Par Amanda Dubarry et Virgile Servant Volquin
Et de 16. Le 20 juillet 2021, la Cnil a rendu une décision à l’encontre du groupe AG2R La Mondiale, la 16ème depuis l’entrée en vigueur du RGPD.
AG2R La Mondiale est un grand groupe d’assurance français à but non-lucratif, au chiffre d’affaires de 9.3 milliards d’euros en 2019. Fin 2019, la Cnil a opéré un contrôle sur la société, plus spécifiquement sur les traitements de données à caractère personnel des clients et des prospects, les durées de conservation des données et l’information portée à la connaissance des personnes concernées.
A l’issue du contrôle, la Cnil a décidé de sanctionner AG2R à hauteur de 1.75 millions d’euros, soit 0.02% du chiffre d’affaires en matière d’assurance du groupe. Rappelons que selon l’article 83 du RGPD, la Cnil est habilitée à prononcer des sanctions allant jusqu’à 4% du chiffre d’affaires mondial du groupe pour une société et 20 millions d’euros pour tout autre organisme.
Le contrôle de la Cnil s’est dans un premier temps axé sur le respect des durées de conservation des données. A ce titre, AG2R a établi un référentiel fixant les durées de conservation des données à caractère personnel des prospects et des clients.
Ce référentiel, ou politique de durée de conservation est établi en vue de se conformer à l’article 5.1.e) du RGPD :
Dans le cadre de ses activités, AG2R est amenée à traiter des données sensibles (données de santé) et « hautement personnelles » (coordonnées bancaires).
La nature spécifique de ces données rend la mise en place d’un contrôle de la durée de conservation des données d’autant plus important pour se conformer aux obligations du RGPD. A ce titre, la Cnil a constaté plusieurs manquements de la part d’AG2R :
L’AG2R a objecté que certaines catégories d’informations, notamment dans le domaine assurantiel, devaient être conservées au-delà de 5 ans pour des raisons légales :
Or, même dans ces cas précis, la Cnil a constaté que la durée de conservation des données excédait ce qui était prévu dans le référentiel.
L’obligation d’information des personnes concernées par la collecte des données est prévue par les articles 12, 13 et 14 du RGPD. Elle comporte plusieurs mentions obligatoires à fournir lors du démarchage téléphonique i.
Dans le cadre de son contrôle, la Cnil a examiné les cinquante derniers appels de démarchage et a relevé que 30% des appels étaient enregistrés à des fins de contrôle qualité.
Or, le scénario d’appel du démarchage téléphonique qu’AG2R avait sous-traité à deux sociétés ne prévoyait strictement aucune information aux personnes concernées. Dès lors, l’autorité a relevé que la mutuelle avait manqué à son obligation d’information.
Dans une décision précédente, la Cnil avait sanctionné Google à hauteur de 50 millions d’euros pour manquement à l’obligation d’information, notamment dans l’indication de la durée de conservation de certaines données.
Sur son chiffre d’affaires de 182 milliards d’euros en 2021, l’amende représente une part de 0.03%, soit un tiers de plus que pour AG2R, en proportion.
Deux pistes semblent expliquer cet écart :
Or, le degré de coopération des organismes contrôlés est un critère pris en compte dans la modulation de l’amende, selon l’article 83 du RGPD.
***
Le cabinet HAAS Avocats, cabinet spécialisé en cybersécurité, accompagne depuis plus de 20 ans ses clients dans la mise en conformité de leurs traitements à la réglementation « informatique et libertés ». Service de DPO externalisé, audit, cartographie des traitements, réalisation/consolidation du référentiel sécurité, établissement des accords contractuels avec les sous-traitants, mise en conformité des sites Web, etc. sont autant d’exemples de missions menées au quotidien par les avocats du Cabinet HAAS auprès de PME, de grands comptes comme d’entités publiques.
N’hésitez pas à nous contacter pour tout renseignement complémentaire en cliquant ici.