Protection des données : conservation excessive et défaut d’information des personnes par un assureur

La formation restreinte retient un manquement à l’article 5-1-e) du RGPD lorsque les données personnelles sont conservées au-delà de la durée nécessaire aux finalités poursuivies. La définition interne de durées conformes ne suffit pas : celles-ci doivent être effectivement paramétrées dans les systèmes d’information. Les données de prospects conservées au-delà de trois ans sans justification, ainsi que celles de clients conservées au-delà des délais applicables, caractérisent la violation. La spécificité assurantielle permet de tenir compte des délais de l’article L. 114-1 du code des assurances et de l’article L. 123-22 du code de commerce, sans justifier des durées supérieures aux finalités établies.

Les articles 13 et 14 du RGPD imposent une information accessible et complète, notamment sur l’enregistrement des appels, sa finalité, sa durée, les destinataires et les droits des personnes. Le responsable du traitement doit donner des instructions effectives à ses sous-traitants et contrôler la délivrance de cette information.

Les mesures correctrices postérieures ne suppriment pas la responsabilité pour les manquements passés. Elles sont toutefois prises en compte pour apprécier la nécessité d’une injonction et le montant de l’amende. En application de l’article 83 du RGPD et de l’article 20, III, de la loi du 6 janvier 1978, la formation restreinte tient compte notamment de la gravité, de la durée, du nombre de personnes concernées, de la nature des données, de la coopération et des mesures d’atténuation. Une amende de 1 750 000 euros est prononcée, sans injonction maintenue, la mise en conformité étant devenue suffisante sur l’information et largement engagée sur la conservation.

⬇️Télécharger la décision version officielle

La CNIL a constaté la conservation de données de prospects pendant plus de trois, voire cinq ans, et de données de clients au-delà des durées nécessaires ou légales, parfois pendant plus de trente ans. Les personnes démarchées n’étaient pas informées de l’enregistrement des appels ni de leurs droits. Des purges, projets d’anonymisation et scripts d’information ont été mis en place, mais le manquement relatif aux durées de conservation persistait partiellement.

La société X, société d’assurance mutuelle appartenant au groupe Y, traite les données de nombreux clients et prospects, notamment dans le cadre de contrats d’assurance et de campagnes de prospection téléphonique.

Lors d’un contrôle sur place, la CNIL constate que les durées de conservation prévues par le référentiel interne ne sont pas effectivement appliquées. Des données de prospects sont conservées plus de trois, voire cinq ans. Des données de clients liées à différents contrats sont conservées au-delà des délais légaux ou des durées nécessaires, parfois plus de trente ans, sans mécanisme d’archivage approprié.

Le contrôle révèle également que les personnes démarchées par téléphone ne sont pas informées de l’enregistrement des appels, de sa finalité, de leur droit d’opposition et des autres éléments requis par le RGPD.

Après le contrôle, la société met en place des purges, des projets d’anonymisation, des instructions destinées aux sous-traitants et des scripts d’information. La CNIL constate une mise en conformité sur l’information, mais une persistance partielle du manquement relatif aux durées de conservation.

• Durées de conservation définies mais non effectivement implémentées.
• Données conservées au-delà des finalités nécessaires.
• Absence de justification des durées supérieures aux délais applicables.
• Information incomplète sur l’enregistrement et les droits des personnes.
• Instructions insuffisantes données aux sous-traitants téléphoniques.
• Gravité, ampleur, durée et nature des données prises en compte.
• Mise en conformité postérieure appréciée pour les mesures correctrices.

• Procès-verbal du contrôle sur place du 29 octobre 2019.
• Extraction informatique recensant 1 917 prospects conservés excessivement.
• Documents établissant la conservation prolongée des données clients.
• Écoute d’un échantillon de cinquante appels sortants.
• Référentiel interne et registre des traitements.
• Justificatifs de purges, suppressions et anonymisation postérieures.

La société demeure responsable des violations constatées avant sa mise en conformité, malgré les mesures correctrices engagées. L’information téléphonique est désormais considérée comme conforme, tandis que la conservation des données clients reste partiellement à régulariser.n

• Amende administrative de 1 750 000 euros pour la société.
• Absence d’injonction maintenue grâce à la mise en conformité démontrée.
• Poursuite des travaux de purge et d’anonymisation des données.
• Encadrement documentaire obligatoire des sous-traitants téléphoniques.
• Publicité de la sanction pendant la période fixée.

À faire

• Paramétrer les durées de conservation dans chaque système.
• Documenter les finalités et délais applicables par traitement.
• Mettre en place des purges périodiques vérifiables.
• Informer immédiatement lors de tout appel enregistré.
• Contrôler les scripts et instructions des sous-traitants.

À éviter

• Conserver des prospects au-delà de trois ans sans justification.
• Maintenir des données clients en base active après échéance.
• Confondre référentiel interne et mise en œuvre effective.
• Omettre la durée d’enregistrement ou le droit d’opposition.
• Reporter la conformité en invoquant la complexité informatique.

La limitation de la durée de conservation des données personnelles

nL’article 5-1-e) du RGPD impose une conservation n’excédant pas la durée nécessaire aux finalités du traitement. La formation restreinte retient la violation dès lors que les durées définies par la société ne sont pas implémentées et que des données de prospects et de clients restent conservées au-delà des délais nécessaires ou légalement pertinents. Les actions correctrices ultérieures ne suppriment pas le manquement passé.n

Les obligations d’information des personnes concernées

nLes articles 13 et 14 du RGPD exigent une information portant notamment sur l’identité du responsable, les finalités, la base juridique, les destinataires, la durée de conservation et les droits. Pour les appels enregistrés, les personnes doivent être informées du principe et de la finalité de l’enregistrement ainsi que de leur droit d’opposition. Le responsable doit instruire et encadrer ses sous-traitants.n

Les critères de l’amende administrative au titre du RGPD

nEn application de l’article 83 du RGPD et de l’article 20, III, de la loi du 6 janvier 1978, la sanction tient compte notamment de la gravité, de la durée, de l’ampleur de la violation, des catégories de données, de la coopération et des mesures correctrices. La mise en conformité postérieure n’exonère pas la société, mais peut justifier l’absence d’injonction et influer sur le montant de l’amende.

Article 5-1-e) du règlement (UE) 2016/679 (RGPD), Article 13 du règlement (UE) 2016/679 (RGPD), Article 14 du règlement (UE) 2016/679 (RGPD), Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 40 du décret n° 2019-536 du 29 mai 2019, Article 83 du règlement (UE) 2016/679 (RGPD), Article 89 du règlement (UE) 2016/679 (RGPD), Article L. 114-1 du code des assurances, Article L. 123-22 du code de commerce, Article 2224 du code civil