Les assureurs traitent des données particulièrement sensibles : données de santé (complémentaire santé, prévoyance, assurance vie), données financières et profils de risques. Ce volume et cette sensibilité font du secteur de l'assurance l'un des plus exposés aux obligations du RGPD.
Le règlement impose à ce secteur des contraintes renforcées : désignation d'un DPO quasi-obligatoire, gestion des droits des assurés dans le délai d'un mois de l'article 12 du RGPD, durées de conservation indexées sur des délais de prescription spécifiques pouvant atteindre 30 ans pour certains contrats.
Ce guide présente les spécificités RGPD du secteur assurance, les obligations légales en vigueur, les 5 priorités pratiques pour structurer votre mise en conformité et les formations que les courtiers doivent suivre chaque année.
RGPD et assurance : le champ d'application
La particularité du traitement des données personnelles par les assurances
Selon le RGPD, une donnée personnelle est une information se rapportant à une personne physique identifiée ou identifiable de façon directe ou indirecte (article 4 RGPD). Or, beaucoup d'organismes, assureurs y compris, ont accès à un grand nombre de renseignements (coordonnées, âge, numéro de sécurité sociale, identifiant, etc.).
En matière d'assurance, la spécificité réside dans l'analyse poussée des différentes données de l'assuré : situation financière, santé, patrimoine, travail, etc. Cela permet un profilage pour prédire des comportements et établir une grille des risques.
Bien évidemment, ce profilage nécessite l'application d'une protection particulière prévue par le RGPD car il comporte un risque évident concernant les libertés des personnes visées.
Pour rappel, le profilage est un type de traitement de données personnelles automatisé, c'est-à-dire effectué par un algorithme, pour évaluer certains aspects personnels relatifs à une personne en vue de prédire un comportement (article 4 RGPD). Ce type de traitement est réglementé par l'article 22 RGPD.
Focus sur les données de santé
En fonction des services proposés par les assureurs, ces derniers ont inévitablement accès à des données de santé : complémentaire santé, prévoyance, assurance vie etc.
Il s'agit de données dites "sensibles" dont la collecte et l'utilisation ne sont autorisées qu'à certaines conditions, notamment :
- Lorsque la personne concernée a librement donné son consentement,
- Lorsque le traitement est nécessaire à l'exécution de contrat dans le champ de la protection sociale.
C'est sur le fondement de cette deuxième exception que les assureurs sont en droit de collecter et utiliser des données de santé. En effet, les contrats de complémentaires santé, prévoyance, assurance vie ou encore retraite correspondent à des contrats relevant de la protection sociale.
Responsable de traitement et sous-traitant : les acteurs de l'assurance
Le responsable de traitement est la personne morale qui définit les moyens et les finalités de traitement (article 4 RGPD). Dans notre cas, il s'agit de l'organisme d'assurance, comme le courtier ou la compagnie d'assurance.
Le sous-traitant quant à lui agit pour le compte du responsable de traitement et sur les instructions du responsable de traitement (article 4 RGPD). Sont concernés les mandataires de la compagnie d'assurance, ses sous-traitants et tous les outils informatiques utilisés par la compagnie d'assurance.
Impact du RGPD dans l'assurance
Au regard des informations qu'ils possèdent, les acteurs du domaine de l'assurance ont tout intérêt à renforcer les obligations dictées par le RGPD
La sécurité des données et le domaine des assurances
Les compagnies d'assurances doivent s'assurer que les données qui leur sont confiées ne peuvent pas faire l'objet de vol, d'intrusion ou de modification par des tiers.
Pour assurer la protection de ces données, plusieurs mesures de sécurité peuvent être mises en œuvre : chiffrement des archives numériques, utilisation de clés cryptographiques, politique de mot de passe conforme aux recommandations de la CNIL, etc. La cybersécurité est donc l'une des composantes pour bénéficier d'un haut niveau de sécurisation.
Par ailleurs, en cas de fuite de données, il est indispensable de prévoir un protocole afin d'une part, de prévenir la CNIL et d'autre part, d'avertir les intéressés, étant entendu que tous ces événements sont à consigner.
Les droits des assurés
Comme toute entreprise soumise au RGPD, les droits des personnes sont incontournables. Au regard de l'importance des données en jeu, la lisibilité de l'information est un réel enjeu.
Information renforcée
Informer les assurés signifie qu'il faut effectuer un réel effort pour rendre l'information accessible et compréhensible. La CNIL recommande une approche à deux niveaux :
- les informations essentielles classiques : les types de données récoltées, l'identité et les coordonnées du DPO, les finalités du traitement, l'existence des droits, etc.
- les informations complémentaires : la durée de conservation des données, les sous-traitants UE ou hors UE, l'existence ou non de profilage, etc.
Exercice des droits
Les assureurs doivent porter une attention particulière aux exercices des droits des personnes concernées par ces données. À la moindre demande, le responsable de traitement doit répondre dans les meilleurs délais et au plus tard dans un délai d'un mois, prolongeable de deux mois compte tenu de la complexité et du nombre de demandes, à condition d'en informer la personne dans le premier mois (article 12 RGPD).
Le délai de 8 jours souvent cité pour les données de santé vient de l'article L1111-7 du Code de la santé publique : il vise les informations détenues par les professionnels et établissements de santé, pas celles d'un assureur ou d'un courtier. Pour eux, c'est le délai du RGPD qui s'applique.
Pour rappel, voici ceux que la personne concernée peut exercer :
- le droit d'accès permet à un utilisateur de savoir où en est le traitement de ses données ;
- le droit de rectification permet la modification et la correction des données personnelles ;
- le droit d'opposition permet de s'opposer à l'utilisation de ses données pour un objectif précis ;
- le droit à l'effacement permet d'obtenir l'effacement de ses données ;
- le droit à la limitation permet d'arrêter temporairement l'utilisation des données ;
- le droit à la portabilité permet à la personne de récupérer une partie de ses données dans un format lisible pour son usage personnel ou pour les transmettre à un autre organisme d'assurance par exemple (copie des données) ;
- le droit à l'intervention humaine face à un profilage.
La durée de conservation des données en matière d'assurance
L'éternité n'existe pas en matière de conservation des données. On se réfère généralement à la durée pour la constatation, la défense ou l'exercice d'un droit en justice. Par conséquent, on se réfère souvent au délai de prescription en justice, qui hors spécificité, est égale à 5 ans. Le délai de conservation des données peut alors s'indexer sur ce délai de 5 ans à compter de la collecte ou du dernier contact avec le prospect.
De plus, le Code des assurances prévoit des délais de prescription spécifiques pour certains contrats comme l'assurance vie qui bénéficie d'un délai de 30 ans à partir du décès de l'assuré pour les actions du bénéficiaire.
Le sujet n'est pas théorique. Par sa délibération SAN-2021-008 du 8 juillet 2021, la CNIL a prononcé une amende de 1,75 million d'euros contre AG2R La Mondiale : les durées de conservation étaient définies, mais pas appliquées dans les systèmes, et les données de plus de deux millions de clients de contrats santé étaient conservées au-delà de cinq ans après la résiliation. La CNIL a aussi relevé l'absence d'archivage intermédiaire à accès restreint. Définir une durée ne suffit donc pas : il faut pouvoir montrer qu'elle est appliquée.
Mise en place du RGPD dans le secteur de l'assurance
La mise en conformité est un vaste chantier en perpétuel mouvement. Mais, au regard des spécificités de ce domaine, nous vous conseillons de travailler sur les 5 priorités suivantes :
- La sécurité des données qui vous sont confiées. Les risques cyber existent : il convient de choisir une architecture informatique solide et de vous doter d'un logiciel qui traque les intrusions ;
- La désignation d'un DPO est fortement recommandée (voire obligatoire). Son rôle de chef d'orchestre est essentiel : il aura une vue intégrale sur les données gérées par l'ensemble des services ;
- La tenue d'un registre qui énumère le type de données collectées, l'utilisation qui en est faite, les bases légales, l'objectif de leur utilisation etc..
- L'exercice des droits : Il est nécessaire de prévoir un protocole spécifique pour répondre le plus rapidement possible au demandeur et procéder à l'effacement des données en interne si tel est l'objet de la demande ;
- Le choix d'un logiciel RGPD : suivre les informations à la main est chronophage et source d'erreurs. Il existe des logiciels tels que Leto qui automatise les nombreuses obligations imposées par le RGPD.
Formations obligatoires des courtiers : ce qu'il faut suivre chaque année
Un cabinet de courtage cumule plusieurs obligations de formation, qui n'ont ni la même source, ni le même contenu, ni le même contrôleur. Les confondre est le meilleur moyen d'en oublier une au moment de produire les justificatifs.
DDA : 15 heures de formation continue par an
La directive (UE) 2016/97 sur la distribution d'assurances, dite DDA, a été transposée par l'ordonnance n° 2018-361 du 16 mai 2018. Depuis le 23 février 2019, l'article L511-2 II et l'article R512-13-1 du Code des assurances imposent aux distributeurs d'assurance, et à leurs salariés qui participent à la distribution, au moins 15 heures de formation ou de développement professionnel continu par an.
Le contenu n'est pas libre : l'arrêté du 26 septembre 2018, codifié à l'article A512-8 du Code des assurances, fixe quatre familles de compétences éligibles (compétences générales, compétences liées aux produits distribués, aux modes de distribution et aux fonctions exercées). Le cabinet doit pouvoir produire, pour chaque personne concernée, la liste des formations suivies : organisme, date, durée, modalités et thèmes.
LCB-FT : former les équipes exposées au risque de blanchiment
L'article L561-2 du Code monétaire et financier range les entreprises et les intermédiaires d'assurance parmi les personnes assujetties à la lutte contre le blanchiment et le financement du terrorisme, dans les limites qu'il fixe. L'article L561-34 du même code leur impose de former leurs équipes à ces obligations. Les produits d'assurance vie et de capitalisation sont les plus exposés : le détail est dans notre guide LCB-FT et assurance.
RGPD : pas de volume horaire, mais une preuve à apporter
Le RGPD ne fixe aucun nombre d'heures. Il pose en revanche deux obligations qui passent par la formation : le DPO a pour mission de sensibiliser et de former le personnel qui participe aux traitements (article 39 RGPD), et le responsable de traitement doit s'assurer que toute personne agissant sous son autorité ne traite les données que sur instruction (article 32 RGPD). Chez un courtier, les premiers concernés sont les équipes commerciales et de gestion qui manipulent des questionnaires de santé en prévoyance ou en assurance emprunteur.
Au titre du principe de responsabilité (article 5 RGPD), une session ponctuelle sans trace ne vaut pas grand-chose lors d'un contrôle : ce qui compte, c'est de pouvoir montrer qui a été formé, sur quoi et quand. Notre guide formation RGPD détaille comment structurer ce suivi.
Où Leto intervient, et où il n'intervient pas
Sur le RGPD, Leto outille le DPO au quotidien : registre, analyses d'impact, exercice des droits et suivi de la sensibilisation, avec les preuves exportables pour un contrôle ou un appel d'offres. Demander une démo de Leto.
Sur la DDA et la LCB-FT, Leto ne fait pas de mise en conformité. Ses modules de micro-learning servent à entretenir les réflexes des équipes entre deux sessions de formation réglementaire, sans se substituer au programme DDA de 15 heures ni au dispositif LCB-FT du cabinet. Voir l'offre de sensibilisation de Leto.
Pour aller plus loin, n'hésitez pas à télécharger notre livre blanc dédié au RGPD dans le secteur de l'assurance.
Questions fréquemment posées
Que recouvre le RGPD dans le secteur de l'assurance ?
Le RGPD s'applique à tout traitement de données personnelles par un assureur, une mutuelle ou un intermédiaire. Sa particularité dans l'assurance tient aux données traitées : données de santé en santé, prévoyance et assurance vie, données financières et profilage pour la tarification. Les données de santé sont des catégories particulières au sens de l'article 9 du RGPD, dont le traitement n'est permis que dans les cas qu'il énumère.
Quels sont les grands principes du RGPD pour un assureur ?
L'article 5 du RGPD en fixe sept : licéité, loyauté et transparence ; limitation des finalités ; minimisation des données ; exactitude ; limitation de la conservation ; intégrité et confidentialité ; responsabilité. Pour un assureur, les plus sensibles en pratique sont la minimisation des questionnaires de santé et la limitation de la conservation, au cœur de la sanction prononcée par la CNIL contre AG2R La Mondiale en 2021.
Quelles sont les principales obligations RGPD d'un assureur ou d'un courtier ?
Tenir un registre des traitements (article 30), informer les assurés (articles 13 et 14), sécuriser les données (article 32), notifier les violations à la CNIL dans les 72 heures (article 33), réaliser une analyse d'impact pour les traitements à risque élevé comme le profilage ou le traitement à grande échelle de données de santé (article 35), et encadrer les sous-traitants par contrat (article 28).
Un courtier en assurance doit-il désigner un DPO ?
L'article 37 du RGPD rend la désignation obligatoire lorsque les activités de base consistent à traiter à grande échelle des données de santé, ou à suivre de façon régulière et systématique des personnes à grande échelle. Un cabinet spécialisé en santé ou en prévoyance entre souvent dans ce cas. En dessous de ces seuils, la désignation reste recommandée par la CNIL.
Quel est le délai pour répondre à une demande d'accès d'un assuré ?
Un mois à compter de la réception de la demande, prolongeable de deux mois compte tenu de la complexité et du nombre de demandes, à condition d'en informer la personne dans le premier mois (article 12 du RGPD). Le délai de 8 jours de l'article L1111-7 du Code de la santé publique concerne les professionnels et établissements de santé, pas les assureurs.
Combien d'heures de formation un courtier doit-il suivre chaque année ?
Au moins 15 heures de formation continue par an au titre de la DDA (articles L511-2 et R512-13-1 du Code des assurances), sur les compétences listées à l'article A512-8. S'y ajoute la formation LCB-FT des équipes exposées (article L561-34 du Code monétaire et financier). Le RGPD ne fixe pas de volume horaire, mais impose de pouvoir prouver la sensibilisation du personnel.
Qu'apporte le RGPD aux professionnels de l'assurance ?
Au-delà du risque de sanction, un dispositif RGPD documenté se montre : aux compagnies partenaires qui auditent leurs intermédiaires, aux clients entreprises qui posent des questionnaires de conformité, et à la CNIL en cas de contrôle. Il réduit aussi le volume de données conservées sans raison, donc la surface exposée en cas de violation.
