El sector asegurador es uno de los que más datos sensibles maneja en España: información médica para seguros de salud y vida, datos financieros, datos de beneficiarios que nunca han firmado nada con la correduría… Una sola póliza de vida puede reunir datos de cuatro o cinco personas distintas. Y la AEPD ha impuesto algunas de sus multas más elevadas precisamente a este sector, llegando a los 3 millones de euros en un único expediente.
Los Datos de Salud: Una Categoría Especial con Reglas Propias
El artículo 9 del RGPD clasifica los datos relativos a la salud como categoría especial, lo que implica protección reforzada y condiciones de tratamiento más estrictas.
En una correduría, son datos de salud: diagnósticos en cuestionarios médicos para seguros de vida, condiciones preexistentes declaradas en seguros de salud, historiales de reclamaciones médicas e informes de invalidez para seguros de accidentes.
Para tratarlos necesitas una base legal reforzada:
- Consentimiento explícito del interesado (específico para datos de salud, no genérico).
- Necesidad para la ejecución del contrato de seguro, amparada en legislación sectorial específica.
Consentimiento en Propuestas Digitales: El Punto Más Crítico
Cuando un cliente contrata un seguro de salud o vida online, el proceso de recogida de consentimiento debe cumplir requisitos estrictos:
- Consentimiento granular: el cliente acepta o rechaza cada finalidad por separado.
- Sin casillas premarcadas.
- Información clara sobre quién tratará los datos: correduría, aseguradora y posibles reaseguradoras.
- El formulario se conserva como prueba del consentimiento prestado.
Los Datos de Terceros: Beneficiarios y Asegurados Adicionales
En un seguro de vida, el tomador designa beneficiarios cuyos datos —nombre, DNI, relación familiar, contacto— son tratados por la correduría sin que esas personas hayan suscrito ningún contrato. Lo mismo ocurre con el cónyuge o los hijos en pólizas de salud familiar.
El RGPD exige que estas personas sean informadas conforme al artículo 14 (información cuando los datos no se obtienen directamente del interesado). En la práctica, la correduría debe disponer de un procedimiento para hacer llegar esa información a los beneficiarios cuando sea razonablemente posible.
La Cesión de Datos Entre Correduría y Aseguradora
Cuando una correduría traslada datos de un cliente a la compañía aseguradora para emitir la póliza, se produce una cesión de datos que necesita base legal. Generalmente se sustenta en la ejecución del contrato que el cliente desea contratar.
Sin embargo, si la aseguradora comparte esos datos con terceros —reaseguradoras, ficheros sectoriales de fraude—, cada cesión adicional debe estar justificada y comunicada al cliente. El rastro documental de estas cesiones es fundamental ante una inspección de la AEPD.
Casos Reales de Sanciones en el Sector Asegurador
Caso 1: Gran Aseguradora Sancionada con 3.000.000€ por Ceder Datos de Salud Sin Consentimiento
La AEPD impuso una multa de 3.000.000 de euros a una de las principales compañías aseguradoras del mercado español tras comprobar que había cedido datos de salud de sus asegurados —diagnósticos, tratamientos y expedientes de siniestros médicos— a empresas del mismo grupo y a colaboradores externos sin contar con consentimiento explícito de los interesados ni con ninguna otra base legal válida para tratar categorías especiales. La resolución destacó la especial gravedad por la sensibilidad de los datos afectados y el elevado número de personas implicadas.
Caso 2: Correduría de Seguros Multada con 25.000€ por Retención Indebida de Datos de Salud
Una correduría de tamaño mediano fue sancionada con 25.000 euros al detectarse que conservaba cuestionarios de salud de clientes potenciales —incluidos quienes finalmente no contrataron ninguna póliza— durante más de cinco años sin base legal que lo justificara y sin haberles informado de este uso. La AEPD determinó que, sin contrato de seguro, no existía finalidad legítima para mantener esos expedientes y debían haberse eliminado una vez descartada la contratación.
Checklist de Protección de Datos para Corredurías y Mediadores de Seguros
- Identificadas todas las categorías de datos, incluidos los de salud
- Base legal documentada para el tratamiento de categorías especiales (art. 9 RGPD)
- Formularios de consentimiento explícito y granular para datos de salud
- Procedimiento de información a beneficiarios y asegurados adicionales (art. 14 RGPD)
- Contratos de cesión o DPA firmados con todas las aseguradoras con las que se colabora
- Política de conservación: eliminación de expedientes de prospectos no convertidos
- Medidas de seguridad reforzadas para datos de salud (cifrado, acceso restringido)
- Registro de Actividades de Tratamiento (RAT) actualizado
- Análisis de Impacto en Protección de Datos (AIPD) realizado para tratamientos de alto riesgo
- Canal de ejercicio de derechos ARCO-POL habilitado con plazo de respuesta de 30 días
- Formación al personal sobre el régimen especial de los datos de salud
- Protocolo de notificación de brechas a la AEPD en máximo 72 horas
En Protección de Datos Valencia contamos con experiencia específica en el sector asegurador y de mediación. Sabemos que el flujo de datos en una correduría —entre tomador, asegurado, beneficiario, aseguradora y reaseguradora— exige un análisis detallado y soluciones a medida. Solicita una consulta gratuita a través de nuestro formulario de contacto y te ayudamos a proteger a tus clientes y a tu negocio.
Fuentes: Reglamento (UE) 2016/679 (RGPD), artículos 9, 13, 14 y 83; Ley Orgánica 3/2018 (LOPDGDD); Agencia Española de Protección de Datos (aepd.es) — Resoluciones de procedimientos sancionadores; Ley 20/2015 de ordenación de entidades aseguradoras; Directiva (UE) 2016/97 sobre distribución de seguros (IDD).
¿Necesitas cumplir con el RGPD?
Habla con nuestros expertos en protección de datos en Valencia. Consulta gratuita y sin compromiso.