Un nouveau rapport du Government Accountability Office (GAO) avertit que les régimes de retraite des Américains pourraient partager ou vendre des informations personnelles pouvant servir à promouvoir des produits et services financiers, soulignant que la gestion courante des plans peut aussi impliquer, en coulisses, le traitement de données sensibles.

Plus de 126 millions d’Américains sont inscrits à des régimes de retraite parrainés par l’employeur, comme un compte 401(k) ou un compte similaire, et ces régimes détiennent plus de 9 000 milliards de dollars d’actifs, selon le GAO.

Ces régimes sont généralement administrés par des prestataires externes de services financiers. Le rapport indique que les employeurs partagent certaines informations personnellement identifiables avec des gestionnaires d’actifs, des prestataires de paie et des administrateurs de dossiers qui gèrent l’investissement et le traitement des cotisations.

Les données personnelles que les employeurs peuvent transmettre à ces prestataires peuvent inclure une date de naissance, un numéro de sécurité sociale, des numéros de compte, des soldes et d’autres informations.

Le GAO a indiqué que les prestataires peuvent utiliser ces données pour promouvoir des produits et services financiers et, dans certains cas, les vendre à des tiers, ce qui augmente le risque d’exposition involontaire.

L’analyse du GAO a examiné les divulgations de confidentialité de 31 prestataires. Parmi eux, 29 autorisaient explicitement le partage de données ou ne précisaient pas si les données des participants pouvaient être partagées à des fins de marketing.

Le rapport a également constaté que 17 des 31 prestataires de services financiers ne limitaient pas leur capacité à vendre les données des participants à des courtiers en données ou à d’autres tiers.

Par ailleurs, seuls 12 des 31 prestataires disposaient de divulgations de confidentialité permettant aux participants des régimes de refuser le partage de leurs données.

Le GAO a recommandé au Department of Labor de fournir des directives supplémentaires sur la confidentialité des données pour les participants, les sponsors et les prestataires de régimes de retraite.

En particulier, le GAO a indiqué que le secrétaire au Travail "devrait préciser quelles informations sur les participants doivent être considérées comme privées et dans quelles circonstances les prestataires de services devraient obtenir une autorisation écrite avant d’utiliser ou de partager ces informations".

"De telles directives pourraient également identifier les meilleures pratiques, notamment pour offrir aux participants individuels la possibilité, dans la mesure du possible, de choisir la manière dont leurs informations personnelles peuvent être utilisées, vendues ou partagées", a ajouté le GAO.

Le Department of Labor a déclaré en réponse qu’il "soutient pleinement l’objectif de protéger de manière appropriée les informations personnelles des participants et des bénéficiaires des régimes", tout en n’étant ni d’accord ni en désaccord avec les recommandations du rapport.

L’agence a renvoyé à ses directives de 2021 sur la cybersécurité, qui abordaient la confidentialité des données comme un élément des responsabilités fiduciaires des prestataires envers les participants aux régimes et précisaient que les contrats devaient exposer clairement l’obligation du prestataire de protéger les informations privées.

Le Department of Labor a ajouté que, même s’il estime que les directives de 2021 indiquent clairement aux fiduciaires qu’ils doivent intégrer les considérations de confidentialité des données dans leurs contrats, il "examinera attentivement, dans la mesure des ressources disponibles, si des directives complémentaires alignées sur la recommandation pourraient ou devraient être émises".

MOST AMERICANS STILL TRUST FINANCIAL ADVISORS OVER AI TOOLS FOR MAJOR MONEY DECISIONS, STUDY FINDS

AMERICANS' 401(K) BALANCES HIT RECORD LEVELS IN 2025

FIDELITY ESTIMATES RETIREES WILL SPEND $185,500 ON HEALTHCARE AND MEDICAL EXPENSES IN RETIREMENT