Rozporządzenie Ogólne o Ochronie Danych Osobowych

Administratorem Danych Osobowych (ADO), w zależności od zawartych umów lub świadczonych usług, są Spółki Grupy PZU. Kontakt z administratorem jest możliwy za pośrednictwem adresu e-mail lub pisemnie na podany poniżej adres siedziby danego administratora (Spółki Grupy).

Wybierz spółkę, aby skontaktować się z Administratorem Danych Osobowych:

Przetwarzanie danych osobowych przez ich administratora (Spółkę) musi być zgodne z prawem, w tym przede wszystkim z przepisami RODO. Musi odbywać się z zachowaniem co najmniej jednej z przesłanek legalności przetwarzania. Przykładami podstaw przetwarzania są umowa, przepisy prawa bądź dobrowolna i świadoma zgoda osoby, której dane dotyczą.

Osoby, których dane dotyczą mają prawo do uzyskania szerokiego wachlarza informacji na temat przetwarzania ich danych osobowych przez administratora. Osoba, której dane dotyczą, musi być poinformowana o fakcie prowadzenia operacji przetwarzania jej danych osobowych i o celach takiego przetwarzania. Administrator powinien podać wszelkie inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania, uwzględniając konkretne okoliczności i kontekst przetwarzania danych osobowych.

Każda osoba, której dane osobowe są przetwarzane ma swoje prawa. Prawa te to prawo dostępu do danych osobowych, prawo do sprostowania danych osobowych, prawo do usunięcia danych osobowych, prawo do ograniczenia przetwarzania danych osobowych, prawo do przenoszenia danych osobowych oraz prawo do sprzeciwu na zasadach określonych w RODO.

Administrator musi samodzielnie określić i opisać odpowiednie środki techniczne i organizacyjne chroniące dane osobowe. Jest odpowiedzialny za wykazanie, że są one skuteczne i zgodne z RODO.

Obowiązkiem administratora jest prowadzenie rejestru, który ma dokumentować najważniejsze czynności związane z przetwarzaniem danych osobowych. Rejestr musi zawierać m. in. sposoby zabezpieczania danych osobowych oraz odbiorców tych danych.

Administrator danych może powierzać do przetwarzania dane osobowe tylko podmiotom, które zapewniają rzetelne stosowanie RODO.

Spółki (administratorzy) Grupy PZU, z uwagi na charakter oraz zakres przetwarzania danych osobowych, są zobowiązane do wyznaczenia inspektorów ochrony danych (IOD), którzy są odpowiedzialni za zapewnienie przestrzegania przepisów RODO, udzielanie zaleceń co do oceny skutków dla ochrony danych, jak i współpracę z organem nadzorczym.

Osoby, których dane dotyczą mogą kontaktować się z wyznaczonym przez danego administratora Inspektorem Ochrony Danych.

Taki kontakt może się odbyć drogą elektroniczną lub pisemnie na podany poniżej adres inspektora powołanego w danej spółce Grupy PZU.

Wybierz spółkę, aby skontaktować się z Inspektorem Ochrony Danych:

Poziom ochrony danych osobowych poza Europejskim Obszarem Gospodarczym (obejmującym Unię Europejską, Norwegię, Liechtenstein i Islandię) różni się od tego zapewnianego przez prawo europejskie. Z tego powodu Administrator przekazuje dane osobowe poza EOG tylko wtedy, gdy jest to konieczne, i z zapewnieniem odpowiedniego stopnia ochrony, przede wszystkim poprzez:

• współpracę z podmiotami przetwarzającymi dane osobowe w państwach, w odniesieniu do których została wydana stosowna decyzja Komisji Europejskiej;
• stosowanie standardowych klauzul umownych wydanych przez Komisję Europejską;
• stosowanie wiążących reguł korporacyjnych zatwierdzonych przez właściwy organ nadzorczy.

Administrator zawsze informuje o zamiarze przekazania danych osobowych poza EOG na etapie ich zbierania.

Administratorem Pani/Pana danych osobowych, w zależności od zawartych umów lub świadczonych usług, są Spółki Grupy PZU. Każda ze Spółek będąca administratorem Pani/Pana danych osobowych, odpowiada za ich wykorzystanie w sposób bezpieczny, zgodny z umową oraz obowiązującymi przepisami prawa.

Administrator zapewnia przejrzystość przetwarzania danych, w szczególności zawsze informuje o przetwarzaniu danych w momencie ich zbierania, w tym o celu i podstawie prawnej przetwarzania – np. przy zawieraniu umowy sprzedaży towarów lub usług. Administrator dba o to, by dane były zbierane tylko w zakresie niezbędnym do wskazanego celu i przetwarzane tylko przez okres, w jakim jest to niezbędne. Zakres danych będzie różny w zależności od tego, czy dane będą przetwarzane, aby zawrzeć i wykonywać umowę ubezpieczenia, korzystać z usług medycznych, czy w związku z zatrudnieniem.

Administrator dba o to, by dane były zbierane tylko w zakresie niezbędnym do wskazanego celu, którym może być:

• zawarcie i wykonanie umowy,
• realizacja dyspozycji uczestnictwa w funduszach inwestycyjnych,
• wypełnianie obowiązków wynikających z przepisów prawa, 
• rozpatrzenie zgłoszenia o wypłatę odszkodowania świadczenia lub środków z funduszu emerytalnego,
• marketing bezpośredni produktów i usług własnych,
• wykrywanie i zapobieganie nadużyciom,
• dochodzenie roszczeń lub obrona przed roszczeniami,
• przygotowywanie analiz oraz statystyk,
• obsługa zarejestrowanego zgłoszenia,
• zapewnienie bezpieczeństwa osób i mienia.

Spółki Grupy PZU przetwarzają dane osobowe:

• klientów zawierających umowy ubezpieczenia oraz inne, oferowane przez Spółki Grupy PZU,
• osób zgłaszających roszczenia z tytułu zawartych umów,
• osób korzystających z opieki zdrowotnej,
• klientów będących uczestnikami funduszy inwestycyjnych,
• klientów będących członkami funduszy emerytalnych,
• osób uprawnionych do wypłaty środków z funduszy emerytalnych,
• klientów zawierających umowy o produkt bankowy lub o kredyt konsumencki,
• pracowników i współpracowników oraz całego otoczenia wspierającego,
• kandydatów do pracy oraz współpracy.

Spółki Grupy PZU przetwarzają również dane osobowe innych administratorów danych, jeśli zostały powierzone im w celu świadczenia usług.

Dane przetwarzane są zgodnie z wymaganiami obowiązującego prawa oraz warunkami uzgodnionymi umownie.

Zgodnie z przepisami prawa może Pani/Pan w dowolnym momencie wnieść sprzeciw:

• wobec przetwarzania Pani/Pana danych (w tym profilowania) na potrzeby marketingu bezpośredniego,
• wobec przetwarzania Pani/Pana danych osobowych (w tym profilowania), jeśli podstawą jest prawnie uzasadniony interes.

Każda osoba, której dane są przetwarzane przez Spółki Grupy PZU może złożyć wniosek dotyczący:

• sprostowania (poprawienia) danych,
• usunięcia danych,
• ograniczenia przetwarzania,
• dostępu do danych (informacja o przetwarzanych danych oraz o kopia danych),
• przeniesienia danych do innego administratora danych.

Więcej o powyższych prawach w zakładce Prawa.

Jeśli podstawą prawną przetwarzania danych osobowych będzie zgoda, którą Pani/Pan udzielili, może być ona wycofana w dowolnym momencie. Nie wpływa to jednak na zgodność z prawem przetwarzania Pani/Pana danych przed cofnięciem takiej zgody.

Profilowanie oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się.

Profilowanie składa się z trzech elementów:

• forma przetwarzania jest zautomatyzowana (co najmniej w części),
• przetwarzanie dotyczy danych osobowych,
• celem przetwarzania jest ocena czynników osobowych, przypisanie określonych cech lub przewidywanie zachowań.

O zautomatyzowanym przetwarzaniu danych mówimy wtedy, gdy dane przetwarzane są wyłącznie przez algorytm (komputer), tj. bez udziału człowieka.

Administrator danych osobowych ma obowiązek informowania o zautomatyzowanym przetwarzaniu, w tym o profilowaniu – jeśli takie przetwarzanie wywołuje skutki prawne lub istotnie wpływa na daną osobę fizyczną. Osoba, której dane są przetwarzane ma natomiast prawo do sprzeciwu na zautomatyzowane przetwarzanie, w tym profilowanie. RODO gwarantuje również prawo, aby nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu.

Przykłady profilowania i zautomatyzowanego podejmowania decyzji:

Profilowanie, bez podejmowania decyzji:

• reklama internetowa (web tracking) w celu dostosowania wyświetlanych reklam do oczekiwań użytkownika,
• marketing bezpośredni własnych produktów i usług,
• analiza szkodowości klientów na wewnętrzne potrzeby statystyczne.

Decyzje w oparciu o zautomatyzowane przetwarzanie:

• ocena ryzyka ubezpieczeniowego w celu wyliczenia składki,
• analiza stylu jazdy (telematyka) w celu indywidualizacji składki,
• automatyczne wzywanie pomocy w razie wypadku.

W celu skorzystania z praw podmiotów danych należy skontaktować się z administratorem danych lub z Inspektorem Ochrony Danych.

Wniosek dotyczący realizacji praw podmiotów danych można złożyć:

• w formie pisemnej na adres: Rondo Ignacego Daszyńskiego 4, 00-843 Warszawa;
• drogą e-mailową na adres: kontakt@pzu.pl,

wskazując Spółkę (Spółki) Grupy PZU, której dotyczy wniosek.

Jeżeli Administrator nie będzie w stanie zidentyfikować osoby składającej wniosek na podstawie dokonanego zgłoszenia, zwróci się do wnioskodawcy o dodatkowe informacje. Wniosek może być złożony osobiście lub za pośrednictwem pełnomocnika (np. członka rodziny). Ze względu na bezpieczeństwo danych Administrator zachęca do posługiwania się pełnomocnictwem w formie poświadczonej przez notariusza lub upoważnionego radcę prawnego bądź adwokata, co istotnie przyspieszy weryfikację autentyczności wniosku. Odpowiedź na zgłoszenie powinna zostać udzielona w ciągu miesiąca od jego otrzymania. W razie konieczności przedłużenia tego terminu Administrator informuje wnioskodawcę o przyczynach opóźnienia.

Odpowiedź udzielana jest za pośrednictwem poczty tradycyjnej, chyba że wniosek został złożony drogą e-mailową lub zażądano przekazania odpowiedzi w formie elektronicznej.

Na tej podstawie osobie zgłaszającej żądanie Administrator przekazuje informację o przetwarzaniu danych, w tym przede wszystkim o celach i podstawach prawnych przetwarzania, zakresie posiadanych danych, podmiotach, którym są ujawniane, i planowanym terminie usunięcia danych.

Na tej podstawie Administrator przekazuje kopię przetwarzanych danych dotyczących osoby zgłaszającej żądanie.

Administrator zobowiązany jest usuwać ewentualne niezgodności lub błędy przetwarzanych danych osobowych oraz uzupełniać je, jeśli są niekompletne.

Na tej podstawie można żądać usunięcia danych, których przetwarzanie nie jest już niezbędne do realizowania żadnego z celów, dla których zostały zebrane.

W razie zgłoszenia takiego żądania Administrator zaprzestaje wykonywania operacji na danych osobowych – z wyjątkiem operacji, na które wyraziła zgodę osoba, której dane dotyczą – oraz ich przechowywania, zgodnie z przyjętymi zasadami retencji lub dopóki nie ustaną przyczyny ograniczenia przetwarzania danych (np. zostanie wydana decyzja organu nadzorczego zezwalająca na dalsze przetwarzanie danych).

Na tej podstawie – w zakresie, w jakim dane są przetwarzane w związku z zawartą umową lub wyrażoną zgodą – Administrator wydaje dane dostarczone przez osobę, której one dotyczą, w formacie pozwalającym na ich odczyt przez komputer. Możliwe jest także zażądanie przesłania tych danych innemu podmiotowi – jednak pod warunkiem, że istnieją w tym zakresie techniczne możliwości zarówno po stronie Administratora, jak również tego innego podmiotu.

Osoba, której dane dotyczą, może w każdym momencie sprzeciwić się przetwarzaniu danych osobowych w celach marketingowych, bez konieczności uzasadnienia takiego sprzeciwu.

Osoba, której dane dotyczą, może w każdym momencie sprzeciwić się przetwarzaniu danych osobowych, które odbywa się na podstawie uzasadnionego interesu Administratora (np. dla celów analitycznych lub statystycznych albo ze względów związanych z ochroną mienia). Sprzeciw w tym zakresie powinien zawierać uzasadnienie.

Jeśli dane przetwarzane są na podstawie wyrażonej zgody, osoba, której dane dotyczą, ma prawo ją wycofać w dowolnym momencie, co jednak nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem zgody.

W przypadku uznania, że przetwarzanie danych osobowych narusza przepisy RODO lub inne przepisy dotyczące ochrony danych osobowych, osoba, której dane dotyczą, może złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.