La Commission nationale de l'informatique et des libertés,
Saisie par l’ALFA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mutualisation des données des contrats d’assurance automobile et des sinistres déclarés auprès des assureurs pour lutter contre la fraude en assurance ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25.I.3° et 4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-212 du 11 juillet 2013 concernant les traitements automatisés de données à caractère personnel relatifs à la passation, la gestion et l'exécution des contrats mis en œuvre par les organismes d'assurances, de capitalisation, de réassurance, d'assistance et par leurs intermédiaires ;
Vu la délibération n° 2014-312 du 17 juillet 2014 portant autorisation unique de traitements de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’assurance mis en œuvre par les organismes d’assurance, de capitalisation, de réassurance, d’assistance et par les intermédiaires d’assurance ;
Vu la délibération n° 2016-014 du 28 janvier 2016 autorisant l’ALFA à mettre en œuvre un traitement automatisé de données à caractère personnel à titre expérimental ayant pour finalité la mutualisation des données des sinistres automobiles des assureurs pour lutter contre la fraude en assurance ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L’Agence pour la lutte contre la fraude en assurance (ALFA) a saisi la Commission d’une demande d’autorisation relative à la mise en œuvre d’un traitement visant la lutte contre la fraude en assurance automobile.
Le projet vise à détecter les cas de fraudes en matière de sinistres automobiles à partir des données mutualisées associées aux contrats d’assurance automobile souscrits et aux sinistres déclarés auprès des assureurs membres de l’ALFA.
Ainsi, le dispositif vise à permettre l’émission automatique d’alertes qui sont analysées et validées manuellement par l’ALFA. Seules les alertes qualifiées de suspicieuses par l’ALFA sont adressées aux assureurs concernés.
Par conséquent, le traitement est susceptible, du fait de sa nature et de sa finalité, de conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
En outre, à l’occasion de la collecte de données d’infractions, les entreprises d’assurance peuvent détecter une fraude. A l’inverse, la découverte d’une fraude peut engendrer la collecte de données d’infraction ou de condamnation. Enfin, la gestion des actions contentieuses menées suite à des actes frauduleux peut générer la collecte de données pouvant donner lieu à une condamnation de son auteur.
Dès lors, les traitements visant la lutte contre la fraude sont susceptibles de relever des dispositions de l’article 25-I-3° de la loi précitée.
Sur la finalité du traitement :
Les sinistres automobiles concernés par le dispositif sont les suivants :
les sinistres exposés au risque de fraudes en bande organisée au sens du code pénal ;
les sinistres exposés au risque de fraudes en récidive sur un même risque assuré ;
les sinistres exposés au risque de fraudes correspondant à un cumul frauduleux d’assurances ;
les sinistres exposés au risque de fraudes dites « collectives ».
Le traitement comporte  quatre étapes :
la mutualisation des données des assureurs : chaque assureur extrait les données associées aux contrats d’assurance automobile souscrits et aux sinistres déclarés au sein de son système d’information, avant de les transmettre à un intermédiaire de confiance, sous-traitant de l’ALFA, pour pseudonymisation et chiffrement ;
une analyse informatique des données et la détection des anomalies par le prestataire : les données préalablement pseudonymisées et chiffrées par le tiers de confiance sont adressées à un second prestataire également sous-traitant de l’ALFA pour être agrégées, analysées et détecter les anomalies ;
une analyse humaine des résultats par l’ALFA : les anomalies détectées automatiquement par le second prestataire sont d’abord renvoyées au tiers de confiance pour dépseudonymisation des cas de fraude pour ensuite être adressées, en clair, à l’ALFA pour validation.
les alertes qualifiées de suspicieuses par l’ALFA sont, in fine, envoyées aux assureurs dans le cadre de leurs propres traitements pour mener une instruction spécifique sur ces cas de fraudes.
Ainsi, les assureurs qui auront été alertés d’un cas de fraude mutualisée pourront prendre les mesures appropriées à l’encontre des assurés pouvant, notamment, conduire à leur exclusion.
Au regard de ce qui précède, la Commission considère que la finalité du traitement est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les données mutualisées et traitées par l’ALFA correspondent à celles listées dans la norme simplifiée n° 16 relatives aux contrats souscrits en assurance automobile et aux sinistres déclarés. Parmi ces données, seules les catégories nécessaires à la lutte contre la fraude sont prises en compte. Elles correspondent à des informations objectives pouvant créer des alertes susceptibles de révéler des sinistres frauduleux.
La Commission relève que la liste des données communiquées par les assureurs est une liste fixe et identique pour tous les assureurs qui participeront à la démarche de mutualisation des données.
Il s’agit des catégories de données relatives :
- au contrat ;
- au réseau de distribution ;
- à l’identification de l’assuré ;
- au(x) conducteur(s) déclaré(s) dans le contrat ;
- au(x) véhicule(s) assuré(s) ;
- au(x) sinistre(s) en cours ;
- aux tiers, au(x) garage(s), à (aux) l’expert(s) et à l’expertise.
Dès lors, la Commission considère que les données précitées sont pertinentes, adéquates et non excessives au regard de la finalité poursuivie, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Par ailleurs, l’ALFA a indiqué que les règles de détection de fraudes utilisées par son prestataire peuvent être amenées à évoluer régulièrement. Aussi, la Commission rappelle à l’ALFA (et à son prestataire)  que ces règles de détection de la fraude ne peuvent porter que sur les catégories de données précitées dans la mesure où elles sont nécessaires aux traitements. Si certaines catégories de données ne sont plus utilisées par les règles de détection, celles-ci ne devront plus être traitées.
Sur la durée de conservation des données :
Les alertes analysées par l’ALFA dans le cadre du contrôle de cohérence et qui ne sont pas validées sont supprimées sans délai. Les alertes validées sont mises à disposition des assureurs concernés pour une durée de 6 mois afin de permettre la qualification de l’alerte.
Passé le délai de 6 mois, les alertes ne sont plus conservées sous une forme lisible, c’est-à-dire que ne figurent plus les données en entrée ayant permis de générer l’alerte mais des éléments permettant une exploitation statistique, à savoir : le numéro de l'alerte, le type de fraude suspectée, le montant estimé, la qualification de l’alerte (pertinent ou non) par l'ALFA et par l'assureur.
Par ailleurs, la Commission relève que la durée de conservation de l’historique des données mutualisées (données des contrats d’assurance automobile et des sinistres déclarés) est de 5 ans.
La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
Les assureurs membres de l’ALFA et participant à la mutualisation de la fraude sont destinataires des alertes qui leurs sont transmises par l’ALFA.
Par conséquent, ils auront connaissance des résultats et pourront prendre des mesures à l’encontre des éventuels fraudeurs identifiés. La Commission précise que les assureurs sont responsables du traitement des alertes qui leurs sont remontées, et qu’ils doivent agir conformément aux principes de protection des données personnelles.
La Commission considère que ces destinataires ont un intérêt légitime à connaître de ces données.
Sur les droits des personnes concernées :
La Commission relève que l’ALFA s’engage à conclure avec chaque assureur membre un contrat type rappelant les conditions et modalités d’information générale de premier niveau prévues par les dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
Cette information rappellera le principe du fonctionnement du dispositif mutualisé des données des contrats d’assurance automobile et des sinistres déclarés auprès des assureurs mis en œuvre par l’ALFA. Elle précisera, notamment, qu’il est possible pour les assureurs d’inscrire sur la liste des personnes à risque les personnes suspectées de fraude.
En outre, le contrat entre l’ALFA et les assureurs membres devra également mentionner le second niveau d’information et rappeler ses modalités au moment de l’inscription d’une personne suspectée de fraude sur une liste des personnes présentant un risque de fraude.
Ces modalités d’informations doivent être conformes à l’AU 039 qui prévoit qu’ : « en cas de confirmation de l’anomalie et de décisions produisant des effets juridiques, la personne susceptible d’être inscrite sur une liste de personnes présentant un risque de fraude, doit être informée individuellement par écrit des dites conséquences en lui donnant la possibilité de présenter ses observations ».
Dans cette hypothèse, l’assureur devra indiquer de manière précise et explicite les raisons ayant conduit à l’exclusion de l’assuré.
Enfin, les droits d’accès, de rectification et d’opposition peuvent être exercés à tout moment, auprès de ALFA, 1, rue Jules Lefebvre - 75431 Paris Cedex 09.
Toutefois, en raison de la pseudonymisation des données d'identification, la personne qui exercera son droit d’accès auprès de l’ALFA se verra demander la liste des assureurs auprès desquels elle a été garantie au cours des 5 dernières années, et ce, de manière à ce que l’ALFA puisse faire suivre sa demande auprès de l’assureur concerné. Dès lors, il appartiendra à l’assureur de répondre aux demandes adressées par les personnes dans le respect des conditions prévues par la loi du 6 janvier 1978 modifiée.
Sur la sécurité des données et la traçabilité des actions :
L'accès aux locaux est restreint au moyen de portes verrouillées et contrôlées par un moyen d'authentification personnel.
Chaque utilisateur dispose d'un identifiant qui lui est propre. Le responsable de traitement a mis en place une politique de mot de passe conforme aux exigences de la Commission. Des sauvegardes régulières sont réalisées régulièrement et font l’objet de tests afin de vérifier leur intégrité.
Les supports de stockage usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement. Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et de la destination.
Les données transmises par les assureurs sont d’abord chiffrées par un premier prestataire afin de s’assurer que le second prestataire, en charge de l’analyse des données, exploite uniquement les données chiffrées et qu’il ne soit pas en capacité de remonter à l’identité des personnes concernées. Néanmoins, la Commission relève que ces données ne sont pas considérées comme anonymes pour le responsable de traitement qui est mesure de déchiffrer les données afin de remonter à l’identité des personnes concernées et d’en informer les assureurs.
A l’issue de ce traitement, seules les informations correspondant à des alertes seront conservées en clair et seront uniquement accessibles au personnel de l’ALFA chargé de l’analyse des alertes. L’accès à cette application sera protégé par une authentification à deux facteurs et les accès en lecture feront l’objet d’une journalisation.
La Commission prend note que l’ALFA s’engage à conclure des contrats de sous-traitance avec les deux prestataires concernés. Conformément aux dispositions de l’article 35 de la loi du 6 janvier 1978 modifiée, le contrat liant le sous-traitant au responsable du traitement, devra comporter l’indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoir que le sous-traitant ne pourra agir que sur instruction du responsable du traitement.
Par ailleurs, la Commission rappelle que le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité mentionnées à l’article 34. Cette exigence ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures.
Dans ces conditions, la Commission autorise l’ALFA à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mutualisation des données des sinistres automobiles des assureurs pour lutter contre la fraude en assurance.
A cet égard, la Commission précise que l’autorisation délivrée à l’ALFA ne porte que sur les données traitées par l’ALFA et ses sous-traitants et non sur les données émises ou reçues puis traitées par les assureurs membres de l’ALFA.
La Présidente
Isabelle FALQUE-PIERROTIN