RGPD : quelles obligations pour le traitement des données dans l’assurance ?

Le consentement de la personne est un prérequis obligatoire en cas de collecte de données sensibles, d’utilisation de cookies pour certaines finalités ou encore d’utilisation de données à des fins de prospection commerciale par voie électronique.

Dans tous les cas, il doit s’agir d’une démarche active et explicite, de préférence écrite. Par exemple, le consentement peut prendre la forme d’une case à cocher dans un formulaire (à condition que cette case ne soit pas cochée par défaut).

Les compagnies d’assurance doivent déployer les moyens nécessaires pour que les données qui leur sont confiées ne fassent pas l’objet de vol, d’intrusion ou de modification par un tiers.

Par ailleurs, les assureurs doivent prévoir une procédure de gestion des violations de données, avec obligation de notification à la Cnil dans les 72 heures et d’information des personnes concernées dans les meilleurs délais, notamment si la fuite de données présente un risque élevé pour les individus.

Enfin, dans certaines situations, le responsable de traitement devra réaliser une analyse d’impact, par exemple en cas de traitement à grande échelle de données personnelles sensibles.

Dans le secteur de l’assurance, les données sont généralement traitées dans le cadre de deux ensembles de finalités.

Différents traitements peuvent intervenir dans le cadre de l’exécution d’un contrat d’assurance, par exemple :

• L’étude des besoins spécifiques de l’assuré afin de lui proposer des offres adaptées.
• L’appréciation des risques assurantiels.
• La gestion des réclamations et contentieux liés au contrat.

D’autres peuvent être fondés sur la base légale de l’intérêt légitime, notamment :

• L’élaboration de statistiques et d’études actuarielles.
• La mise en œuvre d’actions de prévention.
• Les opérations de communication et de fidélisation des clients.
• Les traitements liés à la lutte contre la fraude.

Enfin, certains traitements sont nécessaires au respect d’une obligation légale : prélèvement à la source de l’impôt sur le revenu, prise en compte de sanctions économiques et financières internationales, lutte contre le blanchiment des capitaux et le financement du terrorisme…

En général, les traitements de prospection commerciale par voie électronique sont soumis au consentement des personnes.

Toutefois, l’intérêt légitime peut être invoqué :

• En cas de prospection par d’autres moyens.
• Si la prospection porte sur des biens ou services analogues à ceux déjà fournis au client.

Quoi qu’il en soit, la personne doit être en mesure de s’opposer facilement et préalablement à ce traitement.

La loi prévoit certaines durées de conservation spécifiques au secteur de l’assurance.

Si aucun contrat d’assurance n’a été conclu, les données d’un prospect ne peuvent pas être conservées plus de 3 ans (à compter de leur collecte ou du dernier contact établi par le prospect) dans le cadre de la gestion de la prospection commerciale. 

Néanmoins, les données permettant la défense, la constatation ou l’exercice de droits en justice peuvent être gardées pendant 5 ans.

Lorsqu’un contrat a été conclu, des délais de prescription spécifiques peuvent s’appliquer. C’est le cas des contrats d’assurance-vie, pour lesquels un délai de 30 ans à compter du décès de l’assuré est prévu par le code des assurances.

En vertu du RGPD, le responsable de traitement a l’obligation de fournir aux personnes concernées une information concise, transparente, aisément accessible et compréhensible.

Pour garantir la lisibilité de l’information, les compagnies d’assurance doivent privilégier une approche sur deux niveaux :

• D’une part, les informations essentielles comme l’identité et les coordonnées du responsable de traitement et/ou du délégué à la protection des données, les finalités du traitement, le rappel des droits des personnes…
• D’autre part, les informations complémentaires telles que la durée de conservation des données, les critères utilisés pour déterminer cette durée, les intérêts légitimes poursuivis par le traitement des données, l’existence de transferts de données vers des pays hors de l’Union européenne…

Qu’un contrat d’assurance soit signé ou non, le responsable de traitement doit respecter et mettre en œuvre gratuitement les droits des personnes concernées.

Ils permettent à l’individu d’accéder à toutes les informations qui le concernent et de connaître leur origine, mais aussi d’exiger qu’elles soient complétées, rectifiées, mises à jour ou supprimées.

Il permet à toute personne de s’opposer à la réutilisation de ses coordonnées par le responsable du fichier lors de la signature d’un contrat, notamment à des fins de sollicitations commerciales. 

En outre, l’assuré peut s’opposer pour des motifs légitimes au traitement de ses données, à moins que celui-ci ne réponde à une obligation légale.

Il permet à tout individu de recevoir et de réutiliser les données qu’il a fournies au responsable de traitement. Il peut également les transmettre, s’il le souhaite, à un autre responsable de traitement. 

Dans le secteur de l’assurance, les données nécessaires à l’appréciation du risque, à la détermination ou à l’évaluation des préjudices et des prestations (comme les déclarations de sinistre) sont par exemple considérées comme portables.

Le droit à la limitation du traitement permet à la personne de geler temporairement l’utilisation de ses données, tandis que le droit à l’effacement permet d’obtenir leur suppression.