Peut-on traiter des données de santé pour un contrat de prévoyance ?

D'après la CNIL, le traitement de données de santé est en principe interdit, avec des dérogations. En protection sociale (complémentaire santé, prévoyance, retraite supplémentaire), il peut reposer sur l'exécution des obligations et droits en matière de protection sociale ; hors protection sociale, un consentement explicite est requis.

Le règlement européen sur l'IA remplace-t-il le RGPD ?

Non. La CNIL indique qu'il ne remplace pas les exigences du RGPD et vise à les compléter ; le RGPD s'applique aux traitements de données personnelles, que le système d'IA soit ou non soumis au règlement sur l'IA.

Données de santé, prévoyance et IA : règles pour un courtier

Un courtier en prévoyance ou en santé manipule les données les plus protégées : maladies, arrêts de travail, traitements, questionnaires médicaux. Les mettre dans un assistant d'intelligence artificielle (IA) pour résumer un dossier ou préparer une proposition est tentant. Cette page reprend ce que la CNIL écrit sur les données de santé dans l'assurance, ce qu'elle dit de l'articulation avec le règlement européen sur l'IA, et propose des règles de prudence. Elle ne vaut pas avis juridique : pour un traitement précis, consultez un juriste ou votre délégué à la protection des données.

Le principe : interdit, sauf exception

D'après la CNIL, le traitement de données de santé est en principe interdit par l'article 9 du règlement général sur la protection des données (RGPD), avec des dérogations. Dans le secteur de l'assurance, elle distingue :

la protection sociale (complémentaire santé, prévoyance, retraite supplémentaire) : le traitement peut reposer sur l'exécution des obligations et l'exercice des droits en matière de protection sociale ;
hors protection sociale, par exemple l'assurance emprunteur ou la prévoyance individuelle : un consentement explicite est requis (article 9.2.a), qui doit être libre, éclairé, spécifique et univoque ;
le traitement est aussi possible pour constater, exercer ou défendre un droit en justice.

La CNIL relève elle-même un point de vigilance : la prévoyance apparaît dans les deux régimes, selon qu'il s'agit d'un contrat de protection sociale ou de prévoyance individuelle. Identifiez donc, avant tout traitement, dans quel cas se trouve chaque contrat. Si le consentement est la base retenue, refuser un traitement non nécessaire à l'exécution du contrat ne doit pas affecter le contrat ni le service.

La minimisation : ce que l'assistant n'a pas à lire

Les données doivent être, selon la CNIL, « pertinentes et strictement nécessaires au regard de l'objectif poursuivi par le traitement ». Dans un dossier, tout ne l'est pas. Si l'objectif est de comparer des garanties, l'outil n'a pas besoin du diagnostic du client : il lui faut un besoin (niveau de remboursement, hospitalisation, indemnités journalières). Si l'objectif est la prospection, la CNIL précise que les données sensibles ne sont pas nécessaires.

Le numéro de sécurité sociale (NIR) obéit à une règle propre : son utilisation doit être prévue par le décret « cadre NIR » du 19 avril 2019, faute de quoi elle est interdite. Les organismes d'assurance peuvent l'utiliser notamment pour la passation, la gestion et l'exécution des contrats ou la complémentaire santé. Ne le copiez pas dans un outil sans que son usage soit couvert.

Certaines données sont couvertes par le secret médical : elles exigent, ajoute la CNIL, des mesures techniques et organisationnelles spécifiques de confidentialité.

L'IA ne change pas la règle, elle ajoute des questions

La CNIL rappelle, à propos du règlement européen sur l'IA, qu'il ne remplace pas le RGPD et que celui-ci s'applique aux traitements de données personnelles, que le système d'IA soit ou non soumis au règlement. Pour un assistant utilisé dans le cabinet, cela donne cinq questions avant de lui confier des données de santé :

Où vont les données ? Pays, hébergeur, sous-traitants. Demandez la réponse écrite de l'éditeur.
Sont-elles réutilisées ? L'éditeur s'en sert-il pour entraîner ses modèles ? Le contrat doit le dire.
Quelle base légale ? Protection sociale ou consentement explicite : consignez-la.
Faut-il une analyse d'impact (AIPD) ? La CNIL indique que l'analyse d'impact est présumée requise pour les systèmes à haut risque au sens du règlement sur l'IA et peut s'appuyer sur la documentation de ce règlement. Pour un usage de cabinet, faites-vous confirmer le besoin.
Qui y a accès ? Limitez à ceux qui en ont besoin, et gardez une trace.

Pour savoir si un outil précis doit être hébergé chez un prestataire spécialement certifié pour les données de santé, la page de la CNIL que nous citons ne tranche pas : posez la question à l'éditeur et à votre juriste, et gardez la réponse.

Ce qui est raisonnable de faire avec l'IA

Travailler sur des documents sans données personnelles : notices, conditions générales, tableaux de garanties.
Anonymiser avant d'envoyer : un cas client décrit sans nom, sans date de naissance, sans diagnostic.
Garder la main sur les questionnaires de santé : leur contenu, leur collecte et leur conservation relèvent du distributeur et de l'assureur, pas d'un outil d'IA.

Check-list

Chaque contrat est-il classé « protection sociale » ou « consentement explicite » ?
La liste des données qui peuvent entrer dans l'assistant est-elle écrite ?
Le NIR est-il exclu des outils, sauf cas prévu ?
Le contrat de l'éditeur dit-il où sont les données et si elles sont réutilisées ?

Le règlement sur l'IA place par ailleurs certains systèmes d'évaluation des risques en assurance vie et en assurance maladie parmi les systèmes à haut risque : voir assurance vie, santé et haut risque. Pour la collecte des pièces et le devoir de conseil, voir recueil des besoins et IA.