Dématérialisation et protection des données

Transcription

1 Colloque de l AJAR 4 décembre 2012 Dématérialisation et protection des données Philippe POIGET, Directeur des affaires juridiques, fiscales et de la concurrence Fédération Française des Sociétés d Assurances La dématérialisation du contrat ne change pas les obligations des entreprises à l égard des clients et bénéficiaires des contrats d assurances. Mais la dématérialisation conduit à réexaminer et reconsidérer la conservation et la protection des données au regard de la durée nécessaire de conservations des données et des risques d utilisation de ces données au détriment des clients. Nous n aborderons pas les questions d organisation des entreprises et leurs projets pour proposer à leurs clients une communication dématérialisée permanente et sécurisée. Rappelons que la loi informatique et libertés prévoit, dans son article 34, de "prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données". Chaque responsable doit donc identifier les risques engendrés par son traitement avant de déterminer les moyens adéquats pour les réduire. Pour ce faire, il convient d'adopter une vision globale et d'étudier les conséquences sur les personnes concernées. On pourra à cet égard se reporter à la démarche préconisée par la Commission Nationale Informatique et Libertés (CNIL) dans ses guides sécurité. J évoquerai quatre points : - l intérêt de mettre en œuvre des moyens de conservation qui garantissent l intégrité des documents ; - la nécessité de conserver les documents et les données en fonction de la durée des engagements des assureurs ; - les règles d accès et d utilisation des données ; - la démarche d analyse et de maitrise des traitements complexes. 1

2 1) l intérêt de mettre en œuvre des moyens de conservation qui garantissent l intégrité des documents Si l existence du contrat peut être établie par certains indices comme l encaissement de la première prime que l assureur a accepté, la proposition d assurance, l attestation d assurance (ou le certificat d adhésion), il reste néanmoins indispensable qu un système d archivage organisé permette à l assureur de produire le contrat ou toute autre pièce nécessaire à son application. L archivage électronique permet d apporter certaines garanties techniques et de renforcer la conviction du juge en cas de litige sur la valeur probante d un document issu d un système d archivage électronique. L entreprise d assurance qui produit un document électronique doit prouver qu il a été conservé dans des conditions de nature à en garantir l intégrité, qu il ait été créé sous format électronique ou à partir d un original sous format papier. Pour pouvoir être considérés comme des originaux, les documents numériques doivent subir une transformation qui en garantit l intégrité, ce qui est le cas notamment s ils sont signés électroniquement. Le Système d Archivage électronique (SAE) est l un des composants de la politique d archivage ; il peut se définir comme suit : ensemble de moyens techniques, administratifs et humains, permettant de conserver dans de bonnes conditions les documents numériques qui lui sont donnés et ce pendant une période requise. Ce système peut être élaboré et entretenu en conformité avec des normes françaises ou européennes. La convention de preuve est un contrat conclu entre entreprises ou entre entreprises et particuliers qui a pour objet de définir les modes de preuve admissibles entre les parties, la charge de la preuve et les modalités de règlement des conflits de preuve. La mise en œuvre de normes peut être l un des engagements d une convention de preuve. L efficacité de ce système d archivage électronique (SAE) ou de gestion électronique des documents (GED) peut notamment se révéler déterminante dans le cadre d une procédure judiciaire elle même dématérialisée avec des délais stricts de communication de pièces. 2

3 2) la nécessité de conserver les documents et les données en fonction de la durée des engagements des assureurs Il convient au préalable de définir la durée de conservation adaptée à la durée des engagements des assureurs. Cette durée est parfois particulièrement longue, comme par exemple en cas de sinistre corporel en assurance non vie ou à l égard des possibilités d actions de tiers après le décès de l assuré en assurance vie. Cette durée de conservation est à apprécier en fonction des délais de prescription applicables aux engagements nés des contrats d assurance qui peuvent être assez longs comme le démontrent quelques exemples : -Pour des contrats contenant des garanties d assurance de responsabilité relatives à des dommages corporels, en base fait dommageable, il est recommandé de conserver les données au moins 50 ans après la résiliation du contrat. Il convient en effet de prendre en compte le délai d apparition des effets dommageables qui peut s étaler sur plusieurs dizaines d années et les éventuelles actions des ayants-droits de victimes décédées. En cas de sinistre, il est nécessaire de conserver l ensemble des documents pendant la durée de vie de la personne indemnisée. -Pour les contrats d assurance vie, les documents contractuels et publicitaires doivent être conservés 30 ans à compter du décès de l assuré (assurance en cas de décès) ou à compter du terme du contrat (assurance en cas de vie). Lorsque le souscripteur reçoit la prestation prévue, ce qui met fin au contrat, l ensemble des documents contractuels doivent être conservés 2 ans à compter du dénouement du contrat. Cependant la preuve du versement doit être conservée 30 ans après ce dénouement. 3) les règles d accès et d utilisation des données Si la première protection des données due au client est la conservation de ces données pour permettre l application des garanties, les données personnelles font l objet d un régime particulier. Ce régime est prévu par la loi du 6 janvier 1978 et fait l objet actuellement l objet de débats au Parlement européen qui examine une proposition de règlement sur la protection des données. 3

4 Les principaux points concernant le secteur de l assurance sont : - la définition du consentement et ses conditions de mise en œuvre pour les données de santé, - la portabilité des données ; - le profilage ; - la possibilité de lutter contre la fraude. Cette proposition comprend aussi des dispositions importantes en matière d organisation comme la désignation d un responsable de la protection des données, une obligation d évaluation des risques liés aux traitements de données. Si le Parlement européen termine son examen au printemps 2013 commencera alors un trilogue avec la Commission et le Conseil qui pourrait aboutir à la fin de l année Dans l attente de cette réforme majeure, la CNIL pour sa part a commencé un réexamen des traitements de données personnelles du secteur de l assurance et a engagé une concertation avec la Profession. Parmi les sujets abordés figure le statut de la gestion des prospects et des clients et le régime de protection des données personnelles. Rappelons que selon la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (modifiée par la loi relative à la protection des personnes physiques à l égard des traitements de données à caractère personnel du 6 août 2004) : «Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne.» Cette définition est très large. Il convient souligner que le secteur de l assurance fait l objet d une réglementation spécifique du traitement des données qu il s agisse du questionnaire fermé de déclaration du risque, de la sanction des fausses déclarations, ou du traitement des données de santé des emprunteurs dans le cadre du code des assurances et du code de la santé publique. 4

5 Par ailleurs le traitement des données de santé doit s effectuer dans des conditions qui préservent le secret médical. La CNIL envisage d établir un ensemble de textes qui serviraient de socle d un dispositif de conformité conçu dans l esprit des principes du futur règlement communautaire. Le choix des supports (Norme Simplifiée ou Autorisation unique) est en cours de discussion. Dans la conception des systèmes d archivage et de gestion des données se pose en effet la question de la destruction ou de l impossibilité d accès ou de traitement des données qui ne sont plus utiles à la gestion du prospect ou à l application du contrat. 4) La démarche d analyse et de maitrise des traitements complexes Deux nouveaux guides sécurité pour gérer les risques sur la vie privée sont proposés par la CNIL sur son site depuis le 4 juillet Après le guide sécurité destiné aux PME et présenté en 2010, la CNIL publie deux guides sécurité "avancés". Ils se composent d'une méthode et d'un catalogue de mesures pour aider les organismes à gérer les risques sur la vie privée. Les deux nouveaux guides de la CNIL ont pour objectif d'aider à la mise en place d'une démarche d'analyse complète, permettant d'améliorer la maîtrise des traitements complexes. Ils s'adressent ainsi aux responsables de traitements, maîtrises d'ouvrage, maîtrises d'œuvre, correspondants "informatique et libertés" et responsables de la sécurité des systèmes d'information. Ils les aident à avoir une vision objective des risques engendrés par leurs traitements, de manière à choisir les mesures de sécurité nécessaires et suffisantes. Ils se composent : d'une méthode pour identifier et traiter les risques que les traitements de données à caractère personnel peuvent faire peser sur les personnes ; d'un ensemble détaillé de mesures et de bonnes pratiques destinées à traiter les risques identifiés. L'enjeu : proposer un outil méthodologique pour appliquer la Loi informatique et libertés et des mesures pour traiter les risques Pour apprécier les risques, il faut tout d'abord identifier les événements redoutés et les estimer en termes de gravité. 5

6 Si leur gravité est élevée, il convient alors d'identifier les menaces qui permettraient qu'ils se réalisent et d'estimer leur vraisemblance. Les risques ainsi appréciés peuvent alors être traités par des mesures adaptées. Le catalogue de bonnes pratiques aide à déterminer des mesures proportionnées aux risques identifiés, en agissant sur : les "éléments à protéger" : minimiser les données, chiffrer, anonymiser, permettre l'exercice des droits les "impacts potentiels" : sauvegarder les données, tracer l'activité, gérer les violations de données les "sources de risques" : contrôler les accès, gérer les tiers, lutter contre les codes malveillants les "supports" : réduire les vulnérabilités des matériels, logiciels, réseaux, documents papier 6