En una frase. Las aseguradoras españolas tratan datos de salud, scoring actuarial, datos de víctimas y cesiones a peritos con riesgo elevado de sanción AEPD por información insuficiente sobre decisiones automatizadas, ficheros sectoriales (IRIS, SINCO) y red de mediadores.
Puntos clave
- Mapfre: 250.000 EUR (2023) por información insuficiente.
- Mutua Madrileña, AXA, Allianz: expedientes habituales.
- Datos de salud en seguros: categoría especial art. 9.2.h RGPD.
- Ficheros comunes (IRIS, SINCO, UNESPA): tratamientos específicos.
- Mediadores y agentes: corresponsables o encargados según contrato.
1. Marco regulatorio combinado
Las aseguradoras operan bajo:
- RGPD + LOPDGDD.
- Ley 50/1980 contrato de seguro.
- Ley 20/2015 ordenación seguros (LOSSEAR).
- Reglamento Solvencia II.
- Directiva IDD distribución.
- DORA en entidades financieras desde enero de 2025.
DGSFP coordina con AEPD en muchos expedientes.
2. Datos tratados en seguros
| Categoría | Producto típico | Base jurídica |
|---|---|---|
| Identificativos asegurado | Todos | Contrato |
| Salud | Vida, salud, decesos | Art. 9.2.h |
| Antecedentes siniestros | Todos | Interés legítimo + información |
| Datos vehículo | Auto | Contrato + DGT |
| Datos vivienda | Hogar | Contrato |
| Datos económicos | Vida-ahorro | Contrato + obligación legal |
3. Scoring actuarial y art. 22 RGPD
La fijación de prima por algoritmo (tarifa según edad, residencia, historial) es decisión automatizada del art. 22 del Reglamento (UE) 2016/679 si determina por completo la prima sin intervención humana. Requisitos:
- Información sobre la lógica aplicada.
- Derecho a obtener intervención humana.
- Posibilidad de impugnar el resultado.
- Información sobre consecuencias.
4. Ficheros sectoriales: IRIS, SINCO, UNESPA
UNESPA gestiona ficheros comunes del sector:
- IRIS: incidencias judiciales y siniestros sospechosos.
- SINCO: siniestros comunicación general.
- Histórico siniestralidad auto: TIREA gestiona.
Requieren:
- Información expresa en póliza sobre consulta y aportación al fichero.
- Plazo de conservación regulado (normalmente 5-7 años).
- Procedimiento ARCO específico para el fichero.
5. Datos de salud en seguros de vida y salud
Tratamiento intensivo de categoría especial. Base jurídica del art. 9.2.h RGPD (asistencia sanitaria, contrato seguro) y consentimiento informado específico. Requisitos:
- Información detallada sobre cuestionario médico.
- Conservación limitada al plazo necesario.
- Acceso restringido a personal médico autorizado.
- Comunicación a reaseguradoras: contrato adecuado.
6. Sanciones AEPD relevantes al sector
| Aseguradora | Importe (EUR) | Año | Motivo |
|---|---|---|---|
| Mapfre | 250.000 | 2023 | Información insuficiente |
| Mutua Madrileña | 120.000 | 2024 | Atención derechos deficiente |
| AXA | 90.000 | 2024 | Cesión sin base a perito |
| Allianz | 75.000 | 2023 | Brecha sin notificar |
| Reale | 45.000 | 2025 | Cookies marketing |
| Línea Directa | 60.000 | 2024 | Llamadas tras oposición |
7. Peritos y red de servicios
Los peritos son encargados del tratamiento cuando actúan por cuenta de la aseguradora, lo que exige el contrato de encargado del art. 28 RGPD. Contratos obligatorios. Particularidades:
- Acceso solo al expediente concreto.
- Conservación limitada al tiempo necesario.
- Devolución o eliminación al cierre.
- Sin uso para fines propios.
Talleres concertados, médicos colaboradores, abogados: encargados del tratamiento.
8. Mediadores y agentes
| Tipo | Rol jurídico | Contrato |
|---|---|---|
| Agente exclusivo | Encargado | Art. 28 |
| Operador banca-seguros | Encargado o corresponsable | Variable |
| Corredor | Responsable propio + encargado de aseguradora | Doble |
| Comparador online | Responsable propio | Acuerdo cesión |
La AEPD ha aclarado que el corredor es responsable de su CRM y encargado para la gestión de pólizas concretas.
9. Marketing y cross-selling
Las aseguradoras hacen intensivo cross-selling (auto → hogar → vida → salud). Requiere:
- Información clara sobre tratamiento para finalidades adicionales.
- Casillas separadas para cada finalidad.
- Posibilidad de oposición específica.
- Respeto Lista Robinson y oposiciones previas.
10. Brechas en seguros
Sector con alto valor de datos sensibles. Procedimiento integrado:
- Notificación interna inmediata.
- Análisis técnico y legal.
- Notificación AEPD en 72h.
- Notificación DGSFP si compromiso operativo.
- Comunicación a afectados si alto riesgo.
- Análisis forense y medidas.
11. Vehículos y datos telemáticos
Pólizas pago por uso (PHYD) usan datos GPS, conducción, frenadas. Requisitos:
- Información clara sobre datos captados.
- Consentimiento específico para finalidad PHYD.
- Evaluación de impacto obligatoria por tratamiento masivo + geolocalización.
- Conservación limitada al plazo necesario para tarifa.
12. DPO obligatorio y supervisión reforzada
Las entidades aseguradoras figuran entre los supuestos de DPO obligatorio en España por mandato del art. 34 de la LOPDGDD (Ley Orgánica 3/2018), que amplía los supuestos del art. 37 RGPD. El delegado debe tener dependencia funcional de la alta dirección, acceso a los flujos de scoring y participación en el diseño de nuevos productos con datos sensibles.
La supervisión es doble: la AEPD en materia de protección de datos y la DGSFP en solvencia y conducta de mercado. Ambas coordinan cuando una brecha compromete a la vez datos personales y la operativa de la entidad, escenario que DORA convierte en obligación reforzada de notificación desde 2025.
13. Datos de siniestros y el equilibrio con el fraude
El sector defiende el uso de ficheros comunes (IRIS, SINCO) como herramienta antifraude legítima. La AEPD no lo cuestiona en abstracto, pero sí su aplicación: la inclusión de un asegurado en un fichero de siniestros sospechosos exige indicios objetivos, información previa en póliza y proporcionalidad. Marcar a un cliente como “sospechoso” sin base sólida y usarlo para denegar futuras contrataciones vulnera el principio de exactitud (art. 5.1.d RGPD) y el derecho a no ser objeto de decisiones automatizadas injustas. El equilibrio correcto: combatir el fraude con datos ciertos y verificables, no con presunciones que penalicen al asegurado sin prueba.
14. Cómo cumplir RGPD en aseguradoras
- DPO con dependencia funcional adecuada (obligatorio en aseguradoras).
- Registro de actividades por ramo.
- Política de privacidad clara con secciones por tipo de seguro.
- Información específica sobre IRIS, SINCO, fichero histórico.
- Cláusulas art. 22 RGPD en flujos de scoring.
- Contratos art. 28 con peritos, talleres, médicos colaboradores.
- EIPD para nuevos productos con datos masivos o IA.
- Auditoría RGPD anual con muestreo.
FAQ
¿La aseguradora puede negarme un seguro por algoritmo?
Sí pero el art. 22 RGPD obliga a informar sobre la lógica y permite solicitar intervención humana y revisión.
¿Mis datos médicos van a UNESPA?
A UNESPA van datos de siniestralidad (IRIS, SINCO), no historiales médicos. Su uso en infrasiniestralidad para nuevas contrataciones está informado en póliza.
¿Cuánto guardan mis datos tras cancelar?
Durante plazos legales de prescripción (5 años en general, 15 años en algunos casos de responsabilidad civil). Después: eliminación o anonimización.
¿Puedo oponerme al marketing de mi aseguradora?
Sí. Derecho de oposición (art. 21 RGPD) ejercitable en cualquier momento por escrito o desde la app del cliente. La aseguradora debe procesar la oposición sin condicionarla a la continuidad de la póliza.
¿La aseguradora puede compartir mis datos de salud con la reaseguradora?
Sí, pero de forma proporcionada y con contrato adecuado. La cesión a la reaseguradora se ampara en la ejecución del contrato de seguro y en el art. 9.2.h RGPD, limitada a los datos estrictamente necesarios para la evaluación del riesgo cedido. No habilita a transferir el historial médico completo ni a reutilizarlo para otras finalidades.
¿Qué debo hacer si sufro una brecha con datos de asegurados?
Notificar a la AEPD en 72 horas si hay riesgo para los derechos de los afectados (art. 33 RGPD) y comunicarlo a los asegurados cuando el riesgo sea alto (art. 34). Al tratarse de una entidad financiera, la brecha puede activar además obligaciones de reporte a la DGSFP y, bajo DORA, de gestión de incidentes TIC. La coordinación entre ambos canales debe estar prevista en el protocolo interno antes de que ocurra el incidente, no improvisada después.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial