Formation RGPD en assurance : registre, données de santé et durées de conservation au cabinet

L'article 6 du règlement offre six bases légales, et il en faut une par finalité, sans cumul. La fiche de la CNIL sur les grands traitements de l'assurance les répartit : l'exécution du contrat couvre l'étude des besoins, la tarification, la gestion des contrats et des réclamations ; l'obligation légale couvre la lutte contre le blanchiment, les sanctions financières et le prélèvement à la source ; l'intérêt légitime couvre la lutte contre la fraude et la fidélisation ; le consentement couvre la prospection par voie électronique.

Le registre de l'article 30 comporte sept rubriques. La dispense prévue pour les structures de moins de deux cent cinquante salariés tombe dès qu'une seule exception joue : traitement non occasionnel, risque pour les droits des personnes, ou données de santé. La gestion d'un portefeuille est permanente ; la santé, la prévoyance et l'emprunteur mobilisent des données de santé.

Le courtier délégataire de gestion porte deux casquettes : il tient un registre de responsable de traitement et un second, distinct, de sous-traitant pour le compte de l'assureur.

L'article 9 du règlement interdit par principe de traiter des données de santé ; on ne travaille pas sous autorisation, mais sous exception. Selon la fiche de la CNIL, la protection sociale (article 9.2.b) couvre la complémentaire santé, la prévoyance collective et la retraite supplémentaire ; le consentement explicite (article 9.2.a) couvre notamment l'assurance emprunteur et la prévoyance individuelle. L'exception relative aux soins est réservée aux professionnels soumis au secret médical : un courtier ne s'en prévaut pas.

Le consentement explicite est un acte positif propre à la santé, distinct de l'acceptation des conditions générales, documenté et retirable aussi facilement qu'il a été donné. Une donnée de santé est toute information révélant un état de santé, y compris « arrêt de travail en cours » dans un commentaire libre.

Le cloisonnement se traduit en trois décisions : des habilitations nominatives limitées à ceux qui en ont besoin, un espace de stockage séparé dont les accès sont journalisés, un circuit réservé vers l'assureur plutôt qu'une boîte de messagerie générique. Un questionnaire médical dans le dossier partagé de toute l'équipe cumule les défauts.

Une donnée vit en trois étages : la base active, l'archivage intermédiaire à accès restreint, la suppression. Pour un prospect non devenu client, la CNIL retient trois ans à compter de la collecte ou du dernier contact émanant de lui. Pour un client, elle renvoie aux prescriptions de l'assurance : deux ans selon l'article L. 114-1 du code des assurances, dix ans en assurance vie lorsque le bénéficiaire n'est pas le souscripteur, et un butoir de trente ans après le décès de l'assuré pour l'action du bénéficiaire. Lorsque la conservation ne sert plus qu'à la défense d'un droit en justice, la même fiche retient cinq ans à compter de la collecte ou du dernier contact.

D'autres durées se superposent : cinq ans pour les pièces de vigilance antiblanchiment, à compter de la fin de la relation ou de l'exécution de l'opération, et deux années pour les enregistrements des appels précédant la conclusion d'un contrat (article L. 112-2-2, IV du code des assurances).

Deux erreurs se répondent. Un tableau de durées jamais exécuté documente le manquement au lieu de l'éviter. Et la prescription justifie un archivage intermédiaire restreint, pas trente ans de données consultables par toute l'équipe commerciale.

Confier des données à un prestataire, éditeur de logiciel ou service de relance, suppose un contrat conforme à l'article 28, avec ses huit obligations, dont la suppression ou la restitution des données en fin de prestation, clause la plus souvent absente. Un transfert hors de l'Union exige un fondement : décision d'adéquation, qui ne couvre aux États-Unis que les organisations certifiées, ou clauses contractuelles types.

Une violation de données n'est pas seulement une cyberattaque : un courriel au mauvais destinataire ou un accès resté ouvert à un ancien collaborateur en sont aussi. L'article 33 impose de la notifier à la CNIL dans les meilleurs délais et, si possible, dans les soixante-douze heures après en avoir pris connaissance ; un nombre approximatif de personnes concernées suffit pour notifier. En cas de risque élevé, les personnes sont informées (article 34), et toute violation se documente.

Le délégataire de gestion ne notifie pas l'autorité : sous-traitant, il prévient le responsable de traitement dans les meilleurs délais, qui seul notifie.