Le Règlement général sur la protection des données (RGPD) est entré en vigueur le 25 mai 2018, abrogeant la Loi sur la protection des données à caractère personnel. Cette nouvelle législation sur la protection de la vie privée, également connue sous le nom de règlement général sur la protection des données (RGPD), s'applique dans tous les États membres de l'UE et garantit une politique uniforme en matière de protection des données. L'objectif de cette loi est de préserver la vie privée des citoyens et de les protéger de toute intrusion indésirable et illicite.
Voici, entre autres, ce que prévoit le RGPD :
Le RGPD s'applique à toute entreprise, du travailleur indépendant sans personne à la grande multinationale ; personne ne peut échapper au RGPD.
Les compagnies d'assurance traitent les données à caractère personnel conformément à la législation et à la réglementation en vigueur en matière de protection des données à caractère personnel. Avec ce Code de conduite des Assureurs pour le Traitement des Données à Caractère Personnel, les assureurs expriment l'importance qu'ils attachent au traitement transparent, sûr et attentif des données à caractère personnel dans leur secteur. Les assureurs respectent les dispositions de ce Code de conduite dans leurs politiques internes et externes de protection de la vie privée ainsi que dans la gestion de leur entreprise. Le Code de conduite s'applique également aux Agents Agréés.
Le RGPD définit les données à caractère personnel comme toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée la « personne concernée »). La personne concernée est donc la personne dont ou à propos de laquelle des données à caractère personnel sont traitées. Selon le RGPD, les données à caractère personnel sont toutes les informations concernant une personne. Si l'information concerne d'une quelconque manière une personne identifiable ou est liée à celle-ci, il s'agit de données à caractère personnel. Leur forme n'a pas d'importance. Il peut s'agir de données numériques ou de données sur papier. Les photos et les enregistrements vidéo de personnes sont également des données à caractère personnel.
Voici quelques exemples :
Nous constatons l'impact du RGPD sur plusieurs plans. L'un des plus importants est la responsabilité. Cela signifie que nous devons prouver, documents à l'appui, que des mesures organisationnelles et techniques adéquates ont été prises pour nous conformer au RGPD. Des outils sont par ailleurs mis à disposition pour faciliter l'application de la loi, notamment des dispositions types pour le transfert des données à caractère personnel.
Outre la responsabilité, d'autres éléments changent en raison de l'entrée en vigueur du RGPD :
Depuis l'entrée en vigueur du RGPD, la collecte de données à caractère personnel est limitée. Toutefois, cela ne signifie pas que nous ne pouvons plus utiliser les données des clients (potentiels). En principe, nous sommes autorisés à collecter et à traiter des données à caractère personnel dans les situations suivantes :
Bien entendu, dans chacune de ces situations, le traitement des données doit être effectué de manière sécurisée et conformément au RGPD. En outre, les personnes concernées ont le droit d'accéder, de modifier, d'oublier, de transférer les données et le droit à l'information.
Pour garantir notre conformité au RGPD, nous avons suivi les étapes suivantes :
Nous avons informé nos collaborateurs de la politique relative à la législation sur la protection de la vie privée et nous en avons déterminé l'impact par le biais d'une analyse de processus.
En vertu du RGPD, les personnes dont nous traitons les données ont davantage de droits en matière de protection de la vie privée. Nous avons pris des dispositions pour que nos clients puissent exercer ces droits, tels que le droit d'accès et/ou à l'effacement. Nous avons informé nos clients de leurs droits en matière de protection de la vie privée au moyen de notre déclaration de confidentialité.
Nous avons répertorié nos opérations de traitement des données dans le registre de traitement. Le registre de traitement nous permet de respecter nos obligations en matière de responsabilité.
Nous ne traitons pas de données présentant un risque élevé pour le respect de la vie privée. Par conséquent, il n'est pas nécessaire que nous recensions préalablement les risques que comporte le traitement des données pour la vie privée ni que nous évaluions les mesures nécessaires pour les limiter.
Lorsque nous développons des produits et des services, nous prenons en compte le traitement des données à caractère personnel dans le cadre du RGPD. Ce faisant, nous nous assurons que les moyens techniques que nous mettons en place ne collectent et ne traitent que les données à caractère personnel nécessaires à la réalisation de cet objectif.
Nous n'avons pas désigné de délégué officiel à la protection des données, car nous n'y sommes pas tenus par le RGPD. Cependant, nous avons tout de même désigné une personne au sein de notre organisation dont la tâche est de vérifier que nous collectons et traitons les données conformément au RGPD. Cette personne est « [à compléter] ».
Nous disposons d'une procédure en cas de fuite de données. Nos employés sont conscients que toute fuite de données doit être signalée et enregistrée dans le registre des fuites de données.
Nous coopérons avec des entreprises (tiers) qui traitent les données en notre nom en tant que responsable de traitement. Nous avons conclu une convention de traitement avec toutes ces entreprises. Ces conventions de traitement sont consignées dans le registre de traitement.
Nos bureaux ne sont pas établis dans plusieurs pays de l'UE. Nous ne devons donc pas déterminer qui est le contrôleur principal.
Nous demandons à nos clients l'autorisation de traiter leurs données à caractère personnel avant que ceux-ci ne souscrivent à une assurance. Au cours du processus de demande numérique, le client est informé du fait que nous traiterons ses données à caractère personnel et le client donne activement son consentement.