(Demande d’autorisation n°1544615)
La Commission nationale de l’informatique et des libertés,
Saisie par le Bureau Commun d’Assurances Collectives d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un extranet dédié permettant de transmettre les dossiers refusés et relatifs aux contrats d’assurance de « deuxième niveau », aux réassureurs pour une analyse décisionnelle de « troisième niveau » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code des assurances ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-1° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de Mme. Catherine POZZO DI BORGO, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le Bureau Commun d’Assurances Collectives, ci-après dénommé, le BCAC, est un Groupement d’Intérêt Economique (GIE) constitué de sociétés d’assurance. Le BCAC est membre du Groupe de protection sociale B2V et intervient au stade du réexamen des cas de refus par le dispositif d’assurance emprunteurs de « deuxième niveau » en ce qui concerne la couverture des risques décès et invalidité des personnes présentant un risque de santé aggravé.
Sur la finalité
Dans le cadre des demandes de prêts immobiliers et de prêts destinés à l’acquisition de locaux et matériels professionnels, le dispositif de la Convention AERAS permet aux assurés qui n’entrent pas dans le cadre des contrats d’assurance dits « standards » (puisqu’ils présentent un risque décès ou invalidité aggravé) et qui se sont vus opposer un refus par leur assurance de « premier niveau », un réexamen automatique à un « deuxième niveau » par un service médical spécialisé. Si, à l’issue de l’examen de deuxième niveau, une proposition d’assurance ne peut être établie, le BCAC transmet les dossiers refusés aux réassureurs pour une analyse décisionnelle de « troisième niveau ». Cette transmission est réalisée par un système d’extranet sécurisé permettant les échanges des documents dématérialisés nécessaires à l’examen du dossier du candidat à l’assurance, entre le BCAC, les assureurs et les réassureurs. Pour le fonctionnement de ce système d’information, le BCAC fait appel à l’association de moyens  B2V Gestion, membre du groupe de protection sociale B2V.
La Commission estime que ces finalités sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la Commission. En outre, ce traitement nécessite notamment la collecte de données de santé par un système d’extranet sécurisé pour remplacer le système actuel d’échange de données par télécopies. Dès lors, ce traitement relève des dispositions de l’article 25.I.1° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identité des personnes concernées : nom, prénom, adresse, date et lieu de naissance,
- à leur vie personnelle : situation familiale, habitude de vie,
- à leur vie professionnelle : situation professionnelle,
- à des informations d’ordre économique et financier : nature du prêt, prêt relais, types de garanties, contrat d’acceptation du prêt, montants empruntés, surprime, encours, remboursement anticipé, durée du prêt, qualité d’emprunteur ou de co-emprunteur, banque,
- à des données de santé des personnes concernées (pathologie, affection, données relatives aux soins, tout document permettant de constituer un dossier complet à l’appréciation du risque). Un fichier de ces pièces est joint par l’assureur,
- aux contrats d’assurance qu’elles ont souscrits : référence du dossier assureur, numéro interne, fichiers joints par le ré-assureur, décès, poids, taille.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires des données ainsi traitées sont les organismes de réassurance, membres du comité de tarification.
La Commission estime que ces destinataires ont un intérêt légitime à avoir communication de ces données
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées par les compagnies d’assurances et leurs intermédiaires (agents généraux et courtiers), de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’opposition, d’accès, de rectification par une mention d’information qui figure dans les questionnaires de santé et formulaires adressés par les compagnies d’assurances de premier niveau aux futurs acquéreurs de biens immobiliers. Le responsable de traitement (n’étant jamais en relation avec la personne dont les données sont traitées), reporte l’obligation d’information sur ces compagnies. La Commission précise qu’il lui appartient néanmoins de s’assurer que cette information est effectivement délivrée aux personnes concernées.
Dans ce contexte, la Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les profils d’habilitations sont déterminés  en fonction des attributions de chacun des utilisateurs concernés :
- Les « gestionnaires assureurs » habilités ont accès à l’outil et uniquement aux données déposées par la compagnie d’assurance dont ils sont salariés ;
- Les « gestionnaires BCAC » peuvent accéder aux données déposées par les assureurs et ré-assureurs ;
- Les « gestionnaires ré-assureurs » ont accès aux dossiers attachés à un ré-assureur. Les pièces des ré-assureurs peuvent être consultées par les « gestionnaires assureurs » et les « gestionnaires ré-assureurs » après autorisation du BCAC.
Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application qui se fait par mot de passe. La Commission prend acte du fait que le responsable de traitement s’engage à mettre en place des mesures de sécurité renforcées avec un mot de passe contenant au moins 3 types de caractères parmi les suivants : majuscules, minuscules, chiffres et caractères spéciaux.
Les actions effectuées par les gestionnaires sont tracées afin de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés. Une politique automatisée de gestion des traces permet le cas échéant l’identification d’actions douteuses. Les transferts de données sont sécurisés par l’utilisation du protocole SSL v3. Enfin, le BCAC utilise l’algorithme AES avec une longueur de clé de 256 bits afin de chiffrer les données stockées.
Les mesures de sécurité mises en place sont satisfaisantes au regard des exigences de l’article 34 de la loi n°78-17 du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
En l’absence de conclusion d’un contrat d’assurance, les données sont conservées pendant 2 ans, délai correspondant aux procédures de révisions applicables en l’espèce. Dans l’hypothèse inverse, les données sont anonymisées et conservées pendant 10 ans à des fins statistiques. Ces statistiques permettent de procéder à des opérations d’actuariat (conception de produits d’assurance, barèmes de tarification…).  Les statistiques sont anonymisées par la suppression des données d’identification des personnes (nom, adresse, date de naissance) ainsi que le numéro de dossier assureur dans l’intégralité des documents. La Commission considère que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
La Commission observe qu’en dehors des zones de « commentaires », aucune donnée relative à la sexualité et aux « comportements à risques » des personnes n’est collectée par le BCAC. Cependant, ces informations peuvent être indiquées spontanément par le candidat à l’assurance dans le respect des dispositions de la loi du 6 janvier 1978 modifiée qui prévoit que les informations collectées sur les personnes doivent être adéquates, pertinentes et non excessives au regard de la finalité du traitement envisagé, qu'il soit automatisé ou au format papier. Enfin, les données de santé relatives aux antécédents familiaux peuvent être recueillies de manière complémentaire pour le compte du réassureur.
Ces autres caractéristiques du traitement n’appellent pas d’observation.
Autorise, conformément à la présente délibération, le Bureau Commun d’Assurances Collectives, à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN