GDPR în asigurări. Legislația conexă securizării digitale

GDPR (General Data Protection Regulation, lb.engleză) sau RGPD este Regulamentul General privind Protecția Datelor care protejează datele personale ale cetățenilor UE. Regulamentul oferă control asupra modului în care datele cu caracter personal sunt colectate, prelucrate și stocate.

Toate organizațiile, indiferent de locația lor, care prelucrează datele cu caracter personal ale persoanelor fizice din Uniunea Europeană, trebuie să aplice regulile GDPR.

În România, Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) guvernează respectarea drepturilor fundamentale la viaţă privată și la protecţia datelor personale.

La nivelul Uniunii Europene, European Data Protection Board (EDPB) - Comitetul european pentru protecția datelor (CEPD) în limba română,  asigură că Regulamentul general privind protecția datelor (RGPD) și Directiva privind asigurarea respectării legii sunt aplicate.

Principiile Regulamentului GDPR se aplică în toate domeniile de activitate, inclusiv asigurări.

Principii GDPR în asigurări

Datele pentru emiterea ofertelor și contractelor de asigurare, precum și pentru acordarea despăgubirilor se solicită legal, echitabil, transparent, cu scop delimitat, se actualizează pentru exactitatea lor, iar stocarea se realizează conform termenelor legale păstrând integritatea și confidențialitatea datelor. 

Este important pentru tine - Asigurat /  Contractant, sau Beneficiar al unei polițe de asigurare, să știi care sunt datele necesare, de ce ți se cer datele, cât timp și unde sunt păstrate, în ce condiții. 

Actualizează-ți datele în cazul unor evenimente precum schimbarea datelor de contact (cum ar fi numărul de telefon, adresa de e-mail), numelui, domiciliului, a cărții de identitate, certificatului de înmatriculare a vehiculului, modificarea stării de sănătate, explorarea unor noi pasiuni sau hobby-uri.

Ține cont de tipurile de asigurări pe care le ai și actualizează-ți datele. În acest fel, contractul de asigurare are date valide și eviți posibile bariere pentru acordarea banilor de exemplu în caz de daună sau la maturitatea poliței.

1. Legalitate, echitate și transparență

Fiecare prelucrare a datelor trebuie să aibă un temei legal (exemple: contract sau consimțământ) și să fie comunicată prin note de informare.

În asigurări, dacă se colectează date exclusiv pentru ofertă RCA, nu se folosesc ulterior pentru profilare sau marketing fără acordul prealabil al respectivului client.

2. Limitarea scopului 

Datele pot fi colectate pentru scopuri determinate.

În asigurări, dacă se colectează date pentru emiterea unei asigurări de locuință, nu se utilizează pentru promovarea asigurărilor de viață sau alte produse financiare dacă respectivul client nu și-a exprimat opțiunea pentru acest scop specific.

3. Minimizarea datelor

Se colectează datele necesare pentru scopul declarat. Colectarea excesivă de date/informații mărește riscurile de securitate. Date mai puține duc la un risc mai mic dacă apare un incident de securitate.

În asigurări, pentru emiterea unei asigurări RCA se solicită doar CNP-ul, adresa și datele vehiculului. Pentru acest risc sunt irelevante date despre starea de sănătate, venituri sau număr de copii.

4. Exactitate

Datele trebuie să fie corecte și actualizate. Orice date inexacte trebuie șterse sau modificate corespunzător situației actuale.

În asigurări, se verifică și se actualizează periodic datele de contact și adresa de corepondență a clienților.

5. Limitarea stocării

Datele nu se păstrează mai mult timp decât este necesar. Există termene legale, cum ar fi termene de prescripție sau obligații fiscale de arhivare a documentelor contabile.

În asigurări, după încetarea relației contractuale se păstrează datele doar pe durata impusă de legislația fiscală - de regulă 10 ani pentru documentele contabile, apoi acestea se șterg sau se anonimizează securizat.

6. Integritate și confidențialitate

Datele sunt protejate împotriva accesului neautorizat sau a pierderii lor. 

În asigurări, se utilizează sisteme de criptare a bazelor de date, autentificare multi-factor (MFA) și backup-uri regulate stocate în locații sigure pentru prevenirea incidentelor de securitate cibernetică.

Prelucrarea datelor cu caracter personal, în domeniul asigurărilor se face pe baza:

• Consimțământului - se trimit newslettere/noutăți pe e-mail clienților care și-au dat acordul pentru acest tip de comunicare. 
• Executării contractului - pentru a încheia sau executa un contract de asigurare cu clientul. De exemplu, se utilizează datele clientului pentru a emite o asigurare RCA sau pentru a gestiona o daună.
• Obligației legale - prelucrarea este impusă de o lege sau o reglementare. Aceasta nu este opțională și nu necesită consimțământ din partea clientului. De exemplu, se raportează datele clienților către autorități fiscale sau pentru prevenirea spălării banilor.
• Unui interes vital - se aplică în situații de urgență, pentru protejarea vieții sau sănătății unei persoane. Este rar folosit în asigurări, dar pot fi situații excepționale. De exemplu, se transmit date medicale către serviciile de urgență în cazul unui accident grav.
• Interesului public - se furnizează date către autorități care investighează fraude sau alte infracțiuni, de exemplu.
• Unui interes legitim - se permite prelucrarea datelor pentru interesele legitime ale companiei, dacă nu prevalează drepturile persoanei vizate. De exemplu, se utilizează date pentru prevenirea fraudelor sau pentru îmbunătățirea serviciilor oferite clienților.

În concluzie, dacă legea obligă ca datele să fie procesate, nu este necesar consimțământul. În executarea contractului, nu se colectează date care nu au legătură cu polița (de exemplu, pasiuni) doar pentru că există un contract de asigurare semnat. Nu se poate invoca obligația legală pentru justificarea transmtierii datelor către parteneri de marketing. Interesul vital se aplică doar în situații critice de viață și moarte. Interesul public (rezervat exclusiv sarcinilor autorităților) nu este un interes comercial. Interesul legitim se aplică doar după verificarea drepturilor clientului.

În asigurări, contractul de asigurare reprezintă elementul central al prelucrării datelor cu caracter personal. Majoritatea activităților - de la ofertare până la gestionarea daunelor se desfășoară conform obligațiilor contractuale față de client.

Prelucrarea datelor pe baza contractului

Etape

1. Emiterea ofertei

Prelucrarea datelor cu caracter personal începe din faza precontractuală. Datele cerute clientului pentru  a genera un preț / o cotare, sunt justificate de cererea acestuia de a intra în contract. 

Astfel, pentru o ofertă de asigurare, trebuie să transmiți datele solicitate. Ți se cer date specifice tipului de asigurare care te interesează. De exemplu, pentru ofertă RCA ți se cer seria de șasiu și CNP-ul (din categoria datelor cu caracter personal) care sunt transmise către compania de asigurări printr-o platformă securizată pentru a calcula clasa Bonus-Malus și prima de asigurare. Este în interesul tău să transmiți datele necesare corect și exact pentru a primi prețul calculat corect. 

2. Emiterea asigurării

Datele colectate devin parte integrantă a documentului juridic. După acceptarea ofertei de asigurare, datele sunt înscrise în asigurare. Agenții de asigurare și brokerii au obligația de a verifica exactitatea datelor cum ar fi nume, adresă, obiect asigurat, pentru ca asigurarea să fie validă juridic.

3. Administrarea asigurării

Administrarea contractului de asigurare înseamnă și modificări care apar pe durata poliței. Pot fi acte adiționale, schimbarea domiciliului sau schimbarea actelor de identitate. 

Dacă îți vinzi mașina sau îți schimbi numele, prelucrarea noilor acte doveditoare se face pe baza contractului existent, pentru a asigura continuitatea protecției și comunicarea corectă. Solicită actualizarea datelor în cazul:

• schimbării numelui
• schimbării cărții de identitate
• schimbării domiciliului
• schimbării datelor de contact (telefon, e-mail, adresă)
• schimbării proprietarului (mașină, locuință, bunuri) 
• dorinței de a schimba beneficiari (de exemplu pe asigurarea de viață)

Dacă nu ești sigur care sunt informațiile de transmis în situațiile noi care apar în viața ta, ia legătura cu asigurătorul tău și vei primi toate detaliile necesare. Este responsabilitatea ta. 

4. Prelungirea asigurării

Reînnoirea asigurării înseamnă folosirea datelor istorice pentru a asigura continuitatea serviciului. Contractul rămâne activ atâta timp cât se dorește prelungirea raportului juridic.

De exemplu, cu 30 de zile înainte de expirare ți se procesează datele din baza de date pentru generarea unui grafic de plată. Această prelucrare este necesară pentru a îndeplini obligația contractuală de asistență la reînnoire.

5. Avizarea daunei

Utilitatea contractului de asigurare se transformă în acțiune. Avizarea și gestionarea daunei înseamnă prelucrarea datelor pentru a obține despăgubirea cuvenită.

În concluzie, executarea contractului reprezintă temeiul central al activității de asigurare. Permite prelucrarea datelor pentru analiza riscurilor, emiterea asigurărilor și îndeplinirea obligațiilor asumate față de client. Semnarea contractului de asigurare autorizează toate prelucrările de date necesare pentru îndeplinirea obligațiilor față de client. Fiecare etapă, de la ofertare la gestionarea daunei, este susținută legal de acest document. 

Este bine de știut că oferta semnată face parte din contractul de asigurare, împreună cu polița, condițiile de asigurare, acte adiționale, toate documentele transmise între tine și intermediarii în asigurări. Astfel, ai grijă să trimiți informații și documente actualizate pentru orice ofertă de asigurare pe care o ceri. 

Prelucrarea datelor conform legii

În asigurări, multe proceduri sunt reglementate strict de legi fiscale, norme privind prevenirea spălării banilor sau reguli de arhivare. Clienții nu au posibilitatea de a solicita ștergerea sau modificarea acestor proceduri impuse de lege.

Obligații fiscale în asigurări - exemple

FACTURARE

Codul fiscal impune includerea anumitor date pe facturi, precum numele, adresa și CNP/CUI-ul clientului. Aceste informații sunt obligatorii pentru emiterea documentelor fiscale conform codului fiscal actual. Refuzul de a colecta aceste date nu este permis, iar lipsa lor poate duce la amenzi sau anularea facturii. Verifică codul fiscal pentru actualizări.

AML/Cunoașterea Clientelei

Legea privind prevenirea spălării banilor obligă companiile de asigurări să verifice identitatea clienților, inclusiv prin scanarea actului de identitate pentru anumite polițe de viață sau alte tipuri de asigurări. Această procedură nu poate fi evitată și este esențială pentru prevenirea fraudelor și respectarea reglementărilor AML.

ARHIVARE

Legea Arhivelor obligă păstrarea contractelor și a documentelor relevante timp de 10 ani. Chiar dacă un client solicită ștergerea datelor, aceste documente nu pot fi eliminate înainte de expirarea termenului legal.

RAPORTARE ANAF

Raportarea datelor către ANAF este obligatorie pentru toate vânzările și tranzacțiile relevante înregistrate în contabilitate.

Contractele de asigurare trebuie păstrate 10 ani conform Legii Arhivelor și Codului Fiscal.

Consimțământul - doar pentru marketing

• Este clar, bine delimitat și folosit exclusiv în marketing. 
• Consimțământul are un rol limitat în prelucrarea datelor, dar esențial. 
• Acesta este indispensabil pentru marketing, dar nu se aplică pentru executarea contractului sau obligațiile legale.
• Consimțământul poate fi retras oricând.

Când este necesar consimțământul?

- Primirea de noutăți/newslettere

- Oferte promoționale

- Felicitări de ziua de naștere

Când îți reînnoiești polița sau modifici expirarea poliței, nu este necesar consimțământul pentru prelucrarea datelor pentru că se bazează pe executarea contractului sau pe obligația legală.

Acordul (opt-in) sau retragerea (opt-out) oferă persoanei un control real asupra comunicărilor de marketing. Aceasta alege activ dacă dorește să primească mesaje sau să se retragă de la primirea lor.

Retragerea consimțământului

Retragerea (opt-out) consimțământului este la fel de ușoară ca abonarea (opt-in). Primești și confirmare de dezabonare.

Interesul legitim pentru prelucrarea datelor personale

Interesul legitim este conform drepturilor și libertăților persoanei vizate.

Drepturile persoanei vizate

Drepturile tale privind prelucrarea, colectarea, stocarea datelor cu caracter personal sunt de informare, acces, ștergere, opoziție, rectificare, portabilitate, restricționare, iar pentru exercitarea acestor drepturi trimiți o cerere scrisă către departamentul sau persoana Responsabilă cu protecția datelor (DPO) - de exemplu la dpo@companie.ro. 

Cele opt drepturi principale ale persoanei vizate conform GDPR sunt stipulate în Art. 13 - 22. 

1. Dreptul la informare (Art. 13 - 14)

În Nota de Informare către client se specifică Operatorul de date - persoana/compania cu sediul legal, scopul prelucrării / colectării datelor cum ar fi:

• Emitere polițe, 
• Calculație oferte RCA, CASCO și încheierea contractului,
• Cerere pentru ASIGURARE DE VIAȚĂ sau ASIGURARE DE SĂNĂTATE care include chestionar medical și încheierea contractului;
• Dosare de daună - constatare, evaluare și plată despăgubiri;
• Analiză risc - evaluarea bonității și prevenirea riscurilor;
• Anti-fraudă - detectarea tentativelor de fraudă în asigurări.

Cât timp se păstrează datele?

Politica de retenție a datelor

• 10 ani pentru documente financiar-contabile și contractuale.
• 3 -5 ani pentru dosare de daună și litigii (termen de prescripție).

Nota de informare este mesajul oficial prin care ți se explică, fiind client în asigurări, în mod clar și accesibil cum ți se folosesc datele, pe ce bază legală, cui se transmit și cât timp sunt păstrate. 

2.  Dreptul la acces (Art. 15)

3.  Dreptul la rectificare (Art. 16)

Poți transmite o cerere, ți se verifică identitatea (număr de poliță, CNP parțial sau e-mail înregistrat), iar ulterior ți se trimite o confirmare prin e-mail sau notificare scrisă prin care ți se confirmă că datele tale au fost actualizate cu succes. Primești detalii despre modificările efectuate și documente justificative cum ar fi Act Adițional.

4.  Dreptul la ștergere („Uită-mă”) (Art. 17)

Situații în care se poate cere ștergerea datelor cu caracter personal:

• Retragerea consimțământului pentru marketing (adresa de e-mail se șterge imediat din lista de marketing)
• Prelucrare ilegală - datele au fost colectate fără p bază legală validă sau au fost păstrate peste termenul de retenție stabilit
• Scop îndeplinit - datele nu mai sunt necesare pentru scopul inițial (de exemplu, date colectate pentru o ofertă acum 3 ani, dar nu s-a emis polița)
• Opoziția la prelucrare - când persoana se opune prelucrării și nu există motive legitime care să prevaleze (de exemplu, marketing direct - un client sună și solicită expres să nu mai fie contactat telefonic pentru promoții noi; numărul său trebuie eliminat din baza de date pentru campanii de marketing) 

Toate cele patru situații de mai sus sunt cele în care datele trebuie șterse. Ștergerea trebuie efectuată ireversibil în toate sistemele (inclusiv backup-uri și arhive fizice).

Când nu se aplică ștergerea datelor:

• Obligație legală (10 ani pentru contracte, dosare de daună. În cazul unui refuz bazat pe obligația legală, clientul trebuie informat în scris despre motviul refuzului.)
• Interes public (de exemplu, daune RCA către ASF pentru realizarea statisticilor naționale de piață pentru reglementarea tarifelor de referință)
• Apărarea unui drept (de exemplu, litigiu deschis - un client amenință cu judecata pentru o poliță veche, susținând că a fost emisă greșit. Brokerul păstrează comunicările și polița pentru a dovedi în instanță că și-a îndeplinit mandatul corect.)
• Libertatea de exprimare, când prelucrarea este necesară pentru exercitarea dreptului la liberă exprimare și la informare (de exemplu, un articol jurnalistic despre o fraudă dovedită în asigurări menționează numele persoanelor implicate. Acestea nu pot cere ștergerea numelui din articol invocând GDPR, deoarece este vorba despre interesul public de informare.)
  

 

Nu orice cerere de ștergere poate fi onorată - obligațiile legale de păstrare prevalează întotdeauna.

5. Dreptul la restricționare (Art. 18)

Datele nu pot fi șterse, dar nici nu pot fi folosite până la clarificarea situației.

Articolul 19 GDPR "Obligația de notificare privind rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării"

Operatorul comunică fiecărui destinatar căruia i-au fost divulgate datele cu caracter personal orice rectificare sau ștergere a datelor cu caracter personal sau restricționare a prelucrării efectuate în conformitate cu articolul 16, articolul 17 alineatul (1) și articolul 18, cu excepția cazului în care acest lucru se dovedește imposibil sau presupune eforturi disproporționate. Operatorul informează persoana vizată cu privire la destinatarii respectivi dacă persoana vizată solicită acest lucru.

6. Dreptul la portabilitate (Art.20)

Controlul datelor este libertatea de a le muta acolo unde ai nevoie.

Informațiile trebuie furnizate într-un format structurat, utilizat în mod curent și care poate fi citit automat (fișiere .CSV, .XML sau .JSON).

7. Dreptul la opoziție (Art. 21)

Opoziția la marketing direct. Este un drept absolut. Clientul nu trebuie să ofere nicio justificare pentru decizia sa. 

8. Decizii automate și profilare (Art. 22)

Tehnologia poate sufera, dar omul trebuie să confirme.  

Este vorba despre dreptul persoanelor de a nu fi supuse unor decizii bazate exclusiv pe prelucrarea automată a datelor, inclusiv profilare.

Niciodată nu se răspunde la o cerere GDPR fără să se confirme identitatea solicitantului. 

Securitatea datelor

Criptare, parolare, backup conform Art.32 din GDPR

Criptarea și parolarea

Trebuie să se pună o parolă pe fișierele Excel sau PDF-urile cu date sensibile înainte de a le stoca sau trimite.

Pseudonimizarea

Transmiterea unei liste către dep. IT pentru verificarea unei erori în sistem trebuie să se realizeze în urma ștergerii coloanelor cu Nume/Prenume/CNP și se lasă doar ID-ul poliței. IT-ul poate repara eroarea fără a ști a cui este polița.

Confidențialitatea

Un coleg de la recepție nu ar trebui să aibă acces la isotricul medical al unui client cu asigurare de viață.

Backup (Disponibilitate)

Se poate aplica regula 3-2-1, adică se păstrează 3 copii ale datelor, pe 2 medii de stocare diferite (de exemplu, laptop și hard extern), dintre care 1 să fie într-o locație externă (de exemplu, cloud securizat), pentru a fi protejate datele de incendii sau inundații la sediu.

Securitate

Operatorul de date poate solicita rapoarte de audit independente cum ar fi ISO 27001 sau SOC 2 Type II, care atestă că măsurile de securitate sunt funcționale.

Regulamentul DORA

Cum se recunosc și se evită atacurile de tip pishing, ransomware și inginerie socială?

Se implementează reguli digitale pentru utilizarea cookie-urilor, e-mailului securizat și conexiunilor SSL.

Implementarea semnăturii electronice permite încheierea unei asigurări în câteva minute, dar este necesar ca platforma utilizată să respecte standardele eIDAS pentru validitatea legală a consimțământului.

Gestionarea unui volum mare de date și riscurile cibernetice sunt provocări cheie pentru agenții de asigurare.

Vezi Legea comerțului electronic (365/2002), Legea semnăturii electroncie (455/2001), Articolele 360-365 din Noul Cod Penal privind accesul ilegal la sisteme informatice și interceptarea datelor

Cadrul legal asigură siguranța, transparența și încrederea în tranzacțiile digitale. Semnătura electronică calificată este recunoscută legal și asigură validitatea documentului digital conform legislației. 

Cele mai noi reglementări europene sunt NIS, DORA, pentru practicile digitale în asigurări.

Directiva NIS2 - detalii și evaluare gratuită NIS2 în România. Directiva NIS 2 stabilește, la nivel european, cerințe minime de securitate pentru rețelele informatice și sistemele informatice din sectoarele critice, inclusiv cel financiar. 

Regulamentul DORA (Digital Operational Resilicence Act) este actul legislativ european privind reziliența digitală. DORA se asigură că insituțiile pot supraviețui unui atac cibernetic masiv.

De exemplu, dacă un server principal de emitere este atacat cu virus de tip Ransomware, DORA impune ca brokerul sau asigurătorul să aibă capacitatea de a relua operațiunile critice fără a pune în pericol datele clienților sau plata daunelor.

Se aplică băncilor, asigurătorilor, brokerilor, furnizorilor de sevicii cloud.

Pași:

1. Evaluare procese IT: se verifică procedurile pentru acces la date, backup și gestionarea parolelor. Se identifică procesele digitale și se analzează vulnerabilitățile. Se implementează o politică strictă de parole (de exemplu, schimbare la 30 de zile) și se activează Autentificarea cu Doi Factori (2FA) pentru conturi/login;
2. Securizare fluxuri de date prin API-uri de emitere polițe;
3. Testare și instruire echipă: se simulează incidente cibernetice și se insctruiesc periodic angajații privind securitatea digitală;
4. Documentare și raportare.

DORA impune planuri de continuitate operațională, testarea periodică a sistemelor informatice și raportarea incidentelor de securitate.

Clasificarea datelor și standardele ISO în securitate

Clasificarea arată ce protejăm, iar ISO ne spune cum să o facem. 

Importanța standardului ISO 27001 pentru securitatea informațiilor în asigurări 

ISO/IEC 27001 - standarde internaționale

Clasificarea datelor și măsuri de protecție:

• Strict confidențial

Include informații extrem de sensibile, cum ar fi datele medicale ale clienților sau parolele de acces la sistemele de emitere. Accesul este permis doar persoanelor autorizate în situații justificate. 

(De exemplu, dosarul de daună pentru o poliță de viață ce conține fișe clinice sau rapoarte de investigație medico-legală)

• Confidențial

Cuprinde informații personale precum CNP-ul, adrese de domiciliu sau istoricul contractelor de asigurare ale clienților. 

• Intern

Cuprinde informații de uz intern cum ar fi proceduri operaționale. Nu sunt destinate publicului larg, dar nu prezintă riscuri critice. Se limitează distribuția doar în interiorul organizației.

• Public

Include materiale de marketing, pliante cu produse de asigurare, informații de pe website-ul oficial destinate promovării. Pot fi distribuite liber.

(De exemplu, broșura cu tarifele generale pentru asigurările de locuință sau condițiile contractuale publicate pe website)

Standardul ISO 27001 este standardul internațional care stabilește cerințele pentru un sistem de management al securității informației (SMSI). O companie certificată ISO 27001 este percepută ca un partener stabil și pentru semnarea contractelor cu clienți corporate mari.

Amenințări cibernetice: phishing, ransomware și inginerie socială

Phishing-ul este o metodă de înșelăciune prin care atacatorii trimit e-mailuri sau mesaje false care par să provină de la surse de încredere precum bănci, asigurători, colegi. Scopul este de a obține date sensibile (parole, informații financiare). Verifică întotdeauna URL-ul real. NU te lăsa presat de mesaje „urgente”.

Ransomware este șantaj digital. Este un virus - malware care blochează accesul la fișierele sau sistemele tale de criptare și ți se cere o răcumpărare. 

De exemplu, deschizi un atașament din e-mail și pe ecran apare brusc un mesaj cu roșu: „Toate fișierele tale sunt criptate. Plătește 3 bitcoini în 24 de ore sau pierzi totul”. 

Cum să procedezi? 

Deconectează imediat imediat laptopul de la rețea (scoți cablul/oprești Wi-Fi) și suni la departamentul IT. Izolarea dispozitivului previne răspândirea virusului în rețeaua companiei. Nu plăti niciodată răscumpărarea! 

Ingineria socială este manipulare. Presupune manipularea psihologică a oamenilor pentru a obține informații. Atacatorii pot folosi apeluri telefonice, mesaje pe rețele sociale sau tehnologii deppfake pentru a se da drept colegi, șefi sau suport IT.

La prima vedere, atacurile cibernetice pot apărea inofensive sau chiar legitime.

E-mailurile de tip pishing conțin adesea greșeli de scriere, cereri urgente sau linkuri suspecte. Verifică întodeauna adresa de e-mail a expeditorului și nu deschide linkuri sau atașamente fără să fii sigur de autenticitatea lor.

Alertele false de actualizare sunt metode des întâlnite pentru a te păcăli să instalezi singur un ransomware.

Ingineria socială se manifestă prin apeluri sau mesaje neobișnuite, în care cineva pretinde că este de la IT sau de la o autoritate și cere date confidențiale. Atacatorii mizează des pe emoții (furia, urgența) pentru a te presa să ocolești procedurile de verificare. Cere întotdeauna date de identificare suplimentare pentru a valida că este titularul (unui contract de asigurare).

Siguranța online

Se construiește prin cookie-uri gestionate, e-mail securizat, conexiuni SSL/HTTPS.

Cookie-uri sunt urme digitale. De exemplu, se lansează o pagină web nouă pentru promovarea asigurărilor de sănătate. Trebuie adăugat un banner pentru obținerea consimțământului explicit înainte de colectarea datelor.

Se solicită acordul explicit pentru cookie-uri neesențiale. Se explică utilizatorilor ce tipuri de cookie-uri folosești pentru analiză, marketing sau funcționalitate) și de ce sunt necesare. Exemplu: Acest site folosește cookie-uri de la Google pentru livrarea serviciilor și analizarea traficului. Adresa dvs. IP și programul user agent sunt trimise către Google împreună cu valorile privind performanța și securitatea pentru asigurarea calității serviciului, generarea statisticilor de utilizare, detectarea și remedierea abuzurilor. Utilizatorii trebuie să aibă opțiunea de a refuza ușor cookie-uri care nu sunt esențiale pentru funcționarea website-ului. Proprietarul website-ului trebuie să stabilească perioade clare pentru cât timp se păstrează cookie-urile pe dispozitivul utilizatorului și să se asigure că acestea se șterg automat la expirare sau la cererea acestuia (de exemplu, un cookie de sesiune ar trebui să dispară când browser-ul este închis). Pentru a respecta confidențialitatea, se poate folosi anonimizarea datelor. Vezi cum face Google asta Cum anonimizează Google datele – Confidenţialitate şi termeni – Google  

E-mail securizat - Cum proteejzi comunicarea? De exemplu, pentru trimiterea unei copii a cărții de identitate și un istoric medical al unui client către sediul central în vederea aprobării unei polițe de viață, fișierele se pun într-o arhivă parolată (parola se trimite prin sms) sau folosești portalul intern criptat. Informațiile cu caracter medical trebuie obligatoriu criptate. Parola nu se trimite pe același canal cu fișierul, ea se convine cu destinatarul cu informații cunoscute doar de el (de exemplu câteva cifre din partea finală a CNP-ului) sau se transmite telefonic/sms. 

 

HTTPS - Conexiunile SSL/HTTPS criptează datele transmise între browser și server, protejând datele împotriva interceptării.

Utilizează website-uri cu https. Dacă simbolul de securitate - acel „lăcățel” lipsește pe un website, nu introdu date financiare (datele cardului, de exemplu) sau personale. Trebuie să fie https.  

În concluzie, legislația, regulamentele în vigoare, procedurile de punere în aplicare, cum ar fi GDPR pentru protecția datelor cu caracter personal, DORA, NIS2, utilizarea cookie-urilor, e-mailului securizat, conexiunile SSL / HTTPS, pot securiza digital toate procesele de prelucrare, colectare, stocare a datelor cu caracter personal în domeniul asigurărilor - de la emiterea polițelor până la arhivarea / păstrarea / administrarea contractelor de asigurare.