Home / Publications / Mise en demeure de sociétés d’assurance pour détournement...

Mise en demeure de sociétés d’assurance pour détournement de finalité des données des assurés

Lettre Propriétés intellectuelles | Janvier 2019

31/01/2019

Humanis et Malakoff Médéric sont des groupes constitutifs de caisses de retraite complémentaires : ils ont pour objet la mise en œuvre des régimes de retraite complémentaires de leurs adhérents. A ce titre, les sociétés qui les constituent ont accès à des jeux importants de données personnelles. Elles sont notamment en charge, en qualité de sous-traitants, du traitement de données mises à leur disposition par les fédérations AGIRC-ARRCO, afin d’assurer le recouvrement des cotisations et le paiement des allocations retraite nécessaires.

Pour rappel, l’utilisation de telles données est strictement encadrée, par la loi n° 78-17 du 6 janvier 1978 (loi informatique et libertés - LIL) et par le règlement général sur la protection des données (RGPD). D’une part, conformément aux articles 5.1 b) du RGPD et 6 de la LIL, les données doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne peuvent en principe être traitées ultérieurement d’une manière incompatible avec ces finalités. D’autre part, le sous-traitant ne saurait traiter les données autrement que sur instruction documentée du responsable du traitement (RGPD, art. 28.3 a).

Tel n’avait pourtant pas été le cas en l’espèce. Après contrôles sur place, la Commission nationale de l’informatique et des libertés (CNIL) a en effet constaté que les données personnelles fournies par l’AGIRC-ARRCO avaient été utilisées dans un but de prospection commerciale. Plusieurs mises en demeure ont par suite été prononcées (décision n° MED-2018-034 et MED-2018-037 du 25 septembre 2018, rendues publiques par délibérations n° 2018-330 et 2018-333 du 11 octobre 2018).

La finalité de prospection commerciale peut difficilement être considérée comme compatible avec la mise en œuvre de la mission d’intérêt général de gestion de la retraite complémentaire des salariés du secteur privé. Au surplus, aucune des sociétés sous-traitantes n’avait été autorisée par l’AGIRC-ARRCO à réutiliser les données issues du système d’information de la retraite complémentaire.

Dans ces conditions, les mises en demeure de la CNIL surprennent peu : les sociétés visées ont un mois pour cesser tout traitement pour des finalités incompatibles avec celles qui ont été définies par l’AGIRC-ARRCO, et notamment à des fins de prospection commerciale pour des contrats d’assurance de personnes.

De telles mises en demeure ne sont pas en elles-mêmes constitutives de sanctions : aucune suite ne sera donnée si les sociétés se conforment à la loi dans les délais requis. Si tel est le cas, la clôture de la procédure sera elle aussi rendue publique.

A défaut, les sanctions encourues sont lourdes. Sur le plan pénal, l’article 226-21 du Code pénal, lu en combinaison avec l’article 131-41, condamne à 1,5 million d’euros le fait pour une personne morale de détourner des données personnelles de leur finalité. Des sanctions complémentaires peuvent en outre être prononcées, parmi lesquelles l’interdiction d’exercice ou la publication de la décision. Sur le plan administratif, le RGPD (article 83) a élevé le quantum des sanctions que peut prononcer la CNIL à 20 millions d’euros ou à 4 % du chiffre d’affaires annuel mondial total, le montant le plus élevé devant être retenu.


En savoir plus sur notre cabinet d'avocats :

Notre cabinet d'avocats est l’un des principaux cabinets d’avocats d’affaires internationaux. Son enracinement local, son positionnement unique et son expertise reconnue lui permettent de fournir des solutions innovantes et à haute valeur ajoutée dans tous les domaines du droit.

cabinet avocats CMS en France

A propos de notre cabinet d'avocats

expertise droit propriété intellectuelle 330x220

Expertise : Droit de la propriété intellectuelle

Publication : Lettre Propriétés intellectuelles

Auteurs

Portrait deAnne-Laure Villedieu
Anne-Laure Villedieu
Associée
Paris
Alexandre Ghanty