RGPD en un gabinete pericial: qué papel tienes frente a la aseguradora y qué tienes que firmar, informar y proteger

En un encargo de una aseguradora, el gabinete trata los datos del asegurado y de los terceros por cuenta de la compañía: es encargado del tratamiento (artículo 4.8 del RGPD) y la compañía es la responsable. Eso obliga a firmar con cada aseguradora el contrato del artículo 28, a pedir su autorización previa por escrito antes de dar acceso a peritos colaboradores u otros proveedores, a seguir solo sus instrucciones, a aplicar las medidas de seguridad del artículo 32 y a avisarla sin dilación de cualquier brecha, para que ella pueda notificarla a la AEPD en un máximo de 72 horas (artículo 33). Si usas esos datos para fines propios, pasas a ser responsable de ese tratamiento.

Fuentes: el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y la AEPD. No es asesoramiento jurídico: para un caso concreto, consulta con tu asesor.

¿El gabinete es encargado o responsable del tratamiento?

Depende de quién decide para qué se usan los datos. Responsable es quien determina los fines y los medios del tratamiento (artículo 4.7 del RGPD); encargado, quien trata datos personales por cuenta del responsable (artículo 4.8).

• Encargado: en el encargo de una compañía. Ella decide para qué se recogen los datos (valorar el siniestro y pagar) y el gabinete los trata para ella. La ley de supervisión de seguros lo dice para las actividades externalizadas: quienes las hacen por cuenta de una aseguradora son encargados del tratamiento (artículo 99.5 de la Ley 20/2015).
• Responsable: de los datos de tu propia actividad (empleados, peritos colaboradores a los que liquidas, contactos comerciales) y, normalmente, cuando un particular te contrata como perito de parte, por ejemplo en una peritación contradictoria.

Un encargado pasa a ser responsable, aunque haya firmado el contrato, si usa los datos para sus propias finalidades (artículo 28.10 del RGPD) o si trata con los afectados en nombre propio sin que conste que actúa por cuenta de otro (artículo 33.2 de la LOPDGDD). En la práctica: no reutilices la base de asegurados para ofrecer servicios del gabinete y, en el primer contacto, di siempre de parte de qué compañía llamas.

Obligación, artículo y qué hacer en el gabinete

Obligación	Artículo	Qué hacer en el gabinete
Tratar los datos solo con instrucciones documentadas	RGPD 28.3.a	Contrato de encargo firmado y archivado con cada aseguradora
Confidencialidad del personal	RGPD 28.3.b	Compromiso por escrito de cada empleado y colaborador
Autorización previa para otros encargados	RGPD 28.2 y 28.4	Lista de subencargados comunicada a la compañía y contrato con cada uno
Registro de actividades por cuenta de cada compañía	RGPD 30.2	Una ficha por aseguradora: tratamientos y medidas de seguridad
Informar al interesado	RGPD 13 y 14; LOPDGDD 11	Acordar quién informa y con qué texto; avisar antes de grabar
Datos de salud	RGPD 9; Ley 20/2015, 99.2	Solo los imprescindibles para valorar lesiones, y acceso limitado
Seguridad	RGPD 32	Usuario propio, permisos por perfil, cifrado, bajas el mismo día
Brechas	RGPD 33.2	Avisar a la compañía sin dilación, dentro del plazo del contrato
Conservación limitada	RGPD 5.1.e; LOPDGDD 33.3-33.4	Devolver o destruir al terminar, según elija la compañía

¿Qué tiene que incluir el contrato con la aseguradora?

El artículo 28.3 exige un contrato (u otro acto jurídico) que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos, las categorías de interesados y las obligaciones de la compañía. Y que obligue al gabinete a: (a) tratar los datos solo con instrucciones documentadas; (b) garantizar la confidencialidad de quien los trata; (c) aplicar las medidas del artículo 32; (d) respetar las condiciones para recurrir a otro encargado; (e) ayudar a la compañía a atender los derechos de los asegurados; (f) ayudarla con la seguridad, las brechas y las evaluaciones de impacto; (g) suprimir o devolver los datos al terminar, a elección de la compañía; y (h) darle la información para demostrar el cumplimiento y permitir auditorías (cómo se preparan, en auditorías de la aseguradora al gabinete pericial).

Cada aseguradora suele tener su modelo y lo envía al dar de alta al gabinete como proveedor. Para compararlo con una referencia, la AEPD publica unas Directrices para la elaboración de contratos entre responsables y encargados del tratamiento con cláusulas modelo. Antes de firmar, mira cuatro puntos que afectan al día a día: el plazo para avisar de una brecha (el modelo de la AEPD lo deja en blanco e indica que debe ser inferior a 72 horas en cualquier caso), quién informa al asegurado, el régimen de subcontratación (autorización específica de cada colaborador o general con aviso de cambios) y qué pasa con los datos al terminar.

¿Qué pasa con los peritos colaboradores y el programa de gestión?

Todo el que accede a los datos de la compañía para ayudarte con el encargo es un subencargado: el perito colaborador autónomo, el segundo perito, el proveedor del programa de gestión y el de cualquier herramienta de vídeo o de firma que uses. El artículo 28.2 exige la autorización previa por escrito de la compañía, específica o general; si es general, tienes que informarle de cada alta o sustitución para que pueda oponerse. Cada subencargado asume por contrato las mismas obligaciones y, si incumple, el gabinete responde ante la compañía (artículo 28.4).

Ejemplo: un gabinete con tres peritos en plantilla y cinco colaboradores autónomos trabaja para cuatro compañías. Necesita cuatro contratos de encargo, cinco de subencargo (pueden seguir un mismo modelo), el del proveedor del programa y comunicar a cada compañía sus subencargados. Los tres de plantilla no son subencargados: firman el compromiso de confidencialidad.

El punto de vista del colaborador que recibe ese contrato está en pasar de perito autónomo a gabinete pericial y en empezar como perito de seguros autónomo; el resto del acuerdo con el colaborador, en contrato de colaboración entre gabinete y perito.

¿Y los informes médicos de un siniestro de responsabilidad civil?

Los datos de salud son una categoría especial: el artículo 9.1 del RGPD prohíbe tratarlos salvo en los supuestos del 9.2. En seguros, la Ley 20/2015 permite a la aseguradora tratar sin consentimiento los datos de salud del perjudicado para determinar la asistencia sanitaria y la indemnización que deba pagar, limitados a los imprescindibles y sin otra finalidad (artículo 99.2).

Para el gabinete: tratarlos solo si valorar las lesiones forma parte del encargo (qué es la valoración del daño corporal), pedir lo imprescindible y que solo los vean el perito y el gestor del expediente. Si te llega un informe médico que el encargo no necesita, pregunta a la compañía antes de incorporarlo. Las aseguradoras están obligadas a tener delegado de protección de datos (artículo 34.1.g de la LOPDGDD): es a quien consultar.

¿Hay que informar al asegurado antes de grabar la inspección por vídeo?

Sí. Cuando los datos se recogen del propio interesado (lo que cuenta, las fotos de su casa, una grabación), el artículo 13 del RGPD exige informarle en ese momento: quién es el responsable, la finalidad y la base jurídica, los destinatarios, el plazo de conservación y sus derechos. Si vienen de otra fuente, como el encargo, el artículo 14 da un plazo razonable de un mes como máximo o, si se usan para contactar con él, la primera comunicación. La LOPDGDD permite hacerlo por capas (artículo 11): información básica y un medio para leer el resto. Quién informa lo fija el contrato; muchas compañías ya lo hacen en la póliza o al abrir el siniestro.

Una grabación de la casa del asegurado, con su imagen, su voz y la ubicación del móvil, son datos personales. El RGPD no tiene una regla propia para la videoperitación, así que se aplican las generales:

• La base jurídica es la de la compañía, que es la responsable. La ley de supervisión de seguros le permite tratar sin consentimiento los datos de asegurados y perjudicados para el desarrollo del contrato de seguro (artículo 99.1 de la Ley 20/2015). Ten por escrito que la grabación entra en sus instrucciones.
• El asegurado tiene que saber que se graba antes de empezar, para qué y quién es el responsable: al enviarle el enlace y al conectar.
• Graba lo necesario (minimización, artículo 5.1.c): los daños, no el resto de la casa; si aparecen terceros o menores, desvía la cámara.

Qué valor tiene esa grabación como prueba se explica en qué es la videoperitación.

¿Qué medidas de seguridad y qué hacer ante una brecha?

El artículo 32 pide medidas apropiadas al riesgo y cita el cifrado, la confidencialidad e integridad de los sistemas, poder restaurar los datos tras un incidente y revisar periódicamente las medidas. En un gabinete, los riesgos habituales son simples: usuarios compartidos, antiguos colaboradores que siguen entrando y fotos o informes fuera del sistema (WhatsApp personal, correos reenviados). Cómo prevenir cada uno y qué hacer en la primera hora de un incidente está en ciberseguridad en un gabinete pericial; y si parte del equipo trabaja desde casa, en teletrabajo en un gabinete pericial.

Una brecha es cualquier destrucción, pérdida o alteración de datos, o su comunicación o acceso no autorizados (artículo 4.12): un informe enviado a otro asegurado, un portátil robado con expedientes descargados. El gabinete avisa a la compañía sin dilación indebida (artículo 33.2), dentro del plazo del contrato, con lo que pasó, qué datos y cuántas personas afecta y qué has hecho para contenerlo. La compañía notifica a la AEPD, si es posible, en 72 horas desde que tuvo constancia, salvo que sea improbable que suponga un riesgo (artículo 33.1).

Sobre la conservación, basta una regla: no más tiempo del necesario (artículo 5.1.e); los plazos de cada documento están en cuánto tiempo conservar un expediente pericial. Al terminar, la compañía decide si devuelves o destruyes los datos, y puedes guardarlos bloqueados mientras puedan derivarse responsabilidades (artículo 33.3 y 33.4 de la LOPDGDD).

¿Cómo lo resuelve PeriGes?

PeriGes no sustituye al contrato con la aseguradora ni decide la base jurídica. Lo que hace es que las medidas técnicas y la trazabilidad no dependan de la memoria del gabinete (seguridad y protección de datos de PeriGes):

• Alojamiento y cifrado. Funciona sobre Amazon Web Services, con los datos en la Unión Europea (París e Irlanda). Las conexiones van cifradas con SSL/TLS y los documentos, fotos y vídeos se guardan cifrados.
• Un usuario por persona, con su perfil. En Administración > Mantener Usuarios: Administrador, Gestor, Perito Jefe (los expedientes de sus peritos) o Perito (solo los suyos, salvo que marques Ver todos los expedientes). Los usuarios son ilimitados en todos los planes (precios): no hay motivo para compartir contraseñas.
• Permisos por pantalla y con caducidad. En la pestaña Permisos marcas cada pantalla; con fecha hasta el acceso de un colaborador temporal caduca solo. Borrar ficheros y Borrar expedientes son permisos aparte. Dar de baja impide entrar desde ese momento y lo que hizo queda en el historial (cómo gestionar usuarios y permisos).
• Contraseña que caduca a los 30 días (la nueva, distinta de la anterior) y registro de cada inicio de sesión con fecha, usuario, web o app y navegador o dispositivo.
• Enlaces a los archivos que caducan a los 15 minutos: si alguien reenvía el enlace de una foto, después ya no abre.
• La app móvil, solo para peritos: no deja entrar a otros perfiles.
• La inspección por vídeo queda en el expediente. Cada sesión se graba automáticamente y la grabación, las capturas y la ubicación se guardan en el propio expediente (videoperitación); la carpeta de la videoperitación no se puede borrar (fotos y documentos). Avisar al asegurado te toca a ti: la guía cómo ayudar al asegurado en la videoperitación recomienda decírselo por teléfono antes de enviar el enlace, y los textos del primer contacto son plantillas editables donde incluir la información básica que acuerdes con la compañía.
• Quién hizo qué. La cronología del expediente guarda los cambios de estado con su usuario y las gestiones con autor y fecha.

Lo que PeriGes no hace: no firma por ti los contratos con las compañías, no informa al asegurado si no lo pones en tus plantillas o se lo dices, no notifica brechas y no sustituye el registro de actividades del artículo 30.

¿Quieres ver qué ve cada perfil y cómo caduca el acceso de un colaborador? En la demo, Víctor te enseña un gabinete con perito jefe, peritos de plantilla y colaboradores: sus permisos, una baja y dónde queda la grabación de una inspección por vídeo. Agendar una demo con Víctor

Preguntas frecuentes

¿Un gabinete pericial es responsable o encargado del tratamiento?

En los encargos de una aseguradora es encargado, porque trata los datos por cuenta de la compañía, que es la responsable. Es responsable de los datos de su propia actividad y, normalmente, cuando un particular le contrata directamente como perito de parte.

¿Tengo que firmar un contrato con cada aseguradora?

Sí. El artículo 28.3 del RGPD exige un contrato u otro acto jurídico con cada responsable por cuenta del que tratas datos. Suele ser un modelo de la compañía que se firma al darse de alta como proveedor.

¿Un perito colaborador necesita autorización de la compañía?

Sí. Es un subencargado y el artículo 28.2 del RGPD exige la autorización previa por escrito de la aseguradora, específica o general. Además, el gabinete firma con él un contrato con las mismas obligaciones.

¿Se puede grabar una inspección por videollamada?

El RGPD no lo prohíbe, pero la grabación son datos personales: necesita una base jurídica, que decide la aseguradora como responsable, y el asegurado tiene que saber antes de empezar que se graba y para qué (artículo 13). Graba solo lo necesario para valorar los daños.

¿Quién notifica una brecha a la AEPD, el gabinete o la aseguradora?

La aseguradora, como responsable, si es posible en 72 horas desde que tiene constancia (artículo 33.1 del RGPD). El gabinete la avisa a ella sin dilación indebida y dentro del plazo del contrato de encargo.