RODO w ubezpieczeniach wymaga rozdzielenia danych potrzebnych do przedstawienia oferty, oceny ryzyka, obsługi polisy i likwidacji szkody. Zakład ubezpieczeń, agent i multiagencja nie mają automatycznie tych samych uprawnień. Szczególnej uwagi wymagają informacje o zdrowiu, decyzje oparte na profilowaniu oraz dokumenty, które pozostają w systemie po zakończeniu ochrony. Zgoda klienta nie zastępuje analizy każdego z tych procesów.
Poniższy przewodnik uwzględnia stan źródeł sprawdzony 29 września 2026 r., w tym ujednolicony tekst ustawy o działalności ubezpieczeniowej i reasekuracyjnej, zaktualizowany przez Kancelarię Sejmu 20 lipca 2026 r. Przepisy sektorowe trzeba czytać łącznie z RODO. Nie tworzą ogólnego wyłączenia ochrony danych dla branży finansowej ani prawa do zebrania całej historii życia osoby zainteresowanej polisą.
Zakład, agent i multiagencja: ustal role dla konkretnej czynności
Zakład ubezpieczeń jest zwykle administratorem danych używanych do ustalenia warunków ochrony, oceny ryzyka i realizacji umowy. Sam wybiera cele tych operacji oraz ich zasadnicze środki. Nie oznacza to jednak, że każdy podmiot przekazujący mu informacje staje się procesorem. Rola pośrednika zależy od tego, czy wykonuje określone instrukcje zakładu, czy samodzielnie decyduje o celu i sposobie wykorzystania danych.
Agent może przetwarzać określone dane na rzecz ubezpieczyciela, a jednocześnie być administratorem własnych rozliczeń, dokumentacji pracowniczej lub odrębnej bazy kontaktowej. Multiagencja nie staje się automatycznie administratorem tylko dlatego, że współpracuje z kilkoma zakładami. Trzeba zbadać każdą operację, dostępne instrukcje, samodzielność decyzji i obowiązki wynikające z prawa. Nazwa umowy oraz liczba partnerów nie rozstrzygają tej kwestii.
Przykładowo pośrednik wprowadza wniosek do systemu zakładu zgodnie z jego instrukcjami. Osobno tworzy zestawienie osób, którym zamierza proponować produkty innych firm. Te działania mogą mieć różne role, podstawy i obowiązki informacyjne. Nie wolno uzasadniać drugiej operacji wyłącznie upoważnieniem do wykonania pierwszej. Podobny problem występuje przy przekazywaniu kontaktów przez biuro nieruchomości: polecenie klienta wymaga własnej oceny legalności przepływu danych.
Jeżeli strony wspólnie ustalają cele i zasadnicze środki przetwarzania, należy rozważyć współadministrowanie z artykułu 26. Jeżeli jedna działa wyłącznie na rzecz drugiej, zastosowanie ma artykuł 28. Dla niezależnych administratorów umowa powierzenia nie jest właściwym sposobem legalizacji udostępnienia. W dokumentacji powinno być jasno wskazane, kto odpowiada na żądania osoby, prowadzi ocenę ryzyka i podejmuje decyzję o zgłoszeniu naruszenia.
Dobierz podstawę prawną do osoby i celu
Artykuł 6 ust. 1 lit. b RODO dotyczy przetwarzania niezbędnego do wykonania umowy, której stroną jest osoba, albo działań przedumownych podejmowanych na jej żądanie. Nie obejmuje automatycznie wszystkich ubezpieczonych, uposażonych i poszkodowanych. W ubezpieczeniu grupowym umowę może zawierać pracodawca, natomiast dane dotyczą pracownika i jego rodziny. Podstawę trzeba ustalić dla każdej kategorii osób, uwzględniając przepisy sektorowe i rzeczywistą konieczność przetwarzania.
Obowiązek prawny z litery c wymaga wskazania konkretnej normy odnoszącej się do administratora. Prawnie uzasadniony interes z litery f może być istotny choćby przy dochodzeniu roszczeń, lecz wymaga oceny konieczności oraz praw osób. Nie wystarcza wpisanie w rejestrze wszystkich podstaw naraz. Przewodnik po artykule 6 pomaga powiązać podstawę z określonym działaniem, zamiast traktować ją jako stałą etykietę całej bazy klientów.
Zgoda jest właściwa tylko tam, gdzie wybór jest rzeczywisty i spełnione są jej warunki. Nie należy uzależniać rozpatrzenia szkody od zgody na reklamę. Cofnięcie zgody na dodatkowy cel nie musi oznaczać usunięcia dokumentów nadal potrzebnych do wykonania obowiązku prawnego. Trzeba jednak zatrzymać przetwarzanie oparte właśnie na cofniętej zgodzie i oddzielić je od operacji mających inną, rzeczywiście stosowaną podstawę.
Dane o zdrowiu: artykuł 41 nie zastępuje artykułu 9
Informacje o diagnozie, leczeniu, wynikach badań i niepełnosprawności należą do szczególnych kategorii danych. Oprócz podstawy z artykułu 6 administrator musi wykazać właściwy wyjątek z artykułu 9 ust. 2. Samo zawarcie umowy ubezpieczenia nie jest takim wyjątkiem. Nie wystarczy też napisać, że ustawa krajowa jako przepis szczególny wyłącza RODO. Warunki unijne oraz odpowiednie przepisy sektorowe stosuje się łącznie.
Artykuł 41 ust. 1 ustawy ubezpieczeniowej dotyczy danych o zdrowiu ubezpieczonych lub uprawnionych z umowy, zawartych w umowach lub oświadczeniach składanych przed ich zawarciem. Przewiduje ich przetwarzanie odpowiednio dla oceny ryzyka lub wykonania umowy, w zakresie niezbędnym ze względu na cel i rodzaj ubezpieczenia. Nie daje każdemu pośrednikowi własnego, nieograniczonego dostępu do dokumentacji medycznej ani prawa do używania jej dla innych produktów.
UODO w odpowiedzi Rzecznikowi Praw Obywatelskich z 10 września 2025 r. podkreślił zarówno konieczność wykazania przesłanki z artykułu 9 ust. 2, jak i niezbędność zakresu danych według artykułu 41. W praktyce dokumentacja powinna wskazywać stosowany wyjątek i jego warunki. Jeżeli administrator powołuje się na ważny interes publiczny, musi wykazać wymaganą podstawę prawną, proporcjonalność i zabezpieczenia; samo powtórzenie nazwy wyjątku nie wystarcza. Wyraźna zgoda również wymaga odrębnej oceny jej ważności.
Przykład: klient przekazuje wypis ze szpitala dla oceny świadczenia za określony zabieg. Dokument może zawierać dodatkowe rozpoznania nieistotne dla tej polisy. Należy sprawdzić, czy wystarczy zaświadczenie lub wyciąg obejmujący potrzebne informacje, kto musi zobaczyć pełny materiał i jakie fragmenty należy ograniczyć. Im bardziej szczegółowy dokument, tym ważniejsza jest kontrola dostępu. Kopiowanie go do ogólnego CRM dostępnego całemu zespołowi sprzedaży trudno uzasadnić samą wygodą pracy.
Nie należy również zakładać, że bank finansujący kredyt może otrzymać te same dane co ubezpieczyciel oferujący ochronę życia. W przywołanym piśmie UODO odróżnił przepisy bankowe od upoważnienia ubezpieczeniowego i zakwestionował wystarczalność wskazanych przepisów bankowych dla danych zdrowotnych przy ocenie ryzyka kredytowego. Wspólna sprzedaż produktu nie usuwa granic między odbiorcami. Szerszy kontekst opisuje ochrona danych w sektorze bankowym i finansowym.
Profilowanie składki i decyzje wyłącznie automatyczne
Profilowanie nie zawsze oznacza decyzję objętą artykułem 22. Najpierw ustal, czy wynik systemu jest tylko materiałem pomocniczym, czy faktycznie rozstrzyga o sytuacji osoby bez znaczącego udziału człowieka. Automatyczna odmowa zawarcia umowy lub wypłaty świadczenia może wywoływać skutki prawne lub podobnie istotny wpływ. Formalne kliknięcie pracownika, który nie może zmienić wyniku i nie analizuje sprawy, nie tworzy rzeczywistej kontroli człowieka.
Dla decyzji podlegającej artykułowi 22 potrzebna jest jedna z dopuszczalnych podstaw wyjątku, a następnie odpowiednie zabezpieczenia. Polska ustawa w artykule 41 ust. 1a przewiduje upoważnienie dla zakładu ubezpieczeń w określonych celach: oceny ryzyka wobec ubezpieczonych oraz wskazanych czynności związanych z ustalaniem okoliczności zdarzeń i wysokości świadczeń. Ustęp 1b ogranicza kategorie danych, na których takie decyzje mogą się opierać. Przepisu nie należy rozszerzać na dowolną ocenę marketingową lub każdą działalność agenta.
Osoba musi mieć możliwość uzyskania stosownych wyjaśnień podstaw decyzji, zakwestionowania jej, przedstawienia własnego stanowiska i uzyskania interwencji człowieka. Te zabezpieczenia powinny działać w obsłudze klienta: potrzebny jest kanał zgłoszenia, osoba z odpowiednimi kompetencjami oraz możliwość zbadania błędnych danych. Informacja, że system „obliczył wynik”, nie wyjaśnia sensownie, jakie czynniki doprowadziły do odmowy i co osoba może zakwestionować.
Gdy decyzja wykorzystuje szczególne kategorie danych, dochodzi ograniczenie z artykułu 22 ust. 4: podstawą może być odpowiednio artykuł 9 ust. 2 lit. a lub g, przy zapewnieniu właściwych środków ochrony praw i interesów. Samo zamieszczenie zdrowia w krajowym katalogu danych nie pozwala pominąć tego warunku. Przed uruchomieniem systemu trzeba też ocenić obowiązek DPIA, zwłaszcza przy rozległej, systematycznej ocenie osób prowadzącej do istotnych decyzji.
Informacja dla klienta musi odpowiadać przepływowi danych
Osoba powinna wiedzieć, kto zbiera jej dane i w jakiej roli. Gdy formularz agenta trafia do wybranego zakładu, należy czytelnie wskazać odbiorcę oraz cele obu podmiotów. Nie wystarczy ogólne zdanie o przekazywaniu danych partnerom biznesowym, jeżeli nie pozwala zrozumieć rzeczywistego modelu. Wzór klauzuli informacyjnej wymaga dostosowania do podstaw prawnych, kategorii odbiorców, okresów przechowywania i praw osoby.
W ubezpieczeniach dane często pochodzą od kogoś innego niż osoba, której dotyczą: pracodawcy, ubezpieczającego, poszkodowanego lub podmiotu leczniczego. W takich sytuacjach należy zbadać artykuł 14 i jego terminy, a ewentualny wyjątek uzasadnić konkretnymi warunkami. Przekonanie, że klient sam poinformuje rodzinę, nie zastępuje automatycznie obowiązków administratora. Dla danych uposażonego i poszkodowanego warto zaprojektować osobne komunikaty.
Informacja o zautomatyzowanych decyzjach powinna obejmować wymagane przez RODO znaczenie, przewidywane konsekwencje i istotne informacje o zasadach działania. Nie trzeba publikować całego kodu źródłowego, ale powołanie się na tajemnicę przedsiębiorstwa nie uzasadnia całkowitego milczenia. Warto sprawdzić komunikat na przykładowej odmowie: czy odbiorca rozumie, jakie dane były istotne i gdzie zgłosić nieprawidłowość?
Dokumenty po zakończeniu polisy
Nie ma jednego okresu przechowywania właściwego dla wszystkich danych ubezpieczeniowych. Osobno oceniaj wniosek, dokumentację szkody, rozliczenia, dane medyczne oraz historię kontaktów. Uwzględnij obowiązujące przepisy, bieg i ewentualne przerwanie przedawnienia oraz konkretną potrzebę obrony roszczeń. Okres księgowy nie staje się przez to terminem przechowywania każdego załącznika do sprawy.
Artykuł 41 ust. 1c ustawy pozwala zakładowi przetwarzać wskazane kategorie danych bez zgody dla celów wymienionych w artykule 33 ust. 3, nie dłużej niż dwanaście lat od rozwiązania umowy. Jest to regulacja określonego celu i zakresu, a nie obowiązek przechowywania całej teczki przez dwanaście lat. Dane dotyczące naruszeń przepisów drogowych mają odrębne warunki z ustępów 1¹ i 1d. Nie należy przenosić tych terminów na wszystkie dokumenty agencji.
W praktyce harmonogram powinien wskazywać zdarzenie rozpoczynające okres, kategorię danych, podstawę i sposób usunięcia. Jeśli trwa spór, wyodrębnij potrzebny materiał i ustal termin ponownej oceny. Dane zachowane dla roszczeń nie powinny wracać do aktywnej listy sprzedażowej. Kopie zapasowe wymagają ustalonego cyklu retencji i zabezpieczenia przed ponownym wprowadzeniem usuniętych danych do zwykłej obsługi. Nie można obiecywać klientowi całkowitego usunięcia, gdy faktycznie pozostawiono niekontrolowane eksporty.
Dokumenty zgromadzone dla ustalenia odpowiedzialności zakładu albo wysokości odszkodowania lub świadczenia podlegają także artykułowi 29 ust. 10: zakład przechowuje je do upływu przedawnienia roszczeń z umowy. Nie należy mylić tej kategorii z danymi statystycznymi służącymi ustalaniu składek i rezerw, do których odnosi się wskazane odesłanie do artykułu 33 ust. 3. Rozdzielenie obu zbiorów pozwala ustalić właściwy termin bez sztucznego przedłużania aktywności całego profilu. Jeżeli ten sam dokument służy kilku celom, należy zapisać, który cel nadal uzasadnia jego zachowanie i komu potrzebny jest dostęp.
Umowy i zabezpieczenia w relacji z dostawcami
Jeżeli dostawca obsługuje dane na rzecz administratora, artykuł 28 wymaga pisemnej, również elektronicznej umowy albo innego wiążącego aktu prawa Unii lub państwa członkowskiego. Dokument musi odpowiadać rzeczywistemu zakresowi usługi. Umowa powierzenia powinna obejmować instrukcje, bezpieczeństwo, pomoc w realizacji praw i obsłudze naruszeń, podwykonawców oraz zakończenie współpracy. Sama deklaracja poufności nie zastępuje tych ustaleń.
Zgodnie z artykułem 35 ustawy ubezpieczeniowej tajemnica dotycząca poszczególnych umów obejmuje zakład, zatrudnione osoby i podmioty, za pomocą których wykonuje czynności ubezpieczeniowe, z ustawowymi wyjątkami. Trzeba uwzględnić ją przy upoważnieniach i ujawnianiu informacji. Pytanie pracodawcy o zdrowie pracownika korzystającego z polisy grupowej nie jest automatycznie wystarczającym powodem przekazania dokumentacji szkody.
Środki techniczne dobieraj do ryzyka. Rozdzielenie sprzedaży od dostępu do dokumentacji medycznej, silne uwierzytelnianie, kontrola eksportów i bezpieczne kanały przesyłania załączników mogą ograniczać konkretne zagrożenia. Weryfikuj również dostęp serwisowy i podwykonawców poza EOG. Umiejscowienie głównego serwera w Europie nie dowodzi, że nie dochodzi do transferu. Ocenę dostawcy należy uaktualnić, gdy zmienia on podwykonawcę albo sposób świadczenia wsparcia.
DORA i RODO mają odrębne zakresy
DORA, rozporządzenie 2022/2554, jest stosowane od 17 stycznia 2025 r. i obejmuje między innymi określone zakłady ubezpieczeń oraz pośredników. Artykuł 2 ust. 3 przewiduje jednak wyłączenia, w tym dla zakładów wskazanych w artykule 4 dyrektywy Solvency II oraz pośredników ubezpieczeniowych, reasekuracyjnych i oferujących ubezpieczenia uzupełniające, którzy są mikroprzedsiębiorstwami, małymi lub średnimi przedsiębiorstwami. Nie każda mała agencja podlega więc całemu DORA.
Wyłączenie z DORA nie zwalnia z RODO, tajemnicy ani uzasadnionych wymagań umownych partnera. Podmiot objęty DORA powinien skoordynować zarządzanie ryzykiem ICT, ocenę dostawców i obsługę incydentów z ochroną danych. Nie każdy incydent ICT jest naruszeniem danych osobowych; nie każde naruszenie danych spełnia próg raportowania sektorowego. Zespół potrzebuje dwóch ocen i właściwych kanałów zawiadomienia, nawet jeśli korzysta ze wspólnej dokumentacji zdarzenia.
Prawa osób i reakcja na naruszenie
Wniosek o dostęp może obejmować dane w systemie polisowym, korespondencji, dokumentacji szkody i ocenach dotyczących osoby. Trzeba uwzględnić prawa innych osób, zamiast odmawiać całego dostępu ze względu na obecność cudzych danych. Usunięcie danych nie jest bezwarunkowe, lecz odmowa musi wskazywać właściwe przyczyny. Brak działania wymaga przekazania uzasadnienia oraz informacji o skardze i ochronie sądowej bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania.
Przy naruszeniu administrator ocenia ryzyko dla ludzi. Zgłoszenie Prezesowi UODO następuje bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia, chyba że jest mało prawdopodobne, by zdarzenie powodowało ryzyko. Opóźnienie trzeba wyjaśnić. Każde naruszenie danych osobowych wymaga dokumentacji według artykułu 33 ust. 5; wysokie ryzyko może dodatkowo wymagać zawiadomienia osoby bez zbędnej zwłoki według artykułu 34. Procesor zawiadamia administratora bez zbędnej zwłoki.
Praktyczna procedura obsługi naruszeń powinna uwzględniać błędne załączniki, utratę urządzenia i przejęcie konta agenta. Ustal, kto zabezpiecza dowody, kto kontaktuje się z zakładem i kto podejmuje decyzję poza zwykłymi godzinami pracy. Nie czekaj z oceną ryzyka na całkowite zakończenie dochodzenia technicznego. Brak potwierdzenia pobrania dokumentów nie jest sam w sobie dowodem braku zagrożenia.
Rejestr jako narzędzie kontroli procesu
Rejestr czynności przetwarzania powinien odzwierciedlać wymienione procesy i role, a nie tylko nazwy aplikacji. Regularna obsługa klientów nie jest przetwarzaniem sporadycznym. Wyjątek dla podmiotów zatrudniających mniej niż 250 osób nie obejmuje czynności niesporadycznych, mogących powodować ryzyko ani przetwarzania danych z artykułów 9 lub 10. Przy działalności na dużą skalę obejmującej szczególne kategorie danych należy także ocenić obowiązek wyznaczenia inspektora ochrony danych.
Na końcu prześledź jedną rzeczywistą kategorię sprawy: jakie dane klient podaje, kto je otrzymuje, jak powstaje decyzja, jak można ją zakwestionować i co zostaje po zakończeniu umowy. Taka kontrola pozwala wykryć rozbieżności między formularzem, umową z zakładem i konfiguracją systemu. Rekomendowane sprawdzenie operacyjne nie zastępuje podstawy prawnej, ale pokazuje, czy przyjęte zasady rzeczywiście chronią osobę, której dotyczą informacje.