Le nouveau règlement européen sur la protection des données personnelles, GDPR (General Data Protection Regulation) instaure de nouvelles exigences beaucoup plus contraignantes pour les organisations avec de lourdes sanctions à la clé. Avec l’exploitation de volumes croissants de documents liés à la vie privée, dont certains extrêmement sensibles comme les registres médicaux, le secteur de l’assurance va devoir adapter sa gestion des données personnelles en termes de nouvelles ressources financières et humaines à mobiliser pour faire face à ce nouveau cadre réglementaire.
De nouvelles contraintes avec un impact opérationnel
Outre les dispositions déjà présentes dans la loi informatique et liberté du 6 janvier 1978 plusieurs fois réformée, le GDPR comporte des mesures qui obligent les organisations à modifier leurs modes de gouvernance et à refondre leurs systèmes de sécurité. Ainsi elles devront s’engager dans une démarche de “privacy by design”. C’est-à-dire, incorporer des mesures techniques et organisationnelles de protection dès la conception du produit et service afin de se trouver en mesure démontrer la conformité au règlement. De plus le client doit pouvoir bénéficier du plus haut niveau de protection possible, ce qu’on appelle “privacy by default”. Par exemple en cas d’utilisation de nouvelles technologies, la protection doit être activée par défaut. Un mécanisme d’auto-contrôle ou “accountability” au sein de la société est également requis L’entreprise doit aussi garantir la traçabilité de chaque opération.
L’autre nouveauté réside dans l’étude d’impact sur la vie privée (EIVP ou PIA) auquel est tenu le responsable de traitement. L’EIVP sera nécessaire pour tous les traitements de données sensibles à risque (santé, origine ethnique etc.) et de profilage.