Sklepanje zavarovalnih pogodb na daljavo - IPRS

Sklepanje zavarovalnih pogodb na daljavo + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 17.03.2021 Številka: 07121-1/2021/518 Kategorije:Informiranje posameznika, Pogodbena obdelava podatkov, Posredovanje OP med upravljavci, Pravne podlage, Zavarovalništvo --> Kategorije: Pogodbena obdelava podatkov, Informiranje posameznika, Pravne podlage, Zavarovalništvo, Posredovanje OP med upravljavci Informacijski pooblaščenec (v nadaljevanju: IP) je dne 3. 3. 2021 prejel vaše elektronsko sporočilo, v katerem IP sprašujete, kakšni pogoji za obdelavo osebnih podatkov in katere informacijske rešitve so po mnenju IP dopustne v pogojih sklepanja zavarovanj na daljavo. Sprašujete tudi, kako in kdo mora potencialne sklenitelje zavarovanj seznaniti z aktualnimi pogoji, kdo je lahko upravljavec osebnih podatkov, zaupanih v okviru sklenitve zavarovalnega posla zavarovalnici, kdo obdelovalec, in na kakšen način lahko zavarovalnica posreduje osebne podatke svojih strank tehnološkim ponudnikom, ki nastopajo v procesu sklepanja zavarovanj. Zanimajo vas predvsem zahteve za ponudnike elektronskega podpisovanja in elektronske hrambe, da so zavarovalni dokumenti v pogojih elektronskega poslovanja, torej sklepanja pogodb na daljavo, pravno veljavni in lahko uporabljeni v morebitnih naknadnih odškodninskih ali sodnih postopkih. IP je vašo prošnjo za pojasnilo obravnaval kot vlogo za izdajo neobveznega mnenja. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi člena 58 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašo vlogo. Glede na dejstvo, da se je vaša prošnja za pojasnilo nanašala na konkretno zavarovalnico in z njene strani uporabljene storitve in rešitve točno določenega ponudnika, IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru, kot tudi ne presojati ustreznosti konkretnih tehnoloških rešitev. Presojo o ustreznosti obdelave lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. Odgovornost za obdelavo osebnih podatkov skladno z načeli, ki so opredeljeni v členu 5 Splošne uredbe (zakonitost, pravičnost, preglednost, omejitev namena, najmanjši obseg podatkov, točnost, omejitev shranjevanja, celovitost in zaupnost, odgovornost), je vedno na strani upravljavca osebnih podatkov. Splošna uredba v členu 4 opredeljuje »upravljavca« kot fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave. Kadar namene in sredstva obdelave določa pravo Evropske unije (v nadaljevanju: EU) ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje odločijo s pravom EU ali pravom države članice. »Obdelovalec« pa pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. Pri zavarovalnih poslih, na katere se nanašajo vaša vprašanja, je tako upravljavec osebnih podatkov za potrebe sklenitve in izvajanja zavarovalnega posla zavarovalnica, ki določeno zavarovalno storitev ponuja. Zavarovalnica pa lahko, ob pogojih, ki so opredeljeni v členu 28 Splošne uredbe, da obdelavo ali dele obdelave v svojem imenu v izvajanje obdelovalcu. Za zakonito obdelavo osebnih podatkov je treba imeti ustrezno pravno podlago. Splošna uredba določa pravne podlage v prvem odstavku člena 6, kjer določa, da je obdelava zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

1. a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
2. b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
3. c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
4. d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
5. e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
6. f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Pri sklenitvi ali obnovi zavarovalnih pogodb je za obdelavo osebnih podatkov ustrezna pravna podlaga v točki (
7. b)prvega odstavka člena 6 Splošne uredbe, ki poleg obdelave, ki je potrebna za izvajanje pogodbe, vključuje tudi obdelavo osebnih podatkov, ki je potrebna za izvajanje ukrepov na zahtevo posameznika pred sklenitvijo pogodbe. Soglasje volje za sklenitev pogodbe je lahko podano tudi ustno, zato je za zakonitost obdelave osebnih podatkov v pogojih sklepanja zavarovalnih pogodb na daljavo pomembno tudi dejstvo, s katerimi informacijami je zavarovalni zastopnik seznanil potencialno stranko, ko ji je predstavil to možnost. Zavarovalnica mora kot upravljavec še pred sklenitvijo zavarovalne pogodbe zagotoviti posameznikom, na katere se osebni podatki nanašajo, vse informacije iz členov 13 in 14 Splošne uredbe ter sporočila iz členov 15 do 22 in 34, povezana z obdelavo, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku. Sistem za varno elektronsko poslovanje znotraj EU med podjetji, državljani in javnimi organi je vzpostavljen z Uredbo EU št. 910/2014 o elektronski identifikaciji in storitvah zaupanja za elektronske transakcije na notranjem trgu in razveljavitvi Direktive 1999/93/ES (v nadaljevanju: Uredba eIDAS), za nadzor nad izvajanjem katere je v Sloveniji pristojna Uprava za informacijsko varnost. Tehnološki ponudniki, ki nastopajo v procesu sklepanja zavarovanj na daljavo, in za katere vas zanima, katere pogoje morajo izpolnjevati, da jih zavarovalnice sploh lahko vključijo kot obdelovalce v tem procesu, so pravzaprav ponudniki storitev zaupanja po Uredbi eIDAS. Uredba eIDAS opredeljuje storitve zaupanja kot storitve, ki se opravljajo za plačilo in vključujejo: ustvarjanje, preverjanje in potrjevanje veljavnosti elektronskih podpisov, elektronske žige ali elektronske časovne žige, storitve elektronske priporočene dostave in potrdila, povezana s temi storitvami ali ustvarjanje, preverjanje in potrjevanje veljavnosti potrdil za avtentikacijo spletišč ali hrambo elektronskih podpisov, žigov ali potrdil, povezanih s temi storitvami. Ponudniki storitev zaupanja s sedežem v EU štejejo za „kvalificirane“, če izpolnjujejo veljavne pogoje iz uredbe. Kvalificirani ponudniki kvalificiranih storitev imajo pravno podlago za zagotavljanje kvalificiranih storitev zaupanja (npr. kvalificiranih elektronskih podpisov, žigov ali certifikatov) v vseh državah EU. Uporaba kvalificiranih storitev zaupanja pa ima določene pravne učinke, ki zagotavljajo uporabnikom teh storitev večjo pravno varnost. Kvalificirani elektronski podpis ima enakovreden pravni učinek kot lastnoročni podpis. V zvezi s kvalificiranim elektronskim žigom se domneva celovitost podatkov in pravilnost izvora teh podatkov, s katerimi je kvalificirani elektronski žig povezan. V zvezi s kvalificiranim elektronskim časovnim žigom se domneva pravilnost navedenega datuma in časa ter celovitost podatkov, s katerimi sta datum in čas povezana. V zvezi s podatki, poslanimi in prejetimi s storitvijo kvalificirane elektronske priporočene dostave, se domneva, da so podatki celoviti, da jih je poslal njihov pošiljatelj in prejel njihov naslovnik, katerih identiteta je ugotovljena, ter da so točni glede datuma in časa oddaje in prejema podatkov, navedenih v okviru kvalificirane storitve elektronske priporočene dostave. Uporaba storitev zaupanja, še posebej kvalificiranih storitev zaupanja, ki jih ponujajo ponudniki teh storitev na trgu, je z vidika večje varnosti elektronskega poslovanja priporočljiva, saj Uredba eIDAS določa enotne pogoje in zahteve za ponudnike teh storitev in vzpostavlja enoten sistem nadzora, ni pa njihova uporaba obvezna, razen če tako določa zakon ali kodeks ravnanja na posameznem področju. Zakonodaja na področju varstva osebnih podatkov za zagotavljanje ustrezne ravni varnosti osebnih podatkov ne pogojuje uporabe kvalificiranih storitev zaupanja. Zavarovalniška zakonodaja in Obligacijski zakonik ne predpisujeta obličnosti podpisa na zavarovalnih pogodbah, niti vrste elektronskega podpisa za podpisovanje zavarovalnih dokumentov v pogojih elektronskega poslovanja. V zavarovalnih poslih podpis pogodbe niti ni nujen, saj se smatra, da zavarovanec soglaša z zavarovalnimi pogoji že s plačilom prve obveznosti, ki iz pogodbe izhaja. Zahteva zavarovalnice po elektronskem podpisu v pogojih elektronskega poslovanja je za zagotavljanje večje varnosti elektronskega poslovanja povsem legitimna, tudi če podpis za sklenitev zavarovalnega posla ni nujno potreben. Odločitev o tem, ali rešitev za elektronsko podpisovanje dokumentov upravljavec ponuja v okviru svojega informacijskega sistema, ali za podpisovanje dokumentov uporabi storitev zaupanja ponudnika na trgu (največkrat storitev v oblaku), je povsem na strani upravljavca, mora pa v primeru uporabe storitev zaupanja drugih ponudnikov uporabnike svojih storitev s tem seznaniti. V primeru, če upravljavec uporablja storitev zaupanja zunanjega ponudnika, in storitev vključuje tudi obdelavo osebnih podatkov, s katerimi upravlja upravljavec, je glede na Smernice o preglednosti na podlagi Uredbe (EU) 2016/679 (https://www.ip-rs.si/fileadmin/user_upload/Pdf/mnenja/Mednarodna_mnenja/mnenja_na_eu_ravni/20180413_WP260rev01_Article29WPTransparencyGuidelines.pdf) ponudnik storitve »uporabnik« osebnih podatkov. Pojem »uporabnik«, kot je opredeljen v členu 4