Assurance & RGPD : maîtriser les données de santé et le profilage

De quoi parle RGPD ?

Le RGPD range les données de santé parmi les catégories particulières de l’article 9, dont le traitement est interdit sauf exception (consentement explicite, intérêt public, exécution du contrat d’assurance dans certaines conditions). L’assureur doit identifier précisément l’exception mobilisée.

Le profilage et les décisions entièrement automatisées produisant des effets significatifs sont strictement encadrés : information et droit à une intervention humaine.

Le secteur « Assurance » est-il concerné ?

Tous les assureurs sont concernés comme responsables de traitement. Les branches manipulant des données de santé (emprunteur, prévoyance, santé) supportent les exigences les plus fortes.

Les branches dommages traitent moins de données sensibles mais restent pleinement soumises au RGPD pour la tarification, la gestion des sinistres et la lutte anti-fraude.

Obligations détaillées

Sanctions & risques

Amendes jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial, avec une vigilance accrue des autorités sur les données de santé et le profilage. Un manquement sur la tarification peut aussi révéler une non-conformité AI Act.

Une fuite de données de santé d’assurés constitue un sinistre majeur, humain et réputationnel.

Erreurs fréquentes dans le secteur

• 1Données de santé sans exception. Traiter des données de santé sans exception valable de l’article 9.
• 2Absence d’AIPD. Omettre l’analyse d’impact pourtant attendue.
• 3Décisions automatisées non encadrées. Refuser ou tarifer de façon entièrement automatisée sans garanties.
• 4Cumul AI Act ignoré. Traiter la tarification sous le seul angle RGPD.

Cas pratique

Un assureur emprunteur collecte des données de santé via un questionnaire et automatise une partie des décisions de souscription. Il fonde le traitement sur une exception de l’article 9, réalise une AIPD, informe les candidats du profilage et prévoit une intervention humaine sur demande — tout en tenant compte des règles nationales encadrant le questionnaire médical.

Feuille de route de mise en conformité

1. 1

   Cartographier. Recenser les traitements de données de santé et de profilage, et leurs bases légales.

2. 2

   Qualifier et documenter. Vérifier l’exception mobilisée et réaliser les AIPD nécessaires.

3. 3

   Encadrer le profilage. Documenter l’information et les garanties sur les décisions automatisées.

4. 4

   Définir les durées. Fixer des durées de conservation par finalité.

5. 5

   Sécuriser. Renforcer sécurité et traçabilité des données sensibles.

Questions fréquentes