Lo que todo proveedor de seguros generales debe saber sobre la protección de datos y la privacidad
Las violaciones de datos fueron noticia en todo el mundo en 2018. Empresas como T-Mobile, Quora, Google, Orbitz y Facebook se vieron afectadas, exponiendo la información personal de millones de personas.
La protección de datos y la privacidad son problemas graves en el mundo hiperconectado de hoy, y están ocupando un lugar central en muchas legislaturas estatales. Los riesgos y desafíos de la seguridad de los datos deben ser de suma preocupación para las empresas, agentes y corredores en el campo de los seguros de propiedad y accidentes.
Principales problemas en seguros Seguridad y privacidad de datos
A diario surgen cuestiones de seguridad, protección y privacidad de los datos. ¿Qué causa estos ataques y cómo se pueden detener?
«Las violaciones de datos pueden ocurrir por una variedad de razones. Algunas empresas son pirateadas. Los datos pueden ser mal manejados o vendidos a terceros. Los agujeros en el sistema de seguridad de un sitio web pueden dejar la información desprotegida», dice Paige Leskin de Business Insider.
Las empresas se enfrentan a una necesidad continuamente apremiante de proteger los datos de los clientes y de la empresa y, al mismo tiempo, hacer que la comunicación sea sencilla y accesible para todos. 2018 marcó el primer año en el que muchos estados tomaron medidas regulatorias activas para abordar este desafío. A medida que aumenta la legislación sobre seguridad de datos de seguros, las preguntas sobre dichas leyes se vuelven más complejas para las compañías de seguros.
Regulaciones de mosaico
Uno de los mayores problemas que enfrentan los proveedores de seguros es la falta de requisitos consistentes de seguridad y privacidad de datos en varios estados.
Las respuestas estatales a las preocupaciones sobre la protección de datos y la privacidad han aparecido de manera fragmentada. Los 50 estados actualmente tienen leyes de notificación de violación de datos, pero la mayoría no ha abordado la seguridad cibernética en el contexto de los seguros específicamente, dicen Bindu Nair y Sean B. Hoar, abogados de Lewis Brisbois Bisgaard & Smith LLP.
Por ejemplo, la ley de privacidad de datos de California brinda a los consumidores un control sin precedentes sobre sus datos personales, lo que plantea desafíos y oportunidades para las compañías de seguros que operan en el estado, dice Don Jergler en Insurance Journal.
Estas leyes varían según el estado actualmente, pero la idea de una ley de violación de datos a nivel nacional está siendo respaldada por el Departamento del Tesoro de EE. UU., dicen Nair y Hoar.
Costos de protección de datos
Los cambios en las regulaciones de protección de datos también están generando preocupaciones de costos para las aseguradoras de propiedad y accidentes, particularmente cuando estas compañías ya enfrentan los desafíos gemelos de la caída de la inscripción en seguros de automóviles y el aumento de las reclamaciones por daños a la propiedad.
«El efecto real será un enorme aumento del costo del cumplimiento, que probablemente no forme parte del presupuesto actual de la institución», predice Richard Fernández, especialista en responsabilidad cibernética.
El costo incluirá la necesidad de personal dedicado a la seguridad cibernética y el cumplimiento, que son requeridos por varias leyes estatales promulgadas recientemente. Dado que varios tribunales han tomado diferentes decisiones sobre litigios civiles relacionados con violaciones de datos de clientes, las compañías de seguros también enfrentan un panorama legal cada vez más complejo, dice la abogada Kimberly Horn.
Los Estados toman medidas sobre la seguridad de los datos
En ausencia de una respuesta federal unificada a la seguridad de los datos de seguros, los estados de EE. UU. han comenzado a regular la cuestión por sí mismos. Nueva York y Rhode Island han promulgado reglas sobre protección de datos y privacidad de seguros, mientras que Carolina del Sur, Michigan y Ohio adoptaron una ley modelo en 2018.
Otros estados, incluidos Georgia, Illinois, Kentucky, Maryland y Virginia, están considerando leyes de seguridad de datos de seguros. Tales cambios iniciados por el estado requieren que las aseguradoras locales de propiedad y accidentes se enfrenten a un panorama regulatorio cada vez más complejo, dice Christopher M. Brubaker de PropertyCasualty360.
Nueva York
Nueva York allanó el camino para las regulaciones de protección de datos específicas de seguros. El Departamento de Servicios Financieros (DFS) del estado implementó una regulación de seguridad cibernética en 2017. Requería que las compañías de seguros implementaran la autenticación multifactor para el acceso a los datos e informaran los incidentes de ciberseguridad dentro de las 72 horas. También implicó requisitos adicionales en torno a la gobernanza y la responsabilidad en forma de un director de seguridad de la información (CISO), dice Larry Bianculli, director gerente de CCSI.
La Ley Modelo de Seguridad de Datos de Seguros de la NAIC, publicada a fines de 2017, se basa en las regulaciones de Nueva York. Varios estados han adoptado la ley modelo por completo, mientras que otros están considerando proyectos de ley que promulgarían algunas de las disposiciones de la ley modelo.
Carolina del Sur
Carolina del Sur fue noticia en mayo de 2018 al convertirse en el primer estado en adoptar la Ley Modelo de Seguridad de Datos de Seguros de NAIC.
La ley de Carolina del Sur requiere que tanto las personas como las empresas con licencia bajo las leyes de seguros de Carolina del Sur cumplan con los nuevos requisitos con respecto a la seguridad de los datos. Un elemento central de la ley es el requisito de crear un programa integral de seguridad de la información por escrito (WISP), dice Nameir Abbas, abogado de Alston & Bird.
Si se produce una violación de datos, las aseguradoras deben investigar el evento, evaluar su naturaleza y alcance, identificar la información comprometida y «tomar medidas razonables para restaurar la seguridad de la información comprometida», dicen Joshua Mooney, Richard Borden y Sedgwick Jeanite de White & Williams LLP. Las aseguradoras también están obligadas a informar ciertos eventos al departamento de seguros del estado.
Michigan y Ohio
Michigan y Ohio también promulgaron leyes de seguridad de datos de seguros en diciembre de 2018, adoptando la Ley Modelo de Seguridad de Datos de Seguros de NAIC. Las nuevas leyes se aplican a cualquier persona o empresa autorizada por los departamentos de seguros de los respectivos estados.
La ley de Michigan también incorpora varias disposiciones de la Ley de Prevención del Robo de Identidad del estado, dice Kate Hanniford, abogada y miembro del equipo de respuesta de ciberseguridad de Alston & Bird.
La ley de Ohio solo cubre aseguradoras, agencias y corredores que hacen negocios en Ohio. «Las reaseguradoras domiciliadas fuera de Ohio, así como los grupos de retención de riesgos y los grupos de compra autorizados y autorizados en otro estado, están excluidos de la Ley», dicen Edward R. McNicholas y Thomas D. Cunningham, abogados y socios de Sidley.
Comprender la Ley Modelo de Seguridad de Datos de Seguros
La Ley Modelo de Seguridad de Datos de Seguros de la NAIC «establece un marco legal para exigir a las organizaciones de seguros que operen programas completos de ciberseguridad», dice Matt Franko, director de seguridad, privacidad y riesgos de RSM. Este marco cubre una amplia gama de problemas de seguridad de datos, desde pruebas de ciberseguridad y supervisión de la junta directiva hasta planes de respuesta a incidentes y procedimientos de notificación de infracciones.
La ley modelo ya ha sido adoptada por varios estados y está siendo considerada en legislaturas estatales adicionales. Su popularidad hace que valga la pena considerarlo por parte de las compañías de seguros generales, agentes y corredores.
Tres disposiciones notables definen esta legislación, dicen Andreas Kaitsounis y Shea M. Leitch, abogados de Baker Hostetler. En primer lugar, la ley modelo define la información no pública de manera amplia, incluyendo no solo la información personal de los clientes, sino también ciertos tipos de información comercial confidencial.
«Como solo un ejemplo, esto significa que un evento de ransomware que paralice las operaciones comerciales de una entidad probablemente desencadenaría una obligación de notificación incluso si el evento no involucrara información personal», dicen Kaitsounis y Leitch.
La ley modelo también establece requisitos estrictos para los programas de seguridad de la información, incluidos programas escritos, planes de respuesta a incidentes y requisitos de supervisión tanto dentro de la organización como en las relaciones con terceros.
Finalmente, las disposiciones de confidencialidad de la ley modelo son bastante amplias y protegen la información relacionada con eventos de ciberseguridad de solicitudes de registros públicos, citaciones o uso en litigios civiles privados.
Aunque la NAIC ha promovido activamente la adopción de su ley modelo por varios estados, la ley modelo en sí no tiene efecto hasta que es promulgada por una legislatura estatal. Hasta la fecha, varios estados han promulgado la ley modelo con modificaciones para adaptarse a sus propios sistemas de regulación de seguros existentes.
Por ejemplo, mientras que la ley modelo otorga a las aseguradoras solo un año para cumplir con sus regulaciones, Michigan ha promulgado un sistema para introducir gradualmente los requisitos durante un período más largo. La ley entra en vigencia el 20 de enero de 2021 y otorga a las aseguradoras un año para cumplir con la mayoría de las disposiciones y dos años para cumplir con los requisitos de los proveedores de servicios externos, dicen Lawrence R. Hamilton, Jeffrey P. Taft y Matthew Bisanz en PropertyCasualty360.
La ley modelo requiere que las aseguradoras sigan los requisitos generales de un estado para la notificación de violación de datos. Sin embargo, tanto Ohio como Michigan reemplazaron este lenguaje con requisitos específicos de notificación de violación de datos que se aplican únicamente a los agentes de seguros, corredores y compañías cubiertas por la ley, dice la abogada y accionista Josephine Cicchetti.
A medida que los estados continúen probando sus propias iteraciones de la ley modelo, las compañías de seguros deberán tener en cuenta la naturaleza cambiante de las regulaciones de privacidad de datos tanto en todas las geografías como a lo largo del tiempo.
Imágenes de: Sergey Nivens/©123RF.com, swollowpp/©123RF.com, stylephotographs/©123RF.com
18 junio 2024
15 agosto 2024
1 julio 2024