Malakoff Médéric, Humanis : Le Détournement Des Données Personnelles Dans Le Viseur De La CNIL

Plus qu’un coup de semonce, la CNIL a voulu frapper fort en mettant en demeure cinq sociétés des groupes Malakoff Médéric et Humanis qui utilisaient les données détenues dans le cadre leur activité de gestion des retraites complémentaires pour vendre des produits et services ciblés aux retraités.

La publicité faite à cette injonction témoigne de la sensibilité du sujet de la protection des données personnelles, qui plus est, quand elles sont détenues dans le cadre d’une mission d’intérêt général.

Une entreprise peut-elle utiliser les données personnelles qu’elle détient dans le cadre d’une mission d’intérêt général pour vendre des produits et des services connexes à cette mission ?

Non, affirme clairement la CNIL, en mettant en demeure cinq sociétés des groupes Malakoff Médéric et Humanis, qui gèrent les retraites complémentaires de 16 millions de salariés pour le compte de l’AGIRC et de l’ARRCO, de cesser cette pratique.

La CNIL les a enjoint de ne plus utiliser ces informations très personnelles à d’autres fins que celles pour lesquelles elles leur sont confiées, faisant une stricte application de l’obligation de respecter la finalité de la collecte (ou de la détention) des données personnelles.

C’est la nature de leur mission initiale, combinée avec la notoriété de ces entreprises, par ailleurs grandes communicantes, et l’ampleur du nombre de particuliers concernés par cette dérive (plusieurs centaines de milliers) qui conduit la Commission Nationale de l’Informatique et des Libertés à rendre publique cette mise en demeure.

Si cela ne constitue pas une sanction, la publicité de cette décision entame tout de même l’image de ces groupes.

Concrètement, ces entreprises ont un mois – délai déjà bien engagé – pour cesser ce détournement de données personnelles et se mettre en conformité avec la loi Informatique et Libertés, version pré et post-RGPD. Le contrôle de la CNIL ayant été effectué en février 2018, le RGPD n’était pas entré en application.

Mais les bases de données de ces sociétés n’étant à ce jour toujours pas conformes, selon les déclarations des sociétés concernées, et dès lors que le détournement de finalité de la collecte de données personnelles serait un délit continu, l’infraction pourrait alors désormais être sanctionnée au titre du RGPD, ainsi que sur le fondement de l’article 226-21 du code pénal.

Sur le fond, cette décision de la CNIL met aussi en lumière la question de la coresponsabilité des responsables de traitement de données. Elle pointe du doigt la nécessaire traçabilité des mécanismes intellectuels et informatiques qui permettent la circulation de ces datas particulièrement riches entre ces 5 entreprises, fussent-elles liées d’un point de vue capitalistique et/ou managérial.

Moralement, la position des sociétés des groupes Malakoff Médéric et Humanis est difficilement tenable. En cherchant à tirer la quintessence commerciale des données qui leur sont confiées pour une mission d’intérêt général, elles pratiquent un mélange des genres qui trahit la confiance des retraités dont elles sont les interlocuteurs à travers les associations AGIRC-ARRCO.

Une pratique qui pourrait également relever de la distorsion de concurrence vis-à-vis des autres gestionnaires de protection sociale et plus généralement de tous les acteurs de l’assurance privée.

Ce dossier est assez symptomatique des dérives qui ont conduit à l’adoption du Règlement général sur la protection des données. En l’espèce, c’est la question du respect de la finalité de la collecte des données qui est soulevée.

Par sa publicité, cette affaire alerte toutes les entreprises sur les conséquences du non respect des principes fondamentaux de la loi Informatique et Libertés, préexistants au RGPD mais largement renforcés et complétés par celui-ci depuis le 25 mai dernier.