(Demande d’autorisation n°1555401
La Commission nationale de l’informatique et des libertés,
Saisie par la Mutuelle d’Assurance des Instituteurs de France (MAIF) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude aux prestations d’assurances
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code des assurances ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition M. Jean-Paul AMOUDRY, commissaire et après avoir entendu les observations de Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement.
Formule les observations suivantes :
Sur le responsable du traitement
Mutuelle d’Assurance des Instituteurs de France, ci-dessous la MAIF.
Sur la finalité
Le traitement mis en œuvre a pour objectif de lutter contre la fraude aux prestations d’assurance. Il vise à détecter les demandes d’indemnisations frauduleuses émises par les titulaires de contrats d’assurance de dommage ou par des gestionnaires de contrat afin, le cas échéant, de refuser de procéder à l’indemnisation du sinistre et/ou de procéder à la résiliation du contrat d’assurance ou d’adopter des sanctions à l’encontre d’un gestionnaire.
Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion.
Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données analysées sont relatives aux :
- contrats d’assurance souscrits :
- le numéro d’identification des sociétaires,
- la date de souscription ou de résiliation de la garantie,
- la date et les modifications de contrat en cours,
- le ou les numéros de compte bancaire débité ou crédité (RIB), - le nombre et le montant des paiements, les indemnités versées pour un dossier sinistre,
- le nom du ou des bénéficiaires,
- la date de saisie du mouvement de paiement,
- le nombre de changements de domiciliation bancaire,
- données figurant dans la déclaration de sinistre :
- la nature du ou des sinistre(s) et leur montant,
- la référence, la date d’enregistrement et de classement,
- la garantie du contrat mise en œuvre lors de la survenance du sinistre,
- le numéro d’ordre du véhicule (contrat automobile),
- données de connexion :
- horaire de connexion,
- numéro de poste informatique,
- localisation du log,
- adresse IP,
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
MAIF souhaite conserver des données relatives aux fraudes avérées commises par un assuré pendant une durée de 3 ans et les données relatives aux fraudes avérées commises par un salarié pendant une durée de 5 ans.
Ces durées de conservation n’appellent pas d’observations de la part de la Commission.
Sur les destinataires
Seules les personnes habilitées du secteur lutte anti-fraude, du pôle solutions décisionnelles et des services informatiques sont destinataires de ce traitement.
En cas de suspicion de fraude à l’encontre d’un salarié, la Direction des ressources humaines et le Conseil de discipline peuvent également être destinataires du traitement.
La Commission estime que ces destinataires n'appellent pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les assurés sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention figurant sur l’avis d’échéance annuel.
Les mandataires du conseil d’administration et les salariés sont informés par une mention figurant sur le site intranet de la société MAIF
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
L’ensemble des déclarations de sinistres, des éléments figurant dans le ou les contrats d’assurance souscrits auprès de MAIF et des opérations réalisées sur ces contrats font l’objet d’une analyse automatisée au moyen de requêtes correspondant à des scénarios de fraude. Lorsque l’analyse permet d’identifier un cas correspondant à un scénario prédéfini, une alerte est générée auprès d’un service centralisé de lutte contre la fraude ; Celui-ci procède à une analyse manuelle du dossier et, le cas échéant, à des investigations complémentaires.
La Commission prend acte que les alertes sont traitées dans un délai maximum d’un mois. Les alertes non pertinentes sont immédiatement supprimées. Dans le cas contraire, elles sont conservées jusqu’à la clôture de l’enquête. Les dossiers ne comportant pas d’anomalie sont supprimés du traitement après instruction.
La Commission prend acte que lorsque le contrat n’est pas résilié, le dossier de la personne concernée ne comporte aucune information relative aux alertes ou aux investigations subséquentes.
La Commission observe qu’aucune décision automatisée n’est donc prise à l’égard des personnes concernées conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée.
La Commission constate que ce traitement ne concerne que les contrats d’assurance dommage.
Ce traitement ne permet pas d’établir une liste noire de personnes ayant commis une fraude au préjudice de la MAIF.
Autorise, conformément à la présente délibération, Mutuelle d’Assurance des Instituteurs de France (MAIF) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN