Règlement (UE) 2016/679, articles 9 et 22

DPO externalisé pour les assureurs, courtiers et mutuelles

L'assurance repose sur l'appréciation d'un risque individuel, donc sur la collecte d'éléments que le règlement (UE) 2016/679 protège le plus strictement : l'état de santé, les antécédents, parfois la situation familiale et patrimoniale. Le métier consiste précisément à faire ce que le texte encadre le plus étroitement, ce qui rend la documentation de chaque traitement d'autant moins contournable.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Le questionnaire de santé, traitement le plus exposé du secteur

Les données de santé recueillies à la souscription relèvent de l'article 9.1 du règlement, qui en interdit le traitement par principe. L'exception mobilisée en assurance est en général le consentement explicite de l'article 9.2 a) : c'est une exception fragile, parce que le consentement doit être libre, et que le souscripteur n'a pas d'alternative s'il veut être couvert.

Cette fragilité se compense par la rigueur de la mise en œuvre plutôt que par un habillage contractuel. Trois exigences en découlent. Le questionnaire ne demande que ce qui est nécessaire à l'appréciation du risque souscrit, et non un état de santé général. Les réponses sont accessibles au seul service médical ou aux personnes habilitées à la sélection, et non à l'ensemble du réseau de distribution. Et la conservation des éléments médicaux, une fois la décision de souscription prise, se limite à ce qui reste nécessaire à la gestion du contrat ou à la preuve.

Tarifer, segmenter, refuser

La tarification individualisée est un profilage au sens de l'article 4.4 du règlement : une évaluation automatisée d'aspects personnels visant à analyser ou prédire des éléments concernant une personne physique. Tant qu'un tarif est proposé et qu'un humain peut l'écarter, l'article 22 n'est pas nécessairement déclenché. Il l'est en revanche lorsque le système refuse seul la couverture, ou applique seul une surprime, sans intervention humaine ayant un pouvoir réel de modification.

Lorsque la segmentation utilise des données de santé, deux régimes se cumulent : l'exception de l'article 9.2 pour la donnée elle-même, et les conditions de l'article 22.4, qui n'admet une décision exclusivement automatisée fondée sur des données de l'article 9 que dans les cas des points a) et g) du paragraphe 2, assortie de mesures appropriées. Peu de dispositifs de tarification automatique documentent ce second point.

Porteur de risque et intermédiaire : deux responsables, pas un sous-traitant

Le courtier n'est pas, dans le cas général, le sous-traitant de l'assureur. Il détermine ses propres finalités : constitution et exploitation d'un portefeuille, conseil, démarchage, gestion d'une relation qui lui est propre et qu'il conserve en cas de changement de porteur. Il est à ce titre responsable du traitement pour ces finalités.

Il peut simultanément agir pour le compte de l'assureur sur des opérations déterminées — encaissement, gestion de sinistre déléguée —, et être alors sous-traitant pour celles-là. La qualification s'apprécie traitement par traitement, pas relation par relation. La conséquence pratique est qu'un protocole de distribution doit dire, opération par opération, qui répond de quoi, plutôt que de se contenter d'une clause générale désignant l'un comme sous-traitant de l'autre.

Sollicitation, réseaux de distribution et durées

La prospection par voie électronique d'un particulier suppose son consentement préalable. Le partage d'un fichier de prospects entre l'assureur et son réseau, ou entre plusieurs entités d'un même groupe, suppose que l'information délivrée au moment de la collecte ait mentionné ces destinataires : une mention générique visant « nos partenaires » ne satisfait pas l'exigence de l'article 13.1 e), qui vise les destinataires ou les catégories de destinataires.

Les durées de conservation, enfin, se déterminent par finalité et non par contrat : la durée nécessaire à la gestion d'un contrat en cours, celle nécessaire à la prescription d'une action en responsabilité et celle nécessaire à la prospection d'un prospect non converti sont trois durées distinctes, inscrites séparément au registre et purgées séparément.

Questions fréquentes

Un courtier doit-il désigner un délégué à la protection des données ?

L'article 37.1 c) du règlement (UE) 2016/679 impose la désignation lorsque les activités de base consistent en un traitement à grande échelle de données de l'article 9. Un courtier en assurance de personnes traite des données de santé à titre habituel : la question porte sur l'échelle, appréciée au regard du volume de portefeuille et du nombre de personnes concernées. L'analyse est consignée par écrit dans les deux sens.

Peut-on conserver le questionnaire de santé après la souscription ?

La conservation doit rester limitée à ce qui est nécessaire, au sens de l'article 5.1 e). Les éléments médicaux ayant servi à la sélection peuvent devoir être conservés pour établir les conditions de la garantie en cas de litige, mais cette nécessité se justifie par écrit et emporte des restrictions d'accès : la pièce reste accessible au service habilité, pas au gestionnaire courant du contrat.

Un tarif calculé automatiquement relève-t-il de l'article 22 du RGPD ?

Seulement si la décision est prise exclusivement de façon automatisée et produit des effets juridiques ou affecte la personne de manière significative. Un tarif proposé puis validé par un souscripteur humain disposant d'une réelle latitude n'y entre pas ; un refus de garantie ou une surprime appliquée sans intervention humaine effective y entre, et déclenche alors les mesures de l'article 22.3.

Le courtier et l'assureur doivent-ils signer un contrat de sous-traitance ?

Seulement pour les opérations où le courtier agit pour le compte de l'assureur sans déterminer de finalité propre. Pour la constitution et l'exploitation de son portefeuille, le courtier est responsable du traitement, et c'est alors l'article 26 du règlement, sur la responsabilité conjointe, ou une simple relation entre deux responsables indépendants, qui décrit la situation — pas l'article 28.

Ce que ce régime déclenche ailleurs

La combinaison d'un traitement de données de santé à grande échelle et d'une évaluation automatisée de personnes réunit deux des critères de l'article 35.3, et rend l'analyse d'impact obligatoire.

Conduire une analyse d'impact

Obligations de vigilance et principe de minimisation, décision automatisée sur l'octroi, sous-traitance en cascade et articulation avec DORA pour les entités financières.

Fintech

Statut de sous-traitant, clauses de l'article 28, registre du paragraphe 2, gestion des sous-traitants ultérieurs et réponse aux questionnaires de sécurité des clients.

Éditeurs SaaS

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.