Ubezpieczenie grupowe a RODO – jak chronić dane pracowników i nie narazić się na karę?

Jak bezpiecznie wdrożyć ubezpieczenie grupowe i działać zgodnie z przepisami RODO? Czy pracodawca może przekazać dane pracowników ubezpieczycielowi? Kiedy potrzebna jest zgoda, a kiedy nie?

W tym poradniku wyjaśniamy wszystko, co warto wiedzieć o relacji: ubezpieczenie grupowe a RODO. Prosto, bez prawniczego żargonu – i z przykładami.

Czym jest RODO i dlaczego ma znaczenie przy ubezpieczeniach grupowych?

Co oznacza RODO w praktyce?

RODO (ogólne rozporządzenie o ochronie danych) to unijne przepisy regulujące, jak firmy mogą przetwarzać dane osobowe. Dotyczy to również pracodawców i firm ubezpieczeniowych. RODO nakłada obowiązki informacyjne, wymaga podstawy prawnej przetwarzania danych i podkreśla zasadę minimalizacji – czyli zbierania tylko tych informacji, które są rzeczywiście potrzebne.

Dane zwykłe a dane wrażliwe

Dane zwykłe to m.in. imię, nazwisko, adres czy PESEL. Natomiast dane wrażliwe (tzw. szczególne kategorie danych) to m.in. informacje o zdrowiu, przynależności związkowej czy przekonaniach religijnych. I to właśnie dane wrażliwe są szczególnie istotne przy umowach ubezpieczenia grupowego.

Czy informacje o ubezpieczeniu życia to dane wrażliwe?

Tak – jeśli obejmują np. dane o stanie zdrowia lub historii leczenia. Dlatego firma ubezpieczeniowa musi uzyskać zgodną z przepisami podstawę do przetwarzania tych informacji. W przeciwnym razie naraża się na złamanie przepisów RODO.

Jak RODO wpływa na oferowanie ubezpieczeń grupowych w firmie?

Kiedy pracodawca staje się administratorem danych?

Pracodawca zawsze jest administratorem danych osobowych pracowników. Jeśli zbiera i przekazuje dane do ubezpieczyciela – musi mieć do tego podstawę prawną i działać zgodnie z przepisami ustawy o ochronie danych.

Przekazywanie danych do ubezpieczyciela – kiedy potrzebna jest zgoda?

Jeśli dane są przekazywane w imieniu pracownika – potrzebna jest jego zgoda. Natomiast jeśli dane są przekazywane w celu przygotowania oferty lub kalkulacji – pracodawca musi zawrzeć umowę powierzenia przetwarzania danych osobowych z ubezpieczycielem, który wtedy działa jako podmiot przetwarzający.

Jakie informacje można zebrać, a jakich nie wolno?

Zbierane dane powinny być niezbędne do objęcia ubezpieczeniem – np. PESEL, wariant ochrony, dane kontaktowe. Niedozwolone jest zbieranie np. informacji o stanie zdrowia bez wyraźnej zgody pracownika.

Przykład złej praktyki: pracodawca samodzielnie wysyła ubezpieczycielowi dane zdrowotne pracowników bez ich wiedzy.

Jakie formalności musi spełnić pracodawca, oferując ubezpieczenie grupowe?

Zgoda pracownika – kiedy jest konieczna?

Zgoda jest wymagana, jeśli składka ubezpieczeniowa ma być potrącana z wynagrodzenia lub jeśli pracodawca przekazuje dane wrażliwe do ubezpieczyciela. Zgodnie z art. 6 ust. 1 lit. a RODO taka zgoda musi być:

• dobrowolna (brak obowiązku przystąpienia),
• konkretna (np. udział w ubezpieczeniu grupowym w danym TU),
• świadoma (poprzedzona informacją o przetwarzaniu danych),
• odwoływalna w każdej chwili.

Zgoda nie może być domniemana – musi być udzielona w sposób wyraźny, np. poprzez podpisanie formularza przystąpienia.

Przykład z życia – co może pójść nie tak?

W jednej z firm pracodawca przygotował listę pracowników zawierającą imiona, nazwiska, numery PESEL i adresy, którą przekazał brokerowi ubezpieczeniowemu bez uprzedniego poinformowania pracowników o celu i zakresie przetwarzania danych. Jeden z pracowników złożył skargę do UODO.

W wyniku kontroli okazało się, że:

• brakowało klauzuli informacyjnej,
• nie zawarto umowy powierzenia przetwarzania danych z brokerem,
• nie ograniczono zakresu danych do minimum.

Urząd nie tylko nałożył karę porządkową, ale również zobowiązał firmę do wdrożenia procedur zgodnych z RODO. Ten przykład pokazuje, że nawet przy dobrej intencji – chęci zaoferowania benefitów pracowniczych – łatwo o naruszenie przepisów.

Klauzule informacyjne i obowiązek informacyjny

Obowiązkowe jest przekazanie pracownikom informacji o tym:

• kto przetwarza ich dane (administratorzy danych),
• w jakim celu,
• przez jaki czas,
• komu dane są przekazywane (np. zakład ubezpieczeń).

Zobacz: Ubezpieczenia pracownicze – co każdy pracodawca powinien wiedzieć

Umowa powierzenia przetwarzania danych – z kim i kiedy?

Umowa powierzenia jest potrzebna, gdy firma ubezpieczeniowa przetwarza dane w imieniu pracodawcy – np. na etapie przygotowania oferty. Gdy dochodzi do zawarcia umowy ubezpieczenia grupowego, ubezpieczyciel staje się administratorem danych – i nie potrzebuje już takiej umowy.

Czy można zapisać pracownika „z automatu” do ubezpieczenia?

Dlaczego automatyczne zgłoszenie to błąd?

Zgoda musi być dobrowolna. Automatyczne dopisanie do listy osób ubezpieczonych bez zgody pracownika narusza ochronę danych osobowych – i może skutkować karą finansową.

Jak zaproponować ubezpieczenie zgodnie z RODO?

Przekaż informacje, przedstaw warianty ochrony i poproś o podpisanie deklaracji przystąpienia. Nie wywieraj presji – pracownik musi mieć wybór.

Co powinna zawierać deklaracja przystąpienia do grupowego ubezpieczenia na życie?

• imię i nazwisko ubezpieczonego,
• datę i miejsce urodzenia ubezpieczonego,
• PESEL,
• obywatelstwo,
• adres do korespondencji,
• informację o wybranym pakiecie (np. nazwa wariantu albo łączna wysokość składek),
• ewentualne wskazanie małżonka lub partnera życiowego, który również ma być objęty ochroną,
• dane uposażonych.

Zobacz: Ubezpieczenie grupowe dla pracowników – pytania i odpowiedzi

Gdzie znaleźć najlepszą ofertę ubezpieczenia na życie dla Twojej firmy?

Jak porównać oferty – nie tylko cena się liczy

• Zakres ochrony – śmierć, wypadki, choroby, wsparcie prawne.
• Suma ubezpieczenia – wysokość świadczeń.
• Składka ubezpieczeniowa – ile zapłacisz i za co.
• Wyłączenia odpowiedzialności – czego polisa nie obejmuje.
• Elastyczność – możliwość rozszerzenia ochrony.
• Kontynuacja polisy – po zakończeniu zatrudnienia.

Sprawdź: Ranking ubezpieczeń grupowych

Ubezpieczyciel a ochrona danych – czy każdy działa zgodnie z RODO?

Nie wszyscy. Dlatego:

• zapytaj o politykę ochrony danych osobowych,
• sprawdź, czy firma ma gotowe wzory klauzul informacyjnych,
• poproś o wsparcie przy wdrożeniu w firmie.

Checklista dla pracodawcy i brokera

Poniżej lista kontrolna, która pomoże zadbać o zgodność z przepisami przy wdrażaniu ubezpieczenia grupowego:

• Czy pracownicy zostali poinformowani o celu i zakresie przetwarzania danych?
• Czy przystępujący wyrazili dobrowolną, konkretną i udokumentowaną zgodę?
• Czy dane przekazywane brokerowi są ograniczone do niezbędnego minimum?
• Czy zawarto pisemną umowę powierzenia przetwarzania danych osobowych?
• Czy dane są bezpiecznie przesyłane i przechowywane?
• Czy pracodawca prowadzi rejestr czynności przetwarzania danych?

Zobacz: Jak wybrać najlepsze ubezpieczenie grupowe dla pracowników

Plusy i minusy ubezpieczenia grupowego w świetle RODO

Plusy:

• łatwy dostęp do ochrony życia i zdrowia,
• niska składka,
• uproszczony proces przystąpienia.

Minusy:

• ryzyko naruszenia przepisów RODO,
• niewystarczająca wiedza HR w zakresie ochrony danych osobowych.

Jak wdrożyć ubezpieczenie grupowe bez ryzyka?

• zadbaj o umowy powierzenia przetwarzania,
• informuj pracowników,
• weryfikuj działania ubezpieczyciela,
• zapewnij zespołowi HR odpowiednie szkolenie.

Zobacz też: Rotacja pracowników a ubezpieczenie grupowe

Praktyczne przykłady – jak działać zgodnie z RODO w firmie?

Scenariusz A – poprawnie wdrożone ubezpieczenie

Pracodawca proponuje ubezpieczenie, przekazuje klauzulę informacyjną, zbiera zgody, zawiera umowę z ubezpieczycielem jako odrębnym administratorem danych.

Scenariusz B – naruszenie danych i nieświadoma zgoda

Zgłoszenie pracownika bez zgody, przekazanie zbyt wielu danych, brak informacji o przetwarzaniu – to ryzyko dla pracodawcy.

Co zrobić, gdy dojdzie do błędu?

• powiadom Inspektora Ochrony Danych,
• przeprowadź analizę naruszenia,
• zgłoś incydent do UODO (Urząd Ochrony Danych Osobowych), jeśli to konieczne.

Podsumowanie – jak bezpiecznie oferować ubezpieczenie grupowe zgodnie z RODO?

• stosuj zasadę minimalizacji danych,
• uzyskaj świadomą zgodę i stosuj klauzule informacyjne,
• zawrzyj umowę powierzenia, jeśli to konieczne,
• sprawdź, czy zakład ubezpieczeń działa zgodnie z przepisami,
• współpracuj z inspektorem ochrony danych lub prawnikiem.

Najczęściej zadawane pytania o ubezpieczenie grupowe pracowników a RODO

Zobacz też: Ubezpieczenie grupowe pracowników w pytaniach i odpowiedziach

Czy potrzebna jest zgoda pracownika?

Tak – zwłaszcza gdy przekazywane są dane wrażliwe lub potrącana jest składka z wynagrodzenia.

Czy dane o ubezpieczeniu to dane wrażliwe?

Tak, zwłaszcza informacje dotyczące zdrowia i uposażonych.

Jakie dokumenty powinien przygotować pracodawca?

Listę pracowników, deklaracje przystąpienia, klauzule informacyjne, umowę ubezpieczenia grupowego.

Czy pracownik musi wyrazić zgodę na przekazanie danych do ubezpieczyciela?

Tak – zgoda musi być świadoma i udokumentowana.

Jak chronić dane osobowe w ubezpieczeniu na życie?

Wdrożyć odpowiednie procedury, przeszkolić HR, zawrzeć niezbędne umowy powierzenia przetwarzania danych osobowych.

Chcesz sprawdzić najlepsze ubezpieczenia grupowe dla Twojej firmy? Zobacz nasz ranking.