{"word_count": 1823, "character_count": 11856}
Depuis plusieurs semaines (pour ne pas dire plusieurs mois), je discute avec Delphine Cocteau-Senn et Rodolphe Bigot (dialogue de juristes avec un actuaire) sur la protection des données personnelles en assurance. Tout avait commencé il y 15 mois, avec une table ronde organisée à Amiens, avec un resto la veille, les discussions pendant la table ronde, puis des dizaines et des dizaines d'échanges de messages, de coup de fils, de restos.... Rodolphe Bigot m'avait sollicité pour une autre table ronde sur le droit de l'assurance à Caen, et de mon côté, j'avais demandé à Delphine Cocteau-Senn d'intervenir dans la formation Actuariat - Data Science de l'Institut des Actuaires, depuis l'an dernier. Bref, on a eu de très nombreux échanges, et quand on voit les prises de positions ici et là (pour ne pas parler de brassage d'air), on s'était dit que nos discussions pourraient éclairer les débats qui agitent actuaires et juristes.C'était d'autant plus intéressant, je pense, qu'on a vraiment appris, mutuellement, de ces échanges. Echanges entre un actuaire et des juristes, tous les trois universitaires. Depuis plusieurs semaines, on tente de mettre par écrit ces échanges, et le résultat est aujourd'hui en ligne. La forme retenue est une présentation juridique de plusieurs points (en lien avec des notions évoquées dans le Réglement Général sur la Protection des Données - n° 2016/679), quelques questions actuarielles, et une ébauche de réponse. On a longuement hésité sur la forme, mais on a gardé la forme de la discussion, probablement plus agréable à lire qu'un texte écrit à trois. Je mets ici l'introduction (le document complet est en ligne)Depuis toujours, les données de l’assuré sont au cœur de la relation instaurée par le contrat d’assurance. Elles servent la mesure du risque individuel, objet du contrat et déterminent tant la décision de l’assureur de prendre ce risque en charge que sa tarification. De son côté, l’assureur se trouve dans un cas d’inversion du cycle de production : il doit évaluer le coût réel de son produit par le biais d’analyses prédictives du coût du risque et fait appel à l’actuariat. Ces analyses reposent sur des observations statistiques, et donc des données massées que l’on nommera « données actuarielles ». Dans cette perspective, il apparait que plus l’information est riche, plus les critères sont fins, mieux l’assureur pourra affiner la mesure des risques que sa mutualité prendra en charge et meilleure sera la coïncidence entre son offre de couverture et les besoins individuels de l’assuré (segmentation de l’offre). Or, dans une perspective concurrentielle, la segmentation est devenue indispensable pour pallier les effets néfastes du phénomène d’antisélection1. Cette circonstance ne peut que pousser l’assureur à chercher toujours plus de données.Depuis le renforcement des préoccupations sur la protection des données personnelles, et notamment en raison de l’entrée en vigueur imminente2 du Règlement pour la Protection de Données Personnelles (dit RGPD), l’attention se focalise sur le caractère « personnel » de la donnée. La définition qu’en donne le RGPD est large et ne coïncide pas toujours avec la compréhension plus stricte qu’en ont les acteurs de terrain ou les intéressés eux-mêmes, pour lesquels la donnée personnelle se cantonnerait à la vie privée ou intime.Ainsi, l’article 4.1 du RGPD précise en effet que l’expression donnée à caractère personnel vise « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée») ;; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ». La donnée protégée va ainsi bien au-delà de la simple donnée « nominative » mais vise tout élément permettant l’identification, même indirecte3.Question à l’actuaire :Sur quel type de données l’actuaire d’assurance travaille-t-il dans sa pratique de modélisation des risques, et cela comprend-il des données directement ou indirectement identifiantes, soit des données dites « personnelles » ? Peut-on considérer que le travail fait sur ces données peut révéler, même si cela n’est pas recherché, une information sensible (ex. race ou opinion politique), c'est-à-dire en faire des données « sensibles » au sens du RGPD ? Sous quelles formes vous parviennent ces données ? Et surtout, pour éclairer l’amalgame souvent faite entre la notion de donnée personnelle et celle de vie privée, quelles en sont l’objet et les sources ? L’assureur, au premier chef imagine-t-on s’agissant des données fournies par l’assuré, les données publiques, les réseaux sociaux ? Qu’en est-il du « recyclage » des données individuelles des assurés pour alimenter les données « statistiques » ? La source première de données dont dispose l’actuaire pour modéliser les risques, et construire un tarif segmenté est la base constituée à partir des informations collectées dans les formulaires de souscription. Ces formulaires contiennent un numéro de police, le nom de l’assurée, son adresse, sa date de naissance, etc. Les actuaires ont souvent accès aux données brutes, directement. Le nom et le prénom peuvent être exclus, mais en assurance habitation, il est souvent utile d’avoir accès au lieu précis d’habitation : l’adresse, et l’étage (pour les immeubles). Ces données sont bien souvent utiles car le risque dépend du quartier, mais aussi de l’étage : pour le cambriolage savoir si l’habitation est au rez-de-chaussée est important, pour le dégât des eaux, c’est souvent savoir si l’habitation est au dernier étage. En assurance automobile, on peut utiliser des informations relatives au lieu d’habitation (habiter en banlieue ou en campagne n’impose pas le même genre de conduite) donc le code postal est souvent utilisé, mais aussi le modèle de véhicule (indiqué sur la carte grise), et l’âge du conducteur principal. En regroupant ces trois variables dans une commune de quelques milliers d’habitants, la personne est bien souvent identifiable.A partir de ces données provenant des questionnaires, il n’est pas rare de procéder ensuite à des croisements de données. Par exemple à partir du modèle du véhicule, on peut trouver sa côte à l’argus (ce qui donne un montant maximal de remboursement en cas de dommage matériel), sa puissance (dans certains pays, seule la puissance du véhicule est utilisée comme variable tarifaire), le nombre de places, la marque (certaines marques ont des coûts de réparation plus élevés), etc. En assurance habitation, l’adresse permet d’avoir toutes sortes d’informations. Croisées avec des données du cadastre, on peut avoir l’âge du bâtiment, mais on peut aussi voir des informations sur le quartier (nombre de cambriolages par exemple).Depuis quelques années, les assureurs réfléchissent à l’utilisation de données « connectées », comme les bracelets qui mesurent le rythme cardiaque ou le nombre de pas faits dans une journée, et les boitiers GPS dans les véhicules. Ces données sont intéressantes pour comprendre le risque, mais plus difficilement à des fins tarifaires. En effet, la prime d’assurance est fixée ex-ante, et ces données sont collectées ex-post. Une solution peut-être de faire une offre commerciale indexée sur un engagement de l’assuré, vérifiable par ces données connectées : offrir un rabais de 15% si la personne s’engage à faire en moyenne sur une semaine au moins 10 000 pas par jour, ou moins de 7000 km avec le véhicule sur une année. Les boitiers GPS permettent en théorie d’avoir accès à énormément d’information sur l’assurée (lieu du domicile, localisation du stationnement, lieu du travail, lieu de l’école des enfants et du club de sport, etc.). Mais les assureurs sont tributaires de données externes, fournies par le fournisseur du boitier GPS. Pour des assurances de véhicules commerciaux, certains assureurs demandent expressément à ne pas avoir d’information sur la vitesse des véhicules par exemple. Certains autres demandent à n’avoir accès qu’à des informations très synthétiques sur la conduite : nombre de trajets, nombre de kilomètres, temps de conduite la nuit, etc. Ces données sont alors non-identifiantes, contrairement à nombre de données de télématiques4.Enfin, pour les données sur les réseaux sociaux, c’est plus sensible. Plusieurs études (aux Etats-UnisÉtats-Unis et en Angleterre) ont montré que l’utilisation d’informations relatives aux réseaux d’amis était très prédictive d’un défaut ou d’un retard de remboursement de crédit hypothécaire. On peut imaginer aller encore plus loin en regardant le contenu de ce qui est mis en ligne. Là aussi des études ont montré que les photos publiées sur une page Facebook pouvaient être utilisées pour prévenir le suicide. Lire le contenu permet probablement d’avoir des informations susceptibles au sens du RGPD. En lisant les tweets précédant une élection présidentielle, il est possible d’avoir une prévision (avec une probabilité assez élevée) des orientations politiques de l’assuré. Mais rares sont les études qui montrent un lien entre les orientations politiques, sexuelles, religieuses d’une personne et son nombre de dégâts de eaux, ou d’accidents de la route, donc rare sont les actuaires à regarder ce genre de variables. En revanche, regarder les réseaux d’amis sur Facebook est de plus en plus utilisé lors d’études sur la fraude.Quand un actuaire fait un tarif, c’est un exercice de statistiques prédictives : en utilisant les informations passées, on essaye de voir si les assurés qui avaient des caractéristiques proches ont eu ou pas des accidents (dans le passé), combien, à quel coût. Compte tenu des délais de déclaration et de clôture des sinistres, il faut souvent un long historique. Par exemple pour estimer le coût potentiel d’un accident corporel, pour les contrats d’assurance automobile, on ne peut pas se limiter aux statistiques relatives aux cinq dernières années : les plus gros sinistres sont encore ouverts, certains patients (les états les plus graves et donc les plus coûteux) sont encore dans un état non-stabilisé. Il est alors indispensable d’utiliser les données les plus anciennes possibles, avec la difficulté de tenir compte d’amélioration techniques sur les véhicules améliorant la sécurité, les changements de conduite (radars automatiques incitant à réduire globalement la vitesse) et l’inflation (hospitalière et juridique) pour les sinistres relativement anciens. Les actuaires « recyclent » en permanence les anciennes bases de données.La suite est en ligne ici.1 En assurance, la théorie économique montre que si les agents sont rationnels et si l’assurance n’est pas obligatoire, les « mauvais risques » ont un intérêt supérieur à la moyenne à souscrire un contrat d’assurance (phénomène dit d’antisélection).2 Prévue pour le 18 mai 2018.3 C’est ainsi que la cour européenne a pu considérer l’adresse IP dynamique d’un internaute conservée par le FAI comme une donnée personnelle (au sens de la directive 95/46/CE du 24 octobre 1995 qui inclut également l’identification indirecte), puisqu’elle elle permet de l’identifier lorsqu’elle est associée à une autre information (adresse mail, horaires de connexion, etc.). 4 Sur les données géolocalisées de téléphones cellulaires, certaines études ont montré que 4 points (lieux et heures approximatifs) suffisent à identifier 95% des individus dans une base de données, de Montjoye, Y.-A., Hidalgo, C.A., Verleysen, M. &#38; Blondel, V.D. Unique in the Crowd: The privacy bounds of human mobility, Nature srep. 3, 1376; DOI:10.1038/srep01376 (2013)) &#160;