Защитата на физическите лица по отношение на обработването на лични данни е основно право, включено в Хартата на основните права на Европейския съюз. Като сериозна социално отговорна компания и като част от Групата Групама, всяко от дружествата „Групама Застраховане“ ЕАД и „Групама Животозастраховане“ ЕАД се стреми по-специално да гарантира спазването на основните права и свободи на всички лица, независимо дали са клиенти, служители, потребители на уебсайтове, обработващи данни (доставчици на услуги) и др. Уважението към неприкосновеността на личния живот и защитата на личните данни са основни фактори за вдъхване на доверие, както се вижда от мотото на Групата Групама "Създаваме доверие", подчертавайки тази ключова стойност. Поради разнообразието на дейностите си, всяко от дружествата „Групама Застраховане“ ЕАД и „Групама Животозастраховане“ ЕАД обработва много лични данни за различни цели и използва широк спектър от методи. Запазването на основните права е от съществено значение за нашите висши ръководни кадри, клиенти, служители и т.н. Съзнавайки важността на защитата на личните данни, рисковете, които възникват в случай на нарушение и необходимостта от въвеждане на процес на управление на риска, всяко от дружествата „Групама Застраховане“ ЕАД и „Групама Животозастраховане“ ЕАД се стреми да осигури спазването на всички приложими разпоредби и е работило в това отношение в продължение на много години. Този ангажимент се отразява чрез включването на тези ценности и принципи в Етичната Политика на компаниите, в която се посочва, че всяко от дружествата „Групама Застраховане“ ЕАД и „Групама Животозастраховане“ ЕАД гарантира, че събраните и обработени лични данни не причиняват вреда или щети на човешката идентичност, личната неприкосновеност или личните свободи. Всяко от дружествата „Групама Застраховане“ ЕАД и „Групама Животозастраховане“ ЕАД също така се ангажира да зачита правата на субектите на данни и да вземе всички мерки за защита на тяхната поверителност. Този ангажимент се проявява в приемането през 2018 г. на настоящата политика за защита на личните данни от всяко от дружествата „Групама Застраховане“ ЕАД и „Групама Животозастраховане“ ЕАД. Политиката описва: общия контекст на прилагането на управлението на личните данни в съответствие със стратегията на Групата Групама и на всяко от дружествата „Групама Застраховане“ ЕАД и „Групама Животозастраховане“ ЕАД; обхвата на политиката за защита на личните данни на „Групама Застраховане“ ЕАД и „Групама Животозастраховане“ ЕАД; общите принципи, приложими към защитата на личните данни; методите, използвани за защита на личните данни; организацията за управление на личните данни в „Групама Застраховане“ ЕАД и „Групама Животозастраховане“ ЕАД и Групата Групама, включително ролите и отговорностите на всички страни, участващи в осъществяването на обработването на данни.

Лични данни Всяка информация, отнасяща се до физическо лице (субект на данни), идентифицирано или възможно да бъде идентифицирано пряко или непряко, като се позовава идентификатор като име идентификационен номер или на един или повече специфични за него / нея елемента (например фамилия, собствено име, всеки национален идентификационен номер, имейл адрес, IP адрес, глас, снимка, данни за местоположението и т.н.). Обработване на данни Обработване на данни е всяка операция или набор от операции, включващи лични данни, независимо от използвания метод или средство (автоматизирано обработване на данни или неавтоматизирано обработване на лични данни), включително събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване на данни. Администратор на данни Физическо или юридическо лице, което е единствено или съвместно отговорно за определяне на целта и методите за обработване на данни. Всяко едно от дружествата „Групама Застраховане“ АД и „Групама Животозастраховане“ ЕАД е администратор на лични данни и обработва лични данни на своите контрагенти, като в някои случаи обработва личните данни заедно с други администратори на лични данни (съвместни администратори) или чрез обработващи лични данни. Обработващ лични данни Физическо или юридическо лице, което обработва лични данни от името на администратора на данни. Всяко едно от дружествата „Групама Застраховане“ АД и „Групама Животозастраховане“ ЕАД е обработващ лични данни от името на другото дружество - администратор на данни на базата на договор за споделена ИТ инфраструктура и персонал. Орган за защита на личните данни Национален независим орган, отговорен за надзора на спазването на разпоредбите за защита на личните данни. В България Комисията за защита на личните данни (КЗЛД) осъществява независимия надзор за спазването на разпоредбите за защита на личните данни. Длъжностно лице по защита на данните - ДЛЗД ице, назначено от администратора на данни въз основа на професионална компетентност и познаване на въпросите, свързани със защитата на личните данни, ролята в европейски контекст, определена от регламентите на ЕС за защита на данните. Всяко едно от дружествата „Групама Застраховане“ ЕАД и „Групама Животозастраховане“ ЕАД назначава Ръководителя на функцията по Управление на рисковете и на функцията за Съответствие за длъжностно лице за защита на личните данни на дружеството. Мениджъри по сигурността на информационните системи - GISSM - CISSM Мениджърът за групата по сигурността на информационните системи (GISSM) предоставя експертни познания и подкрепа на компаниите от групата по всички аспекти, свързани с сигурността на информационните системи. Корпоративният мениджър по сигурността на информационните системи за компаниите на Групата Групама в България (CISSM) отговаря за сигурността на информационните системи в рамките на „Групама Застраховане“ АД и „Групама Животозастраховане“ ЕАД.

Личните данни се събират добросъвестно, законосъобразно и прозрачно за конкретни, изрични и законни цели и не се обработват повече по начин, който е несъвместим с тези цели. Данните се събират добросъвестно, когато субектите на данни са информирани за използваното обработване на данни (цели, получатели, периоди на съхранение на данни и т.н.) и за това как те могат да упражнят правата си. Субектите на данни трябва да бъдат информирани по този начин или по времето, когато се събират данни, или в разумен срок в случай на непряко събиране (данни, които не се събират директно от субекта на данните). Обработването на данните се счита за законосъобразно, ако субектите на данни са били информирани и са дали съгласието си за съответната цел (уточнена и известна) и ако е необходимо обработване на данни (заради правно задължение, според законните интереси на администратора на лични данни, за изпълнение на договор или предложение за договор, за защита на жизнените интереси на дадено лице и т.н.).

Събраните данни трябва да бъдат адекватни, уместни (свързани с) и ограничени (понятието за свеждане до минимум на данните) във връзка с целите, за които се събират и впоследствие се обработват. Личните данни трябва да бъдат точни и да се поддържат актуални. Трябва да се вземат мерки, за да се гарантира, че личните данни, които са неточни, като се имат предвид целите, за които се обработват, се коригират или заличават незабавно.

Личните данни могат да се съхраняват не повече от необходимото за целите, за които се обработват, в съответствие със съответното законодателство. Когато вече не е необходимо, те трябва да бъде анонимизирани или унищожени. Субектите на данни са информирани за периода, за който се съхраняват данните им (или за критериите, позволяващи определянето на периода).

Събирането и обработването на определени категории лични данни са забранени (отнасящи се до расов или етнически произход, политически възгледи, религиозни или философски убеждения, членство в синдикати, генетични или биометрични данни, такива относно здравето или сексуалния живот и сексуалната ориентация и т.н.). Особено чувствителните данни представляват висок риск по отношение на индивидуалните свободи и основните права. Също така, съществуват ограничения за събирането на данни, свързани с осъдителни присъди и престъпления; други видове данни могат да бъдат ограничени в зависимост от местното законодателство. При много ограничени условия, стриктно определени от регулаторните разпоредби, може да бъде възможно да се премахне общата забрана за обработване на такива данни. В Кодекса за застраховане има предвидени законови основания за обработване на чувствителни лични данни за ограничени случаи.

Всеки субект на данни, чиито данни се обработват, има редица права, които трябва да бъдат спазени от администратора на данни. За дейности, засегнати от Регламент за защита на личните данни, това са: Правото на кратка, прозрачна, разбираема и лесно достъпна информация за обработването, преди то да се случи, включително идентичността на администратора на данни, целта (целите), получателите и как може да се упражнява това право (по детайлни документи са налични в секция 3.4. по-нататък). Правото на съгласие за обработването на данните им и оттеглянето на това съгласие (при определени условия); Правото на достъп, коригиране, изтриване, заключване, ограничаване или възражение срещу обработването на личните им данни, правото на преносимост на данни и правото да се подаде жалба до надзорен орган; Правото на ефективна съдебна защита срещу администратора на данните или обработващия данни за всяко лице, което вярва, че правата му предоставени от регламентите за личните данни, са нарушени и правото да възложи на правилно създадена организация да започне производство от негово име (групово действие); Правото на обезщетение на всяко физическо лице за материални или нематериални загуби или щети, понесени в резултат на нарушение на горепосочените разпоредби. Изпълнението на тези права е улеснено и от настоящата Публична политика за защита на личните данни е официално регистрирана и прозрачна по отношение на обработването на лични данни и е лесно достъпна за субектите на данни (договорни документи, уебсайт, и др.), като по детайлни документи са налични в секция 3.4. по-нататък. Във всяка от дружествата в Групата, включително „Групама Застраховане“ АД и „Групама Животозастраховане“ ЕАД, са въведени вътрешни процедури за управление на процеса на информиране на субектите на данни и обработка на техните искания в съответствие със законовите и подзаконовите разпоредби (по детайлни документи са налични в секция 3.4. по-нататък.).

Данните се обработват по начин, който гарантира подходяща сигурност на данните чрез подходящи технически и организационни мерки. Вземат се всички необходими предпазни мерки с оглед на вида на въпросните данни, обхвата, контекста, целта и рисковете, свързани с обработването и използваните технологии, за да се запази сигурността на данните, включително предотвратяване на повреда, изтриване, обработване за неподходящи цели или достъп до данни от неупълномощени трети страни. Заделят се ресурси за гарантирането на поверителността, целостта, наличността и устойчивостта на данните, както и са налични процедури, предназначени за редовно тестване, анализ и оценка на ефективността на тези ресурси. Това е задължение на администратора на данни и на всички използвани обработващи лични данни в последствие. Администраторът на данни трябва да гарантира, че всеки обработващ данни предлага достатъчни гаранции относно прилагането на подходящи технически и организационни мерки, за да се гарантира, че цялото обработване на данни отговаря на действащите правни и регулаторни изисквания за защита на личните данни. Това задължение трябва да бъде формализирано в договор, сключен с обработващия данните; това обаче не освобождава администратора на данни от задължението да гарантира, че мерките са спазени. За да изпълнят задълженията си по отношение на сигурността на данните / поверителността, „Групама Застраховане“ АД и „Групама Животозастраховане“ ЕАД са създали и следват политика за сигурност на информационните системи, съобразена с размера на бизнеса, вида на обработените данни и представените рискове. Тази политика е местна версия на политиката за защита на информацията за групови системи (GISSP).

„Групама Застраховане“ ЕАД и „Групама Животозастраховане“ ЕАД са базирани в страна от ЕС и следователно ще гарантират, че прехвърлянето на данни в държава, която не е член на Европейския съюз, е възможно само ако тази държава осигурява ниво на защита, считано за адекватно по отношение на претърпяната от данните Обработване, или ако са налице подходящи правни гаранции или ако прехвърлянето попада в приложното поле на дерогациите, разрешени от регламентите. Аутсорсингът на цялата или на част от обработването на данни, хостинга на база данни и отдалечения достъп от друга държава (например за целите на техническата поддръжка) представляват прехвърляне на данни. Когато администраторът на данни използва обработващ на лични данни, администраторът на данни трябва да провери дали данните се прехвърлят в страна извън ЕС от обработващия на данни или от каквито и да е подизпълнители на обработващи на лични данни, които самият обработващ може да използва, и контролира тези трансфери в зависимост от държавата на направлението.

„Групама Застраховане“ АД и „Групама Животозастраховане“ ЕАД са отговорни за обработването на данните (т.е. те са администратори на данни) и определят самостоятелно или съвместно с други целта на обработването и използваните методи. Всички администратори на данни са длъжни да предприемат всички мерки, за да гарантират и да бъдат в състояние да докажат, че са спазени разпоредбите за защита на личните данни, които са известни на всички страни и редовно проверявани, включително спазването на принципите, описани в настоящата Политика. „Групама Застраховане“ АД и „Групама Животозастраховане“ ЕАД, в качеството си на администратори на данни, носят отговорност за спазването на изискванията на GDPR и / или съответните национални разпоредби, приложими към защитата на личните данни.

Ръководството на всяко едно от дружествата „Групама Застраховане“ АД и „Групама Животозастраховане“ ЕАД назначава Ръководителя на функцията по Управление на рисковете и на функцията за Съответствие на дружествата за длъжностно лице за защита на личните данни (ДЛЗД) на дружеството. Назначението е въз основа на професионалните способности, и по-специално на специализираните познания в областта на законодателството и практиката за защитата на данните, както и на постигнати резултати за изпълнение на цели. Длъжностното лице за защита на данните докладва на най-високо ниво в управлението на компанията. Задълженията на ДЛЗД, изложени в GDPR, са както следва: - ДЛЗД координира обработването на исканията, свързани с упражняването на правата на субектите на данни (достъп, възражения, жалби и др.), като е информиран при получаване на исканията и как се обработват и гарантира спазването на сроковете за отговор. За тази цел данните за контакт на ДЛЗД са достъпни за всички.

Като компания от Групата, всяка от „Групама Застраховане“ АД и „Групама Животозастраховане“ ЕАД изпълнява организационни и технически мерки, за да гарантира и да е в състояние да докаже, че обработването на данните се извършва в съответствие с разпоредбите за защита на личните данни по всяко време. Тези мерки трябва да бъдат преразглеждани и актуализирани, когато това е необходимо. Всяка от „Групама Застраховане“ АД и „Групама Животозастраховане“ ЕАД въвежда политика и процедури като част от тези мерки и следователно има на разположение поне следните документи: Вътрешна Политика за управление на личните данни на „Групама Застраховане“ АД и „Групама Животозастраховане“ ЕАД (местна версия на тази групова политика), одобрена от ДЛЗД и изпълнителния директор. Тази политика следва да се актуализира винаги, когато е необходимо, и по подразбиране на всеки три години. Вътрешна Политика за сигурност на информационните системи (ISSP).