L’entrée en application du règlement européen sur la protection des données (RGPD) le 25 mai 2018 a imposé à toutes les structures traitant à grande échelle des données sensibles la nomination d’un Data protection officer (DPO). Successeur du Correspondant informatiques et libertés (CIL), dont la nomination n’était elle pas obligatoire, le DPO a des fonctions élargies, et en particulier dans les assurances, qui traitent des données personnelles dont des données de santé. Ces dernières sont pour la première fois définies juridiquement et ne sont plus considérées comme des données médico-administratives.
Cela implique de grands changements pour les assureurs et beaucoup d’obligations supplémentaires : la mise en place de procédures et mécanismes pour démontrer le respect des règles relatives à la protection des données (comme le droit à l’oubli et les demandes des clients sur le traitement de leurs données), la création d’une cartographie des traitements de données, la mise en place d’études d’impact dès que des données sensibles ou à grande échelles sont récoltées, le passage en revue de l’ensemble des prestataires pour contrôler leur conformité… “Il faut notamment passer au crible tous les services en ligne que l’on a développés, des applications de bien-être à la téléconsultation, nos opérateurs et nos projets en cours pour s’assurer de leur bonne qualification juridique et de leur conformité avec le RGPD”, explique Joris Berthaud, DPO d’Harmonie Mutuelle.
Pour mener tous ces chantiers, les assurances ont entamé de grandes réflexions sur leur organisation et leurs processus en matière de données. “Les assureurs n’ont pas attendu le RGPD pour s’occuper de la protection des données. Le règlement a néanmoins a fait grand bruit et depuis 2016 et la date de publication du règlement, le niveau de maturité des entreprises a progressé”, constate Mireille Deshayes, adjointe au DPO de Groupama et membre de l’Association française des correspondants aux données personnelles.