Assujetties comme toutes les entreprises au règlement général sur la protection des données (RGPD), les assurances ont été l’un des deux secteurs les plus concernés par les mises en demeure de la Commission nationale de l’informatique et des libertés (Cnil) en 2018. Elles étaient pourtant déjà soumises à des règles de confidentialité des données de santé et du secret médical, stipulées dans le pack de conformité “Assurance” élaboré avec les acteurs du secteur et édité en novembre 2014. Sorte de référentiel intégrant alors la loi Informatique et libertés. Un secteur que David Luponis, associé cybersécurité chez Mazars, cabinet d’audit et de conseil, qualifie même de “plutôt en avance sur le sujet”, à l’instar du secteur bancaire. Outre la nomination d’un DPO et l’élaboration d’un plan de conformité, où en est l’application effective du RGPD un an après son entrée en vigueur ?
Une gouvernance renforcée
“La démarche RGPD s’est transformée petit à petit en gouvernance”, constate Joris Berthaud, responsable de la protection des données pour Harmonie Mutuelle. La mutuelle, membre de VYV, a fait le choix d’avoir son propre DPO et non celui proposé par le groupe et désigné par la plupart de ses mutuelles et établissements de santé. D’une équipe restreinte de cinq personnes début 2018, une dizaine de collaborateurs aujourd’hui oeuvrent au déploiement du plan de mise en conformité d’Harmonie Mutuelle. Un groupe projet que pilote et coordonne Joris Berthaud, selon les décisions d’un comité de pilotage. L’équipe de Groupama s’est également renforcée depuis début 2019, passant de trois à quatre personnes. Stephan Dufois, DPO du groupe, ajoute travailler, sur la documentation, “avec des juristes spécialisés en protection des données personnelles et des stagiaires en 3e cycle de cursus juridiques” et indique disposer d’environ désormais 70 relais dans les filiales et directions contre 60 un an plus tôt. ViaSanté, la mutuelle du groupe AG2R La Mondiale, s’est adjoint les services, “pour quelques mois, d’un consultant à plein temps, notamment pour la mise en place du registre des traitements”, indique Tiphaine Bekic, sa DPO et responsable du domaine juridique et conformité.
Apicil a aussi mis en place un comité de pilotage de son plan de conformité mais voit plutôt son équipe projet se réduire, une dizaine de relais montant en puissance dans les cinq entités du groupe : “l’équipe projet est actuellement limitée à trois-quatre personnes. Elle est en train de se déstaffer pour que les relais prennent davantage leur rôle, explique Pierre Belin, son RSSI et DPO. Nous avons conçu en interne des kits de conformité qui sont ensuite déployés dans les entités par ces relais, comme un kit sur les cookies, un autre sur les mentions d’information dans les formulaires web ou encore un kit sur les clauses RGPD en fonction des contrats”.