Персональные данные в страховой компании: полисы, агенты и медицинские сведения

Страховая компания начинает обрабатывать персональные данные клиента раньше, чем оформлен полис: анкета при расчете тарифа, паспортные данные, а в добровольном медицинском страховании и страховании жизни - сведения о здоровье. Дальше данные расходятся по цепочке: агент, который оформил договор, перестраховщик, бюро страховых историй, служба безопасности, которая проверяет заявленный убыток. Каждое звено этой цепочки - самостоятельный участник обработки персональных данных со своими обязанностями по 152-ФЗ.

Вопрос, с которым чаще всего приходят в страховые агентства и брокерские компании: нужно ли отдельное согласие на каждую передачу или достаточно того, что клиент подписал полис. Ответ зависит от того, какие данные передаются и кому. Обычные сведения - фамилия, номер телефона, реквизиты паспорта - обрабатываются в рамках договора без отдельного согласия на обработку персональных данных. А вот передача персональных данных страховщику в части сведений о здоровье - отдельная история, и ошибка в ней обходится дороже: штрафом, а иногда и оспоренным договором страхования.

Разница видна на простом примере. Клиент оформляет ОСАГО через сайт агрегатора: паспортные данные, госномер автомобиля, водительское удостоверение уходят страховщику без отдельного согласия, потому что это прямо предусмотрено договором и правилами обязательного страхования. Тот же клиент подает заявление на страхование жизни - и в анкете появляется вопрос про хронические заболевания. С этого момента правила меняются, и один и тот же агент, который вчера просто передавал паспортные данные, сегодня должен убедиться, что клиент подписал отдельное согласие именно на эти сведения.

Какие данные обрабатывает страховщик и на каком основании

Страховая компания становится оператором персональных данных с момента первого контакта с клиентом, даже если договор так и не заключен. Правовое основание для базового набора сведений - пункт 5 части 1 статьи 6 152-ФЗ: обработка нужна для заключения и исполнения договора, стороной которого является сам субъект. Дополнительно применяются закон РФ от 27.11.1992 N 4015-1 об организации страхового дела и глава 48 Гражданского кодекса о договоре страхования - они определяют, какие сведения страховщик вправе запросить для оценки риска.

На практике в досье клиента обычно попадают:

• ФИО, дата рождения, паспортные данные;
• контакты - телефон, электронная почта, адрес;
• ИНН и СНИЛС - для расчетов и передачи сведений в фонды;
• банковские реквизиты - для выплат;
• сведения об объекте страхования - автомобиль, недвижимость, груз (сами по себе это не персональные данные, но в связке с ФИО собственника становятся частью досье клиента);
• в личном страховании - данные о состоянии здоровья, диагнозы, история обращений к врачу.

Последняя группа - специальная категория персональных данных по статье 10 152-ФЗ, и обращаться с ней в анкетах ДМС и страхования жизни нужно иначе, чем с паспортными данными. Для ОСАГО и КАСКО такой проблемы почти не возникает - основной массив данных ограничивается сведениями о водителе и транспортном средстве. А вот в личном страховании и в страховании выезжающих за рубеж вопрос о здоровье задается почти в каждой анкете, и именно здесь чаще всего находят нарушения при проверках.

Спецкатегории в ДМС и страховании жизни: когда нужно письменное согласие

Как только страховщик спрашивает о хронических заболеваниях, диагнозах или истории болезни, речь идет о специальной категории персональных данных. Общее правило: такие сведения обрабатываются только с письменного согласия субъекта, и с 1 сентября 2025 года это согласие должно быть оформлено отдельным документом (изменения внесены 156-ФЗ от 24.06.2025) - формулировки в конце типового полиса мелким шрифтом уже недостаточно.

Статья 10 152-ФЗ перечисляет и узкие случаи, когда можно обойтись без согласия - например, если обработка нужна для защиты жизни или здоровья субъекта, а получить согласие невозможно. Строить на этом постоянную практику рискованно: такие случаи разовые и требуют документального обоснования именно в конкретной ситуации, а не служат заменой согласия для всего потока анкет ДМС.

В самом согласии на спецкатегории имеет смысл прямо указать: цель обработки (оценка риска при заключении договора, урегулирование убытков), перечень включаемых сведений (диагнозы, факт обращения к врачу, результаты обследований), срок действия и порядок отзыва. Отдельно стоит сверить: если медицинская организация передает страховщику выписку из истории болезни клиента по запросу для урегулирования убытка, у клиники должно быть свое согласие пациента на такую передачу - согласие, данное страховщику, клинику от этой обязанности не освобождает.

На практике это выглядит так: клиент попал в больницу, страховая компания получает от него заявление на выплату по ДМС и запрашивает у клиники выписку для подтверждения диагноза и стоимости лечения. Если в момент заключения договора клиент подписал только общее согласие на обработку персональных данных без упоминания сведений о здоровье, страховщик формально не вправе ни запрашивать выписку, ни принимать решение по ней - придется собирать дополнительное согласие уже на этапе урегулирования убытка, что затягивает выплату и создает лишнюю переписку с клиникой.

Страховые агенты и брокеры: поручение или самостоятельный оператор

Агент и брокер - разные фигуры с точки зрения 152-ФЗ, и путать их статус - частая ошибка. Агент работает по агентскому договору от имени и по поручению страховщика: он не самостоятельно решает, как обрабатывать данные клиента, а действует в рамках инструкций страховщика. Это классическая обработка персональных данных по поручению оператора (часть 3 статьи 6 152-ФЗ). Страховщик как оператор остается ответственным за то, что происходит с данными у агента, а значит агентский договор должен закрывать: цели обработки, перечень данных, требования к защите информации, обязанность не использовать базу для иных целей и порядок уничтожения или возврата данных после прекращения отношений. Стандартная структура такого документа разобрана в статье про договор поручения на обработку персональных данных.

Брокер устроен иначе: по страховому законодательству он действует в интересах клиента, а не страховщика, даже если получает комиссию от страховой компании. Это значит, что у брокера должно быть собственное правовое основание для обработки данных клиента - либо отдельное согласие, полученное самим брокером, либо договор на брокерские услуги. Использовать бланк согласия страховщика или ссылаться на то, что клиент уже согласился на обработку у страховой компании, брокер не может: это два разных оператора с разными основаниями.

Отдельная проблема возникает, когда агент или брокер - юридическое лицо, а не физическое. Тогда сотрудники, которые подписывают документы и ведут переписку по договору, выступают представителями контрагента, и к их данным применяются те же правила, что разобраны в материале про персональные данные контрагента. Частая находка при проверках: агент продолжает хранить и использовать базу бывших клиентов после расторжения агентского договора, рассылая им предложения от других страховщиков. Основания для такой обработки уже нет с момента прекращения договора, и это отдельное нарушение, не связанное с исходным согласием клиента.

Отдельно стоит статус самозанятого агента и небольшого страхового агентства, которое работает сразу с несколькими страховщиками. Формально это не меняет схему: с каждым страховщиком у агента отдельный агентский договор и отдельное поручение на обработку данных клиентов именно этого страховщика. Смешивать базы - вести общую таблицу клиентов без разбивки, по какому договору и в чьих интересах собраны данные конкретного человека - удобно для работы, но неправильно с точки зрения 152-ФЗ: у каждой записи должен быть понятен единственный источник основания для ее обработки.

Передача данных в бюро страховых историй и РСА

Для обязательных видов страхования, в первую очередь ОСАГО, а постепенно и для других линий, страховщики обмениваются данными через информационные системы, которые ведет Российский союз автостраховщиков, и через специализированные бюро, накапливающие страховую историю клиента. Эти сведения используются для расчета коэффициента бонус-малус и для выявления мошеннических схем - когда один и тот же убыток пытаются заявить в нескольких компаниях.

Обязанность передавать данные в эти системы вытекает напрямую из страхового законодательства, и для минимального набора сведений, предусмотренного форматом обмена, отдельное согласие клиента не требуется - но в политике обработки персональных данных страховщика такой канал передачи должен быть упомянут прямо, а не общей фразой про третьих лиц. Ключевое правило для тех, кто настраивает этот обмен на практике: передавать нужно ровно тот набор полей, который предусмотрен регламентом обмена, и ни полем больше. Добавление в выгрузку лишних данных - например, контактов для маркетинговых рассылок партнеров - превращает законную передачу в рамках страхового законодательства в самостоятельную передачу третьим лицам, для которой у страховщика уже нет основания.

Проверка убытков и антифрод: что можно передавать без лишнего согласия

Служба безопасности страховщика при урегулировании крупного убытка нередко сверяется с другими страховыми компаниями: не заявлял ли клиент такой же случай еще где-то, не проходит ли одно и то же поврежденное имущество по нескольким полисам. Это законная часть страховой деятельности, и обмен минимально нужными сведениями между страховщиками для проверки убытка обычно укладывается в основания, уже предусмотренные страховым законодательством и условиями самого договора - клиент, обращаясь за выплатой, соглашается на проверку заявленных обстоятельств.

Граница здесь такая же, как и с передачей в РСА: проверка убытка не повод запрашивать у другого страховщика весь массив данных о клиенте. Передается конкретный факт - есть ли обращение по аналогичному случаю, какая сумма заявлена, - а не полная история взаимодействия клиента с другой компанией. Если по итогам проверки у страховщика появляются подозрения в мошенничестве, дальнейшая передача материалов в правоохранительные органы - уже отдельное действие с собственным правовым основанием, и оформлять его нужно письменным запросом, а не устной договоренностью между службами безопасности двух компаний.

ДМС от работодателя: какие данные сотрудников уходят страховщику

Когда компания оформляет коллективный полис ДМС, кадровая служба передает страховщику список застрахованных: ФИО, дату рождения, паспортные данные, иногда СНИЛС - этот список становится приложением к договору страхования. Для самих сотрудников основанием передачи обычно служит трудовые отношения и очевидный интерес работника в получении полиса, но многие компании дополнительно берут с каждого сотрудника подписанное заявление или согласие именно на передачу данных страховщику - особенно когда программа расширяется на членов семьи. Данные супруга или детей работодатель, как правило, вообще не собирает для кадрового учета, и здесь одного согласия сотрудника недостаточно: нужно согласие самого члена семьи, которое сотрудник передает как его представитель, либо форма, которую заполняет непосредственно застрахованный родственник.

Важное правило для потока информации в обратную сторону: страховщик не должен раскрывать работодателю диагнозы, факт обращения к конкретному врачу или содержание медицинских записей сотрудника. Работодателю передается только административная информация - полис оформлен, действует, лимит по программе исчерпан на определенную сумму. Если кадровая служба получает от страховой компании детализированный отчет с диагнозами сотрудников, это нарушение независимо от того, что было написано в согласии - деталь, которую стоит проверить в договоре обслуживания с ДМС-провайдером, а не только в бланке согласия сотрудника. Список застрахованных в приложении к договору обычно включает копии паспортов сотрудников, и правила их хранения и уничтожения такие же, как для личных дел - подробнее об этом в статье про копии паспортов сотрудников.

На практике кадровая служба часто пересылает список застрахованных страховщику обычным письмом с вложением excel-файла, где кроме паспортных данных стоят и служебные пометки - должность, оклад, подразделение. Для оформления полиса эти сведения не нужны, а их присутствие в файле расширяет состав передаваемых данных без всякой необходимости. Проще выгружать для страховщика отдельный минимальный файл только с теми полями, которые указаны в форме приложения к договору ДМС, а не пересылать общий кадровый реестр целиком.

Хранение персональных данных страхователей: сроки и правила

Документы, на основании которых заключен и исполнен договор страхования, попадают под общие требования к хранению бухгалтерских и налоговых документов - как правило, не менее пяти лет после окончания отчетного периода, к которому относится договор. Для страхования жизни и других продуктов с длинным хвостом обязательств срок хранения стоит считать не от даты подписания полиса, а от даты, когда обязательства сторон полностью закрыты, с запасом на срок исковой давности: претензия по страховому случаю может возникнуть спустя годы после формального окончания действия полиса.

Частая ошибка - удаление карточки клиента сразу после расторжения или окончания договора, без проверки, нет ли незакрытых претензий и не истек ли обязательный срок хранения документов. Для данных о здоровье дополнительно важна техническая сторона хранения: ограниченный список сотрудников с доступом к анкетам ДМС, шифрование баз, где хранятся диагнозы, и журнал обращений к карточке конкретного клиента - кто и когда ее открывал. В небольшом агентстве такой контроль часто сводится к общей папке в облаке, доступной всем менеджерам без разбора, и это первое, на что стоит обратить внимание при разборе жалобы клиента: если доступ к анкете с диагнозом был у пяти человек, а не только у того, кто вел договор, объяснить это законным интересом уже сложно.

Отдельный вопрос - где физически лежит база клиентов. Многие страховые агентства и брокеры ведут учет в CRM-системах, размещенных не на собственных серверах, а у стороннего облачного провайдера. Обычного договора на хостинг или аренду CRM для этого недостаточно: если провайдер технически имеет доступ к базе с персональными данными, с ним нужен договор поручения на обработку, а не просто договор оказания услуг. Как выбрать провайдера и на что смотреть в таком договоре, разобрано в материале про облачное хранение персональных данных.

Таблица потоков персональных данных в страховой компании

Ниже - основные направления, по которым данные клиента и сотрудников уходят за пределы того, кто их изначально собрал, и что для каждого направления считается достаточным основанием.

Типичные ошибки страховых компаний, агентств и брокеров

На проверках и в спорах о неправомерной обработке чаще всего всплывают одни и те же вещи:

• анкета ДМС включает вопрос о здоровье, но отдельного согласия на спецкатегории нет - только общая формулировка где-то в тексте полиса;
• агент хранит базу бывших клиентов после расторжения агентского договора и рассылает им предложения от других страховщиков;
• брокер использует бланк согласия страховщика вместо собственного основания на обработку;
• CRM-система с базой клиентов размещена у стороннего облачного провайдера без договора поручения;
• в отчете по ДМС работодателю передаются диагнозы сотрудников, а не только факт использования полиса;
• карточки по закрытым договорам удаляются сразу после расторжения, до истечения срока хранения и возможных претензий по убыткам;
• кадровая служба пересылает страховщику по ДМС целый файл с кадровым реестром вместо минимального списка застрахованных;
• обмен с другим страховщиком при проверке заявленного убытка выходит за рамки конкретного случая и превращается в постоянный доступ к чужой клиентской базе.

Каждая из этих ситуаций выявляется без глубокого технического аудита - достаточно посмотреть текст согласия, агентский договор и договор с подрядчиком, который держит базу.

Что проверить: чек-лист для страховой компании, агентства и HR

Порядок действий, который снимает основную часть рисков, разобранных выше:

1. Отдельное письменное согласие на обработку сведений о здоровье в анкетах ДМС и страхования жизни - не общая фраза в тексте полиса.
2. Договор поручения на обработку персональных данных с каждым агентом, работающим по агентскому договору.
3. Собственное правовое основание у брокера - согласие клиента или договор на брокерские услуги, а не копия документов страховщика.
4. Проверка состава данных, которые уходят в РСА и бюро страховых историй, - строго в пределах установленного формата обмена.
5. Согласие сотрудника, а при расширении программы - и члена его семьи, на передачу данных страховщику при групповом ДМС, без обратного раскрытия диагнозов работодателю.
6. Договор поручения с CRM-подрядчиком или облачным провайдером, если база клиентов хранится не на собственных серверах.
7. Регламент хранения и уничтожения документов по закрытым договорам с учетом сроков возможных претензий и исковой давности.

Проходить этот список стоит не один раз при запуске, а заново - при каждом новом продукте или новом канале продаж. Компания, которая продавала только ОСАГО и КАСКО, а потом вывела на рынок программу ДМС для физических лиц, автоматически получает новую категорию данных о здоровье и новый набор рисков, даже если старые согласия и договоры поручения с агентами были в полном порядке. То же самое происходит при подключении нового канала продаж - маркетплейса страховых продуктов или партнерской программы с банком: у каждого нового посредника должно быть свое основание для обработки данных клиента, а не общая ссылка на то, что страховщик уже все оформил.

Большую часть пунктов из этого списка можно закрыть своими силами, опираясь на действующие шаблоны договоров и согласий. Там, где нужно привести в порядок формы согласия, договоры поручения с агентами или страницы сайта, собирающие данные клиентов, можно обратиться за доработкой на 152fzpro.ru - без обещаний аттестации или лицензий, только документы и техническая часть сайта, которые снимают конкретные риски из этого списка.