Entré en application dans l’Union européenne en mai 2018, le Règlement général sur la protection des données, plus généralement appelé sous l’acronyme RGPD, est un texte réglementaire qui permet d’encadrer le traitement des données de manière égalitaire sur tout le territoire européen. Il constitue une véritable révolution juridique et technologique dans la manière dont les entreprises peuvent collecter, traiter et protéger les données personnelles des personnes physiques.

Le secteur de l’assurance n’a pas échappé à ce règlement et à son application puisque traitant un grand nombre de données personnelles sensibles (informations médicales, financières, comportementales) qui leur permettent d’établir plus justement des contrats, d’évaluer les risques ou encore de gérer les sinistres.

Le RGPD ne doit pas être vu comme une contrainte, mais plutôt comme un enjeu stratégique ; en effet, ce règlement touche directement la relation entre l’assuré et l’assureur, qui repose nécessairement sur la confiance.

Dans cet article, il conviendra d’analyser les défis mais également les opportunités que le RGPD représente dans le secteur de l’assurance en abordant plusieurs thématiques : obligations légales, impacts et transformation du secteur.

I.Le RGPD : un cadre strict dans un secteur fortement exposé

A.La nature des données traitées par les assureurs

Le secteur de l’assurance collecte un grand nombre de données et traite par conséquence une énorme quantité d’informations personnelles des personnes accompagnées et assurées : état civil, adresse, historique médical, profession, ressources, habitudes de consommation et de vie, …

Ces données collectées seront utilisées sur plusieurs points :

• Evaluer les profils de risque du client
• Proposer des produits et des contrats personnalisés
• Optimiser la tarification au plus juste
• Prévenir les fraudes
• Gérer les indemnisations

Certaines des données collectées par les assureurs sont qualifiées de sensibles au regard du RGPD, ce qui implique nécessairement de renforcer leur protection ; c’est notamment le cas de toutes les données touchant à la santé.

B.Les principes directeurs du RGPD

Le RGPD repose sur 6 grands principes fondamentaux que les assureurs se doivent de respecter.

Ne collecter que les données strictement nécessaires. Un principe de finalité et de minimisation. Les données collectées ne peuvent l’être qu’à des fins strictement légitimes. Elles ne peuvent être ultérieurement traitées de façon incompatible avec l’objectif initial.

Faire preuve de transparence. Les personnes concernées par la collecte de données doivent pouvoir conserver la maitrise des données qui les concernent. Ainsi, cela suppose que l’utilisateur soit clairement et correctement informé de l’utilisation qui sera faite des ses données dès la collecte. Les données ne peuvent être collectées à l’insu de l’utilisateur ; il doit être informé de ses droits et des modalités d’exercice de ceux-ci.

Organiser et faciliter l’exercice des droits des personnes. Il est primordiale d’organiser les mobilités qui permettent aux utilisateurs d’exercer leurs droits, mais également de répondre aux demandes de consultation, d’accès, de rectification ou encore de suppression des données. Il est nécessaire que ces droits puissent s’exercer par voie électronique.

Fixer des durée de conservation. Les données collectées ne peuvent être conservées indéfiniment. Le temps de conservation doit être le temps strictement nécessaire à la réalisation de l’objectif poursuivi.

Sécuriser les données et identifier les risques. Il est nécessaire de prendre toutes mesures utiles afin de garantir la sécurité des données collectées. Ainsi, seuls les tiers autorisés par les textes doivent pouvoir avoir accès aux données.

Inscrire la mise en conformité dans une démarche continue. La conformité évolue et n’est pas figée. Il est donc nécessaire de vérifier régulièrement que les traitements des données collectées n’aient pas évolué ; au besoin, il convient de les adapter.

II. Les enjeux opérationnels du RGPD pour les assureurs

A. La mise en conformité : un enjeu transversal

La conformité au RGPD nécessite de remettre en cause les pratiques internes dans leur intégralité ; sont concernés les département juridiques, informatiques, marketing mais également les prestataires externes avec lesquels il est courant de traiter ou de sous-traiter.

A ce titre, les assureurs doivent mener plusieurs actions :

• Nommer un délégué à la protection des données
• Tenir des registres sur le traitement des données collectées
• Réévaluer de manière régulière les bases légales des traitements (ex : consentement donné par les assurés)
• Renforcer constamment les mesures de sécurités informatiques mises en oeuvre
• Mettre en place des processus de gestion des droits des personnes (droit de rectification, d’accès, d’opposition, d’effacement, …).

B. Le défi dans le recueil du consentement

Le RGPD impose le recueil d’un consentement libre, éclairé, spécifique et univoque. Un écueil est alors présent dans le parcours de souscription ou de relation clients, pour lesquels les formulaires sont parfois complexes et peu lisibles.

A ce stade, le consentement devient alors un véritable défi, et notamment pour ce qui est du ciblage publicitaire, du partage des données entre partenaires, ou encore de l’utilisation secondaires des données collectées (ex : données comportementales récoltées via des applications ou des objets connectés).

C. La gestion des violations de données

Toute violation de données personnelles doit être signalée par les assureurs d’une part à la CNL dans les 72h, et d’autre part aux personnes concernées lorsque le risque est élevé. Ce signalement implique notamment pour les assureurs de mettre en oeuvre des plans d’urgence, des dispositifs de détection et de réponses aux incidents de sécurité.

III. L’impact du RGPD dans les pratiques commerciales et la relation client

A. De la transparence à la confiance pour une nouvelle dynamique commerciale

Le RGPD impose aux assureurs plus de transparence ; les clients doivent être informés clairement du traitement de leur données, de leurs droits, de la durée de conservations des éléments transmis, …

Cette transparence devient alors un levier commercial permettant de se différencier des concurrents. Une entreprise qui communique sur la protection des données peut renforcer la relation avec ses clients, dans un secteur ou la confiance est primordiale.

B. Le paradoxe de la personnalisation

Les assureurs sont de plus en plus nombreux à miser sur la personnalisation des offres proposées aux clients ; cette personnalisation passe essentiellement par l’analyse des données collectées. Cependant, le RGPD limite l’exploitation des données, notamment dès lors qu’elle repose sur un traitement automatisé ou une segmentation.

De cette limitation née alors un paradoxe : plus de données collectées permettent d’améliorer les services proposés, mais trop de traitement peut être perçu comme intrusif, voire même illégal. Se pose alors la question de la collecte des données strictement nécessaires qui permettront au mieux de cibler, afin d’arriver au but poursuivi.

C. La gestion des droits des assurés

Désormais, les clients ont la possibilité d’exercer tout un ensemble de droits liés à leurs données collectées, droits qui ont été renforcés : accès, rectification, suppression, opposition, limitation du traitement, portabilité et transfert, …

Pour cela, il est nécessaire que soient mis en place des processus rapides et fiables, afin de répondre aux demandes de manière efficace, sous peine d’être sanctionné par la CNIL.

IV. La sécurité des données comme impératif stratégique

A. La digitalisation facteur d’accroissement des menaces

Les assureurs sont les cibles privilégiées des cyberattaques, en raison notamment du nombre important de données qu’elles détiennent. Le RGPD impose donc aux assureurs de veiller à renforcer les dispositifs de cybersécurité afin de limiter les attaques ; cela impose notamment, le chiffrement, l’authentification dite « forte », le cloisonnement des différente système ou encore la Journalisation des accès.

La violation des données expose à de lourde sanction qui peuvent allées pour les assureurs jusque’à 4% du chiffre d’affaire annuel mondial.

B. La cyber-assurance, un marché en croissance

Le RGPD a permis de favoriser l’émergence de nouveaux produits d’assurance, notamment en matière de cyber-risques. Les assureurs se doivent de se couvrir eux-mêmes contre les risques de non-conformité, tout en proposant des garanties à leurs clients entreprises, confrontés aux mêmes enjeux.

V. De la prise de risque à l’innovation : opportunités et perspectives

A. Une éthique dans la gouvernance des données

Le RGPD pousse les assureurs à repenser leur gouvernance des données ; cette réflexion ouvre à une utilisation plus éthique et responsable des données collectées. Face à cette demande croissante, certaines compagnies d’assurance développent des chargent étiques, et s’engagent parfois dans des démarches de « confidentialité dès conception » ou encore « confidentialité par défaut ».

B. La valorisation des données anonymisées

Afin de contourner certaines limites imposées par le RGPD, les assureurs valorisent la possibilité de données « pseudoanonymisées » ou encore « anonymisées ».

Ces possibilités, sortent du champ du règlement, mais permettent aux assureurs de continuer l’exploitation de données à des fins statistiques ou dans le cadre d’une volonté de recherche et développement, tout en étant en conformité avec la règlementation.

C. L’intelligence artificielle face au RGPD

Le développement de l’IA dans le domaine de l’assurance (chatbot, gestion des sinistres par algorithmes, …) soulève des questions notamment quant à la transparence et la logique des décisions automatisées.

Face à cela, des mesures ont été prises par le RGPD qui impose que toute personnes soumise à une décision automatisée puisse formuler la demande d’un conseiller « humain » ; cette mesure complique en grande partie la mise en place d’une automatisation totale de certaines tâches dans le domaine de l’assurance.

Le RGPD constitue une véritable transformation dans le domaine de l’assurance. Loin d’être résumé à une simple contrainte réglementaire, le RGPD engage une complète transformation du secteur des assurances, autour notamment de 3 axes primordiaux : la conformité du système, la sécurité et la confiance client.

Face à cela, les assureurs se doivent de relever le défi d’un équilibre entre l’exploitation de données collectées et le respect strict de la vie privée des clients. Certains assureurs sont parvenu à transformer ces exigences soulevées par le RGPD en force d’innovation et de transparence ; cela leur a notamment permis de renforcer leur image, de fidéliser les clients mais également de construire de nouveaux modèles d’assurance plus durables.

Ainsi, le RGPD pour les assureurs dépasse la simple mise en conformité légale ; en effet, il vient se greffer au coeur du métier, pour faire face à l’anticipation, l’accompagnement, et la protection du client.