RGPD et assurance : exploiter les données des assurés sans les exposer

L’assurance repose sur l’analyse fine des données.

Tarification, détection de fraude, gestion des sinistres : tout dépend d’informations précises sur les assurés.

Plus l’analyse est précise, plus la donnée est sensible.

L’enjeu n’est pas de limiter l’analyse, mais de limiter l’exposition des données identifiables.

Des données parmi les plus sensibles

Assureurs, mutuelles et courtiers manipulent :

1. Des données d’identité et de contact.
   Nom, adresse, téléphone, e-mail, numéro de contrat.
2. Des données financières et patrimoniales.
   IBAN, revenus, biens assurés.
3. Des données familiales.
   Situation, bénéficiaires, ayants droit.
4. Un historique de sinistres.
   Dates, montants, circonstances, parfois des tiers impliqués.
5. Des données de santé, dans certains contrats.
   Ce sont des données sensibles au sens du RGPD (article 9), qui exigent une protection renforcée.

Plusieurs informations banales séparément peuvent aussi, combinées, désigner un assuré : c’est le risque de ré-identification.

Ce que le RGPD impose aux acteurs de l’assurance

Quatre principes reviennent dans chaque projet :

1. La minimisation.
   Ne traiter que les données nécessaires à la finalité poursuivie.
2. La limitation des finalités.
   Une donnée collectée pour gérer un contrat n’est pas librement réutilisable pour autre chose.
3. La sécurité.
   Des mesures adaptées au niveau de sensibilité, y compris hors de la production.
4. La transparence.
   Les assurés doivent savoir comment leurs données sont utilisées.

La CNIL détaille les grands traitements du secteur de l’assurance et leurs bases légales.

Le point faible : les copies

Les incidents commencent rarement dans la base de production.

Ils commencent dans les copies qui circulent autour d’elle :

1. Les environnements de test.
   Un nouvel outil de gestion de sinistres est testé sur une copie de la vraie base.
2. Les jeux de données d’analyse.
   Une équipe data prépare un extrait pour un modèle de scoring.
3. Les fichiers transmis.
   Un courtier envoie un tableau à une compagnie, un prestataire reçoit un export.

Ces copies sont souvent moins protégées que la production.

C’est donc avant la copie qu’il faut anonymiser, pas après.

Cas concret : un modèle de détection de fraude

Une compagnie veut prédire la fraude, la résiliation ou la fréquence des sinistres.

Le modèle a besoin :

1. Des montants et des dates.
2. Des catégories de sinistre.
3. Des éléments de contexte utiles au calcul.

Il n’a pas besoin du nom de l’assuré, de son adresse complète ni de son numéro de contrat.

En anonymisant ces identifiants avant de constituer le jeu de données :

1. La structure du fichier est conservée.
2. La valeur statistique reste intacte.
3. Les assurés ne sont plus exposés dans l’environnement d’analyse.

Si le modèle doit suivre un même assuré d’une table à l’autre, un pseudonyme stable garde la cohérence sans montrer l’identité.

Courtiers : protéger les dossiers avant de les transmettre

Le courtier est au carrefour des échanges : il collecte les informations du client et les transmet à une ou plusieurs compagnies.

Avant d’envoyer un fichier pour une étude, un comparatif ou à un prestataire :

1. Se demander ce dont le destinataire a besoin.
   Une étude de marché n’a pas besoin des noms ni des coordonnées.
2. Anonymiser le reste.
   Identité, coordonnées, IBAN, informations de santé non nécessaires.
3. Garder l’original au cabinet.
   Seule la copie anonymisée circule.

Avec NymData

NymData détecte les données sensibles de vos fichiers et de vos bases, puis les anonymise ou les pseudonymise, sur vos serveurs :

1. Avant un test ou une analyse.
   Une copie anonymisée de la base, la source jamais modifiée.
2. Avant un envoi.
   Des fichiers PDF, Word ou Excel sans les identités des assurés.
3. Avec cohérence.
   Un identifiant constant : le même assuré reçoit le même identifiant dans tout le projet (fichiers Word, Excel, CSV et bases).

Chaque traitement produit un rapport d’audit, utile en cas de contrôle.

Voir comment NymData protège les données bancaires et d’assurance, ou demandez une démonstration.