Supprimer des données ?

Il y a une dizaine de jours, je participais à la conférence Sciences XXL, à l’INED, où nous parlions des utilisations des données massives en Sciences Sociales, et au même moment, j’ai découvert – en discutant avec plusieurs assureurs – qu’ils envisageaient de supprimer des données, de manière également massive. Quand on veut faire de l’économétrie de la finance, on peut utiliser des données de cours boursiers, qu’on peut trouver en ligne, ou – pour une granularité plus faible – acheter à des fournisseurs de données. Mais quand on fait de l’économétrie de l’assurance, avoir des données est plus compliqué. Dans mon tout premier cours d’assurance dommage, j’enseignais la théorie, faute de données. Depuis, j’ai réussi à récupérer des données. On a mis ces données dans un package R (casdatasets), et mieux: avec des jeux de données (prêtées par des assureurs) on a pu lancer notre troisième pricing game, qui devrait nous permettre de mieux comprendre la dynamique des marchés d’assurance.

Bref, j’ai été particulièrement surpris d’apprendre que des assureurs envisageaient de détruire des données (individuelles). J’avais entendu de tels propos lors qu’avec Arnaud on commencé à travaillé sur le risque de catastrophes naturelles, et qu’on essayait de mieux comprendre l’impact des tempêtes Lothar et Martin, en décembre 2009. En particulier, au commencement de nos recherches, nous voulions avoir un ordre de grandeur du nombre de polices d’assurance (multirisques habitation) dans un portefeuille, ou plutôt le taux de polices touchées, si possible avec une granularité spatiale assez faible. Des assureurs ont pu nous aider à avoir des ordres de grandeur, par département

mais d’autres nous ont dit qu’il serait difficile de retrouver les données, qui remontent à près de 20 ans. Voire impossible. Et c’est là qu’on a commencé à entendre parler de suppression de données personnelles. Et si les données n’ont pas été agrégées au niveau que l’on souhaite, c’est impossible de faire la requête, 20 ans après.

Pour remettre un peu de contexte, d’ici un an, un règlement européen devrait entrer en vigueur l’an prochain (le 25 mai 2018 pour être précis), après avoir été adopté en avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. Un point important est que ce règlement concerne les données collectées (et utilisées) par des entreprises privées ou des services relevant de l’administration publique. Pour simplifier, ces derniers seront appelés “producteurs de données”. Le grand principe est de “redonner aux citoyens le contrôle de leurs données personnelles”, autour des points suivants, pour reprendre la présentation d’Aude Roelly

  • principe de loyauté (données traitées de manière licite, loyale et transparente),
  • limitation des finalités (données collectées pour une finalité précise et légitime),
  • minimisation des données (collecte de données strictement limitées à ce qui est nécessaire au regard de la finalité du traitement),
  • exactitude (données exactes et à jour),
  • limitation de la conservation (données conservées pendant le temps strict nécessaire à la finalité du traitement),
  • intégrité et confidentialité (mesures garantissant la sécurité des données),
  • responsabilité du responsable du traitement (possibilité pour le responsable de démontrer le respect des obligations qui pèsent sur lui).

Si un droit d’effacement est mentionné, il est aussi fait mention d’un « traitement à des fins archivistiques », en lien avec un « intérêt public ». En particulier, l’article 89 est consacré aux garanties et dérogations applicables au traitement des données à des fins de recherche scientifique ou historique ou à des fins statistiques. On retrouve ici certains éléments qui rappellent une directive royale (belge) datant de 1995, qui évoquait une notion de « traitement ultérieur de données à caractère personnel à des fins historiques, statistiques ou scientifiques ». En effet, la législation interdit l’utilisation de données à caractère personnel à d’autres fins que celles pour lesquelles elles ont été collectées, l’exception étant des traitements (ultérieurs) effectués à des fins historiques, statistiques ou scientifiques. En principe, ce traitement de données à caractère personnel se fasait au moyen de données anonymes, mais il aurait possible d’utiliser des données codées afin de croiser des fichiers.

Autrement dit, le règlement dit RGPD reconnait un droit d’archivage des données. Voilà pour le contexe. Mais il convient de distinguer la valeur primaire des archives, et l’utilité secondaire des archives, correspondant à la recherche, comme me l’expliquaient Céline Guyon et Julien Benedetti. Une fois les données archivées, les “producteurs” ne peuvent plus y accéder, essentiellement parce qu’elles ne lui sont plus utiles pour assurer sa mission. Par exemple (je vais revenir à l’assurance car c’est le sujet qui m’intéresse le plus), on peut imaginer que l’assureur souhaite détruire des données d’assurés s’il n’a plus de risque de devoir les indemniser, un jour. En effet, l’article L 113-2 du Code des assurances impose à l’assuré de déclarer le sinistre à l’assureur dès qu’il en a connaissance (comme le rappelle l’Argus de l’Assurance), mais l’article suivant, l’article L.114-1, impose des délais, en notant que “toutes actions dérivant d’un contrat d’assurance sont prescrites par deux ans à compter de l’événement qui y donne naissance”. Bon, ce délai de deux ans fait l’objet de deux exceptions: “la prescription est portée à dix ans dans les contrats d’assurance sur la vie lorsque le bénéficiaire est une personne distincte du souscripteur et, dans les contrats d’assurance contre les accidents atteignant les personnes, lorsque les bénéficiaires sont les ayants droit de l’assuré décédé” (alinéa 4) et “pour les contrats d’assurance sur la vie… les actions du bénéficiaire sont prescrites au plus tard trente ans à compter du décès de l’assuré” (alinéa 5). Bref, on pourrait imaginer qu’un assureur détruise des informations relatives à leurs assurés (comme l’adresse de l’assuré) au bout d’un certain temps, car ces informations ne lui sont plus utiles pour la mission qui est la sienne (indemniser ses assurés). Mais il serait possible d’avoir un second usage, lié aux activités de recherche. C’est ce que nous essayons de faire.

En 2005, la CNIL avait noté que – pour des entreprises privées –  cette suppression des données pouvait être faite soit par destruction, soit par un dispositif d’archivage. Le cabinet d’avocats BRM avait alors analysé cette recommandation de la CNIL en détails, en particulier autour de la notion de “données définitives” (présentant un intérêt historique, scientifique ou statistique justifiant qu’elles ne fassent l’objet d’aucune destruction). Ces données personnelles peuvent alors être archivées, mais la CNIL recommande de mettre en oeuvre des procédures assurant l’anonymisation de ces données. Pour la petite histoire, cette conservation pour des traitements archivistiques n’était initialement pas prévu dans le règlement européen, et ce sont probablement les archivistes – et les généalogistes – qui ont permis d’avoir cette autorisation (on pourra consulter archivistes.org pour davantage d’information, en particulier sur la pétition qu’ils avaient soutenu en 2014). J’en parle car c’est précisément en nous tournant vers des généalogistes que nous avons pu obtenir des données qui devraient nous permettre de faire des modèles plus poussées de mortalité.

Bref, le contexte juridique ouvre la porte pour une sauvegarde des données personnelles à des fins de recherche. Pourtant, quand on discute avec des assureurs, on comprend rapidement que si les risques de contentieux ont des conséquences financières trop importantes, le calcul sera vite fait (surtout que le fait de conserver des données archivées aura un coût, et la valeur de ses archives n’existe qu’au yeux des chercheurs, peut être pas des producteurs de ces données). Julien m’expliquait qu’une entreprise de téléphonie avait fait le choix de détruire les factures de clients (hors gros contrat) car chaque contentieux possible serait sur des montants très faible, et le coût d’archivage n’est pas très clair. En outre, le règlement RGPD instaure un « droit à l’effacement » (aussi appelé « droit à l’oubli ») : une personne a le droit d’obtenir du responsable du traitement l’effacement de données à caractère personnel la concernant. Bref, les assureurs semblent se dire que conserver des données peut avoir un coût, mais aussi un risque important. Et le règlement RGPD donne aux régulateurs le pouvoir d’infliger des sanctions financières allant jusqu’à 4% du chiffre d’affaires mondial annuel d’une entreprise, ou 20 millions d’euros, en cas de non-respect du règlement.

Lorsque j’enseigne les règles techniques de calcul des provisions (pour sinistres à payer), je rappelle toujours qu’il exsite – au delà des règles mathématiques – des principes comptables qu’il convient d’avoir en mémoire deux principes importants

  • les provisions doivent être suffisamment importantes pour éviter un rappel à l’ordre des autorités de contrôle prudentiel,
  • les provisions doivent être suffisamment faibles pour éviter un rappel à l’ordre des autorités fiscales.

Le même grand écart semble arriver en matière de conservation des données, avec une obligation de conserver des données pour satisfaire leurs engagements, et une obligation de supprimer des données, afin de se conformer au droit relatif aux données personnelles. Mais ces données ont une valeur inestimables pour les chercheurs, et il faudrait faire davantage valoir le droit à l’archivage, tout en prenant garde que l’anonymisation (le règlement parle de “pseudonymisation”) ne détruise pas la possibilité de croiser des fichiers, ou simplement la possibilité de faire des études longitudinales, en suivant des individus au cour du temps.


3 thoughts on “Supprimer des données ?”

  1. La question du coût de l’archivage, et de qui doit l’assumer, est très intéressante. Penses tu possible d’imaginer que ce soit quelqu’un d’autre que l’assureur? Par exemple un labo universitaire ?

    1. j’ai l’impression que les compagnies pourraient l’assumer, si elles savent pouvoir les utiliser par la suite. Je commence à regarder le niveau de granularité pour aggréger pour (1) avoir des données utisables (à définir) (2) garantir les contraintes d’anonymisation

      à suivre donc

Leave a Reply

Your email address will not be published. Required fields are marked *