Vidéo. RGPD et assurance : vos données personnelles côté assureur

Quand vous souscrivez une assurance, vous remettez à votre assureur des données personnelles parfois très sensibles : identité, situation familiale, historique médical, antécédents de sinistres, parfois données biométriques ou comportementales. Le RGPD (Règlement Général sur la Protection des Données) cadre strictement l’utilisation de ces données, mais beaucoup d’assurés ignorent leurs droits — et donc ne les exercent pas. Cet article détaille ce que collecte un assureur en 2026, le cadre légal applicable, vos droits concrets et la procédure pour les faire respecter. Decaux Assurances, courtier indépendant immatriculé à l’ORIAS et basé à Neuilly-sur-Seine, accompagne ses clients dans la lecture de ces enjeux et — en cas de litige — dans l’exercice effectif de leurs droits face aux partenaires assureurs.

1. Quelles données collecte un assureur en 2026

Comprendre ce qui est collecté est la première étape pour comprendre vos droits.

Données personnelles standards (KYC, historique)

Les données personnelles standards incluent : identité (nom, prénom, date et lieu de naissance), coordonnées (adresse, téléphone, email), situation familiale, situation professionnelle, données financières (revenus, situation patrimoniale pour certains contrats), historique des contrats et sinistres. Ces données alimentent le KYC (Know Your Customer), l’évaluation du risque, la tarification et la prévention de la fraude. Elles sont conservées pendant la durée du contrat, plus une période de prescription contractuelle (10 ans en moyenne pour les contrats d’assurance — règle issue du droit civil).

Données sensibles : santé, biométrie, comportement

Les données sensibles bénéficient d’une protection renforcée par le RGPD (article 9). Elles incluent : données de santé (questionnaires médicaux, antécédents, traitements), données biométriques (reconnaissance faciale pour le KYC à distance), données de localisation (boîtiers télématiques en assurance auto), données comportementales (objets connectés en mutuelle santé). Leur traitement nécessite des bases juridiques spécifiques (consentement explicite ou obligation légale) et des mesures de sécurité renforcées. Pour les assurances vie, emprunteur et santé, ces données sont le cœur du dossier — d’où l’importance d’un cadre rigoureux.

2. Le cadre RGPD pour le secteur assurantiel

Le RGPD s’applique au secteur de l’assurance avec des spécificités structurantes.

Bases juridiques de traitement et consentement

Le RGPD énumère plusieurs bases juridiques permettant le traitement de données. En assurance, les bases dominantes sont : l’exécution du contrat (souscription, gestion, sinistres), l’obligation légale (lutte contre le blanchiment, déclarations fiscales), l’intérêt légitime (lutte contre la fraude, prospection de clients existants). Pour les données sensibles, le consentement explicite est généralement requis, sauf exceptions strictement encadrées. Le consentement doit être libre, spécifique, éclairé et univoque — coché par défaut ou enchaîné à des conditions générales touffues, il peut être considéré comme nul.

Sanctions CNIL et jurisprudence

La CNIL peut sanctionner les manquements jusqu’à 2 % ou 4 % du chiffre d’affaires mondial selon la gravité (article 83 du RGPD). Plusieurs sanctions notables ont visé des acteurs du secteur financier et assurantiel, sur des sujets variés : conservation excessive des données, défaut de sécurité, non-respect des droits des personnes, démarchage abusif. Les jurisprudences publiées par la CNIL fournissent des repères concrets — un assuré bien informé peut y appuyer ses demandes.

3. Vos droits en tant qu’assuré

Le RGPD confère plusieurs droits effectifs et opposables.

Accès, rectification, effacement, portabilité

Quatre droits structurants. Accès (article 15) : obtenir la liste des données détenues à votre nom, les finalités du traitement, les destinataires, la durée de conservation. Rectification (article 16) : faire corriger une donnée inexacte (par exemple, un sinistre attribué par erreur, un mauvais code professionnel). Effacement ou « droit à l’oubli » (article 17) : faire supprimer les données qui ne sont plus nécessaires, dans les limites légales (la prescription contractuelle peut imposer une conservation). Portabilité (article 20) : récupérer vos données sous un format réutilisable pour les transmettre à un autre assureur. La rectification est, en pratique, la plus utilisée — et la plus efficace pour faire évoluer une tarification basée sur des données erronées.

Droit d’opposition aux décisions automatisées

L’article 22 du RGPD confère le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé. En pratique : si l’assureur refuse une souscription ou augmente une prime sur la seule base d’un algorithme, vous pouvez demander une révision humaine. Ce droit est essentiel face à l’automatisation croissante du secteur. Il s’exerce par écrit auprès du Délégué à la Protection des Données (DPO) de l’assureur — coordonnées disponibles dans la politique de confidentialité du contrat.

4. Cybersécurité côté assureur : NIS 2 et obligations

Au-delà du RGPD, la sécurité technique des données est encadrée par d’autres dispositifs.

Sécurité des traitements et notifications

Les assureurs doivent mettre en place des mesures techniques et organisationnelles pour protéger les données : chiffrement, contrôle des accès, journalisation, plan de réponse à incident. En cas de violation de données, ils doivent notifier la CNIL sous 72 heures et — si le risque est élevé — informer les personnes concernées. La directive NIS 2 élargit ces obligations aux opérateurs essentiels et importants, dont une part du secteur financier. Les partenaires assureurs doivent aussi imposer ces standards à leurs sous-traitants.

Sous-traitants et chaîne de responsabilité

Les assureurs travaillent avec de nombreux sous-traitants : plateformes de gestion, fournisseurs cloud, courtiers, experts, prestataires médicaux. Chaque sous-traitant qui traite des données personnelles doit être encadré par un contrat conforme au RGPD article 28 — précisant les finalités, les durées, les mesures de sécurité, les obligations de notification. La chaîne de responsabilité s’étend : un défaut de sécurité chez un sous-traitant engage la responsabilité de l’assureur. Pour l’assuré, cela signifie que ses données peuvent transiter par plusieurs entités, et que la protection effective dépend du maillon le plus faible. C’est aussi pour cela qu’une assurance cyber côté entreprise est devenue essentielle — pour absorber un éventuel incident côté chaîne de fournisseurs.

5. Exercer ses droits : la procédure pratique

Connaître ses droits ne suffit pas — il faut savoir les activer.

Comment formuler une demande

La procédure est simple. 1. Identifier le DPO (Délégué à la Protection des Données) de l’assureur — ses coordonnées sont obligatoirement publiées dans la politique de confidentialité ou sur le site officiel. 2. Adresser une demande écrite (email ou courrier recommandé) précisant : votre identité, le droit invoqué (accès, rectification, effacement, opposition), l’objet précis (par exemple : « obtenir copie de toutes les données traitées à mon nom dans le cadre du contrat n° X »). 3. L’assureur dispose d’un mois pour répondre (prolongeable à 3 mois si la demande est complexe). En cas de retard ou de réponse incomplète, la CNIL peut être saisie.

Recours en cas de refus (CNIL, médiation)

Si l’assureur refuse ou ne répond pas, plusieurs voies existent. 1. Réclamation auprès de la CNIL, gratuitement et en ligne. La CNIL peut sanctionner ou simplement rappeler à l’ordre. 2. Médiateur de l’assurance en cas de litige sur le contrat lui-même. 3. Action en justice en dernier recours. Le rôle du courtier est précieux à ce stade : il connaît les bons interlocuteurs et peut accélérer la procédure auprès des partenaires assureurs. Pour les contrats emprunteur ou de prévoyance, où les données de santé sont sensibles, l’accompagnement humain fait souvent toute la différence.

FAQ — RGPD et assurance : 5 questions clés

Combien de temps mon assureur peut-il conserver mes données ?

La durée doit être proportionnée à la finalité. En assurance, la durée du contrat + la prescription (généralement 10 ans en assurance non-vie, plus pour la santé et la vie) est admise. Au-delà, les données doivent être archivées dans des conditions sécurisées ou supprimées. Vous pouvez demander à votre assureur la politique de conservation applicable à votre dossier.

Puis-je refuser que l’assureur partage mes données avec ses partenaires ?

Oui, dans les limites de l’exécution du contrat. Certains partages sont nécessaires (gestion, sous-traitance) et ne peuvent être refusés sans rompre le contrat. D’autres (prospection commerciale, partage avec des tiers commerciaux) peuvent être refusés via votre droit d’opposition. La politique de confidentialité doit lister ces flux.

Mes données médicales sont-elles partagées entre assureurs ?

Sous strictes conditions. Le RGPD interdit le partage non consenti des données de santé. Certains fichiers professionnels existent (par exemple sur les fraudes), gérés par des organismes accrédités, mais avec des règles de partage encadrées et des durées limitées. Vous pouvez demander quelles données sont enregistrées à votre nom.

Que faire en cas de fuite de données chez mon assureur ?

L’assureur doit vous notifier si la violation présente un risque élevé pour vos droits et libertés. Vérifiez sa communication, les mesures prises et les recommandations (par exemple, changer ses mots de passe, surveiller son compte bancaire). Vous pouvez réclamer auprès de la CNIL et — selon le préjudice subi — engager une action en réparation.

Le rôle du courtier change-t-il avec le RGPD ?

Le courtier reste un responsable de traitement ou un sous-traitant selon les cas, et doit appliquer le RGPD strictement. Il joue aussi un rôle d’interface : il aide ses clients à formuler leurs demandes, à comprendre les politiques de confidentialité de chaque partenaire assureur et à exercer leurs droits efficacement. C’est une dimension nouvelle du métier — souvent sous-utilisée par les assurés.