(demande d’autorisation n° 1898449)
La Commission nationale de l'informatique et des libertés,
Saisie par l’ALFA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel à titre expérimental ayant pour finalité la mutualisation des données des sinistres automobiles des assureurs pour lutter contre la fraude en assurance ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu la délibération n° 2014-312 du 17 juillet 2014 portant autorisation unique de traitements de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’assurance mis en œuvre par les organismes d’assurance, de capitalisation, de réassurance, d’assistance et par les intermédiaires d’assurance ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L’Agence pour la Lutte contre la Fraude en Assurance (ALFA) a saisi la Commission d’une demande d’autorisation relative à la mise en œuvre, à titre expérimental pour une durée de 6 mois, d’un traitement visant la lutte contre la fraude en assurance automobile. Le dispositif envisagé par l’ALFA nécessite une mutualisation des données des sinistres automobiles détenues par les assureurs.
Le dispositif a pour objectif de détecter les cas de fraudes en matière de sinistres automobiles à partir des données mutualisées des assureurs. L’alerte générée est transmise à l’ALFA pour analyse manuelle, et ne sera pas adressée aux assureurs concernés pendant la phase de test.
Ce traitement est susceptible, du fait de sa nature et de sa finalité, de conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Sur la finalité du traitement :
Le dispositif de mutualisation des données relatives aux sinistres automobiles des assureurs concerne les domaines suivants :
les sinistres exposés au risque de fraudes en bande organisée au sens du code pénal ;
les sinistres exposés au risque de fraudes en récidive sur un même risque assuré ;
les sinistres exposés au risque de fraudes correspondant à un cumul frauduleux d’assurances ;
les sinistres exposés au risque de fraudes dites « collectives ».
L’expérimentation a pour objectif de permettre une évaluation quantitative et qualitative du dispositif en tenant compte des résultats obtenus après la période de test (volumétrie, pertinence des cas détectés et enjeux financiers).
La Commission relève qu’à l’issue de l’expérimentation et en fonction des résultats obtenus, l’ALFA pourra affiner les critères de détection ainsi que la liste des données à mutualiser, pour ne retenir que ceux pertinents pour la détection de la fraude.
Le traitement envisagé comporte trois étapes :
mutualisation des données des assureurs : chaque assureur extrait les données des sinistres automobiles au sein de son système d’information avant de les transmettre à un intermédiaire de confiance pour pseudonymisation et chiffrement ;
analyse informatique des données par le prestataire ;
analyse humaine des résultats par les équipes de l’ALFA afin de valider ou d’invalider les alertes détectées automatiquement par le prestataire.
La Commission observe que, dans le cadre de l’expérimentation et après validation humaine des anomalies détectées, les alertes et résultats ne sont pas restitués aux assureurs.
Le dispositif vise à vérifier si le système est pertinent et non pas à lutter contre d’éventuels cas de fraude.
La Commission prend acte de l’engagement d’ALFA de ne pas constituer de fichier consolidé de l’ensemble des cas de fraude répertoriés, ni une liste de fraudeurs mutualisée au niveau du marché français de l’assurance.
Le responsable de traitement devra adresser à la Commission un bilan détaillé des résultats de l’expérimentation à l’issue de la période de 6 mois.
Sur la nature des données traitées :
Les données mutualisées et traitées dans le cadre de la phase d’expérimentation sont celles mentionnées dans la Norme simplifiée n° 16 concernant la passation, l’exécution et la gestion des contrats d’assurance. Parmi ces données, seules les catégories pertinentes dans le cadre de la lutte contre la fraude sont prises en compte.
La Commission relève que la liste des données communiquées par les assureurs est une liste fixe et identique pour tous les assureurs qui participeront à la démarche de mutualisation des données pour la phase d’expérimentation.
Il s’agit des catégories de données relatives :
- au contrat ;
- au réseau de distribution ;
- à l’identification de l’assuré ;
- au(x) conducteur(s) déclaré(s) dans le contrat ;
- au(x) véhicule(s) assuré(s) ;
- au(x) sinistre(s) en cours ;
- aux tiers, au(x) garage(s), à (aux) l’expert(s) et à l’expertise.
La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Les données à caractère personnel collectées au cours de la phase d’expérimentation sont supprimées après l’analyse manuelle réalisée par l’ALFA.
Compte tenu de la durée de l’expérimentation, la durée de conservation des données par les différents intervenants participants ne pourra excéder 6 mois.
Sur les destinataires des données :
Les assureurs qui participent à la mutualisation des données dans le cadre de la lutte contre la fraude sont destinataires des résultats statistiques de l’analyse manuelle réalisée par l’ALFA. La Commission relève qu’au stade de l’expérimentation, les assureurs participants ne disposent pas des résultats individuels faisant suite à l’analyse des cas de fraude par l’ALFA.
La Commission considère que ces destinataires ont un intérêt légitime à connaître de ces données.
Sur les droits des personnes concernées :
L’information des personnes concernées a été réalisée en amont par les assureurs, au moment de la souscription du contrat d’assurance de la personne concernée. Les droits d’accès, de rectification et d’opposition, peuvent être exercés à tout moment, auprès de ALFA, 1, rue Jules Lefebvre - 75431 Paris Cedex 09.
Sur la sécurité des données et la traçabilité des actions :
L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnelle.
Chaque utilisateur dispose d'un identifiant qui lui est propre. Le responsable de traitement a mis en place une politique de mot de passe conforme aux exigences de la Commission.
Des sauvegardes sont réalisées régulièrement et font l’objet de tests afin de vérifier leur intégrité.
Les supports de stockage usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement.
Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et de la destination.
Les données transmises par les assureurs sont d’abord chiffrées par un premier prestataire afin de s’assurer que le second prestataire, en charge de l’analyse des données, travaille uniquement sur des données chiffrées et qu’il ne soit pas en capacité de remonter à l’identité des personnes concernées. Néanmoins, ces données ne sont pas considérées comme anonymes pour le responsable de traitement, qui est en capacité de déchiffrer les données afin de remonter à l’identité des personnes concernées et d’informer les assureurs.
Le fichier résultant de l’analyse sera conservé chiffré et ne fera pas l’objet de modification. Les accès en lecture feront l’objet d’une journalisation.
Dans ces conditions, la Commission autorise l’ALFA à mettre en œuvre un traitement de données à caractère personnel à titre expérimental pour une durée de 6 mois et ayant pour finalité la mutualisation des données des sinistres automobiles des assureurs pour lutter contre la fraude en assurance.
La Commission rappelle que la présente autorisation n’implique en aucune manière la délivrance d’une autorisation pérenne.
La Présidente
Isabelle FALQUE-PIERROTIN