RGPD : les ressources humaines sont les traitements obligatoires les plus prioritaires pour les assureurs et mutuelles

Depuis l’entrée en vigueur du RGPD, l’analyse d’impact des traitements sur les données personnelles a été rendue obligatoire. Pourtant, seulement 27% des assureurs et des mutuelles déclarent que les principaux traitements réalisés, rendus obligatoires par la Cnil et justifiant une analyse d’impact, sont des “traitements de données de santé nécessaires à la constitution d’un entrepôt de données ou d’un registre”. Ces résultats sont ceux d’un sondage effectué auprès d’une cinquantaine d’entreprises par la société de conseil Optimind et s’intéressant à l’analyse d’impact des traitements sur les données personnelles (AIPD).

Les acteurs interrogés appartiennent aux secteurs de l’assurance (42% des répondants), du courtage (10%), des mutuelles (19%), des institutions de prévoyance (8%) et de la banque (6%), entre autres (15%). La donnée de santé fait également l’objet d’autres types de traitements : 23% des traitements ont “pour finalité l’accompagnement social ou médico-social des personnes” et 19% sont “mis en oeuvre par les établissements médico-sociaux pour la prise en charge des personnes”.   

27% des traitements concernent “des données de santé nécessaire à la constitution d’un entrepôt de données ou d’un registre“. Ils sont plus nombreux (31%) dès lors qu’il s’agit du critère “ayant pour finalité la gestion des alertes et des signalements en matière professionnelle” (lutte contre la fraude et le blanchiment). Devant les traitements de contrats (mutualisés ou par profilage) viennent enfin en tête de liste les traitements de ressources humaines. 42% visent ainsi à établir “des profils de personnes physiques à des fins de gestion des ressources humaines”. Il s’agit ici du premier critère retenu pour la réalisation d’une AIPD. Il est suivi, à 38%, par “les traitements ayant pour finalité de surveiller de manière constante l’activité des employés concernés”. Ces types d’opération de traitement pour lesquelles une AIPD (telle que prévue par le RGPD est obligatoire) font partie d’une liste définie par la Cnil et rendue publique dans deux délibérations publiée le 6 novembre 2018.