La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code des assurances ;
Vu le code civil ;
Vu le code général des impôts ;
Vu le code de la mutualité ;
Vu le code pénal ;
Vu le code de procédure pénale ;
Vu le code de la route ;
Vu le code rural ;
Vu le code de la santé publique ;
Vu le code de la sécurité sociale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-1-3° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Les organismes d'assurance, de capitalisation, de réassurance, d'assistance, les intermédiaires d'assurance effectuent dans le cadre de la passation, de la gestion et de l'exécution des contrats d'assurance, de capitalisation, de réassurance et d'assistance des traitements de données relatifs aux infractions, condamnations ou mesures de sûreté à plusieurs niveaux : soit au moment de la souscription du contrat d'assurance, soit au cours de son exécution ou dans le cadre de la gestion des contentieux.
Lors de la souscription du contrat, les traitements des données d'infraction, de condamnations et les mesures de sûreté permettent d'évaluer le risque des contrats en ayant une connaissance globale du client et notamment des antécédents de l'assuré. En effet, en assurance de responsabilité automobile, les dispositions de l'article A. 335-9-2 du code des assurances limite les majorations qu'un assureur serait incité à appliquer en fonction d'un certain nombre d'infractions.
Ces informations sont obtenues par l'assureur lors de la déclaration du risque (art. L. 113-2 [2°] du code des assurances) en posant des questions fermées à l'assuré. En matière d'assurance professionnelle des mandataires sociaux, l'assureur peut être amené à demander au futur assuré s'il a fait l'objet de condamnation ou de poursuite devant une juridiction pénale puisque ces éléments lui permettront d'évaluer son risque assurantiel.
Au cours de la vie du contrat, ces données permettront d'accorder ou non une garantie aux assurés ou d'indemniser les tiers victimes. En effet, pour procéder au règlement des sinistres et des prestations, il peut s'avérer nécessaire de vérifier les faits qui ouvrent droit à garantie.
Ainsi, la connaissance des circonstances d'un vol est nécessaire pour vérifier si les conditions de garantie sont réunies et le dépôt d'une plainte peut être une condition d'indemnisation. Certaines garanties vol peuvent être limitées aux cas d'effraction et conformément aux dispositions contractuelles applicables, l'assuré devra rapporter la preuve de l'effraction. Par ailleurs, les dispositions de l'article L. 211-10 du code des assurances obligent l'assureur à informer la victime qu'elle peut obtenir de sa part, sur simple demande, une copie du procès-verbal. Ainsi, les assureurs de véhicules impliqués dans un accident de la circulation reçoivent les procès-verbaux de police, dans un but d'accélération des procédures d'indemnisation, selon une procédure dénommée « transpv ».
Enfin, dans le cadre de la gestion des contentieux, l'organisme d'assurance doit être en mesure d'assurer la constatation, l'exercice ou la défense de ses droits en justice ou la défense des personnes concernées.
Par ailleurs, l'association pour la gestion des informations sur le risque en assurance (AGIRA) gère un fichier des résiliations automobiles qui permet aux sociétés d'assurances de vérifier les antécédents d'un futur assuré lors de la souscription d'un contrat d'assurance automobile. A ce titre, elle collecte des données d'infractions relatives aux caractéristiques des sinistres.
Dès lors, ces traitements relèvent du 3° du I de l'article 25 et 69 de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, être autorisés par la CNIL.
En vertu de l'article 25-II de la loi du 6 janvier 1978 modifiée, la commission peut autoriser par une décision unique une catégorie de traitements répondant aux mêmes finalités, portant sur des catégories de données identiques et ayant les mêmes catégories de destinataires. Il en résulte que le responsable d'un traitement conforme à cette décision unique d'autorisation pourra déclarer son traitement en adressant à la commission un engagement de conformité par lequel il s'engage à respecter les termes de la décision de la CNIL.
Décide :
