El marco regulatorio sigue creciendo
El marco regulatorio no deja de evolucionar en la Unión Europea, afectando a la actividad del sector asegurador, tanto de las compañías de seguros como de los mediadores, por lo que es indispensable mantenerse al día de todas estas novedades. Y esto es lo que hizo Arag en su jornada. La encargada de trasladar todas estas novedades fue María Belén Pose, directora de la Asesoría Jurídica Corporativa de la entidad.
En primer lugar, habló de las referidas a ciberseguridad, privacidad y regulación digital en la UE, donde nos encontramos con la Directiva NIS2 -aún pendiente de trasposición al ordenamiento jurídico español-, el Reglamento DORA -respecto del que faltan por conocer detalles sobre su desarrollo técnico-, los Reglamentos de Ciber resiliencia, la Ley de Cibersolidaridad, la Ley de Datos, la Ley de Gobernanza de Datos, el Espacio Europeo de Datos Sanitarios -aún pendiente de publicación-, los Reglamentos de Servicios Digitales (DSA) y Mercados Digitales (DMA) o el Reglamento de IA. Sin embargo, detalló que hay dos iniciativas que han sido retiradas: el Reglamento e-privacy y la propuesta de Directiva sobre responsabilidad en IA.
Reglamento de IA
Reseñó que el Reglamento de IA irá desplegándose de forma progresiva hasta su total implementación en agosto de 2027. Hizo hincapié en que incidirá en muchos aspectos, como la determinación de la responsabilidad civil, la legislación laboral, la protección de los secretos empresariales, los medios de comunicación, la protección de los menores o la protección de datos.
Especificó que el Reglamento afecta a fabricantes, importadores, distribuidores, proveedores de servicios a distancia y usuarios ‘profesionales’, bajo un enfoque centrado en el riesgo que diferencia cuatro niveles: servicios prohibidos, de alto riesgo, riesgo limitado y riesgo mínimo.
También habló de la nueva lista Stop Publicidad, que entró en vigor el pasado 31 de enero, obligando a las empresas a inscribirse si desean realizar acciones de mercadotecnia directa. Además, es obligatorio consultar esta nueva lista al realizar este tipo de acciones, igual que sucedía con la Lista Robinson.
Por otro lado, recordó que el pasado 15 de febrero se publicó la Orden TDF/149/2025, para combatir las estafas de suplantación de identidad a través de llamadas telefónicas y mensajes de texto (SMS) fraudulentos y evitar llamadas comerciales no deseadas. Remarcó que afecta sólo a llamadas de voz y SMS, pero no a las comunicaciones realizadas a través de aplicaciones de mensajería instantánea. Especificó que desde marzo se bloquearán las llamadas y SMS desde números no adjudicados a un cliente final o a un operador. Y desde el mes de mayo, las empresas no podrán hacer llamadas comerciales desde numeraciones móviles.
Otro asunto del que habló fue de la nueva regulación sobre Medios Adecuados de Solución de Controversias, con la que se intenta promover la resolución extrajudicial. “Las compañías de defensa jurídica somos las mejor preparadas para resolver el problema antes de acudir al juzgado”, comentaba.
Por último, recordó que ya están disponibles los nuevos modelos DEC para mediadores.
Sanciones por protección de datos
Pose destacó que el número de sanciones impuesto por la AEPD se redujo en un 3% en 2023, pero la cantidad recaudada creció un 44%. A continuación repasó algunas de las multas impuestas por la Agencia Española de Protección de Datos a entidades del sector asegurador en 2024.
La más cuantiosa, con una multa de 5 millones de euros, derivó de un ciberataque a través de la aplicación de consulta que la entidad aseguradora ponía a disposición de los mediadores, que expuso los datos de clientes y exclientes. La AEPD apreció que no existía ni análisis de riesgos ni evaluación de impacto y que faltaban medidas de seguridad suficientes, como autenticación multifactorial (MFA), además de permitir el acceso a datos de exclientes por un fallo en la actualización del software.
También habló de una multa de 200.000 euros impuesta a una entidad por la filtración de datos del seguro por parte de una empleada, que remitió un pantallazo a la expareja de la persona asegurada, de la que era amiga.
Otro caso fue una multa 200.000 euros impuesta por dar de alta un seguro de Salud cuando solo se había solicitado una simulación. La actuación fue realizada por un operador de banca seguros, y al tratarse de un coaseguro con corresponsabilidad en el tratamiento, hubo que dirimir a quien correspondía el mismo, sancionando a la entidad abridora de la póliza. Y la última sanción fue por la consulta de puntos del carné de conducir a través de la web de la DGT para la contratación de un seguro de Autos, pero sin recabar el consentimiento expreso del titular, lo que tuvo como resultado una multa de 300.000 euros.