare e responsabile deve risultare comprensibile sia agli operatori sia alle persone interessate.
Quando il rapporto è effettivamente un trattamento per conto altrui, la disciplina dell’articolo 28 deve tradursi in un accordo concreto: istruzioni, sicurezza, riservatezza, assistenza, eventuali subresponsabili e conclusione del servizio. Un medico, un consulente o un perito non va qualificato automaticamente come responsabile soltanto perché riceve un incarico. Occorre valutare autonomia professionale, finalità e obblighi pertinenti alla specifica prestazione.
Verificate anche cosa succede quando cambia l’intermediario o termina il mandato. Chi disattiva gli accessi, chi restituisce i fascicoli e quali documenti devono rimanere per obblighi propri? Una procedura di uscita deve distinguere copie da restituire o cancellare e archivi mantenuti legittimamente. L’accesso al vecchio portafoglio non dovrebbe continuare per inerzia dopo la cessazione del rapporto operativo.
Informative e consenso nella distribuzione
L’informativa deve spiegare le attività effettive, non limitarsi a nominare genericamente una filiera assicurativa. Chiarite chi agisce come titolare, le finalità, le basi pertinenti, i destinatari o le loro categorie e i criteri di conservazione. Quando i dati provengono da un soggetto diverso dall’interessato, considerate la disciplina dell’articolo 14 e le eventuali eccezioni applicabili. Non presumete che una firma raccolta dal contraente informi automaticamente tutti gli assicurati.
Un modello di informativa privacy è solo un punto di partenza. Deve essere adattato al prodotto e al canale, rendendo distinguibili la gestione assicurativa e le attività facoltative. Se il preventivo è raccolto su un portale esterno, verificate quale informativa venga effettivamente mostrata e quale versione sia conservata come prova. Una procedura corretta sulla carta può essere vanificata da un modulo online rimasto alla versione precedente.
Quando si utilizza il consenso, bisogna poter dimostrare cosa sia stato richiesto, a chi e per quale finalità. Gli esempi di consenso GDPR aiutano a distinguere una scelta effettiva da una presa visione. Il consenso raccolto da un intermediario non è automaticamente utilizzabile da qualsiasi altra società della rete. La revoca deve arrivare ai sistemi che governano concretamente il trattamento interessato, evitando che una copia in un archivio commerciale continui ad alimentare campagne.
Per il marketing valutate anche le regole italiane applicabili al canale utilizzato, senza ridurre tutto alla presenza di un contratto assicurativo. L’opposizione al marketing ai sensi dell’articolo 21 deve essere gestita anche quando la persona si rivolge a un punto della rete diverso da quello che ha avviato il contatto. Le informazioni raccolte per il sinistro non diventano liberamente utilizzabili per promuovere nuovi prodotti.
Antifrode: banca dati sinistri e controlli interni
La Banca Dati Sinistri gestita dall’IVASS riguarda il settore della responsabilità civile auto. La pagina ufficiale sulle banche dati r.c. auto e antifrode ne chiarisce l’origine normativa e riserva l’accesso ai soggetti legittimati e abilitati secondo la disciplina pertinente. Non si tratta di una banca dati generale a cui ogni intermediario possa accedere invocando un proprio interesse alla prevenzione delle frodi.
Per consultazione, alimentazione e utilizzo dei risultati occorre rispettare l’ambito previsto dalle regole di settore. Tenete separate queste attività dai controlli antifrode interni, che richiedono una propria analisi di finalità, basi e proporzionalità. Se il controllo utilizza dati sanitari o informazioni soggette ad altre discipline specifiche, la semplice espressione “interesse legittimo” non risolve tutti i presupposti di liceità.
Sul piano operativo, limitate le credenziali agli incaricati pertinenti, collegate la consultazione alla pratica e controllate gli usi anomali. Un possibile collegamento tra sinistri non dimostra di per sé una frode. Prima di adottare una decisione sfavorevole, occorre verificare qualità e pertinenza delle informazioni, errori di identificazione e spiegazioni disponibili. La persona non dovrebbe subire conseguenze soltanto perché un omonimo compare in una segnalazione.
Oblio oncologico: una regola concreta da applicare ai moduli
L’articolo 2 della legge 193 del 2023 tutela l’accesso ai servizi assicurativi delle persone già affette da patologie oncologiche alle condizioni previste. Il riferimento generale è alla conclusione del trattamento attivo, senza recidive, da più di dieci anni; il periodo si riduce a cinque anni quando la patologia è insorta prima del compimento dei ventuno anni. Per determinate patologie valgono termini inferiori previsti dalla disciplina attuativa: non bisogna applicare meccanicamente il termine generale a ogni caso.
Quando ricorrono i presupposti, le informazioni protette non possono essere richieste né acquisite da altre fonti, e non devono essere usate per determinare le condizioni contrattuali. Non basta eliminare una domanda esplicita se un campo libero, un questionario indiretto o un flusso esterno consente di recuperare lo stesso dato. La verifica deve riguardare anche rinnovi, formulari, procedure dei medici incaricati e criteri utilizzati nella valutazione del rischio.
Il provvedimento IVASS 169 del 15 gennaio 2026 ha aggiornato i regolamenti 40 e 41 del 2018. Prevede informazioni sul diritto nei documenti pertinenti e disciplina la cancellazione delle informazioni già acquisite entro trenta giorni dal ricevimento della certificazione, secondo le condizioni normative. La cancellazione deve essere effettiva e interessare le raccolte informatiche e cartacee. La certificazione, invece, è conservata per dieci anni dalla ricezione secondo le disposizioni introdotte.
Si tratta di una procedura settoriale specifica: il termine di trenta giorni non va confuso con il mese previsto dal GDPR per il riscontro ordinario ai diritti. Gli archivi devono distinguere il documento che attesta l’esercizio del diritto dalle informazioni sanitarie da eliminare. Il provvedimento è stato pubblicato nella Gazzetta Ufficiale del 26 gennaio 2026, con un termine di adeguamento di quindici giorni successivi alla pubblicazione; nel settembre 2026 non è una semplice consultazione futura.
Conservazione e diritti nel fascicolo assicurativo
La fine di una polizza non determina necessariamente la cancellazione immediata di tutto il fascicolo, ma nemmeno autorizza una conservazione indistinta e permanente. Distinguete amministrazione, adempimenti legali, sinistri, contenzioso e marketing. Per ciascuna categoria individuate il periodo o criterio pertinente e il relativo evento iniziale. La limitazione della conservazione richiede che il dato rimanga necessario rispetto alla finalità residua.
Quando esiste una controversia concreta, il mantenimento dei dati necessari alla difesa va delimitato e riesaminato. Non è una ragione per bloccare automaticamente la cancellazione di ogni documento della clientela. Anche gli accessi possono cambiare: un fascicolo chiuso conservato per esigenze legali non deve restare disponibile a tutti gli addetti commerciali. Registrate chi può consultarlo e per quale ragione, mantenendo separati gli usi ancora consentiti.
Le richieste di accesso, rettifica, cancellazione o limitazione devono arrivare rapidamente al titolare competente. La risposta ordinaria avviene senza ingiustificato ritardo e comunque entro un mese, con eventuale proroga motivata alle condizioni dell’articolo 12. La cancellazione ai sensi dell’articolo 17 richiede una valutazione di presupposti ed eccezioni. Non va confusa con la speciale procedura di oblio oncologico, che ha oggetto e condizioni propri.
L’esistenza di un’indagine antifrode non consente un rifiuto generico di tutti i diritti. Occorre individuare la restrizione realmente applicabile e limitarla al necessario, tenendo conto anche dei diritti di altre persone. Se il fascicolo contiene dati di testimoni o familiari, valutate come fornire le informazioni dovute senza divulgarne inutilmente altre. La motivazione della risposta deve essere verificabile, non ridursi a un richiamo indistinto alla riservatezza aziendale.
Profilazione, decisioni automatizzate e valutazione d’impatto
Una classificazione del rischio o una polizza telematica può comportare profilazione, ma l’articolo 22 non si applica automaticamente a ogni uso di un algoritmo. La disposizione riguarda decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici o incidano in modo analogamente significativo. Bisogna esaminare il funzionamento reale: un operatore che conferma sistematicamente il risultato senza poterlo valutare non rende necessariamente sostanziale l’intervento umano.
Quando ricorrono le condizioni dell’articolo 22, occorre una delle eccezioni ammesse e le relative garanzie. La necessità contrattuale non coincide con la semplice comodità di automatizzare. Nei casi pertinenti vanno assicurati intervento umano, possibilità di esprimere il proprio punto di vista e contestazione. Se la decisione si basa su categorie particolari, l’articolo 22, paragrafo 4, restringe ulteriormente le condizioni utilizzabili e richiede garanzie adeguate.
La valutazione d’impatto è necessaria nei casi previsti dall’articolo 35, compresi i trattamenti su larga scala delle categorie particolari e determinate valutazioni sistematiche e ampie che fondano decisioni significative. Non basta etichettare il progetto come “pilota” per escludere il rischio. Per un servizio telematico, esaminate granularità dei dati, frequenza della raccolta, accessi, riutilizzi e conseguenze per l’assicurato. Se permane un rischio elevato senza misure sufficienti a ridurlo, è richiesta la consultazione preventiva prevista dall’articolo 36.
Sicurezza, incidenti e rapporto con DORA
Il GDPR richiede misure adeguate al rischio del trattamento. Nel fascicolo assicurativo sono particolarmente rilevanti separazione degli accessi, autenticazione, tracciabilità, protezione degli allegati e verifica delle procedure di recupero. L’errore di invio di una perizia sanitaria può essere grave anche senza un attacco informatico. Formazione e istruzioni devono quindi coprire sia i sistemi centrali sia il lavoro quotidiano di chi riceve documenti dalla clientela.
DORA si applica dal 17 gennaio 2025 ai soggetti inclusi nel suo ambito, comprese imprese assicurative e riassicurative, ma con esclusioni da verificare. L’articolo 2 esclude, tra gli altri, le imprese ricadenti nell’articolo 4 della direttiva Solvency II e gli intermediari assicurativi, riassicurativi e a titolo accessorio che siano microimprese o piccole o medie imprese. Non è quindi corretto attribuire gli stessi obblighi DORA a qualunque agenzia assicurativa in base al solo settore.
Per i soggetti inclusi, gestione del rischio ICT, incidenti e fornitori devono essere coordinati con la protezione dei dati. La notifica delle violazioni al Garante segue presupposti propri: ai sensi dell’articolo 33 il titolare notifica senza ingiustificato ritardo e, ove possibile, entro settantadue ore dalla conoscenza della violazione, salvo che sia improbabile un rischio per i diritti e le libertà delle persone. Se la notifica è tardiva, devono essere indicate le ragioni. Ogni violazione va documentata, anche quando non occorre notificarla. La comunicazione agli interessati richiede una distinta valutazione del rischio elevato e delle condizioni dell’articolo 34. Queste regole non coincidono automaticamente con i tempi DORA.
Un software per la conformità DORA può essere valutato per le funzioni effettivamente offerte, senza presumere che sostituisca il registro privacy o determini da solo gli obblighi. In una prova pratica, verificate se il gruppo di lavoro riesce a ricostruire lo stesso incidente, le due valutazioni giuridiche e le decisioni assunte. Il risultato utile è una procedura eseguibile con responsabilità chiare, accessi controllati e prove conservate, anche quando il sistema principale non è disponibile.