(Demande d’autorisation n°1611544)
La Commission nationale de l’informatique et des libertés,
Saisie par la Société SPB d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude aux prestations d’assurances ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code des assurances ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement.
Formule les observations suivantes :
Sur le responsable du traitement
La société SPB, courtier en assurance, ci dessous dénommée SPB.
Sur la finalité
Le traitement mis en œuvre a pour objectif de lutter contre la fraude aux prestations d’assurance. Il vise à détecter les demandes d’indemnisations frauduleuses, émanant soit des titulaires de contrats d’assurance soit des gestionnaires « contrats » de SPB. La société SPB intervient en qualité de mandataire des compagnies d’assurance avec lesquelles elle a conclu un contrat de gestion des sinistres.
Le traitement visé concerne principalement les contrats d’assurance dommages aux biens, et dans une moindre mesure les contrats d’assurance de personnes.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Lorsque SPB détecte une fraude à une prestation d’assurance, elle en informe l’assureur qui prend les mesures adaptées en fonction du niveau de gravité de la fraude. Lorsque la fraude émane du titulaire du contrat d’assurance, l’assureur peut refuser de l’indemniser ou résilier le contrat d’assurance. Si la fraude provient du gestionnaire de SPB, l’entreprise SPB peut prendre des mesures disciplinaires à son encontre. Ces mesures varient en fonction de la gravité de la fraude (du simple avertissement jusqu’au licenciement).
Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identité des personnes concernées   : nom, prénom, adresse, date et lieu de naissance ;
- aux contrats d’assurance souscrits : références du contrat d’assurance, nature de la garantie ;
- aux sinistres : numéro de sinistre, date de survenance, date de déclaration, nombre de sinistres déjà déclarés, montant visé au titre de la demande d’indemnisation du sinistre ;
- aux fraudes : origine de la détection de la fraude présumée, date de transmission du dossier au Département Satisfaction Clientèle, présomption de fraude ou fraude avérée, critère de présomption de la fraude, décision de l’assureur et date de clôture du dossier.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement sont :
- les assureurs qui ont conclu un contrat de gestion des sinistres avec SPB,
- les personnes habilitées du Département Satisfaction Clientèle et les Correspondants anti fraude de l’assureur pour les dossiers présumés frauduleux,
- la Direction des ressources humaines en cas de fraude avérée du gestionnaire.
Les gestionnaires n’ont pas accès au fichier Excel de lutte contre la fraude, seuls les salariés du Département Satisfaction Clientèle et les salariés de la Direction des Ressources Humaines et du Contrôle Interne, y ont accès.
La Commission estime que ces destinataires ont un intérêt légitime à avoir communication de ces données.
Sur l’information et le droit d’accès
Les assurés sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention figurant sur les notices d’information et les contrats pour les clients. Les salariés de l’entreprise SPB sont informés des mêmes éléments par une mention figurant sur l’intranet.
La Commission considère que ces modalités d’information sont suffisantes au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Seules les personnes habilitées de la Direction des Services d’Information ont accès aux systèmes d’enregistrement, de traçabilité des accès, modifications et suppressions de données non autorisés. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.
Les mesures de sécurité mises en place sont satisfaisantes au regard des exigences de l’article 34 de la loi n°78-17 du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
La procédure d’identification des demandes frauduleuses commence par une phase d’instruction du sinistre déclaré. A partir de critères objectifs (définis avec l’assureur), les gestionnaires « contrats » de SPB identifient manuellement la demande d’indemnisation. Le dossier est ensuite transmis pour analyse au Département Satisfaction Clientèle de SPB. Lorsqu’il procède à l’analyse manuelle du dossier, le Département Satisfaction Clientèle de SPB le transmet aux  « correspondants anti-fraude » de l’assureur s’il estime qu’il existe une présomption de fraude.
Les alertes sont traitées dans un délai maximum d’un mois. Les alertes non pertinentes sont immédiatement supprimées. Dans le cas contraire, elles sont conservées pendant une durée d’un an. Les dossiers clos, c’est-à-dire ceux pour lesquels la fraude a été avérée ou infirmée, sont annuellement supprimés à la date de mise à jour du fichier Excel. Lorsque le contrat n’est pas résilié, le dossier de la personne concernée ne comporte aucune information relative aux alertes ou aux investigations subséquentes. Les données collectées relatives aux fraudes commises par un assuré ou un salarié, sont conservées un an. Ces durées de conservation n’appellent pas d’observation de la part de la Commission.
Ce traitement ne permet pas d’établir une liste noire de personnes ayant commis une fraude au préjudice de SPB. Il existe un fichier récapitulatif des dossiers traités, accessible et mis à jour par le Département Satisfaction Clientèle de SPB. Ce fichier est ensuite transmis aux assureurs. Il est sécurisé par un logiciel de chiffrement.
La Commission observe qu’aucune décision automatisée n’est donc prise à l’égard des personnes concernées conformément aux dispositions du deuxième alinéa de l’article 10 de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la société SPB, à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN