Una cotización, la suscripción de una póliza y la atención de un siniestro no necesitan siempre la misma información. Para aplicar la Ley Orgánica de Protección de Datos Personales (LOPDP), una aseguradora o un asesor de seguros debe organizar cada etapa: qué datos solicita, por qué los necesita, a quién los entrega y quién atiende las solicitudes del titular.

El DPD es obligatorio en las actividades comprendidas

El artículo 10.5 de la Resolución 2025-0028-R incluye a las personas jurídicas que realizan operaciones de seguros y a las actividades de reaseguros, asesores productores, corredores, agentes y prestadores del sector asegurador enumerados. La designación del Delegado de Protección de Datos (DPD) no debe presentarse como una simple ventaja comercial.

El delegado puede organizarse interna o externamente. Debe ser una persona natural identificada, cumplir los requisitos y mantener independencia; el servicio externo no equivale a trasladarle todas las decisiones de tratamiento. Consulte la guía de designación y registro del DPD para revisar el nombramiento.

Separe la información necesaria por etapa

La información de salud es una categoría especial y exige analizar las condiciones legales específicas para su tratamiento. Los datos económicos, como ingresos o cuentas de pago, pueden ser confidenciales y generar riesgos relevantes, pero no deben calificarse automáticamente como datos sensibles solo por ser financieros.

Un corredor no es siempre un encargado

Una aseguradora, un corredor y una reaseguradora pueden actuar como responsables independientes cuando deciden finalidades propias. Otros proveedores pueden actuar como encargados si procesan información por instrucciones. Un corredor no tiene necesariamente una “aseguradora matriz”.

Clasifique cada operación antes de escoger el contrato. Una relación de encargo requiere instrucciones y garantías apropiadas; una comunicación entre responsables exige legitimación, transparencia y las demás condiciones aplicables. Si interviene un destinatario extranjero, revise el régimen correspondiente sin asumir que todo acceso desde otro país constituye transferencia. La guía sobre proveedores y transferencias internacionales explica esa diferencia.

Ejemplo de un siniestro de salud

Supuesto hipotético: una persona envía al corredor un informe clínico para gestionar su reclamación. Antes de reenviarlo, el corredor verifica qué documentación pide la aseguradora y por qué canal la recibe. Evita copiar a personal comercial ajeno al caso, informa la comunicación pertinente y registra el envío. La aseguradora organiza su propio acceso y conservación; el laboratorio que emitió el resultado no se convierte por ello en un encargado del corredor.

Controles que conviene comprobar

• Canales seguros para documentos clínicos y verificación del destinatario.
• Permisos por función y registros de acceso a expedientes.
• Avisos comprensibles para asegurados y terceros afectados.
• Procedimiento para acceso, rectificación, actualización y demás derechos.
• Plazos de conservación justificados y retirada de accesos al terminar una relación.
• Protocolo de incidentes y distribución de tareas con el DPD.

La revisión debe cubrir la operación real de ventas y siniestros, además de los formularios firmados. Una autorización genérica no resuelve todos los usos posteriores de información.

Fuentes oficiales

• Ley Orgánica de Protección de Datos Personales
• Reglamento General de la LOPDP
• Reglamento del Delegado de Protección de Datos, Resolución 2025-0028-R
• Norma de transferencias de datos, Resolución 2026-0004-R

Revisión normativa: 12 de octubre de 2026.