RGPD au cabinet d'assurance : registre, données de santé et durées de conservation

Le questionnaire médical, un certificat, un compte rendu d'hospitalisation, une déclaration d'état de santé en assurance emprunteur : toutes ces pièces relèvent de l'article 9 du règlement. Leur traitement est interdit par principe et n'est permis que dans les cas limitativement prévus, au premier rang desquels le consentement explicite de la personne.

Le cloisonnement est la conséquence pratique de ce régime. Les personnes qui ont besoin d'accéder à ces données pour exercer leur mission y accèdent, les autres non, et cela se traduit par des droits d'accès distincts, pas par une consigne orale.

Le support papier n'échappe à rien. Un dossier médical laissé sur un bureau, une armoire non fermée, une corbeille non sécurisée sont des défauts de sécurité au même titre qu'un partage de fichiers mal configuré.

Une durée de conservation se fixe par finalité, et non pour l'ensemble d'un dossier. Un devis non transformé, un contrat en cours, un contrat résilié et un sinistre clos ne se conservent pas aussi longtemps, et la durée applicable tient compte des délais de prescription propres à l'assurance.

La purge doit exister ailleurs que dans la procédure. Une politique de conservation écrite mais jamais appliquée produit exactement l'effet inverse de celui recherché : elle documente le manquement.

La sous-traitance et les transferts se documentent également. Un outil de gestion hébergé par un tiers, un prestataire de relance, un service d'analyse : chacun est un sous-traitant, avec le contrat et les garanties que cela suppose.

Une violation de données n'est pas seulement une cyberattaque. Un courriel envoyé au mauvais destinataire, un dossier perdu, un accès resté ouvert à un ancien collaborateur en sont aussi.

Le règlement impose de notifier la violation à l'autorité de contrôle dans les meilleurs délais et, lorsque c'est possible, dans les soixante-douze heures, sauf si elle n'est pas susceptible d'engendrer un risque. Ce délai court à partir de la prise de connaissance, ce qui suppose que quelqu'un, dans le cabinet, soit en mesure de la constater.

Lorsque le risque pour les personnes est élevé, la communication à ces personnes s'ajoute à la notification. C'est là que le cloisonnement des données de santé montre sa valeur : il réduit l'ampleur d'une violation avant même qu'elle survienne.