Archives par mot-clé : Protection des données

Assurance-maladie LAMal, Assurances privées LCA, Jurisprudence

9C_650/2021 (f) du 07.11.2022, destiné à la publication – Validité d’une réserve d’assurance rétroactive par l’assureur-maladie – 69 LAMal / Réticence / Organisation des caisses-maladie et régime légal de la protection des données

Laisser un commentaire

Arrêt du Tribunal fédéral 9C_650/2021 (f) du 07.11.2022, destiné à la publication

 

Consultable ici

 

Validité d’une réserve d’assurance rétroactive par l’assureur-maladie – Délai pour instituer une réserve / 69 LAMal

Signature d’une proposition d’assurance et accord au traitement des données personnelles de l’assuré, notamment tous les autres assureurs d’une holding (même groupe d’assureurs)

Réticence – Dies a quo de la connaissance par l’assureur – Pas d’imputation de la connaissance d’une information objectivement accessible au sein de son organisation

Organisation des caisses-maladie et régime légal de la protection des données

 

Assurée, employée comme infirmière à 80% auprès d’une clinique, assurée contre la perte de gain en cas de maladie par Mutuel Assurances (assurance selon la LCA).

Dans un rapport du 15.10.2017, le médecin traitant, spécialiste en médecine générale, a indiqué à la caisse-maladie que sa patiente était atteinte d’hydrocéphalie, ce diagnostic remontant à l’année 2014 environ; elle était limitée de manière intermittente par des céphalées et des vertiges devenant très gênants et présentait des phases d’incapacité entière de travail. Par la suite, il a mentionné que l’hydrocéphalie avait été diagnostiquée en mars 2017.

Entre-temps, l’assurée a commencé une activité accessoire d’infirmière indépendante à 20% depuis le début de l’année 2014. Afin de couvrir cette activité indépendante, elle a conclu une assurance individuelle facultative d’indemnités journalières selon la LAMal auprès d’Avenir Assurance le 13.09.2017, portant sur une indemnité journalière en cas de maladie de 50 fr. par jour, assortie d’un délai d’attente de sept jours pour les risques maladie et accident. Dans le document « Questionnaire de santé », l’assurée n’a pas indiqué de trouble de la santé. Entre autres réponses, elle a nié être alors (« actuellement ») ou avoir été en traitement au cours des cinq dernières années auprès d’un médecin ainsi que présenter des séquelles d’une maladie.

Le 29.08.2019, Avenir Assurance a reçu une déclaration d’incapacité de travail de l’assurée, selon laquelle elle avait travaillé la dernière fois le 15.03.2019 et était en incapacité de travail depuis le 16.03.2019 en raison d’une hydrocéphalie. Après avoir obtenu le 02.12.2019 l’autorisation de l’assurée pour traiter les données nécessaires à la détermination du droit aux prestations, notamment en requérant des informations auprès des autres assureurs sociaux ou privés, Avenir Assurance a obtenu le dossier médical de l’assurée de la part de Mutuel Assurances. Par décision du 09.01.2020, confirmée sur opposition, Avenir Assurance a institué une réserve rétroactive dès le 13.09.2017 pour hydrocéphalie et ses complications, en raison d’une réticence, ce pour une durée de cinq ans; elle a par ailleurs refusé toute indemnité pour l’incapacité de travail annoncée dès le 16.03.2019 et mis un terme au contrat d’assurance avec effet au 31.12.2019.

 

Procédure cantonale

Par jugement du 08.11.2021, admission du recours par le tribunal cantonal, annulant la décision sur opposition, renvoyant le dossier à Avenir Assurance pour « examen des autres conditions du droit aux indemnités journalières requises ».

 

TF

Consid. 4.1
La juridiction cantonale a constaté qu’au moment de son adhésion à Avenir Assurance, l’assurée avait passé sous silence des faits importants pour l’évaluation de son risque par l’assurance et manifestement commis une réticence. L’assurée avait ainsi omis d’indiquer qu’elle souffrait d’une hydrocéphalie (expliquant en grande partie les multiples maux récurrents dont elle souffrait depuis 2014 déjà), alors qu’elle ne pouvait ignorer cette atteinte et les répercussions de celle-ci depuis une IRM effectuée le 15.03.2017. Le fait qu’elle n’avait apparemment pas subi d’incapacité de travail durable avant mars 2019 en raison de cette maladie ne la dispensait pas de renseigner Avenir Assurance sur l’existence de ses problèmes de santé et les investigations prévues.

Quant au délai pour instituer une réserve – d’un an à compter du moment où l’assureur a eu ou aurait dû avoir connaissance de l’attitude répréhensible de l’assuré, mais au plus tard cinq ans depuis ledit comportement (ATF 110 V 308 consid. 2c) – la juridiction cantonale a retenu qu’il était échu au moment du prononcé de la décision du 09.01.2020. Selon elle, il convenait en application de l’arrêt 4A_294/2014 du 30 octobre 2014, de considérer que les rapports médicaux communiqués à Mutuel Assurances étaient réputés connus d’Avenir Assurance dès leur réception par la prénommée (soit le 25.10.2017, date à laquelle le rapport du médecin traitant du 15.10.2017 avait été transmis à Mutuel Assurances). En effet, les deux sociétés d’assurance avaient adopté une organisation et une administration communes et elles étaient donc autorisées à partager les données de leurs assurés communs. Les juges cantonaux ont conclu que la réserve devait être supprimée et Avenir Assurance être invitée à verser des prestations à l’assurée pour l’incapacité de travail survenue dès le 16.03.2019, sous réserve de la réalisation des autres conditions légales.

Consid. 4.2
Invoquant une violation de la LPD, Avenir Assurance reproche à la juridiction cantonale d’avoir retenu que deux assurances d’un même groupe pratiquant « toutes deux l’assurance-maladie sociale » sont autorisées à adopter une organisation unique et, partant, à partager les données de leurs assurés communs. Elle soutient qu’elle avait agi en tant qu’assureur perte de gain maladie selon la LAMal, tandis que Mutuel Assurances était intervenue en tant qu’assureur perte de gain maladie selon la LCA. Dès lors que l’assureur LAMal devait être considéré comme un tiers par rapport à un assureur LCA (même dans l’éventualité où les deux domaines étaient exploités par la même personne morale), les données médicales ne pouvaient pas être transmises au premier assureur sans motifs justificatifs. Or Mutuel Assurances n’avait pas été autorisée à lui transmettre des données avant que l’assurée n’eût donné son accord pour ce faire, le 02.12.2019. Imposer à Avenir Assurance de consulter les données de l’assurée recueillies par Mutuel Assurances avant cette date reviendrait à une violation de la LPD.

 

Consid. 5.1
En tant que la juridiction cantonale a considéré qu’Avenir Assurance et Mutuel Assurances étaient toutes deux des assurances pratiquant l’assurance-maladie sociale selon la LAMal, elle a procédé à une constatation manifestement inexacte des faits, qu’il convient de rectifier. Elle a apparemment confondu Mutuel Assurances SA (aujourd’hui radiée du registre du commerce), dont le but social était « l’exploitation des branches d’assurances non vie », et Mutuel Assurance Maladie SA, dont le but est de « pratiquer en tant que caisse-maladie au sens de l’art. 12 LAMal l’assurance-maladie obligatoire et l’assurance facultative d’indemnités journalières ». Selon les constatations cantonales, l’assurée était assurée auprès de Mutuel Assurances pour la perte de gain. Or cette assurance n’était pas une caisse-maladie au sens de l’art. 12 LAMal, qui aurait pratiqué l’assurance facultative d’indemnités journalières, mais elle était active dans le domaine des assurances (complémentaires) soumises à la LCA, dont l’assurance indemnité journalière, soit dans le domaine des assurances privées.

Consid. 5.2
L’assurée soutient qu’elle avait, par sa signature de la proposition d’assurance du 13.09.2017, donné son accord au traitement de ses données personnelles et délié notamment tous les autres assureurs du Groupe Mutuel Holding SA (dont faisaient partie les deux assureurs en cause) de leur obligation de garder le secret, ce dans le cadre de vérifications nécessaires en cas de soupçons de réticence ou de fraude. Aussi, Mutuel Assurances était-elle autorisée à transmettre des données la concernant à Avenir Assurance, sans atteinte à sa personnalité, conformément à l’art. 12 al. 3 LPD, selon lequel il n’y a en règle générale pas atteinte à la personnalité lorsque la personne concernée a rendu les données accessibles à tout un chacun et ne s’est pas opposée formellement au traitement.

Quoi qu’en dise l’assurée, on ne saurait considérer que l’autorisation à laquelle elle se réfère justifiait que Mutuel Assurances transmît les rapports médicaux la concernant à Avenir Assurance à la date du 25.10.2017, considérée comme déterminante par la juridiction cantonale. Si l’assurée a bien accepté peu auparavant de lever l’obligation des « autres assureurs membres du Groupe Mutuel, Association d’assureurs » de garder le secret envers Avenir Assurance (cf. « Déclaration du proposant » signée par l’assurée le 13.09.2017), son accord porte sur des cas dans lesquels il existe des soupçons de réticence ou de fraude. Or elle n’allègue pas qu’Avenir Assurance aurait dû soupçonner une réticence ou une fraude au moment où Mutuel Assurances a reçu le rapport médical du 15.10.2017, dix-jours plus tard, ce qui aurait pu justifier qu’Avenir Assurance sollicitât des renseignements auprès de Mutuel Assurances. A cette date, en l’absence de tout soupçon, Avenir Assurance n’avait pas à vérifier l’éventualité d’une réticence ou d’une fraude, pas plus qu’elle n’avait non plus à faire spontanément des recherches auprès de l’assureur privé, « pour toutes les questions posées en rapport avec le questionnaire médical en vue de la conclusion du contrat » (cf. déclaration précitée). La juridiction cantonale le reconnaît du reste lorsqu’elle retient qu’on ne peut exiger d’une caisse-maladie qu’elle procède sans autre indice spontanément, et dans chaque cas, à une enquête sur d’éventuelles maladies antérieures de l’intéressée ou sur les prestations d’assurance qui pourraient lui avoir été allouées précédemment. L’accord de l’assurée ne constituait dès lors pas une autorisation générale donnée à Avenir Assurance d’avoir accès à toutes les données recueillies à son sujet par Mutuel Assurances.

 

Consid. 5.3.1
Cela étant, la question qui se pose au regard des considérations de la juridiction cantonale est de savoir si Avenir Assurance doit se voir imputer la connaissance qu’avait Mutuel Assurances des faits concernant l’assurée. A cet égard, la juridiction cantonale a fondé l’imputation de la connaissance sur le critère de l’accessibilité, selon lequel la personne morale est censée connaître des faits ou disposer de renseignements dès que l’information correspondante est accessible au sein de son organisation (cf. arrêt 4A_294/2014 cité consid. 4 et les arrêts cités).

Selon la jurisprudence en effet, une personne morale dispose de la connaissance, déterminante sous l’angle juridique, d’un état de fait lorsque l’information correspondante est objectivement accessible au sein de son organisation (ATF 109 II 338 consid. 2b; arrêts 4A_614/2016 du 3 juillet 2017 consid. 6.3.1 et les arrêts cités; 9C_199/2008 du 19 novembre 2008 consid. 4.1 [SVR 2009 BVG n° 12 p. 37]; B 50/02 du 1er décembre 2003 consid. 3 [SVR 2004 BVG n° 15 p. 49]). A cet égard, ce sont les circonstances du cas concret qui permettent de décider si l’on peut imputer à l’ayant droit la connaissance de certains actes, dont certains de ses collaborateurs ont eu vent dans l’exercice de leurs fonctions (arrêt 4C.371/2005 du 2 mars 2006 consid. 3.1, in SJ 2007 I p. 7, avec la référence à l’ATF 109 II 338 consid. 2b-e). Ainsi, les faits dont la société mère a connaissance sont opposables à la société fille lorsque les deux entités juridiques disposent d’une banque de données électronique commune et emploient les mêmes collaborateurs (cf. arrêt 5C.104/2001 du 21 août 2001 consid. 4c/bb et les références).

Consid. 5.3.2
En l’occurrence, le critère de l’accessibilité des données ne saurait être appliqué en faisant abstraction de la position particulière d’Avenir Assurance en tant qu’assureur-maladie social. La caisse-maladie, en pratiquant l’assurance-maladie sociale (y compris l’assurance d’indemnités journalières au sens de l’art. 67 LAMal) remplit une tâche publique de la Confédération et est soumise à des règles plus strictes en matière de protection des données que les entreprises n’ayant pas une telle fonction (cf. Rapport du Conseil fédéral, du 18 décembre 2013, en réponse au postulat Heim [08.3493], Protection des données des patients et protection des assurés, p. 4; cf. aussi les critiques sur le critère de l’accessibilité en lien avec les obligations de secret de ANNICK FOURNIER, L’imputation de la connaissance, Genève/Zurich/Bâle 2021, n° 767 ss p. 250 ss et n° 800 p. 263). Nonobstant l’organisation commune d’Avenir Assurance et de Mutuel Assurances, qui sont des personnes morales distinctes l’une de l’autre, la seconde est, à l’égard de la première, un tiers au sens de l’art. 84a al. 5 LAMal (arrêt A-3548/2018 du Tribunal administratif fédéral du 19 mars 2019 consid. 4.8.2; UELI KIESER, Kommentar ATSG, 4e éd. 2020, ad art. 33 n° 23 s.; ANNE-SYLVIE DUPONT, La protection des données confiées aux assureurs, in La protection des données dans les relations de travail, 2017, p. 212). Or dans les rapports avec des tiers, les aspects liés au transfert et au traitement des informations, voire d’éventuelles limites légales de la transmission des informations ont aussi leur importance (cf. arrêt 4C.44/1998 du 28 septembre 1999 consid. 2d/aa et les références, in sic! 5/2000 p. 407; cf. aussi arrêt 4C.335/1999 du 25 août 2000 consid. 5b, in SJ 2001 I p. 186). Lorsque, comme en l’espèce – et à la différence de la situation jugée par l’arrêt 4A_294/2014 cité, dans laquelle le Tribunal fédéral a retenu que l’assureur privé a concrètement eu connaissance des données en cause de l’assureur-maladie social -, est en cause le comportement d’un assureur-maladie social, il y a lieu de prendre en considération les caractéristiques de l’organisation des caisses-maladie qui se doit d’être conciliable avec le régime légal de la protection des données, auxquelles celles-ci sont soumises en tant qu’organe fédéral au sens de l’art. 3 let. h LPD (sur ce dernier point ATF 133 V 359 consid. 6.4 et les références; arrêt A-3548/2018 cité consid. 4.5.5 et les références). Dans le cadre de son organisation, la caisse-maladie est tenue de respecter les règles légales et ne peut contraindre ses organes ou collaborateurs à violer la loi.

En matière de protection des données, l’assureur-maladie social n’est en droit de traiter de données sensibles – dont les données sur la santé (art. 3 let. c LPD) – que si une loi au sens formel le prévoit expressément (cf., de manière générale, l’art. 84 LAMal) ou si, exceptionnellement (et entre autres éventualités), la personne concernée y a consenti ou a rendu ses données accessibles à tout un chacun et ne s’est pas opposée formellement au traitement (art. 17 al. 2 let. c LPD). Il est tenu de prendre les mesures techniques et organisationnelles nécessaires pour garantir la protection des données (art. 84b LAMal; cf. aussi l’art. 7 al. 1 LPD). Dans ce cadre, il doit assurer que le traitement des données, y compris la collecte des données et leur exploitation (cf. art. 3 let. e LPD), soit effectué en conformité à la loi. Or, celle-ci interdit un échange d’informations général entre la caisse-maladie et une assurance complémentaire privée, même si elles appartiennent à un même groupe d’assureurs, que le transfert de données se fasse de l’assureur-maladie social à l’assureur privé ou dans l’autre sens (Message du Conseil fédéral, du 20 septembre 2013, concernant la modification de la loi fédérale sur l’assurance-maladie [Compensation des risques. Séparation de l’assurance de base et des assurances complémentaires], FF 2013 7135 ss, ch. 2 p. 7148 ad art. 13 al. 2 let. g P-LAMal). Une communication de ces données personnelles ne peut être envisagée qu’avec le consentement de la personne concernée (cf. art. 13 al. 1 LPD sur le consentement de l’intéressé et art. 84a al. 5 LAMal sur le transfert des données par la caisse-maladie au tiers), qui n’a pas été donné en l’espèce (consid. 5.2 supra). La référence que fait la juridiction cantonale à l’art. 84a al. 1 let. a et b LAMal (communication de données par l’assureur-maladie à d’autres organes d’application de la LAMal ou de la LSAMal [RS 832.12] et aux organes d’une autre assurance sociale) n’est pas pertinente, dès lors que le transfert de données ne concerne pas deux assureurs pratiquant tous deux l’assurance-maladie obligatoire.

Consid. 5.3.3
Par ailleurs, l’autorité de surveillance des assureurs-maladie sociaux exige de leur part de choisir et de mettre en place des voies de traitement des données séparées lorsque le recours aux mêmes flux de données personnelles pour l’assurance obligatoire des soins et pour les assurances régies par la LCA recèle un potentiel d’usage abusif (Circulaire n° 7.1 du 17 décembre 2015 de l’OFSP, Assureurs-maladie: organisation et processus conformes à la protection des données [aujourd’hui: Circulaire n° 7.1 du 20 décembre 2021, Surveillance par l’OFSP des domaines soumis aux dispositions de la LSAMal, de l’OSAMal, de la LAMal et de l’OAMal relatives à la protection des données], Annexe 2, p. 11; cf. aussi sur la nécessité d’un « mur de protection » des données à l’intérieur d’un groupe d’assureurs, GEBHARD EUGSTER, Krankenversicherung [E], in: Schweizerisches Bundesverwaltungsrecht [SBVR], Soziale Sicherheit, 3e éd. 2016, p. 871 n° 1551; YVONNE PRIEUR, Unzureichender Schutz der Gesundheitsdaten bei den Krankenversicherern, Jusletter du 18 février 2008, n° 4 ss).

A cet égard, Avenir Assurance fait valoir que les dossiers respectifs de l’assurée auprès d’elle et de Mutuel Assurances ont été enregistrés séparément sous des numéros différents et qu’ils sont traités par deux collaboratrices différentes qui n’ont pas un accès réciproque et systématique aux données de l’autre assureur, toute autre organisation violant les exigences de la LPD. Dans ces circonstances, rien n’indique que la collaboratrice chargée du traitement du dossier de l’assurée auprès d’Avenir Assurance aurait, en violation des règles en la matière, accédé spontanément aux données recueillies par Mutuel Assurances pour en prendre connaissance ou que celle-ci les aurait transmises et rendues ainsi accessibles à la caisse-maladie. On ne saurait donc admettre qu’Avenir Assurance a eu accès à l’information déterminante faisant partie des données de l’assurance privée, malgré leur organisation commune (cf. aussi l’art. 9 al. 1 let. g [en relation avec l’art. 20 al. 1 OLPD; RS 235.11], selon lequel les personnes autorisées ont accès uniquement aux données personnelles dont elles ont besoin pour accomplir leurs tâches). Il convient, en l’occurrence, de prendre en considération le fait que la collaboratrice d’Avenir Assurance chargée de la gestion du dossier de l’assurée n’avait en tout état de cause pas le droit d’accéder spontanément aux données concernant celle-ci aux mains de Mutuel Assurances; une imputation de la connaissance de données en cas de transfert illégal de celles-ci dans le domaine de l’assurance-maladie obligatoire apparaît problématique sous l’angle des obligations en matière de protection des données incombant à l’assureur-maladie social (cf. dans ce sens, de manière générale, FOURNIER, op. cit., n° 768 p. 251 et n° 1283 p. 414; HANS CASPAR VON DER CRONE/PATRICIA REICHMUTH, Aktuelle Rechtsprechung zum Aktienrecht, RSDA 4/2018, p. 413).

Consid. 5.3.4
Il suit de ce qui précède qu’Avenir Assurance n’a pas eu ou n’aurait pas dû avoir connaissance du rapport du médecin traitant du 15.10.2017 au moment où il a été transmis à Mutuel Assurances le 25.10.2017. Ce n’est qu’après avoir reçu l’autorisation de l’assurée, en décembre 2019, de requérir des renseignements auprès de tiers (procuration signée le 02.12.2019), dans le cadre de l’annonce du 29.08.2019 d’un arrêt de travail survenu en mars 2019, qu’Avenir Assurance a eu accès aux données recueillies par l’assurance privée (cf. « Dossier médical de Mutuel Assurances SA » produit par Avenir Assurance en instance cantonale), et donc pu avoir connaissance des faits dont elle pouvait déduire une situation de réticence. En conséquence, en décidant le 09.01.2020 d’émettre une réserve rétroactive en relation avec l’hydrocéphalie et ses complications dès le 13.09.2017 pour une durée de cinq ans, Avenir Assurance a agi dans le délai d’un an prévu par la jurisprudence (ATF 110 V 308 consid. 1; arrêt 9C_28/2007 du 22 juin 2007 consid. 2.2).

Pour le reste, l’assurée, dont la réponse porte exclusivement sur la violation de la LPD invoquée par Avenir Assurance, ne remet pas en cause les constatations de la juridiction cantonale sur l’existence d’une réticence en lien avec l’hydrocéphalie ainsi que sur le fait que c’est bien cette atteinte qui a provoqué l’incapacité de travail survenue dès le 16.03.2019. Compte tenu de ces constatations et de la validité de la réserve émise par Avenir Assurance, celle-ci n’a pas à allouer d’indemnités journalières en raison de cette incapacité de travail. Les conclusions d’Avenir Assurance tendant à l’annulation de l’arrêt entrepris sur ce point sont bien fondées.

 

Le TF admet le recours d’Avenir Assurance, annule le jugement cantonal portant sur l’obligation de la caisse-maladie de verser des prestations à l’assurée pour l’incapacité de travail survenue dès le 16.03.2019.

 

 

Arrêt 9C_650/2021 consultable ici

 

Jurisprudence

4A_518/2020 (f) du 25.08.2021 – Accès par l’employeur aux conversations privées sur le téléphone portable et messagerie électronique professionnels / Tort moral – Atteinte illicite à la personnalité du travailleur / Traitement de données personnelles au sens de l’art. 3 LPD par l’employeur / Respect des principes généraux de la LPD – Bonne foi et proportionnalité

Laisser un commentaire

Arrêt du Tribunal fédéral 4A_518/2020 (f) du 25.08.2021

 

Consultable ici

 

Accès par l’employeur 5 mois après le licenciement aux conversations privées sur le téléphone portable et messagerie électronique professionnels

Tort moral – Atteinte illicite à la personnalité du travailleur / 328 CO – 328b CO – 49 al. 1 CO

Traitement de données personnelles au sens de l’art. 3 LPD par l’employeur

Respect des principes généraux de la LPD – Bonne foi et proportionnalité

 

Procédure cantonale (arrêt CAPH/163/2020 – consultable ici)

La cour cantonale a écarté diverses pièces produites par l’employeuse, consistant qui en des conversations WhatsApp privées échangées sur le téléphone portable mis à disposition de l’employé, qui en des courriels intimes envoyés depuis sa messagerie professionnelle : il s’agissait de preuves obtenues en violation des art. 143bis al. 1 et 179novies CP, 328 et 328b CO, et 8 CEDH.

Les pièces n. 2 et 2bis consistaient en des courriels intimes que l’employé avait échangés, au moyen de sa messagerie professionnelle, avec une collègue intimement liée à lui. L’employeuse (qui n’avait pas interdit l’utilisation de la messagerie à des fins privées) y avait accédé sans l’autorisation de l’employé. Elle avait violé ses droits de la personnalité, de sorte que ces preuves avaient été obtenues illicitement.

S’agissant des autres pièces, l’employeuse, par l’entremise de la fille du directeur général D1.________, avait récupéré sans l’autorisation de l’employé des conversations WhatsApp privées qu’il avait échangées, via son téléphone portable, avec des proches et des collègues. Cette récupération était intervenue par le biais de son compte iCloud personnel protégé par un mot de passe. L’employeuse savait que l’employé utilisait son téléphone professionnel à des fins privées et l’avait autorisé à supprimer les données privées avant de le restituer; elle ne pouvait, sans violer le principe de la bonne foi, récupérer cinq mois plus tard ces données sans solliciter l’autorisation de celui-ci. Le procédé était en outre extrêmement intrusif. Il s’agissait aussi de moyens de preuve illicites.

Le litige s’inscrivant dans un contexte privé à caractère purement patrimonial, l’intérêt à la découverte de la vérité ne prévalait pas sur le droit de l’employé à la protection de sa personnalité.

La cour cantonale a alloué à l’employé une indemnité pour tort moral de 5’000 fr. motivée par la grave atteinte que l’employeuse avait portée à sa personnalité (art. 328 et 328b CO en lien avec l’art. 49 al. 1 CO). Son argumentation peut se résumer comme il suit:

Après le licenciement immédiat de l’employé, l’employeuse avait accédé sans autorisation aux conversations privées que celui-ci avait échangées avec autrui sur son téléphone portable et sa messagerie électronique professionnels.

Le contrat précisait certes que le téléphone portable ne devait être utilisé qu’à des fins professionnelles. L’intéressée savait néanmoins que l’employé en faisait aussi un usage privé puisqu’elle lui avait donné la possibilité de supprimer ses données privées avant de restituer l’appareil. Dans ce contexte, récupérer cinq mois plus tard, sans autorisation, les données du téléphone via le compte iCloud personnel de l’employé constituait non seulement une atteinte à la personnalité, mais aussi une violation du principe de la bonne foi. Quant à la messagerie professionnelle, l’employeuse n’avait pas interdit son utilisation à des fins privées et y avait également accédé sans autorisation alors que le contenu des messages était personnel. Ce faisant, elle avait derechef porté atteinte à la personnalité de l’employé.

L’employeuse entendait récolter des preuves susceptibles d’accabler l’employé. Or, d’autres méthodes moins intrusives lui eussent permis de sauvegarder ses intérêts, notamment en récoltant des informations auprès des employés qui avaient travaillé avec l’intimé et en demandant leur audition en tant que témoins.

D’un point de vue objectif, l’atteinte (illicite) à la personnalité était particulièrement grave. Les données obtenues ne relevaient pas seulement de la sphère privée de l’employé, mais aussi de sa sphère intime, notamment sexuelle. Qui plus est, l’employeuse avait eu accès à l’ensemble des conversations privées que l’employé avait échangées sur son téléphone portable professionnel durant les rapports de travail. Certaines données avaient même été portées à la connaissance de tiers tels que des employés de l’entreprise, des membres de la famille de D1.__ [directeur général de l’entreprise] ou des personnes ayant eu accès à la présente procédure, dont les employés de l’assurance chômage.

Sur le plan subjectif, l’atteinte subie par l’employé, déjà fragilisé psychologiquement par la résiliation des rapports de travail, était effectivement de nature à provoquer la forte souffrance morale qu’il disait avoir ressentie.

 

TF

L’employeur est tenu de protéger et respecter, dans les rapports de travail, la personnalité du travailleur (art. 328 al. 1 CO).

Il ne peut traiter des données concernant le travailleur que dans la mesure où elles portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l’exécution du contrat de travail. En outre, les dispositions de la loi fédérale sur la protection des données (LPD) sont applicables (art. 328b CO).

Selon l’art. 3 LPD, constituent des données (personnelles) toutes les informations se rapportant à une personne identifiée ou identifiable (let. a). Par traitement, il faut comprendre toute opération relative à des données personnelles – quels que soient les moyens et procédés utilisés – notamment la collecte, la conservation, l’exploitation, la modification, la communication, l’archivage ou la destruction de données (let. e).

Tout traitement de données doit être licite, et effectué conformément aux principes de la bonne foi et de la proportionnalité (art. 4 al. 1 et 2 LPD).

Une atteinte à la personnalité est illicite à moins d’être justifiée par le consentement de la victime, par un intérêt prépondérant privé ou public, ou par la loi (art. 13 al. 1 LPD; cf. aussi art. 28 al. 2 CC).

 

Traitement de données personnelles au sens de l’art. 3 LPD

Les informations/données visées par l’art. 3 let. a LPD peuvent consister en des constatations de fait ou en des jugements de valeur se rapportant à une personne identifiée ou identifiable. Peu importe la forme des données (signe, mot, image, son ou une combinaison de ces éléments) et le support sur lequel elles reposent (matériel ou électronique) (cf. entre autres PORTMANN/RUDOLPH, in Basler Kommentar [Obligationenrecht I], 7e éd. 2020, n° 3 ad art. 328b CO; GABOR BLECHTA, in Basler Kommentar [Datenschutzgesetz], 3e éd. 2014, n° 6 ad art. 3 LPD; PHILIPPE MEIER, Protection des données, 2011, n° 422). Constituent ainsi des données au sens de l’art. 328b CO tous les renseignements, indications ou notes concernant la personne du travailleur, ses relations et ses activités, qu’elles portent sur sa vie privée ou professionnelle (MEIER, op. cit., n° 2031).

Quant à la notion de traitement, qui est très large comme le montre la définition légale précitée, il est admis qu’elle vise notamment la démarche de l’employeur qui prend intentionnellement connaissance (ou collecte) des données personnelles d’un de ses employés. La simple transmission de données personnelles constitue une communication au sens de l’art. 3 let. f LPD,et partant un traitement de données selon l’art. 3 let. e LPD (arrêt 4A_661/2016 du 31 août 2017 consid. 3.1).

A l’aune de ces précisions, l’employeur conteste sans succès que l’accession à des messages que l’employé avait échangés avec des tiers sur son téléphone portable et sa messagerie électronique professionnels, respectivement leur prise de connaissance et leur transmission à autrui constituent un traitement de données personnelles au sens de l’art. 3 LPD (cf. PETER HAFNER, Auswertung der E-Mails von Arbeitnehmern, PJA 2018 p. 1328 et 1329 point III/A).

 

Atteinte illicite à la personnalité du travailleur

Se pose ensuite la question de savoir si ce traitement constitue une atteinte illicite à la personnalité du travailleur, étant entendu que la protection de l’art. 328b CO peut s’exercer même après la fin des rapports de travail (ATF 131 V 298 consid. 6.1 i.f. p. 304).

Les droits de la personnalité d’une personne physique englobent le droit au respect de la vie privée, qui comprend une sphère privée et une sphère intime. En font parties les informations de nature personnelle transmises au moyen de la messagerie électronique. L’irruption d’un tiers dans cette sphère, notamment pour rassembler des informations, constitue une atteinte à la personnalité (ATF 130 III 28 consid. 4.2 p. 33). En l’occurrence, la nature privée, et parfois même intime, des messages consultés n’est pas contestée, de sorte qu’il n’y a guère de quoi disputer l’atteinte à la sphère privée de l’intéressé (cf. arrêt 4A_465/2012 du 10 décembre 2012 consid. 3.2 ab initio). Le cœur du litige porte bien plutôt sur la licéité de cette atteinte.

Il existe des dissensions doctrinales sur la nature et la portée de l’art. 328b CO (cf. le résumé de la querelle présenté par HAFNER, op. cit., p. 1330; JEAN-PHILIPPE DUNAND, Commentaire du contrat de travail, 2013, n° 4 ad art. 328b CO; MEIER, op. cit., nos 2032 ss; ROSENTHAL/JÖHRI, in Handkommentar zum Datenschutzgesetz, 2008, nos 3 ss ad art. 328b CO). Pour la majorité toutefois, cette norme concrétise les principes de proportionnalité et de finalité ancrés à l’art. 4 al. 2 et 3 LPD (cf. entre autres HAFNER, op. cit., p. 1330; MEIER, op. cit., n° 2037; Message du 23 mars 1988 concernant la loi fédérale sur la protection des données, FF 1988 II 494).

Cela étant, le Tribunal fédéral a précisé que l’art. 328b CO introduit une présomption de licéité du traitement de données lorsqu’elles «portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l’exécution du contrat» (ATF 130 II 425 consid. 3.3 p. 434). Le traitement de données est en principe licite lorsqu’il est en relation directe avec la conclusion ou l’exécution d’un contrat. L’art. 328b CO concrétise ce fait justificatif dans le domaine des rapports de travail en désignant deux situations qui autorisent a priori le traitement de données (GABRIEL AUBERT, La protection des données dans les rapports de travail, in Journée 1995 de droit du travail et de la sécurité sociale, 1999, p. 150).

De façon générale, la doctrine admet qu’un traitement de données s’inscrivant dans le champ de l’art. 328b CO (i.e. a priori licite) doit néanmoins respecter les principes généraux de la LPD, en particulier la bonne foi et la proportionnalité (HAFNER, op. cit., p. 1330 i.f.et 1334; DUNAND op. cit., nos 13 et 34 ad art. 328b CO; STREIFF ET ALII, Arbeitsvertrag, Praxiskommentar zu Art. 319-362 OR, 7e éd. 2012, p. 583 n. 7 et p. 621 n. 18; MEIER, op. cit., no 2055; REHBINDER/STÖCKLI, Berner Kommentar, 2010, n° 7 ad art. 328b CO; ADRIAN STAEHELIN, Zürcher Kommentar, 4e éd. 2006, nos 1 et 8 ad art. 328b CO; AUBERT, op. cit., p. 150 i.f.; cf. aussi ATF 130 II 425 consid. 3.3 p. 434). Ce dernier principe commande de mettre en balance l’intérêt de l’auteur du traitement des données et celui de la personne concernée par ce traitement (cf. par ex. MEIER, op. cit., n° 665 s.). Lorsque le traitement de données n’entre pas dans le cadre de l’art. 328b CO, il est présumé illicite et doit pouvoir se fonder sur un autre motif justificatif au sens de l’art. 13 LPD (PORTMANN/RUDOLPH, op. cit., nos 7 et 23 ad art. 328b CO; DUNAND, op. cit., n° 25 ad art. 328b CO; MEIER, op. cit., nos 2056 et 2060; SUBILIA/DUC, Droit du travail, 2010, nos 20 ss ad art. 328b CO; REHBINDER/STÖCKLI, op. cit., n° 11 ad art. 328b CO; ROSENTHAL/JÖHRI, op. cit., nos 12-14 ad art. 328b CO; AUBERT, op. cit., p. 151; cf. aussi l’arrêt 4A_588/2018 du 27 juin 2019 consid. 4.3.1; contra STREIFF ET ALII, op. cit., p. 579 n. 3).

La doctrine est encline à distinguer selon que l’employeur a interdit, autorisé ou toléré l’utilisation de la messagerie électronique et du téléphone portable professionnels à des fins privées. La marge de manœuvre de l’employeur serait plus large lorsqu’il a interdit l’utilisation privée de ces moyens de communication, parce qu’il est alors légitimé à contrôler si l’employé respecte ses directives (cf. DUNAND, op. cit., nos 82 ss ad art. 328b CO; STREIFF ET ALII, op. cit., p. 621-623 n. 18; GABRIEL AUBERT, in Commentaire romand [Code des obligations I], 2e éd. 2012, nos 8-9 ad art. 328b CO; MEIER, op. cit., nos 2170 ss; BERTIL COTTIER, La protection des données, in Internet au lieu de travail, 2004, p. 100 s.; cf. en outre le Guide du Préposé fédéral à la protection des données destiné à l’économie privée, «relatif à la surveillance de l’utilisation d’Internet et du courrier électronique au lieu de travail» [état: septembre 2013], accessible sur le site Internet www.edoeb.admin.ch, spéc. points B.5.4 et B.5.7). Des limites doivent être posées (STREIFF ET ALII, op. cit., p. 622). D’aucuns précisent que même en cas d’interdiction, l’employeur doit en principe s’abstenir de prendre connaissance du contenu des courriels privés ou des conversations téléphoniques privées de l’employé (DUNAND, op. cit., nos 83 i.f., 96 et 103 ad art. 328b CO; MEIER, op. cit., n° 2176, qui concède l’aspect artificiel de cette prescription; ROSENTHAL/JÖHRI, op. cit., no 64 ad art. 328b CO).

En l’occurrence, l’employeuse insiste sur le fait que les messages WhatsApp et les courriers électroniques ont été échangés sur des supports professionnels (téléphone portable et ordinateur) qu’elle avait mis à disposition de l’employé. Elle semble ainsi soutenir entre les lignes que le traitement de ces données s’inscrivait dans le cadre autorisé par l’art. 328b CO, en tant qu’il devait établir les aptitudes du travailleur à remplir son emploi ou s’avérait nécessaire à l’exécution du contrat de travail. Ces données – qu’elle distille dans son recours – démontreraient que l’employé n’effectuait pas les heures supplémentaires prétendues et mettraient en relief son incapacité à «manager» du personnel.

La doctrine semble encline à interpréter largement la notion de données «nécessaires à l’exécution du contrat de travail». Plusieurs auteurs indiquent que sont notamment visées les données nécessaires à la conduite d’un procès portant sur un litige relatif aux rapports de travail (PORTMANN/RUDOLPH, op. cit., n° 9 ad art. 328b CO; JÜRG BRÜHWILER, Einzelarbeitsvertrag, 3e éd. 2014, n° 2 ad art. 328b CO; STREIFF ET ALII, op. cit., p. 583 n. 6 i.f.; MEIER, op. cit., nos 2072 i.f.et 2131; ROSENTHAL/JÖHRI, op. cit., no 27 ad art. 328b CO, qui mentionnent le cas d’une recherche dans les e-mails privés de l’employé; STAEHELIN, op. cit., n° 6 ad art. 328b CO). Toutefois, lors même que l’accession aux messages privés et leur consultation s’inscriraient dans le champ d’activités a priori autorisées par l’art. 328b CO, ces traitements de données restent assujettis aux principes généraux de la LPD.

Il a été constaté en fait que l’employeuse était mue par le souci de trouver des preuves susceptibles d’accabler l’employé. Elle avait successivement notifié deux résiliations de contrat, l’une ordinaire, l’autre avec effet immédiat, et par deux fois l’employé avait manifesté son opposition; dans un possible accès de rage, il avait annoncé son intention de lui «pourrir la vie» et déclaré vouloir invalider l’avenant d’octobre 2016 relatif au délai de congé. Un procès était dès lors prévisible, et l’employeuse devait bien s’attendre à ce que l’ex-employé émette des prétentions pécuniaires. En revanche, un intérêt à protéger les autres employés ne pouvait guère être revendiqué puisque les rapports de travail avaient pris fin.

Selon la doctrine précitée, la nécessité de recueillir des preuves en prévision d’un procès portant sur la fin des rapports de travail peut entrer dans le champ de l’art. 328b CO.

L’autorité cantonale a toutefois jugé qu’il existait d’autres moyens d’investigation moins intrusifs permettant d’atteindre le but recherché par l’employeuse, qui pouvait notamment recueillir des renseignements auprès des employés et les faire auditionner comme témoins. Ce faisant, elle a brandi le principe de proportionnalité et soupesé les intérêts en cause, considérant que celui de l’employeuse à récolter des preuves pour se défendre n’était pas prépondérant dans cette affaire de nature patrimoniale et ne justifiait pas pareille intrusion dans la vie intime de l’intéressé.

Dans les circonstances d’espèce, il faut bien admettre que la Cour de justice n’a pas enfreint le droit fédéral en tirant une telle conclusion, ni abusé de son pouvoir d’appréciation. En jetant en pâture jusque dans son recours des pans de la vie intime de l’employé pour défendre ses intérêts financiers, l’employeuse ne réussit qu’à démontrer son absence totale d’égard pour la personnalité de l’employé.

 

Indemnité pour tort moral

Le salarié victime d’une atteinte à la personnalité contraire à l’art. 328 CO (respectivement à l’art. 328b CO) du fait de son employeur peut, le cas échéant, prétendre à une indemnité pour tort moral aux conditions fixées par l’art. 49 al. 1 CO (ATF 130 III 699 consid. 5.1 p. 704; arrêt précité 4A_465/2012 consid. 3.2).

Selon cette disposition, celui qui subit une atteinte illicite à sa personnalité a droit à une somme d’argent à titre de réparation morale, pour autant que la gravité de l’atteinte le justifie et que l’auteur ne lui ait pas donné satisfaction autrement. N’importe quelle atteinte légère à la réputation professionnelle, économique ou sociale d’une personne ne justifie pas une réparation (ATF 130 III 699 consid. 5.1 p. 704; 125 III 70 consid. 3a p. 75). L’atteinte doit avoir une certaine gravité objective et doit avoir été ressentie par la victime, subjectivement, comme une souffrance morale suffisamment forte pour qu’il apparaisse légitime qu’une personne, dans ces circonstances, s’adresse au juge pour obtenir réparation (arrêt précité 4A_465/2012 consid. 3.2; arrêt 4A_665/2010 du 1er mars 2011 consid. 6.1).

En l’espèce, la gravité de l’atteinte a été suffisamment soulignée par la cour cantonale. Quant à la souffrance morale de l’employé, elle est d’autant plus évidente que l’employeuse ne lui a pas épargné l’étalage des détails de sa vie intime dans le contexte de la présente procédure. Le fait que l’intéressé ait adopté des comportements importuns à caractère sexuel sur son lieu de travail avant la résiliation de son contrat ne le prive pas pour autant du droit au respect de sa sphère privée et intime. L’employeuse a beau jeu de prétendre que la femme et le fils de son directeur général (D1.__) avaient le droit d’être informés par le menu, à mesure qu’ils seraient eux-mêmes victimes d’atteinte à l’honneur: elle ne saurait légitimer a posteriori son intrusion par ce qu’elle prétend avoir découvert ou l’interprétation qu’elle en livre. Quant aux employés de la caisse de chômage qui n’auraient, à l’en croire et de manière quasi certaine, même pas consulté le dossier, et donc pas pris connaissance des éléments touchant à la vie intime de l’employé, ce ne sont certes pas les descriptions qui jalonnent les écritures de l’employeuse qui sont aptes à les en dissuader. C’est donc à bon droit que la cour cantonale a condamné l’employeuse à payer à l’employé une indemnité pour tort moral dont le montant – incontesté en tant que tel – doit être confirmé.

 

 

Arrêt 4A_518/2020 consultable ici

 

 

News - Informations

Ouverture de la consultation concernant la révision de l’ordonnance sur la protection des données

Laisser un commentaire

Ouverture de la consultation concernant la révision de l’ordonnance sur la protection des données

 

Communiqué de presse de l’OFJ du 23.06.2021 consultable ici

 

Le Parlement a adopté la nouvelle loi sur la protection des données (nLPD) lors de sa session d’automne 2020. En vue de son entrée en vigueur, l’ordonnance relative à la loi sur la protection des données (OLPD) a dû être adaptée. Le Conseil fédéral a ouvert la procédure de consultation à l’occasion de la séance du 23 juin 2021. Elle court jusqu’au 14 octobre 2021.

La révision totale de la LPD permettra d’assurer une meilleure protection des données personnelles. Les dispositions sont adaptées aux avancées technologiques. Les droits des personnes vis-à-vis de leurs données ainsi que la transparence sur la façon dont elles sont collectées sont améliorés. De nouvelles dispositions garantissent la compatibilité avec le droit européen permettant ainsi à la Suisse de ratifier la version modernisée de la convention 108 du Conseil de l’Europe sur la protection des données. Ces modifications sont importantes pour que l’UE continue de reconnaître la Suisse comme un État tiers ayant un niveau de protection des données adéquat et que l’échange de données transfrontière reste possible.

Il a fallu concrétiser de nombreuses dispositions de la nLPD dans l’ordonnance. Ces adaptations doivent être effectuées pour que la loi puisse entrer en vigueur. Les modifications concernent les exigences minimales en matière de sécurité des données, les modalités du devoir d’informer, du droit d’accès aux données ainsi que l’annonce des violations de la sécurité des données. Des exceptions à l’obligation de tenir un registre des activités de traitement des données sont prévues pour les entreprises qui comptent moins de 250 employés. En outre, l’ordonnance précise les critères permettant la communication de données personnelles à l’étranger : le Conseil fédéral devra définir si un État garantit un niveau de protection adéquat ou non. D’autres adaptations sont apportées au niveau des dispositions relatives au Préposé fédéral à la protection des données et à la transparence, dont le rôle et l’indépendance sont renforcés dans la nLPD. Enfin, les tâches des conseillers à la protection des données au sein de l’administration fédérale sont précisées.

La consultation s’achèvera le 14 octobre 2021 et l’ordonnance devrait entrer en vigueur au deuxième semestre 2022, en même temps que la nLPD. Le Conseil fédéral communiquera la date exacte en temps voulu. La Suisse ratifiera aussi la nouvelle version de la convention 108 du Conseil de l’Europe à la même date.

 

 

Communiqué de presse de l’OFJ du 23.06.2021 consultable ici

Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données – Rapport explicatif relatif à la procédure de consultation, 23.06.2021, disponible ici

Tableau comparatif P-OLPD – OLPD – nLPD, 23.06.2021, disponible ici

Site internet du Conseil de l’Europe, Convention 108 et Protocoles, consultable ici

 

 

News - Informations

Révision de la loi sur la protection des données : le profilage divise encore les chambres fédérales

Laisser un commentaire

Révision de la loi sur la protection des données : le profilage divise encore les chambres fédérales

 

Communiqué de presse du Parlement du 05.03.2020 consultable ici

 

La révision de la loi sur la protection des données butte encore sur le profilage. Le National a rejeté jeudi une proposition des sénateurs pour une protection stricte des données des citoyens.

Le Conseil des Etats voulait corriger la version assez libérale choisie par le Conseil national. Il demandait une garantie de protection si le profilage à partir des données personnelles entraînait un risque « élevé » pour le citoyen. La gauche et les Vert’libéraux n’ont pas réussi à rallier la Chambre du peuple à ce concept.

Avec cette définition, les risques seraient différenciés. Les données transmises à une librairie pour lui permettre de cibler des ouvrages pour ses clients seraient considérées comme peu sensibles. En revanche, chacun se rappelle l’indignation qu’avait suscité le profilage pratiqué par les CFF, a rappelé Beat Flach (PVL/AG).

Il ne s’agit pas d’interdire le profilage, mais de savoir à quel moment il faut l’accord express des personnes pour le traitement de leurs données, a ajouté Cédric Wermuth (PS/AG). La question du profilage est au cœur de ce projet. En renonçant à la version du Conseil des Etats, on abaisse le niveau actuel de protection des données à l’heure même du Big Data », a mis en garde Balthasar Glättli (Verts/ZH).

 

Pas de « swiss finish »

En vain. Le PLR, le PDC et l’UDC ont rejeté la proposition des sénateurs. Avec cette définition restrictive, pratiquement tout traitement de données tomberait sous le coup du Règlement général pour la protection des données (RGPD) adopté par l’UE en novembre 2018. Ce serait du « swiss finish », a relevé Marco Romano (PDC/TI) pour qui la loi ne doit pas générer davantage d’interventionnisme.

Le PLR, le PDC et le PVL ont finalement opté pour un compromis. La protection serait garantie en cas de « profilage aboutissant à des données personnelles sensibles ». Au vote, cette proposition a passé par 65 voix contre 57 et 65 abstentions issues du PS et des Verts.

La conseillère fédérale Karin Keller-Sutter a cependant rappelé que le traitement de données sensibles était déjà réglé dans le droit actuel. Et pour Balthasar Glättli (Verts/ZH), cette définition est une coquille vide.

 

Evaluation de la solvabilité

Les députés ont également refusé la solution du Conseil des Etats au sujet des données sur la solvabilité. La gauche a vainement plaidé pour qu’on dise au citoyen si ses données sont utilisées pour évaluer sa solvabilité.

Par 105 voix contre 83, la droite l’a également emporté pour que les données puissent remonter à dix ans et non cinq comme l’aurait souhaité le Conseil fédéral. « Dix ans, c’est long. Beaucoup de choses peuvent avoir changé entretemps », a plaidé la ministre de la justice.

D’autres divergences sont encore sur la table. Parmi les données personnelles à protéger, le National ne veut protéger que les données génétiques permettant d’identifier une personne sans équivoque. Beat Flach (PVL/AG) a pourtant répété que les données génétiques sont par définition sensibles.

La protection des mineurs est quant à elle garantie. Les personnes dont les données seront traitées devront être majeures. Il n’y aura pas d’obligation d’informer les personnes de tous leurs droits. Les responsables du traitement ne pourront pas invoquer des efforts disproportionnés pour ne pas informer. En revanche, les entreprises bénéficieront de règles plus souples pour l’échange de données internes entre elles.

 

D’ici au 20.05.2020

La révision de loi vise à obtenir la reconnaissance par l’UE de l’équivalence en matière de protection des données et à remplir les exigences de la convention 108 du Conseil de l’Europe. La Suisse a jusqu’au 20 mai pour s’aligner sur l’Europe. La loi sera donc au menu de la session spéciale les 4 et 5 mai.

Sans équivalence, les entreprises seront contraintes de prouver au cas par cas qu’elles garantissent la protection des données. Pour éviter cette perspective coûteuse, la loi contient plusieurs dispositions pour se conformer aux standards européens.

Gregor Rutz (UDC/ZH) n’a d’ailleurs pas manqué de regretter une reprise intégrale du RGPD dans le droit suisse. « En voulant strictement protéger les données des citoyens, on s’empêtre dans des contradictions sans fin », a-t-il dit.

La balle retourne dans le camp du Conseil des Etats.

 

 

Communiqué de presse du Parlement du 05.03.2020 consultable ici

 

 

Assurance-vieillesse AVS, News - Informations

Utilisation accrue du numéro AVS pour rationaliser les procédures administratives

Laisser un commentaire

Utilisation accrue du numéro AVS pour rationaliser les procédures administratives

 

Communiqué de presse de l’OFAS du 30.10.2019 consultable ici

 

Le Conseil fédéral veut rendre plus efficaces les procédures administratives en étendant l’utilisation contrôlée du numéro AVS. Lors de sa séance du 30 octobre 2019, il a adopté le message relatif à une modification de la loi fédérale sur l’assurance-vieillesse et survivants (LAVS) en ce sens. Les nouvelles dispositions habiliteront les autorités à utiliser le numéro AVS de manière générale. Une réglementation stricte garantira la protection des données et la sécurité de l’information. Une nette majorité des participants à la consultation se sont prononcés en faveur de cette modification de loi.

Le Conseil fédéral entend répondre aux souhaits de la Confédération, des cantons et des communes d‘utiliser davantage le numéro AVS dans l’accomplissement de leurs tâches administratives. À cette fin, il a adopté une modification de la LAVS qu’il soumet au Parlement. Celle-ci prévoit que les autorités pourront utiliser systématiquement le numéro AVS pour leurs tâches légales. Par contre, les institutions qui, sans avoir le caractère d’une autorité, sont chargées d’un mandat public ne pourront l’utiliser que si une loi les y autorise.

 

Des procédures administratives plus efficaces et moins coûteuses grâce au numéro AVS

L’utilisation systématique du numéro AVS comme identifiant permet de mettre à jour de manière automatique, précise et rapide les attributs personnels tels que nom de famille, prénom ou état civil. Le travail administratif en lien avec les banques de données s’en trouve réduit. En effet, un seul attribut d’identification permet de saisir correctement les données associées à un titulaire, même si, par exemple, il porte le même nom et le même prénom qu’une autre personne ou que son nom est orthographié de plusieurs manières. Cela permet d’éviter non seulement des corrections coûteuses, mais encore les conséquences fâcheuses d’une confusion.

 

Mesures efficaces pour protéger les données et garantir la sécurité des informations

Même si le numéro AVS est utilisé à plus large échelle, la sécurité des systèmes d’information de la Confédération, des cantons, des communes ou des autres utilisateurs visés par une loi spéciale restera garantie. Quiconque sera autorisé à l’utiliser devra garantir la protection des données et la sécurité de l’information. L’accès aux banques de données devra être sécurisé de manière optimale, en particulier par une limitation des droits d’accès, l’authentification des personnes ayant accès aux données, la sécurisation des modes de transmission, un cryptage, des protections antivirus et des pare-feu. Les principaux processus des systèmes informatiques devront être documentés et évalués.

La modification de loi n’entraînera pas de multiplication des appariements de données provenant de différentes banques de données, car les exigences légales rigoureuses imposées pour ces procédés restent en place.

 

Le numéro AVS anonyme est déjà très utilisé

Le numéro AVS est utilisé aujourd’hui déjà comme identifiant personnel, en particulier dans les assurances sociales. Il peut également être utilisé en dehors des assurances sociales, à condition qu’un tel usage soit expressément prévu dans une base légale fédérale, cantonale ou communale. Pour chaque champ d’application, celle-ci doit préciser qui peut recourir au numéro AVS et à quelle fin. L’utilisation du numéro AVS doit être signalée à la Centrale de compensation du 1er pilier. Depuis que le numéro AVS à treize chiffres a été mis en place, en 2008, son utilisation en dehors du système de sécurité sociale a beaucoup augmenté.

Contrairement à l’ancien numéro, il constitue un identifiant qui ne renferme aucune information sur la personne qui le détient. Généré par un processus aléatoire, il est unique et attribué une fois pour toutes.

 

 

Communiqué de presse de l’OFAS du 30.10.2019 consultable ici

Utilisation systématique du numéro AVS par les autorités – Rapport du 30.10.2019 sur les résultats de la consultation disponible ici

Message du Conseil fédéral relatif à la modification de la loi fédérale sur l’assurance-vieillesse et survivants (utilisation systématique du numéro AVS par les autorités) paru in FF 2019 6955

Projet de modification de la LAVS paru in FF 2019 6993

Fiche d’information du 30.10.2019 « Utilisation accrue du numéro AVS : les données seront-elles moins bien protégées ? » disponible ici

 

 

Jurisprudence

6B_1188/2018 (d) du 26.09.2019, destiné à la publication – Condamnation fondée sur les enregistrements d’une dashcam : le recours de la conductrice est admis

Laisser un commentaire

Arrêt du Tribunal fédéral 6B_1188/2018 (d) du 26.09.2019, destiné à la publication

 

Arrêt consultable ici

Communiqué de presse du TF du 10.10.2019 disponible ici

 

Le Tribunal fédéral annule la condamnation d’une conductrice qui avait été reconnue coupable de multiples violations des règles de la circulation routière sur la base des enregistrements de la dashcam d’un autre usager de la route. L’exploitation, comme moyen de preuve, des prises de vue obtenues en violation de la Loi sur la protection des données, n’est pas admissible dès lors que les violations des règles de la circulation routière en question ne constituent pas des infractions graves. Le Tribunal fédéral n’a pas dû trancher la question de savoir si une exploitation des enregistrements à titre de preuve aurait été licite en cas d’infractions graves.

L’intéressée avait été condamnée en 2018 par le Tribunal de district de Bülach à une peine pécuniaire avec sursis ainsi qu’à une amende de 4000 francs pour de multiples violations des règles de la circulation routière, pour partie graves, sur la base des enregistrements de la dashcam d’un autre usager de la route. Le Tribunal cantonal du canton de Zurich a confirmé le jugement.

Le Tribunal fédéral admet le recours de l’intéressée et annule le jugement du Tribunal cantonal. Les enregistrements privés de la dashcam ont été obtenus en violation de la Loi sur la protection des données (LPD), et donc de manière illégale. Puisque la réalisation de prises de vue depuis un véhicule n’est pas aisément reconnaissable pour les autres usagers de la route, il s’agit d’un traitement secret de données au sens de l’article 4 alinéa 4 LPD, constitutif d’une atteinte à la personnalité.

Le Code de procédure pénale (CPP) règle l’exploitabilité des preuves qui ont été obtenues illégalement par les autorités publiques. Le CPP ne règle pas expressément la question de savoir dans quelle mesure cette inexploitabilité s’applique également aux preuves recueillies par une personne privée. Selon la jurisprudence du Tribunal fédéral, les moyens de preuve collectés illégalement par des personnes privées ne peuvent être exploités que lorsque les deux conditions cumulatives suivantes sont remplies : en premier lieu, les moyens de preuve collectés par une personne privée auraient pu être collectés de manière légale par les autorités de poursuite pénales ; en second lieu, une pesée des intérêts doit pencher en faveur de leur exploitation.

En rapport avec les moyens de preuve qui ont été recueillis illégalement par les autorités de poursuite pénales, le CPP procède lui-même à cette pesée des intérêts. Il en découle que de telles preuves ne peuvent être exploitées que lorsqu’elles sont indispensables pour élucider des infractions graves. Il apparaît approprié d’appliquer le même critère aux moyens de preuve obtenus illégalement par des personnes privées puisque, du point de vue de la personne concernée, il est sans importance de savoir qui a collecté les preuves auxquelles elle est confrontée dans le cadre de la procédure pénale.

Dans le cas d’espèce, le Tribunal cantonal a qualifié le comportement de l’automobiliste en partie de violations simples, et en partie de violations graves des règles de la circulation routière. Ces infractions constituent des contraventions et des délits, que la jurisprudence du Tribunal fédéral ne qualifie pas d’infractions graves au sens du CPP. La pesée des intérêts va ainsi à l’encontre d’une exploitabilité des prises de vue en tant que preuves. Dans ces circonstances, la question de savoir si la condition supplémentaire permettant l’exploitabilité des prises de vue en cause était remplie, soit que les enregistrements auraient pu être collectés légalement par les autorités de poursuite pénales, peut rester ouverte.

 

 

Arrêt 6B_1188/2018 consultable ici

 

 

Assurance-maladie LAMal, News - Informations

Le Conseil fédéral veut clarifier l’utilisation des données individuelles dans l’assurance maladie obligatoire

Laisser un commentaire

Le Conseil fédéral veut clarifier l’utilisation des données individuelles dans l’assurance maladie obligatoire

 

Communiqué de presse de l’OFSP du 21.08.2019 consultable ici

 

Le Conseil fédéral souhaite pouvoir récolter les données individuelles des assurés tout en garantissant la protection de la personnalité et le respect du principe de proportionnalité. Lors de sa séance du 21.08.2019, il a approuvé la proposition de la majorité de la Commission de la sécurité sociale et de la santé publique du Conseil des Etats (CSSS-CE) de préciser les bases légales régissant la transmission de données des assureurs. Il soutient en plus la proposition de la minorité de la Commission qui prévoit la possibilité de récolter des données individuelles dans le domaine des médicaments et des moyens et appareils.

Les données individuelles sont très importantes pour le fonctionnement du système de santé. Elles permettent d’améliorer la transparence et de mettre en place des mesures qui contribuent à maîtriser les coûts de la santé. Le Conseil fédéral estime que l’Office fédéral de la santé publique (OFSP) a besoin d’accéder aux données agrégées et, si nécessaires, individuelles. En effet, dans le cadre de ses missions, notamment pour le développement de la compensation des risques, ces informations sont essentielles. Les dispositions légales actuelles permettent déjà la récolte des données individuelles mais une formulation plus précise garantira une meilleure sécurité juridique.

Suite à l’acceptation de l’initiative parlementaire 16.411 « Surveillance de l’assurance-maladie. Garantir la protection de la personnalité », la CSSS-CE a élaboré un avant-projet de loi sur la transmission de données dans l’assurance obligatoire des soins. Le Conseil fédéral approuve la position de la majorité de la commission qui demande de modifier la Loi sur l’assurance-maladie obligatoire (LAMal) et la Loi sur la surveillance de l’assurance-maladie (LSAMal).

L’avant-projet de loi précise l’étendue et les objectifs de la récolte des données par l’OFSP, ainsi que les modalités d’exploitation. La récolte de données agrégées est privilégiée mais des exceptions permettant de recenser des données individuelles, c’est-à-dire par assuré, sont prévues. La proposition permettra notamment de récolter des données individuelles détaillées et anonymisées, par type de prestation et par prestataire. L’OFSP sera toutefois limité à collecter les données adéquates et nécessaires à l’exercice de ses tâches.

Le Conseil fédéral soutient en plus la proposition de la minorité de la Commission qui prévoit la possibilité de récolter des données individuelles dans le domaine des médicaments et des moyens et appareils. Il estime en effet que ces données apporteront des informations pertinentes, par exemple pour déterminer de manière fiable le chiffre d’affaires à la charge de l’assurance-maladie obligatoire réalisé avec un nouveau médicament très onéreux.

 

 

Communiqué de presse de l’OFSP du 21.08.2019 consultable ici

Avis du Conseil fédéral du 21.08.2019 disponible ici

 

 

News - Informations

Réforme de la protection des données: fin de l’examen du projet

Laisser un commentaire

Réforme de la protection des données: fin de l’examen du projet

 

Communiqué de presse du Parlement du 16.08.2019 consultable ici

 

La commission des institutions politiques du Conseil national (CIP-CN) a achevé l’examen du projet de révision totale de la loi sur la protection des données (17.059). Lors du vote sur l’ensemble, elle a adopté le projet par 9 voix contre 9 et 7 absentions, avec la voix prépondérante du président.

Le projet de révision totale de la loi sur la protection des données (LPD) vise à mieux protéger les citoyens et à adapter la législation suisse au standard européen. Afin de permettre à la Suisse de mettre en œuvre rapidement une directive européenne liée à Schengen, le Parlement a décidé, en 2018, de scinder le projet et d’adopter en priorité les dispositions nécessaires à la mise en œuvre de cette directive. Ces nouvelles dispositions sont entrées en vigueur le 01.03.2019.

Parallèlement, la discussion du reste de la réforme s’est poursuivie. Ces travaux sont indispensables pour que l’UE continue de reconnaître la Suisse comme un Etat tiers ayant un niveau de protection des données suffisant pour que la possibilité d’échanger des données avec elle soit préservée. La CIP-CN a entamé la discussion par article de la révision totale de la loi sur la protection des données en juin 2018. Elle a notamment pris les décisions suivantes :

 

Mode de nomination du préposé à la protection des données et à la transparence

Par 19 voix contre 5, la commission propose que le préposé soit élu par l’Assemblée fédérale, en lieu et place du système actuel de nomination par le Conseil fédéral avec approbation par l’Assemblée fédérale. Aux yeux de la commission, une élection directe par le Parlement sera mieux à même de garantir l’indépendance du préposé. Une minorité souhaite conserver le système actuel.

 

Droit à la portabilité des données

La commission a introduit un droit à la portabilité des données. Il s’agit de permettre à une personne de récupérer, dans un format standard, les données traitées à son sujet par un prestataire (par exemple un fournisseur de services en ligne), afin de transmettre ces données à un nouveau prestataire vers lequel elle souhaite se tourner. La solution adoptée par la commission permet à la personne concernée d’obtenir, à certaines conditions, la remise ou le transfert gratuits et sous un format électronique de certaines données personnelles qu’elle a communiquées au responsable du traitement. De l’avis de la commission, une telle réglementation est de nature à favoriser la concurrence et à permettre l’émergence de nouveaux modèles d’affaires. Une minorité souhaite que ce droit ne soit pas limité aux données que la personne a communiquées, mais à toutes ses données personnelles.

 

Données sensibles

La commission a apporté quelques modifications à la définition des données sensibles, lesquelles font l’objet d’une protection particulière. Elle a notamment retiré de la liste des données sensibles les données sur les mesures d’aide sociale, au motif qu’il peut être dans l’intérêt de partenaires contractuels, de fournisseurs, voire dans l’intérêt public de savoir si une personne perçoit des prestations de l’aide sociale. Une minorité s’oppose à cette suppression. La commission a également retiré de la liste les données sur les activités syndicales. Elle a en revanche confirmé l’introduction dans cette liste des données génétiques.

 

Entreprises étrangères

La commission a décidé que les entreprises étrangères qui fournissent des prestations en Suisse seront tenues de respecter le droit suisse de la protection des données. Ces entreprises devront en outre désigner un représentant en Suisse.

 

Données des personnes décédées

Contrairement à ce que propose le Conseil fédéral, la commission a décidé, par 14 voix contre 8 et 1 abstention, de ne pas prévoir de réglementation particulière concernant la gestion des données de personnes décédées. Il existe en effet déjà des possibilités permettant de résoudre les problèmes qui se posent dans ce contexte. Une minorité estime au contraire qu’une réglementation spécifique est nécessaire, notamment concernant la mort numérique.

 

Durcissement des sanctions pénales

Par 16 voix contre 4 et 2 abstentions, la commission a approuvé le système de sanctions proposé par le Conseil fédéral. Ce système prévoit uniquement des sanctions pénales, à l’exclusion de sanctions administratives, principalement pour des raisons de simplicité dans l’application du droit. Cela signifie qu’en cas d’infraction à la loi sur la protection des données, seules les personnes physiques, en particulier les personnes exerçant une fonction dirigeante au sein de l’entreprise, pourront être sanctionnées. Les personnes morales ne pourront l’être que dans des cas de figure bien déterminés et relativement restreints. La commission propose cependant d’examiner l’introduction en droit suisse d’un régime général de sanctions administratives pécuniaires. Elle a adopté un postulat 18.4100 dans ce sens chargeant le Conseil fédéral d’examiner les solutions envisageables. Concernant le montant des amendes, la commission a décidé d’en rester au montant maximal proposé par le Conseil fédéral, soit 250’000 francs, qu’elle juge proportionné et suffisamment dissuasif. Deux minorités proposent des montants plus élevés.

 

Les entreprises auront deux ans pour s’adapter

Par 13 voix contre 11, la commission a décidé que la nouvelle loi n’entrerait en vigueur qu’à l’échéance d’un délai de deux ans à compter de la fin du délai référendaire ou de la date d’une éventuelle votation populaire, afin de donner aux entreprises le temps de procéder aux adaptations nécessaires. Une minorité propose que le Conseil fédéral fixe l’entrée en vigueur en tenant compte notamment des besoins de l’économie privée.

Deux propositions de minorité ont été déposées demandant le renvoi du projet, avec diverses propositions d’adaptation.

 

La commission a en outre déposé plusieurs motions chargeant le Conseil fédéral de compléter les dispositions de protection des données figurant dans d’autres lois fédérales (19.3960, 19.3961, 19.3962, 19.3963, 19.3964, 19.3965).

La commission a siégé les 15.08.2019 et 16.08.2019 à Berne, sous la présidence du conseiller national Kurt Fluri (PLR/SO).

 

 

Communiqué de presse du Parlement du 16.08.2019 consultable ici

 

 

 

Assurance-maladie LAMal, News - Informations

Initiative parlementaire « Surveillance de l’assurance-maladie. Garantir la protection de la personnalité » – Rapport de la Commission de la sécurité sociale et de la santé publique du Conseil des Etats

Laisser un commentaire

Initiative parlementaire 16.411 « Surveillance de l’assurance-maladie. Garantir la protection de la personnalité » – Rapport de la Commission de la sécurité sociale et de la santé publique du Conseil des Etats

 

Paru in FF 2019 5177 disponible ici

 

La loi fédérale sur la transmission de données des assureurs dans l’assurance obligatoire des soins (AOS) vise à préciser à quelles fins les assureurs sont tenus de transmettre des données à l’Office fédéral de la santé publique (OFSP) et sous quelle forme ils doivent le faire (données agrégées ou données par assuré). Elle précise en outre que l’OFSP est responsable de garantir l’anonymat des assurés.

Depuis 2014, l’OFSP collecte auprès des assureurs des données anonymisées concernant tous les assurés de l’AOS (Efind). Le formulaire Efind1 sert à la collecte de données démographiques, et le formulaire Efind2 à la collecte de données relatives aux primes et aux coûts des traitements. L’OFSP utilise ces données pour exécuter les tâches qui lui sont assignées en vertu de la loi sur la surveillance de l’assurance-maladie (LSAMal) et pour surveiller l’évolution générale des coûts dans l’AOS. Par ailleurs, l’OFSP prévoyait déjà à l’époque trois autres relevés, portant sur les coûts par prestataire (Efind3), les médicaments (Efind5) et les moyens et appareils (Efind6), qui devaient lui permettre de surveiller l’évolution des coûts par type de prestations et par fournisseur de prestations, d’analyser de manière approfondie les effets de la loi fédérale sur l’assurance-maladie (LAMal) et d’examiner plus en détail la qualité et le caractère économique des prestations.

Le présent acte modificateur unique vise à ce que les bases légales régissant la transmission de données des assureurs soient précisées dans la LAMal et dans la LSAMal. Des dispositions formulées de manière plus précise seront gages d’une meilleure sécurité juridique et garantiront que la proportionnalité sera respectée lors de la collecte de données.

La commission entend préciser les bases légales régissant les relevés de données que l’OFSP effectue auprès des assureurs et, ce faisant, améliorer la sécurité du droit. En outre, elle veut veiller au respect du principe de proportionnalité : l’OFSP ne doit collecter que les données adéquates et nécessaires à l’exercice de ses tâches et dont on peut raisonnablement exiger la livraison de la part des assureurs.

Le projet de la commission se fonde sur les principes suivants:

  • Afin de clarifier les choses sur le plan législatif et d’éliminer la confusion provoquée par le fait que la LSAMal est en partie explicitée dans l’OAMal (art. 35, al. 2, LSAMal et art. 28 OAMal; cf. ch. 2.2), la collecte des données dont l’OFSP a besoin doit être régie dans la LSAMal et l’OSAMal pour ce qui est de la surveillance des assureurs, et dans la LAMal et l’OAMal pour ce qui est des tâches assignées à l’OFSP par la LAMal.
  • La collecte et le traitement des données doivent être effectués sous une forme agrégée. Plus les données des assurés seront synthétisées sans pour autant en réduire trop fortement le contenu informatif, moins il y aura de risque d’identification.
  • Si des données agrégées ne sont pas suffisantes pour accomplir une tâche et que les données nécessaires ne peuvent pas être obtenues autrement, l’OFSP doit pouvoir collecter des données individuelles anonymisées. Les tâches concernées doivent être décrites dans la loi le plus clairement possible. A titre subsidiaire, le Conseil fédéral peut être autorisé à définir ces tâches et les données à collecter par voie d’ordonnance.

Les données devront être transmises sous une forme agrégée. Si des données agrégées ne sont pas suffisantes pour que l’OFSP puisse accomplir les tâches qui lui sont assignées et que des données individuelles anonymisées ne peuvent pas être obtenues autrement, les assureurs seront tenus de transmettre à l’OFSP les données par assuré nécessaires à l’exécution des tâches suivantes :

  • surveiller l’évolution des coûts par type de prestations et par fournisseur de prestations et élaborer les bases de décision pour les mesures visant à maitriser l’évolution des coûts (art. 21, al. 2, let. a, LAMal) ;
  • effectuer une analyse des effets de la loi et de ses dispositions d’exécution et préparer les bases de décision en vue d’une révision de la loi et de ses dispositions d’exécution (art. 21, al. 2, let. b, LAMal);
  • évaluer la compensation des risques (art. 21, al. 2, let. c, LAMal);
  • accomplir les tâches de surveillance prévues par la LSAMal (art. 35, al. 2, LSAMal).

Le projet de la majorité de la commission prévoit que l’OFSP pourrait poursuivre les relevés de données Efind1 et Efind2 et les compléter avec Efind3 (collecte de données relatives aux coûts par type de prestations et prestataire). Cet avant-projet ne prévoit par contre aucune base légale pour les relevés de données Efind5 et Efind6, chose que propose une minorité de la commission (art. 21, al. 2, let. d).

 

 

Rapport de la CSSS-E du 16.05.2019, paru in FF 2019 5177 (06.08.2019) consultable ici

Projet de la Loi fédérale sur la transmission de données des assureurs dans l’assurance obligatoire des soins, paru in FF 2019 5209, consultable ici

 

 

Assurance-maladie LAMal, Assurances privées LCA, Jurisprudence

ATFA A-3548/2018 (d) du 19.03.2019 – Traitement des données par «Helsana+» en partie illicite

Laisser un commentaire

Arrêt du Tribunal administratif fédéral ATFA A-3548/2018 (d) du 19.03.2019

 

Communiqué de presse du Tribunal administratif fédéral du 29.03.2019 disponible ici

Arrêt du TAF consultable ici

 

La collecte des données dans le cadre du programme de bonus « Helsana+ », disponible sous forme d’appli, ne satisfait pas complètement les dispositions de la loi sur la protection des données. Mais l’utilisation de données acquises légalement auprès de personnes au seul bénéfice de l’assurance de base est licite. Telle est la décision du Tribunal administratif fédéral.

Le programme de bonus « Helsana+ », sous forme d’appli, est géré par la société Helsana Assurances complémentaires SA. Par le biais de diverses activités, les participants au programme collectent des points Plus qu’ils peuvent ensuite convertir en versements en espèces, prestations concrètes ou bons pour des entreprises partenaires. Seuls les assurés du groupe Helsana, comprenant Helsana Assurances complémentaires SA, Helsana Assurances SA et Progrès Assurances SA, ont droit aux bonus. Les personnes ayant conclu exclusivement l’assurance de base auprès de la caisse-maladie font également partie des bénéficiaires. Pour procéder aux contrôles nécessaires, Helsana Assurances complémentaires SA exige, lors du processus d’inscription sur l’appli, une autorisation des participants lui permettant d’accéder aux données de l’assurance obligatoire des soins.

 

Plainte du PFPDT

Considérant ce procédé comme une violation des dispositions en matière de protection des données, le préposé fédéral à la protection des données et à la transparence (PFPDT) a édicté en avril 2018 des recommandations à l’attention de Helsana Assurances complémentaires SA. Il estime ainsi que la caisse-maladie doit renoncer, dans le cadre du programme « Helsana+ », à saisir et traiter des données issues de l’assurance de base et à demander une autorisation pour ledit traitement. Il conviendrait également qu’elle évite le versement de remboursements en espèces aux personnes couvertes exclusivement par l’assurance de base. Helsana Assurances complémentaires SA a refusé de mettre en œuvre ces recommandations, sur quoi le DFPDT a déposé plainte en mai 2018 auprès du Tribunal administratif fédéral (TAF).

 

Collecte de données illicite

Dans son arrêt, le TAF constate que l’autorisation obtenue par l’appli pour la collecte de données personnelles auprès des assurances de base du groupe Helsana (Helsana Assurances SA et Progrès Assurances SA) ne répond pas aux prescriptions du droit de la protection des données. En conséquence, Helsana Assurances complémentaires SA n’est pas autorisée à utiliser les données collectées et doit renoncer dès à présent à collecter ces données sous cette forme.

 

Utilisation des données conforme à la loi

Si les données concernant des personnes couvertes uniquement par l’assurance de base sont collectées de manière licite, leur utilisation n’est en soi pas contraire à la loi sur la protection des données. Et quand bien même la caisse-maladie poursuivait ainsi un but illégal, notamment le remboursement indirect des primes de l’assurance obligatoire des soins, son comportement ne s’avérerait contestable au regard du droit de la protection des données que si elle violait une norme visant à protéger la personnalité des débiteurs de prime. Or, les dispositions de la loi sur l’assurance-maladie ne prévoient rien de tel. Dans ce sens, le traitement de données dans le cadre du programme de bonus « Helsana+ » est donc licite du point de vue de la loi sur la protection des données. Compte tenu de cette issue, il n’est plus nécessaire d’examiner la question de savoir si le programme de bonus équivaut à une réduction dissimulée des primes et si, de ce fait, Helsana Assurances complémentaires SA violerait la loi sur l’assurance-maladie.

 

Cet arrêt est susceptible de recours au Tribunal fédéral.

 

 

Arrêt ATFA A-3548/2018 consultable ici

Communiqué de presse du 29.03.2019 du Tribunal administratif fédéral disponible ici

Communiqué de presse du 29.03.2019 du Préposé fédéral à la protection des données et à la transparence (PFPDT) disponible ici