Le règlement général sur la protection des données (RGPD) a jeté un éclairage neuf sur les relations complexes et sensibles qu'entretient cette thématique avec les assurances de personnes et sur les dispositions de droit belge visant à concilier les intérêts des assureurs à une transparence suffisante de la relation (pré)contractuelle et ceux des (candidats-)assurés à un traitement licite de leurs données personnelles. Cette contribution examine les incidences concrètes du règlement européen sur le fonctionnement général des activités d'assurances de personnes, en agrémentant l'analyse d'illustrations tirées de mesures législatives et de décisions judiciaires ou administratives belges récentes et en pointant du doigt les difficultés d'interprétation que soulèvent des questions telles que celles liées à la notion de « données génétiques », à l'exigence de « consentement libre » de la personne concernée ou à certains autres motifs de légitimation du traitement de données personnelles, en particulier de données dites « sensibles », comme les données de santé.

SAMENVATTING

De algemene verordening gegevensbescherming (AVG) heeft een nieuw licht geworpen op de complexe en gevoelige relatie van dit onderwerp met de persoonsverzekeringen en op de bepalingen van de Belgische wetgeving die beogen om de belangen van de verzekeraars voor een voldoende transparantie van de (pre)contractuele relatie te verzoenen met de belangen van de (kandidaat-)verzekerden op een rechtmatige verwerking van hun persoonsgegevens. Deze bijdrage onderzoekt de concrete impact van de Europese verordening op de algemene werking van levens- en ziekteverzekeringsactiviteiten en onderbouwt deze met illustraties uit recente Belgische wetgeving en gerechtelijke of administratieve beslissingen en wijst op de interpretatieproblemen die rijzen met betrekking tot het begrip « genetische gegevens », de vereiste van « vrije toestemming » van de betrokkene en andere verwerkingsgronden van persoonsgegevens, in het bijzonder « gevoelige » gegevens zoals gezondheidsgegevens.

Introduction

1.Par leur objet même, qui est de couvrir des risques susceptibles d'affecter la vie ou l'intégrité physique d'une personne, les assurances de personnes entretiennent des rapports complexes avec la protection des données personnelles.

Comme dans toute assurance, l'assureur de personnes entend légitimement obtenir, dans la phase précontractuelle, un ensemble d'informations touchant, notamment, à l'état de santé général du candidat à l'assurance (ou du candidat à l'affiliation à une assurance collective [2]), à ses comportements et habitudes alimentaires ainsi qu'à son hygiène de vie, afin de se forger une opinion aussi précise que possible sur le profil de risque de ce candidat et de pouvoir décider en connaissance de cause s'il accepte de l'assurer et, le cas échéant, à quelles conditions contractuelles et tarifaires. Le candidat à une assurance de personnes n'échappe d'ailleurs pas, en principe, à l'obligation, prescrite par l'article 58 de la loi relative aux assurances, de déclarer avec exactitude à l'assureur, au plus tard avant la conclusion du contrat [3], toute circonstance connue de lui et qu'il doit raisonnablement considérer comme constituant pour cet assureur un élément pertinent d'appréciation du risque (principe de la déclaration spontanée). Cette obligation de transparence précontractuelle est d'autant plus importante que, en assurance vie (y compris, donc, en assurance décès) ainsi qu'en assurance maladie, une éventuelle aggravation du risque en cours de contrat ne peut pas être invoquée par l'assureur pour modifier ou résilier le contrat (art. 81 de cette loi).

En cas de survenance du risque assuré (qu'il s'agisse d'un décès, d'un accident ou d'une maladie), l'assureur est également en droit de se voir communiquer des informations touchant aux circonstances du sinistre afin de pouvoir apprécier si celui-ci s'inscrit dans le champ de la garantie ou si, au contraire, il relève d'une cause légale ou conventionnelle d'exclusion ou de déchéance, mais aussi pour vérifier que ce sinistre n'est pas lié à une circonstance que le preneur (ou l'affilié à une assurance collective) aurait tue ou incorrectement déclarée à la conclusion du contrat (ou lors de son affiliation à l'assurance collective).

2.Ce droit de l'assureur à une information correcte et suffisante sur le risque à assurer ou sur les circonstances dans lesquelles celui-ci se serait réalisé doit toutefois composer avec le droit du candidat à l'assurance (à la conclusion du contrat ou au moment de l'affiliation à une assurance collective) ou de l'assuré/affilié (lors de la survenance d'un sinistre) au respect de sa vie privée ainsi qu'à la protection de ses données personnelles. Initialement régie, en droit européen, par la directive n° 95/46 du 24 octobre 1995 [4] et, en droit belge, par une loi du 8 décembre 1992 [5], cette matière sensible est aujourd'hui encadrée, en droit européen, par le règlement général sur la protection des données (ci-après le « RGPD ») [6], applicable depuis le 25 mai 2018 [7], et, en droit belge, par une loi du 30 juillet 2018 [8], entrée en vigueur le 5 septembre 2018. [9]

A cela s'ajoute l'obligation, pour les professionnels de la santé appelés à collaborer à la phase de conclusion d'un contrat d'assurance de personnes (p. ex., en assistant le candidat à l'assurance ou à l'affiliation dans le remplissage d'un questionnaire médical ou en lui faisant passer les examens médicaux requis) ou lors de la survenance d'un sinistre (en fournissant des certificats médicaux en relation avec le sinistre), de respecter le code de déontologie professionnelle édicté par le Conseil national de l'Ordre des médecins, en particulier le secret médical, qui est la base de la relation de confiance entre le médecin et son patient, et qui est d'ordre public. [10]

3.Bien qu'il ait, à maints égards, repris à son compte une série de principes fondamentaux consacrés par la directive n° 95/46, le RGPD a incontestablement jeté un éclairage neuf sur la problématique de la protection des données personnelles - en particulier des données de santé - dans les assurances de personnes, qui fait parallèlement l'objet de dispositions spécifiques de la part des autorités législatives et réglementaires belges. L'on songe, notamment, aux dispositions des articles 58 et 61 de la loi relative aux assurances concernant les données génétiques et l'information médicale, qui, tout en étant applicables à l'ensemble des contrats d'assurance terrestre, présentent un intérêt particulier en assurance de personnes, ainsi qu'à l'article 5 de l'arrêté royal du 10 avril 2014 relatif aux assurances du solde restant dû [11], qui encadre le contenu des questionnaires médicaux auxquels l'assureur peut recourir lors de l'évaluation d'une demande portant sur une telle assurance.

Chapitre I. Champ d'application de la protection des données personnelles en assurance de personnes

Section 1. Données concernées

4.Le RGPD concrétise le droit fondamental à la protection des données à caractère personnel inscrit à l'article 8 de la charte des droits fondamentaux de l'Union européenne. Il traduit clairement le choix du législateur européen en faveur d'un instrument d'harmonisation poussée, laissant aux Etats membres une marge de manoeuvre plus limitée que celle offerte par la directive n° 95/46, à laquelle il fut reproché d'avoir laissé subsister, par le jeu d'un trop grand nombre d'options, une importante disparité des législations nationales au détriment d'une protection homogène des données personnelles au sein de l'Union européenne. [12]

Directement applicable dans tout Etat membre [13], il déploie ses effets tant dans les rapports (et les litiges) opposant un particulier à une autorité publique (effet direct « vertical ») que dans les rapports (et les litiges) entre particuliers (effet direct « horizontal »).

5.Aux termes de l'article 4, 1), du RGPD, il faut entendre par « données à caractère personnel », « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée 'personne concernée'); est réputée être une 'personne physique identifiable' une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».

Répondent indubitablement à cette définition, des données relatives à un (candidat-)preneur d'une assurance de personnes, à la personne, éventuellement distincte de ce preneur, qui est assurée par le contrat ou encore à la personne affiliée à une assurance collective.

L'on rappellera, à cet égard, que, en vertu de l'article 158 de la loi relative aux assurances, les contrats doivent, en assurance de personnes, être établis « au nom » du preneur d'assurance. Lorsque la personne assurée est différente de ce preneur, son identité figure nécessairement dans les documents précontractuels (tels qu'un questionnaire de base ou un questionnaire médical), dans les documents contractuels (contrat d'assurance ou contrat d'affiliation à l'assurance collective) ainsi que dans les documents ou certificats nécessaires à l'exécution du contrat en cas de survenance d'un sinistre.

6.Le considérant (27) du RGPD précise que ce règlement ne s'applique pas aux données à caractère personnel des personnes décédées.

Il ajoute cependant que les Etats membres peuvent prévoir des règles relatives au traitement des données à caractère personnel de telles personnes. En droit belge, depuis bien avant l'entrée en vigueur du RGPD, l'article 61, alinéa 2, de la loi relative aux assurances dispose, en complément de la prohibition générale de communication et d'exploitation des données génétiques sur laquelle nous reviendrons ultérieurement (voir infra, n^os 38-44 et 66), que les certificats médicaux nécessaires à la conclusion ou à l'exécution du contrat ne peuvent contenir aucune information « relative à d'autres personnes que l'assuré ». Une telle limitation vise, notamment, les informations relatives aux antécédents héréditaires de la tête assurée, qui révéleraient des données concernant des personnes décédées au sein de sa famille. Dans une brochure de 2012 intitulée « La protection de vos données médicales chez l'assureur », l'association belge des assureurs, Assuralia, souligne ainsi que « les données médicales héréditaires relatives aux membres de la famille ne peuvent pas […] être transmises à l'assureur », ce qui, à défaut d'indications en sens contraire, doit être compris comme s'étendant aux données héréditaires relatives à des personnes décédées.

Section 2. Traitements concernés

7.L'article 4, 2), du RGPD définit le « traitement » de données à caractère personnel comme « toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ».

Cette définition est formulée en des termes très larges et il ne fait aucun doute que la collecte, par un assureur de personnes, de données concernant un candidat à l'assurance, ainsi que l'utilisation de ces données aux fins de la conclusion d'un contrat, de l'acceptation d'une affiliation à une assurance collective ou de l'exécution du contrat en cas de survenance d'un sinistre, constituent des traitements de données personnelles des personnes concernées. [14] L'assureur fait alors office de responsable de tels traitements. [15]

Chapitre II. Principes de base de la protection des données personnelles

8.Reprenant à son compte, tout en les restructurant et en les affinant, les principes de base de la protection des données personnelles figurant dans la directive n° 95/46, le RGPD énonce, en son article 5, une série de « principes relatifs au traitement des données à caractère personnel ». [16]

Section 1. Principes de licéité, de loyauté et de transparence

9.Le RGPD énonce, en son article 5, 1., sous a), que les données à caractère personnel doivent être traitées « de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ». [17]

Le principe (exigence) de licéité signifie que le traitement de données personnelles doit se faire dans le respect de l'ensemble des règles légales applicables, à savoir, non seulement celles qui sont relatives à la protection de ces données, mais également à celles qui, par exemple, relèvent de la protection du consommateur ou instituent des obligations de secret professionnel. S'agissant de telles obligations, l'on songe avant tout, en assurance de personnes, à la préservation du secret professionnel auquel sont tenus les médecins appelés à prêter leur concours aux fins de la conclusion ou de l'exécution d'un contrat relatif à une telle assurance.

10.Le principe (exigence) de loyauté, qui figure également à l'article 8, 2., de la charte des droits fondamentaux, implique que les données personnelles ne soient pas obtenues ou traitées par des méthodes et moyens déloyaux, d'une manière inattendue ou imprévisible pour les personnes concernées.

11.Le principe (exigence) de transparence, qui est intimement lié au principe précédent, implique, en vertu de l'article 12 du RGPD, qu'une série d'informations, identifiées aux articles 13 et 14 de ce règlement, soient fournies spontanément par le responsable du traitement à la personne concernée, afin que celle-ci puisse apprécier en parfaite connaissance de cause le sort qui sera réservé par ce responsable à ses données personnelles.

La personne concernée doit être informée, notamment, sur les finalités du traitement auxquelles les données personnelles sont destinées, sur la base juridique de ce traitement, sur les intérêts légitimes poursuivis par le responsable du traitement lorsque ce dernier est fondé sur l'article 6, 1., sous f), du RGPD (voir infra, n^os 30-31), ainsi que sur les droits d'accès à ces données, de rectification ou d'effacement de celles-ci et d'opposition à leur traitement. En pratique, la fourniture de ces informations prend généralement la forme d'une « déclaration de confidentialité ».

Section 2. Principe de limitation des finalités

12.L'article 5, 1., sous b), du RGPD dispose que les données à caractère personnel doivent être collectées pour des finalités « déterminées », « explicites » et « légitimes », et qu'elles ne peuvent pas, en principe, être traitées ultérieurement d'une manière incompatible avec ces finalités.

Ce principe, dit de « limitation des finalités » ou « de finalité », qui figure également à l'article 8, 2., de la charte des droits fondamentaux, implique que, avant même le traitement des données en cause, la ou les finalité(s) de ce traitement soi(en)t déterminée(s) avec suffisamment de précision (et non de manière vague ou générale) et sans ambiguïté, qu'elle(s) soi(en)t compatible(s) avec les missions du responsable du traitement et qu'elle(s) ne porte(nt) pas une atteinte disproportionnée aux droits et intérêts, notamment, de la personne concernée au nom des intérêts poursuivis par ce responsable. [18]

13.L'interdiction de principe des traitements ultérieurs des données personnelles en cause qui seraient incompatibles avec les finalités du premier traitement vise, en substance, à empêcher la réutilisation de ces données à des fins différentes de celle(s) pour laquelle (lesquelles) elles ont été initialement collectées.

Ainsi, sous l'empire de la loi du 8 décembre 1992, a été jugée constitutive d'une telle réutilisation prohibée la pratique d'un établissement bancaire, également actif dans le domaine des assurances de personnes, consistant à identifier, parmi les virements effectués par ses clients en guise de paiement de primes d'assurance, ceux qui faisaient apparaître des montants de prime plus élevés que ceux afférents à ses propres produits d'assurance et à adresser aux clients concernés un courrier les invitant à changer de compagnie d'assurance. [19]

14.Des réutilisations de données personnelles à des fins autres que la finalité de départ sont toutefois autorisées dans certains cas de figure.

Ainsi, notamment, l'article 5, 1., sous b), in fine, du RGPD autorise le traitement ultérieur de données personnelles à des « fins statistiques », de telles fins étant définies, dans le considérant (162) du RGPD, comme couvrant « toute opération de collecte et de traitement de données à caractère personnel nécessaires pour des enquêtes statistiques ou la production de résultats statistiques ». Selon le même considérant, ces traitements à des fins statistiques ne peuvent toutefois déboucher que sur des résultats présentant des données sous forme agrégée, et non plus individualisée, et ces résultats ne peuvent pas servir à prendre des mesures ou des décisions concernant une personne physique en particulier, telles que le traçage ou le profilage [20] dans un but de marketing direct. [21] Lesdits traitements doivent en outre répondre à une série de conditions et de garanties particulières, énoncées à l'article 89, 1., du RGPD, telles que la pseudonymisation ou l'anonymisation.

15.Par ailleurs, en vertu de l'article 6, 4., du RGPD, le traitement de données personnelles à une fin autre que celle pour laquelle ces données ont été collectées peut être fondé sur le consentement de la personne concernée. Ce consentement doit toutefois satisfaire aux exigences de qualité valables pour tout consentement dans le contexte de ce règlement, à savoir, aux termes de l'article 4, 11), de celui-ci, correspondre à une « manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement » (voir infra, n^os 22-26). [22]

Section 3. Principe de minimisation des données

16.L'article 5, 1., sous c), du RGPD énonce que les données à caractère personnel doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ».

Ce principe, dit de « minimisation des données », implique, notamment, que les données en cause doivent être pertinentes au regard des finalités pour lesquelles elles sont collectées et que leur traitement réponde aux critères de nécessité et de proportionnalité, d'un point de vue tant quantitatif que qualitatif. [23]

Section 4. Principe d'exactitude

17.L'article 5, 1., sous d), du RGPD dispose que les données traitées doivent être « exactes et, si nécessaire, tenues à jour ». Il ajoute que « toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ». Ce faisant, cette disposition fait peser sur le responsable du traitement une obligation de moyens [24], dont le non-respect est susceptible de mettre en cause sa responsabilité. Il a ainsi été jugé qu'un organisme de prêt qui diffuse une information inexacte sur un débiteur prétendument défaillant commet une faute de nature à engager sa responsabilité. [25]

Ce principe, dit « d'exactitude », doit être mis en relation avec le droit pour la personne concernée d'accéder aux données en cause (art. 15 RGPD) et de faire corriger d'éventuelles erreurs en invoquant son droit de rectification (art. 16 RGPD).

Section 5. Principe de limitation de la conservation

18.L'article 5, 1., sous e), du RGPD dispose que les données personnelles doivent être « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». Ce principe, dit « de limitation de la conservation », qui tolère, lui aussi, des dérogations à des fins, notamment, statistiques dans le respect de l'article 89, 1., du RGPD, confère à la finalité du traitement un poids déterminant pour la définition de la durée licite de conservation des données en cause.

Section 6. Principes d'intégrité et de confidentialité

19.L'article 5, 1., sous f), du RGPD dispose que le responsable du traitement doit veiller « à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées ».

Ces principes, dits « d'intégrité et de confidentialité », exigent du responsable du traitement qu'il prenne des mesures de sécurité (limitation des personnes ayant accès aux données en cause, restrictions d'accès aux locaux renfermant de telles données, recours à des mots de passe sécurisés, etc.) visant à garantir un niveau de protection approprié de ces données en fonction de facteurs tels que le degré de sensibilité de celles-ci. [26]

Section 7. Principe de responsabilité

20.L'article 5, 2., du RGPD, qui consacre le « principe de responsabilité », tient le responsable du traitement de données personnelles pour responsable du respect des principes énoncés au point 1. de cet article et exige de lui qu'il puisse démontrer que son traitement est conforme à ces principes. [27]

Chapitre III. Fondements de la licéité des traitements de données personnelles « non sensibles » en assurance de personnes

21.Reprenant à son compte, ici encore, bon nombre de dispositions figurant dans la directive n° 95/46 tout en les précisant ou en les développant, l'article 6 du RGPD met en oeuvre l'article 8, 2., de la charte des droits fondamentaux en énonçant, de manière exhaustive, les hypothèses dans lesquelles un traitement de données personnelles est réputé licite, et dont certaines présentent un intérêt particulier pour les assurances de personnes, sans préjudice des dispositions spécifiques, plus strictes, qui s'appliquent au traitement des données personnelles dites « sensibles », dont il sera question plus loin (voir infra, n^os 45-52).

Section 1. Consentement de la personne concernée

22.En vertu de l'article 6, 1., sous a), du RGPD, le traitement de données personnelles est licite si la personne concernée y a consenti pour une ou plusieurs finalités spécifiques. L'article 7, 1., du RGPD énonce qu'il appartient au responsable du traitement de démontrer que cette personne a donné son consentement audit traitement.

L'article 4, 11), du RGPD définit le « consentement » de la personne concernée comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement ». [28]

A travers ces différentes exigences, qui se trouvent explicitées par un certain nombre de considérants du RGPD [29], le législateur européen a clairement voulu poser le principe d'un consentement de qualité comme fondement possible de la licéité du traitement en cause.

23.Un consentement « libre » signifie que la personne concernée doit disposer d'une véritable liberté de choix ou être en mesure de refuser ou de retirer son consentement sans subir de préjudice. [30] L'existence d'un rapport de forces déséquilibré ou d'une position d'infériorité économique de la personne concernée par rapport au responsable du traitement peut, à cet égard, jeter le doute sur le caractère libre du consentement donné par cette personne au traitement en cause.

Par ailleurs, il découle de l'article 7, 4., du RGPD que, pour déterminer si le consentement est donné librement, « il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l'exécution d'un contrat, y compris la fourniture d'un service, est subordonnée au consentement au traitement de données à caractère personnel qui n'est pas nécessaire à l'exécution dudit contrat ». [31]

24.L'exigence de spécificité vise, quant à elle, à garantir que le consentement porte sur une finalité correctement identifiée. En présence d'un traitement de données poursuivant diverses finalités, le consentement doit alors être donné pour chacune d'entre elles. [32] Cette exigence doit être lue en combinaison avec le principe de limitation des finalités inscrit à l'article 5, 1., sous b), du RGPD.

25.Un consentement « éclairé » suppose que le responsable du traitement fournisse à la personne concernée, sous une forme compréhensible et aisément accessible, et dans une formulation claire et simple, un certain nombre d'informations portant, notamment, sur l'identité de ce responsable ainsi que sur les finalités du traitement. [33] Cette exigence doit être lue en combinaison avec le principe de transparence découlant de l'article 5, 1., sous a), du RGPD.

26.L'exigence d'un consentement « univoque » et manifesté par « une déclaration ou un acte positif clair » signifie, notamment, que, bien que le consentement ne doive pas nécessairement se manifester à travers un écrit [34], il ne peut toutefois pas découler d'un silence, de la passivité de la personne concernée ou encore d'une case précochée par le responsable du traitement. [35]

A cela s'ajoute, en vertu de l'article 7, 2., du RGPD, que, « [s]i le consentement de la personne concernée est donné dans le cadre d'une déclaration écrite qui concerne également d'autres questions, la demande de consentement [doit être] présentée sous une forme qui la distingue clairement de ces autres questions, sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples ». Ainsi, il ne saurait être mécaniquement inféré du consentement du candidat à l'assurance à la conclusion du contrat ou de son acceptation des conditions générales d'assurance son consentement au traitement de données personnelles le concernant. [36]

Section 2. Nécessité du traitement à des fins précontractuelles ou à des fins d'exécution du contrat

27.L'article 6, 1., sous b), du RGPD prévoit comme autre hypothèse de licéité d'un traitement de données personnelles, celle où ce traitement est « nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ».

Cette hypothèse recouvre, de toute évidence, la collecte de données personnelles aux fins de la conclusion ou de l'exécution d'un contrat d'assurance (de personnes, notamment), ou de l'affiliation à une assurance collective.

28.L'Autorité de protection des données (chambre contentieuse) [37] a, dans sa décision n° 24/2020 du 14 mai 2020 [38], jugé, dans le cadre d'une plainte introduite par un particulier à l'encontre de la déclaration de confidentialité d'une compagnie d'assurance hospitalisation, que l'article 6, 1., sous b), du RGPD constitue un fondement juridique légitime pour le transfert de données personnelles [39] à des tiers tels que les mutualités, d'autres assureurs « en cas de coassurance, d'assistance et/ou de recouvrement des coûts en cas de responsabilité d'un tiers lors de la survenance du dommage », des établissements bancaires ou encore des entreprises postales, de transport et de livraison « pour mieux envoyer [le] courrier ». [40]

Section 3. Nécessité du traitement pour le respect d'une obligation légale

29.Aux termes de l'article 6, 1., sous c), du RGPD, le traitement de données personnelles peut également être considéré comme licite lorsqu'il est « nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ».

Dans sa décision n° 24/2020 du 14 mai 2020, l'Autorité de protection des données a jugé que peuvent être justifiés sur le fondement de cette disposition, des transferts de données personnelles [41] « au médiateur des assurances en cas de litige, aux administrations fiscales et sociales, en raison d'obligations légales de l'assureur en soins de santé, aux autorités publiques de surveillance et de contrôle en raison des obligations statutaires de la compagnie d'assurance ». [42] L'on songe également aux obligations de notification auxquelles l'assureur est tenu en vertu de la législation relative à la lutte contre le blanchiment de capitaux ou le financement du terrorisme. [43]

Section 4. Poursuite d'intérêts légitimes par le responsable du traitement

30.Une dernière hypothèse de licéité d'un traitement de données personnelles revêt une pertinence dans le contexte des assurances de personnes. Il s'agit de celle mentionnée à l'article 6, 1., sous f), du RGPD, qui vise le traitement de telles données qui est « nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel ».

La Cour de justice de l'Union européenne a précisé qu'un traitement de données personnelles doit, pour pouvoir être réputé licite sur le fondement de l'article 6, 1., sous f), du RGPD, respecter trois conditions cumulatives, tenant, la première, à la poursuite d'un intérêt légitime par le responsable de ce traitement ou par le ou les tiers au(x)quel(s) les données sont communiquées, la deuxième, à la nécessité dudit traitement pour la réalisation de l'intérêt légitime poursuivi et, la troisième, à l'absence de prévalence de droits ou de libertés fondamentaux de la personne concernée par ce même traitement. [44]

31.Cette hypothèse, dite de la « balance des intérêts », est illustrée par les considérants (47) et (48) du RGPD, qui citent, comme exemples d'intérêts légitimes du responsable du traitement, la prévention de la fraude, la prospection commerciale ou encore la transmission, à des fins administratives internes, de données personnelles, y compris à propos de clients, entre entreprises ou établissements faisant partie d'un même groupe.

S'agissant de la prospection commerciale, il convient toutefois de souligner que, en vertu de l'article 21, 2., du RGPD, la personne concernée a le droit de s'opposer à tout moment au traitement de ses données personnelles à des fins de prospection, y compris au profilage dans la mesure où celui-ci est lié à une telle prospection.

32.Dans sa décision n° 24/2020 du 24 mai 2020 (citée supra, n° 28), l'Autorité de protection des données a jugé que, en vertu du principe de responsabilité énoncé à l'article 5, 2., du RGPD, il appartient à l'assureur, en tant que responsable du traitement des données personnelles, de démontrer, pour chacune des finalités mentionnées dans la déclaration de confidentialité, l'existence d'un intérêt légitime dans son chef qui prévaut sur les intérêts et les droits fondamentaux de la personne concernée. [45] A défaut d'une telle démonstration, et en l'absence de tout autre fondement juridique qui puisse être puisé dans l'article 6, 1., du RGPD, le traitement des données personnelles en cause ne peut s'opérer que sur la base du consentement de la personne concernée, au sens de l'article 4, 11), du RGPD, ladite personne devant avoir la liberté de consentir, ou non, à ce traitement pour chacune de ces finalités séparément. [46]

Section 5. Application cumulative des principes de base et des fondements de licéité du traitement

33.Le fait qu'un traitement de données personnelles relève de l'une des causes de légitimation identifiées à l'article 6 du RGPD ne dispense pas du respect des principes énoncés à l'article 5 de ce même règlement. [47]

Ainsi, l'assureur qui entend se prévaloir, pour le traitement de données personnelles concernant le preneur d'assurance (ou la tête assurée), d'un fondement juridique offert par l'article 6, 1., du RGPD se doit de respecter l'ensemble de ces principes, notamment, le principe de transparence énoncé à l'article 5, 1., sous a), de ce règlement et précisé aux articles 12 à 14 de ce dernier.

34.Dans sa décision n° 24/2020 du 14 mai 2020 (citée supra, n° 28), l'Autorité de protection des données a conclu à des manquements de l'assureur hospitalisation en cause au principe de transparence et a infligé à celui-ci une amende administrative de 50.000 EUR, aux motifs:

premièrement, que, dans sa déclaration de confidentialité, cet assureur n'avait, en violation de l'article 13, 1., sous c), du RGPD, pas précisé, pour chacune des finalités de traitement des données personnelles (y compris pour celles afférentes au transfert de ces données à des tiers), le fondement juridique allégué, ni, surtout, opéré une distinction claire, pour chaque finalité, entre les données personnelles « ordinaires » et les données personnelles de santé [48] et ce, alors que, d'une part, de telles précisions sont fondamentales pour apprécier la pertinence de ce fondement pour la finalité en cause et que, d'autre part, les causes de légitimation du traitement de données de santé sont, en vertu de l'article 9 du RGPD [49], plus limitées que celles qui sont applicables, au titre de l'article 6, 1., de ce règlement, au traitement de données personnelles « ordinaires » [50];
deuxièmement, que, dans cette même déclaration de confidentialité, l'assureur s'était borné, pour plusieurs des finalités mentionnées dans celle-ci, à faire état d'un « intérêt légitime » dans son chef, sans autre explication, ce qui était contraire à l'obligation d'information pesant sur le responsable du traitement en vertu de l'article 13, 1., sous d), du RGPD [51]; et
troisièmement, que la déclaration de confidentialité ne mentionnait pas la possibilité pour la personne concernée d'exercer son droit d'opposition et ce, en violation des articles 12, 1. et 13, 2., sous b), du RGPD, lus en combinaison avec l'article 21, 2., de ce règlement. [52]

Chapitre IV. La protection des données sensibles

35.Certaines catégories particulières de données à caractère personnel font l'objet d'une protection renforcée en raison, d'une part, d'un risque accru des discriminations auxquelles pourrait donner lieu l'exploitation de ces données dites « sensibles » et, d'autre part, de la plus grande proximité de celles-ci avec la sphère intime des personnes concernées. [53]

C'est pourquoi l'article 9, 1., du RGPD interdit, en principe, le traitement de données sensibles telles que les données relatives à l'origine raciale ou ethnique, les données génétiques, les données concernant la santé et les données concernant la vie ou l'orientation sexuelle.

Section 1. Notions de « données génétiques » et de « données concernant la santé »

36.Certaines de ces données sensibles font l'objet d'une définition dans le RGPD. Il en va ainsi des données concernant la santé et des données génétiques.

§ 1. Données concernant la santé

37.Les « données concernant la santé » sont définies à l'article 4, 15), du RGPD comme étant « les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne ». [54]

Le considérant (35) du RGPD précise, à cet égard, que « [l]es données à caractère personnel concernant la santé devraient comprendre l'ensemble des données se rapportant à l'état de santé d'une personne concernée qui révèlent des informations sur l'état de santé physique ou mentale passé, présent ou futur de la personne concernée », notamment « toute information concernant, par exemple, une maladie, un handicap, un risque de maladie, les antécédents médicaux, un traitement clinique ou l'état physiologique ou biomédical de la personne concernée, indépendamment de sa source, qu'elle provienne par exemple d'un médecin ou d'un autre professionnel de la santé, d'un hôpital, d'un dispositif médical ou d'un test de diagnostic in vitro ».

Les données de santé doivent s'entendre dans un sens large [55] qui englobe, notamment, des informations relatives à une consommation abusive d'alcool ou de tabac ou à la consommation de drogues [56], lesquelles peuvent contribuer à éclairer sur un « risque de maladie » susceptible de toucher la personne concernée.

§ 2. Données génétiques

38.Les « données génétiques » sont définies, à l'article 4, 13), du RGPD, comme étant « les données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d'une personne physique qui donnent des informations uniques sur la physiologie ou l'état de santé de cette personne physique et qui résultent, notamment, d'une analyse d'un échantillon biologique de la personne physique en question ».

39.Les données génétiques visent-elles uniquement les données prédictives qui, telles celles révélées par un test d'analyse génétique, sont de nature à fournir des indications sur l'évolution possible de l'état de santé futur du candidat à l'assurance ou de l'assuré, ou englobent-elles également les données relatives à des maladies d'origine génétique déjà déclarées?

La définition des « données génétiques » fournie par l'article 4, 13), du RGPD ne permet pas de trancher, à elle seule, cette question, même si l'accent particulier qu'elle met sur les données « qui résultent, notamment, d'une analyse d'un échantillon biologique de la personne physique en question » peut laisser penser que sont essentiellement visées les données prédictives issues de telles analyses.

Le considérant (34) du RGPD semble confirmer cette interprétation en ce qu'il précise que « les données génétiques devraient être définies comme les données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d'une personne physique, résultant de l'analyse d'un échantillon biologique de la personne physique en question, notamment une analyse des chromosomes, de l'acide désoxyribonucléique (ADN) ou de l'acide ribonucléique (ARN), ou de l'analyse d'un autre élément permettant d'obtenir des informations équivalentes ».

Dans le même sens, une recommandation du Conseil de l'Europe du 26 octobre 2016 sur le traitement des données relatives à la santé traitées par les compagnies d'assurance [57] bannit les « tests génétiques prédictifs » à des fins d'assurance et préconise l'interdiction de traitement des « données prédictives existantes résultant de tests génétiques » ainsi que l'utilisation des « données existantes résultant de tests génétiques effectués sur des membres de la famille de l'assuré(e) » à de telles fins.

40.En droit belge, l'on observera que, tandis que l'article 58, alinéa 1^er, troisième phrase, de la loi relative aux assurances est rédigé en des termes très généraux (« les données génétiques ne peuvent pas être communiquées »), il en va, en revanche, différemment de l'article 61 de cette loi, qui exclut la prise en compte par l'assureur de données issues de « techniques d'analyse génétique propres à déterminer [l']état de santé futur » du candidat à l'assurance (al. 3), mais n'interdit pas à l'assureur de se fonder sur « une description de l'état de santé actuel » (al. 1^er) ou sur des « antécédents déterminant l'état de santé actuel » de ce candidat (al. 3). [58]

41.Dans trois arrêts rendus le 29 juin 2020 dans des litiges opposant l'association de consommateurs Test-Achats à des assureurs au sujet du contenu des questionnaires médicaux utilisés par ceux-ci en assurance du solde restant dû, la cour d'appel de Bruxelles [59], confirmant sur ce point les jugements du 9 mars 2018 rendus par le président du tribunal de commerce francophone de Bruxelles (siégeant en cessation) [60], a jugé, en substance, que, s'il est interdit à l'assureur de poser au candidat à l'assurance des questions portant sur d'éventuelles prédispositions génétiques à une maladie ou visant à savoir si ce candidat est porteur d'un gène muté, ou de demander audit candidat la communication d'éventuels résultats de tests d'analyse génétique ou de données relatives à des maladies d'origine génétique qui ne se sont pas encore manifestées à la conclusion du contrat, la prohibition découlant des articles 58 et 61 de la loi relative aux assurances n'interdit, en revanche, pas à l'assureur de poser des questions relatives à des maladies d'origine génétique - comme l'hémochromatose, l'hémophilie, la mucoviscidose ou des troubles de la coagulation - qui se sont déclarées avant cette conclusion.

Ainsi que l'a considéré la cour d'appel de Bruxelles, « [l']interdiction pour le preneur de communiquer des données génétiques, qui a notamment pour corollaire l'interdiction pour l'assureur de se fonder sur des techniques d'analyse génétique pour déterminer l'état de santé futur du candidat à assurer, n'interdit pas à l'assureur de poser des questions relatives à des maladies d'origine génétique déjà déclarées. La communication d'une telle information ne peut être assimilée à la communication d'une donnée génétique ».

42.L'interprétation retenue par la cour d'appel de Bruxelles peut se revendiquer de plusieurs arguments de poids.

Tout d'abord, les textes de droit belge et de droit européen paraissent converger pour conférer à la notion de « données génétiques » une connotation prédictive qui pointe en direction d'éléments d'information susceptibles de traduire une possible dégradation ultérieure de l'état de santé du candidat à l'assurance, et qui ne dispense pas ce dernier de déclarer des éléments caractérisant son état de santé actuel, y compris des antécédents médicaux qui seraient d'origine génétique.

Ainsi que l'a relevé la cour d'appel de Bruxelles, cette lecture est corroborée par le fait que l'obligation de déclaration à laquelle le candidat à une assurance du solde restant dû demeure soumis dans le contexte spécifique du droit à l'oubli introduit par les articles 61/1 à 61/4 de la loi relative aux assurances [61], porte indistinctement sur toute forme de pathologie cancéreuse passée, « quel que soit le type » (art. 61/2, al. 1^er), y compris, donc, celles d'origine génétique. A moins de verser dans une appréciation spéculative selon laquelle cette obligation légale de déclaration serait contraire à l'interprétation à donner à la notion de « données génétiques », au sens du RGPD, interprétation dont il revient, en définitive, à la Cour de justice de l'Union européenne de veiller à l'uniformité au sein de l'Union européenne.

43.Ensuite, l'interprétation consacrée par la cour d'appel de Bruxelles conduit à placer sur le même pied tous les candidats à une assurance ayant été atteints par le passé d'une maladie, que celle-ci soit d'origine génétique ou non.

Ainsi que l'a souligné cette juridiction, il serait difficilement compréhensible qu'une personne ayant été atteinte d'une maladie génétique soit dispensée de la déclarer à l'assureur, au risque de méconnaître les fondements techniques de l'assurance et de favoriser ce qu'il est convenu d'appeler le « risque d'antisélection » (à savoir la propension d'une personne incarnant un « mauvais risque » à conclure rapidement une assurance, sachant que la réalisation de ce risque - en l'occurrence, le risque de décès - est hautement probable, voire imminente), et ce, alors qu'une personne ayant été atteinte d'une maladie non génétique demeure, elle, tenue par cette obligation de déclaration.

44.Enfin, pour autant que les dossiers médicaux soient conservés par le médecin-conseil ou le service médical de l'assureur dans des conditions de confidentialité en tous points conformes au droit belge et au droit européen, et qu'il n'existe pas de « porosité » entre les dossiers médicaux des membres d'une même famille qui seraient assurés auprès d'un même assureur, la seule circonstance qu'un candidat assuré ait déclaré à l'assureur avoir souffert par le passé d'une maladie d'origine génétique ne suffit pas, selon nous, pour considérer que l'assureur se trouverait ainsi en possession de données susceptibles de fournir des informations sur l'état de santé (actuel ou futur) des membres de la famille de ce candidat. L'on rappellera, du reste, que la loi relative aux assurances interdit à l'assureur de s'enquérir d'informations relatives à d'autres personnes que la tête à assurer (art. 61, al. 2), de même qu'elle lui interdit de chercher d'une quelconque façon à obtenir auprès d'un membre de la famille de la tête assurée qui serait à son tour candidat à une assurance auprès de lui, des données génétiques à caractère prédictif (comme le fait d'être porteur d'un gène muté) (art. 58, al. 1^er, 3^e phr. et 61, al. 3).

Section 2. Dérogations possibles à l'interdiction de traitement des données sensibles

45.L'article 9, 2., du RGPD permet de lever l'interdiction de principe de traiter des données sensibles dans un certain nombre d'hypothèses, au nom d'une mise en balance d'intérêts opérée par le législateur européen.

§ 1. Consentement explicite de la personne concernée

46.Ainsi, l'article 9, 2., sous a), du RGPD prévoit que des données sensibles peuvent être traitées si la personne concernée a donné son consentement explicite au traitement de ces données pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l'Union ou le droit de l'Etat membre prévoit que ladite interdiction ne peut pas être levée par la personne concernée. [62]

A la différence du consentement au traitement de données personnelles non sensibles, le consentement de la personne concernée au traitement de données sensibles doit être « explicite ». [63] Pour le reste, il doit également répondre aux exigences de qualité énoncées à l'article 4, 11), du RGPD, notamment à celle tenant à son caractère « libre », ce qui soulève la délicate question de savoir si le consentement du candidat à l'assurance au traitement de données sensibles peut être considéré comme revêtant un tel caractère en dépit du fait qu'il constitue la condition d'accès à une assurance de personnes ou, pour le dire autrement, lorsqu'un refus de ce candidat de consentir à un tel traitement l'expose à un refus de l'assureur de couvrir le risque en cause ou à l'application d'une surprime. [64] L'on rappellera, en effet, que, aux termes du considérant (42) du RGPD, le consentement ne devrait pas être considéré comme ayant été donné librement « si la personne concernée ne dispose pas d'une véritable liberté de choix ou n'est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice ». [65]

47.S'agissant d'une assurance hospitalisation, il a été jugé, sous l'empire, toutefois, du droit applicable antérieurement au RGPD, que le caractère facultatif d'une telle assurance, conjugué au fait qu'il revient au candidat à l'assurance de décider s'il consent, ou non, à la transmission de données relatives à sa santé aux fins de la conclusion du contrat, permet de conclure au caractère libre de ce consentement, au sens de la législation sur la protection des données personnelles. [66]

48.La question est, en revanche, plus délicate en assurance du solde restant dû, dès lors que, bien qu'elle ne soit pas légalement obligatoire, la souscription d'une telle assurance et, corrélativement, l'acceptation, par le candidat à l'assurance, du traitement de données de santé aux fins de la conclusion du contrat conditionnent, contractuellement, l'accès au crédit hypothécaire sollicité et, généralement, à la propriété immobilière.

Dans trois jugements du 9 mars 2018 [67], le président du tribunal de commerce francophone de Bruxelles a écarté la thèse selon laquelle le candidat à l'assurance se trouverait, de la sorte, dans une situation de dépendance ou d'infériorité par rapport à l'assureur, qui serait comparable à la situation dans laquelle se trouve un (candidat-)travailleur à l'égard de son employeur potentiel ou actuel. Il a, en effet, jugé, en substance, que, en négociant la conclusion d'un contrat d'assurance du solde restant dû, le candidat à l'assurance consent à un traitement de données qui vise à lui procurer un avantage, lequel correspond à une obligation dans le chef de l'assureur, à savoir la couverture du risque de décès en cours de remboursement du crédit hypothécaire. [68] Il est toutefois sérieusement permis de se demander si cette interprétation particulièrement large du caractère « libre » du consentement est compatible avec la définition figurant à l'article 4, 11), du RGPD, tel qu'éclairé par le considérant (42) de celui-ci et les lignes directrices fournies, sous l'empire de la directive n° 95/46, par le Groupe de travail « Article 29 », qui paraissaient, pour leur part, conclure à l'existence, entre l'assureur et le candidat à une assurance du solde restant dû, à un rapport de force comparable à celui qui met en présence un employeur et un candidat-travailleur.

§ 2. Nécessité du traitement pour l'exécution d'obligations en matière de sécurité et de protection sociales ou la gestion d'un système de soins de santé

49.L'article 9, 2., sous b), du RGPD autorise à déroger au principe d'interdiction de traitement de données sensibles « lorsque le traitement est nécessaire aux fins de l'exécution des obligations et de l'exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail, de la sécurité sociale et de la protection sociale, dans la mesure où ce traitement est autorisé par le droit de l'Union, par le droit d'un Etat membre ou par une convention collective conclue en vertu du droit d'un Etat membre qui prévoit des garanties appropriées pour les droits fondamentaux et les intérêts de la personne concernée ».

Quant à l'article 9, 2., sous h), du RGPD, il permet des dérogations à ce principe, notamment, lorsque le traitement de données sensibles est nécessaire aux fins de « la gestion des systèmes et des services de soins de santé ou de protection sociale sur la base du droit de l'Union, du droit d'un Etat membre ou en vertu d'un contrat conclu avec un professionnel de la santé et soumis aux conditions et garanties visées au paragraphe 3 ». [69]

50.Le champ d'application de ces dérogations se trouve ainsi circonscrit à des domaines déterminés, tels que les soins de santé, la sécurité sociale et la protection sociale. A cet égard, les considérants (52) et (53) du RGPD précisent, en substance, que des dérogations sont autorisées aux fins du traitement de données sensibles, notamment, dans le domaine « du droit de la protection sociale, y compris des retraites », « à des fins de santé, en ce compris la santé publique et la gestion des services de soins de santé, en particulier pour assurer la qualité et l'efficience des procédures de règlement des demandes de prestations et de services dans le régime d'assurance maladie » [70] ou encore « dans le cadre de la gestion des services et des systèmes de soins de santé ou de protection sociale, y compris […] la supervision générale, au niveau national et local, du système de soins de santé ou de protection sociale et en vue d'assurer la continuité des soins de santé ou de la protection sociale ». [71]

Il a été soutenu, à la lumière de ces considérants, que les dérogations prévues à l'article 9, 2., sous b) et sous h), du RGPD se prêtent à une lecture suffisamment souple pour englober le traitement de données de santé à des fins d'assurance privée relevant de la protection sociale au sens large (assurances maladie privées, notamment). [72] Il reviendra certainement, tôt ou tard, à la Cour de justice de l'Union européenne, au titre de sa mission interprétative du droit de l'Union, de valider cette lecture extensive ou, au contraire, d'avaliser la position inverse selon laquelle, au vu, notamment, de l'accent particulier mis sur « l'intérêt public » dans le considérant (52) du RGPD, le champ d'application de ces dérogations a été pensé par le législation européen par référence à la gestion des seuls systèmes publics de sécurité et de protection sociales. [73] L'on se bornera ici à souligner que, si les assurances publiques et les assurances privées répondent indéniablement à des principes de base et à une logique sensiblement différents (les premières incarnant un principe de solidarité sociale et les secondes étant essentiellement mues par une logique concurrentielle), il n'en demeure pas moins que le traitement de données sensibles, en particulier de données de santé, peut s'avérer tout aussi nécessaire au fonctionnement et à la gestion des systèmes d'assurance publique qu'à la conclusion et à l'exécution de contrats d'assurance privée.

51.Des considérations analogues valent pour l'article 9, 2., sous g), du RGPD, qui permet de déroger à l'interdiction de traitement de données sensibles si ce traitement « est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un Etat membre ». [74] Si les considérants (52) et (54) du RGPD illustrent, à nouveau, ces motifs d'intérêt public en citant les domaines de la protection sociale, y compris des retraites, et de la santé publique, il appartiendra sans doute à la Cour de justice de l'Union européenne de préciser si l'article 9, 2., sous g), du RGPD, lu à la lumière de ces deux considérants, vise uniquement les régimes publics de protection et d'assurance sociales, ou également les assurances privées. [75]

Il en va de même de la dérogation autorisée par l'article 9, 2., sous i), du RGPD, qui renvoie à « des motifs d'intérêt public dans le domaine de la santé publique, tels que la protection contre les menaces transfrontalières graves pesant sur la santé, ou aux fins de garantir des normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux ».

52.La Commission des assurances, dans un avis rendu d'initiative le 16 juillet 2019 sur le traitement des données de santé dans le cadre du RGPD (ci-après l'« avis de la Commission des assurances du 16 juillet 2019 ») [76], relève que le Royaume-Uni (alors membre de l'Union européenne), l'Irlande, les Pays-Bas et l'Espagne se sont fondés sur l'article 9, 2., sous g), h) et/ou i), du RGPD pour introduire, dans le domaine des assurances, une base juridique pour le traitement de données de santé qui ne doive pas dépendre du consentement explicite de la personne concernée. [77]

§ 3. Vers un fondement autonome pour le traitement de données sensibles en assurance de personnes?

53.L'on s'aperçoit, en définitive, qu'aucune des dispositions précitées de l'article 9, 2., du RGPD n'offre, en tant que telle, un fondement solide et fiable au traitement de données sensibles, en particulier de données de santé, pour des finalités touchant aux assurances de personnes. [78]

54.Le traitement de telles données fondé sur le consentement de la personne concernée demeure fragile.

En effet, le caractère « libre » de ce consentement est mis en doute, notamment par les représentants des intérêts des consommateurs, lorsque ce consentement s'avère en réalité être la condition sine qua non de l'accès à une couverture répondant à un besoin assurantiel élémentaire, comme l'est l'assurance du solde restant dû.

Par ailleurs, le consentement doit, en vertu de l'article 7, 3., du RGPD, pouvoir être retiré à tout moment par la personne concernée sans conséquence défavorable, ce qui peut compliquer, voire entraver, la conclusion du contrat ou la gestion d'un sinistre. Ainsi, notamment, l'assureur risque, en cas de retrait du consentement, de ne plus pouvoir traiter à l'avenir [79] des données qui lui permettraient d'établir si le sinistre relève, ou non, du champ d'application de la garantie d'assurance et si le candidat à l'assurance ne s'est pas rendu coupable d'une omission ou d'une inexactitude intentionnelle lors de la déclaration du risque, ce qui peut conduire à une situation de blocage dans le règlement du sinistre. [80]

A cela s'ajoute l'absence de précision, dans le RGPD, quant à la durée de validité du consentement donné [81] au traitement de données sensibles. [82]

Enfin, la preuve du consentement soulève des difficultés dans le cadre des assurances de personnes pour compte (telles qu'une assurance maladie souscrite par un parent au profit, notamment, de ses enfants ou celle souscrite par un employeur au profit de membres de son personnel), où l'assureur est tenu, dans la rigueur des principes, d'établir qu'il a obtenu le consentement explicite de chaque assuré au traitement de données sensibles le concernant.

55.Quant aux fondements alternatifs offerts par l'article 9, 2., sous b), g), h) et i), du RGPD, il n'est pas certain, en l'absence, à l'heure actuelle, d'une quelconque clarification de leur portée par la Cour de justice de l'Union européenne, qu'ils puissent constituer une base juridique permettant de justifier le traitement de données de santé par les assureurs en dehors d'un consentement de la personne concernée, au sens de l'article 4, 11), du RGPD.

56.C'est dans ce contexte d'insécurité juridique que, dans son avis du 16 juillet 2019, la Commission des assurances, « sans préjudice de [l']objection fondamentale [des représentants des consommateurs et des sociétés mutualistes d'assurance] au remplacement du consentement explicite comme base de traitement » [83], a proposé l'insertion, dans la loi du 30 juillet 2018, de dispositions (art. 8, § 1bis et § 1ter) qui, prenant appui sur l'article 9, 2., sous h), du RGPD à l'instar de la solution retenue, notamment, aux Pays-Bas, entendraient permettre aux assureurs, aux réassureurs et aux intermédiaires d'assurance de traiter des données de santé « strictement nécessaires » à une série de finalités identifiées de manière exhaustive, à moins d'une objection de la personne concernée qui équivaudrait à un retrait de consentement au sens de l'article 7, 3., du RGPD. [84]

S'agissant des assureurs et des réassureurs, les finalités tiendraient à la gestion du contrat (d'assurance ou de réassurance) - y compris à l'évaluation du risque à assurer -, à l'exécution du contrat et à l'archivage du contrat pendant les délais légalement requis.

S'agissant des intermédiaires d'assurance ou de réassurance, les finalités se rapporteraient à la gestion des contacts précontractuels avec les assureurs ou les réassureurs « dans l'intérêt du candidat-preneur d'assurance à l'exception des données relatives à la santé collectées moyennant des questionnaires médicaux, pour lesquelles le consentement explicite de la personne concernée est requis », à la gestion ou à l'exécution du contrat d'assurance ou de réassurance, ainsi qu'à l'archivage de ce contrat pendant les délais légalement requis.

Les nouvelles dispositions proposées entendent par ailleurs interdire le traitement des données de santé à des fins de prospection, y compris en vue d'un profilage lié à une telle prospection, et imposer aux assureurs, aux réassureurs et aux intermédiaires d'assurance ou de réassurance, ainsi qu'aux membres de leur personnel et à leurs collaborateurs, une obligation de respecter le caractère secret des données traitées.

57.A l'exception notable des données de santé, pour lesquelles la proposition de la Commission des assurances n'entend pas dispenser les professionnels de l'assurance de l'obligation de recueillir le consentement explicite de la personne concernée, cette proposition n'est, en substance, pas très éloignée de la solution, avancée par certains auteurs, selon laquelle le traitement (la collecte, notamment), par l'assureur, de données de santé qui s'avère nécessaire à l'accomplissement de ses « activités de base », au sens de l'article 37 du RGPD, tel qu'éclairé par le considérant (97) de ce même règlement, doit pouvoir se fonder sur le consentement implicite de la personne concernée qu'il est permis d'inférer de ses démarches entreprises en vue d'obtenir de l'assureur qu'il accomplisse une telle « activité de base », à savoir la fourniture d'une couverture d'assurance, sans qu'il soit besoin de requérir de sa part un consentement explicite, distinct, aux fins du traitement de telles données. [85]

Section 3. Application cumulative des motifs de dérogation à l'interdiction de traitement des données sensibles et des principes de base de traitement des données personnelles

58.Si l'assureur est en mesure d'invoquer, sur le fondement de l'article 9, 2., du RGPD, une cause légitime de dérogation à l'interdiction de traitement de données sensibles, encore faut-il, cependant, que le traitement qui serait ainsi admis se fasse dans le respect intégral des principes de base énoncés par l'article 5 de ce règlement.

En effet, de même que la légitimation d'un traitement de données personnelles « non sensibles » (ou « ordinaires » pour reprendre le terme employé par l'Autorité de protection des données dans sa décision du 14 mai 2020) au titre de l'un des fondements visés à l'article 6 du RGPD ne dispense pas le responsable du traitement du respect des principes de base de la protection de ces données énoncés à l'article 5 de ce règlement (principes de licéité, de loyauté et de transparence, de limitation des finalités, de minimisation des données, d'exactitude, de limitation de la conservation, d'intégrité et de confidentialité ainsi que de responsabilité), la levée de l'interdiction du traitement des données sensibles dans l'un des cas de figure visés à l'article 9 dudit règlement s'opère sans préjudice de l'obligation de respect dû à ces mêmes principes de base. [86]

59.Ainsi l'article 61 de la loi relative aux assurances, qui régit l'information médicale, notamment, dans les assurances de personnes, comporte-t-il différentes dispositions qui font écho au principe de minimisation des données à présent inscrit à l'article 5, 1., sous c), du RGPD et, en particulier, aux exigences de pertinence, de nécessité et de proportionnalité qu'impose ce principe (voir supra, n° 16) pour le traitement de données personnelles, en particulier des données sensibles telles que des données de santé.

Son alinéa 1^er évoque les certificats médicaux « nécessaires » à la conclusion ou à l'exécution du contrat.

Son alinéa 2 précise que le médecin-conseil de l'assureur ne peut communiquer « aucune information non pertinente eu égard au risque pour lequel les certificats ont été établis ».

Son alinéa 3 souligne que « l'examen médical » doit être « nécessaire à la conclusion ou à l'exécution du contrat ».

60.En assurance du solde restant dû, l'article 5 de l'arrêté royal du 10 avril 2014 s'inscrit dans la même ligne en énonçant que le questionnaire médical doit, d'une manière générale, respecter les principes issus de la (défunte) loi du 8 décembre 1992, ce qui implique que les questions posées soient « précises » et « portent exclusivement sur des événements pouvant attester du caractère accru du risque de santé dans le chef du candidat assuré » (1°) et ne fassent « aucune référence aux aspects strictement privés de la vie du candidat assuré, notamment en matière de sexualité, de hobbys, de voyages à l'étranger, de vie professionnelle » (2°).

Ainsi, dans un arrêt du 29 juin 2020, la cour d'appel de Bruxelles a considéré, en présence de questions « ouvertes » figurant dans le questionnaire médical remis par l'assureur au candidat à une assurance du solde restant dû (questions qui comportaient une liste d'affections et de maladies dont chaque rubrique se terminait par une case « Autre » et qui se clôturait elle-même par une rubrique « Autre maladie, syndrome, handicap ou infirmité »), que la circonstance que le candidat à l'assurance donne son consentement explicite au traitement des données en cause n'est pas de nature à dispenser l'assureur du respect des exigences de précision et de proportionnalité prescrites par l'article 5 de l'arrêté royal du 10 avril 2014, exigences qui se confondent, en substance, avec celles de l'article 5, 1., sous c), du RGPD. [87]

61.En assurance hospitalisation, il a été jugé que la question de savoir si le candidat à l'assurance est gaucher ou droitier est pertinente pour permettre la bonne gestion ultérieure du contrat d'assurance et son exécution correcte par l'octroi de soins ou d'une assistance en adéquation avec cette caractéristique physique. [88] En revanche, le fait de demander, dans un questionnaire médical, si l'une des personnes à assurer a subi un test de dépistage du sida, sans s'enquérir du résultat de ce test, a été considéré comme ne répondant pas aux exigences d'adéquation et de pertinence prescrites, à l'époque, par l'article 4, 3°, de la loi du 8 décembre 1992. [89] Il en a été de même de questions visant à savoir si la tête à assurer suivait actuellement un régime, un traitement d'ostéopathie, de chiropraxie, d'acupuncture, de kinésithérapie ou de logopédie. [90]

62.Le principe de limitation des finalités fait, quant à lui, obstacle à ce que des données de santé recueillies aux fins d'un contrat d'assurance de personnes soient exploitées, à l'insu du candidat à l'assurance ou de l'assuré, pour d'autres finalités, telles que des finalités publicitaires ou promotionnelles ou des finalités liées à la conclusion ou à l'exécution d'autres contrats d'assurance.

63.Quant au principe de confidentialité, il est pris en compte, pour le traitement de données de santé à des fins d'assurances, notamment de personnes, à plus d'un titre par le législateur belge.

Ainsi, l'article 61, alinéa 2, de la loi relative aux assurances dispose que les certificats médicaux nécessaires à la conclusion ou à l'exécution du contrat ne peuvent être remis par le candidat à l'assurance ou l'assuré « qu'au médecin-conseil de l'assureur » (ou à son service médical), et non à des personnes qui, n'étant pas soumises au secret professionnel des médecins, ne peuvent être destinataires d'informations à caractère médical.

Il en va de même, en vertu de l'article 61, alinéa 4, de la loi relative aux assurances, en ce qui concerne le certificat établissant la cause du décès de l'assuré (certificat post mortem). [91] Dans un arrêt de la cour d'appel d'Anvers du 6 mars 2019 [92], il a été jugé, à cet égard, que, à défaut pour le médecin-conseil de l'assureur ou pour l'assureur d'avoir fait état d'une quelconque raison légitime de demander au médecin traitant de l'assuré des informations complémentaires sur la cause du décès par rapport à celles figurant dans le certificat post mortem, les informations complémentaires ainsi communiquées par le médecin traitant à la demande du médecin-conseil devaient être considérées comme des éléments de preuve illicites, à écarter du dossier, car elles avaient été obtenues en violation du secret professionnel de ce médecin traitant.

64.Il ressort par ailleurs de l'article 9 de la loi du 30 juillet 2018 que, lorsque le traitement porte sur des données de santé, le responsable de ce traitement, en l'occurrence l'assureur, doit désigner les catégories de personnes ayant accès à de telles données, en décrivant avec précision leur fonction par rapport audit traitement, et veiller au respect, par ces personnes, du caractère confidentiel des données concernées.

Par des jugements du 16 juin 2003, le président du tribunal de commerce de Bruxelles a, sous l'empire, notamment, de l'article 16, § 4, de la loi du 8 décembre 1992 (disposition faisant obligation aux responsables de traitement de prendre les mesures techniques et organisationnelles requises pour protéger les données médicales contre des accès non autorisés), invalidé la clause, figurant dans des documents précontractuels, par laquelle le candidat à l'assurance consentait à ce que les informations médicales le concernant soient traitées par le personnel non médical de l'assureur. [93]

De même, la pratique amenant le candidat à l'assurance à remplir un document unique, qui comprend un questionnaire de base et un questionnaire médical, et à l'adresser tant au médecin-conseil de l'assureur qu'à l'intermédiaire d'assurance (courtier), ainsi que l'usage d'un questionnaire médical unique en cas de pluralité de têtes assurées, ont été jugés contraires à la protection de la confidentialité des données médicales prescrite par cette disposition de la loi du 8 décembre 1992. [94]

Apparaît tout aussi problématique, au regard tant de l'article 61 de la loi relative aux assurances que de l'article 5 du RGPD et de l'article 9 de la loi du 30 juillet 2018, la pratique conduisant le candidat à l'assurance à répondre oralement à des questions d'ordre médical posées par un employé de l'assureur dans les bureaux de ce dernier (parfois, dans un open space) [95], alors même que les membres du personnel d'un assureur relevant de ses services administratifs ou commerciaux ne sont, contrairement aux médecins-conseils et aux membres du service médical d'un assureur, soumis à aucune obligation légale de secret professionnel. [96]

Section 4. Les mesures belges de protection renforcée des données sensibles en assurance de personnes

65.L'article 9, 4., du RGPD prévoit que les Etats membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques, des données biométriques ou des données concernant la santé.

Le droit belge des assurances offre diverses illustrations de telles mesures de protection renforcée de ces données sensibles, au rang desquelles figurent la prohibition complète de l'exploitation des données génétiques et l'interdiction d'exploitation des données de santé issues d'objets connectés. [97]

§ 1. La prohibition complète de l'exploitation des données génétiques

66.La première illustration tient aux dispositions de la loi relative aux assurances qui prohibent, d'une manière générale, la communication, par quelque personne que ce soit (candidat à l'assurance, intermédiaire d'assurance, médecins), de données génétiques à l'assureur (ou à son médecin-conseil) ainsi que, par voie de conséquence, l'exploitation de telles données par l'assureur tant à la conclusion du contrat (ou lors de l'affiliation à un contrat d'assurance collective) que lors de l'exécution de celui-ci (en cas de survenance d'un sinistre, notamment). [98] L'article 58, alinéa 1^er, troisième phrase, de cette loi prévoit ainsi que « les données génétiques ne peuvent pas être communiquées », tandis que l'article 61 de la même loi dispose, d'une part, en son alinéa 1^er, que les certificats médicaux nécessaires à la conclusion ou à l'exécution du contrat « se limitent à une description de l'état de santé actuel », et, d'autre part, en son alinéa 3, que « l'examen médical, nécessaire à la conclusion et à l'exécution du contrat, ne peut être fondé que sur les antécédents déterminant l'état de santé actuel du candidat-assuré et non sur des techniques d'analyse génétique propres à déterminer son état de santé futur ». [99]

L'interdiction de divulgation et d'exploitation des données génétiques à des fins d'assurance a été justifiée essentiellement par le souci d'éviter une sélection abusive préjudiciable aux personnes défavorisées sur le plan génétique, de protéger la vie privée de ces personnes ainsi que celle des membres de leur famille, et d'instaurer une forme de solidarité assurantielle entre les « bons » et les « mauvais » risques génétiques. [100]

L'on rappellera que, dans trois arrêts du 29 juin 2020, la cour d'appel de Bruxelles a jugé, en substance, que cette prohibition vise uniquement l'exploitation de données génétiques à caractère prédictif et ne s'étend pas aux maladies d'origine génétique qui se sont manifestées avant la conclusion du contrat. [101]

§ 2. L'interdiction d'exploitation des données de santé issues d'objets connectés

67.La seconde illustration d'un renforcement de la protection des données sensibles dans les assurances de personnes est fournie par la loi du 10 décembre 2020 relative aux données de santé issues d'objets connectés dans le domaine de l'assurance maladie et de l'assurance individuelle sur la vie. [102]

L'adoption de cette loi puise sa raison d'être dans le développement croissant de nouvelles applications permettant de mesurer et de transmettre un ensemble de données à caractère personnel liées au mode de vie ou l'état de santé de l'individu. [103] Elle entend, dans ce contexte, réglementer l'utilisation, par les assureurs, des données de santé issues de ces objets connectés (essentiellement, les « capteurs de santé ») et l'adoption, sur cette base, de mesures de segmentation (notamment, tarifaire) à l'avantage des assurés ayant une hygiène de vie saine et au détriment des catégories les plus précaires qui ne peuvent pas nécessairement se permettre d'adopter une alimentation équilibrée et de s'adonner à une pratique sportive régulière. La crainte sous-jacente est celle d'un changement radical de paradigme, qui ferait basculer les assurances vie et maladie d'un modèle de mutualisation et de socialisation des risques vers une logique d'hyper-responsabilisation de l'individu et d'hyper-personnalisation du risque. [104]

A cette fin, la loi du 10 décembre 2020 a introduit dans la loi relative aux assurances (plus précisément, dans le Titre III de sa Partie 3), un nouveau Chapitre 3, intitulé « Données à caractère personnel concernant le mode de vie ou la santé de l'assuré issues d'objets connectés », et composé des articles 46/1 à 46/3.

68.L'article 46/1 nouveau énonce que les dispositions de ce nouveau chapitre sont prises sur le fondement de l'article 9, 4., du RGPD et sont applicables aux contrats d'assurance individuelle sur la vie [105] ainsi qu'aux contrats d'assurance maladie relevant de l'une des 4 catégories visées à l'article 201, § 1^er, de la loi relative aux assurances (assurances « soins de santé », « incapacité de travail », « invalidité » et « dépendance »). [106] Ces dispositions ne concernent donc pas, au sein des assurances de personnes, les assurances accident.

L'article 46/2 nouveau dispose que, lors de la conclusion d'un tel contrat, le refus du candidat assuré d'acquérir ou d'utiliser un objet connecté qui récolte des données à caractère personnel concernant son mode de vie ou sa santé [107] ne peut en aucun cas conduire à un refus d'assurance ni à une augmentation du coût du produit d'assurance.

L'article 46/3 ajoute qu'aucune segmentation ne peut être opérée sur le plan de l'acceptation, de la tarification et/ou de l'étendue de la garantie sur la base de la condition que le candidat assuré accepte d'acquérir ou d'utiliser un objet connecté qui récolte des données à caractère personnel concernant son mode de vie ou sa santé, accepte de partager des informations récoltées par un tel objet connecté, ni sur la base de l'utilisation de telles informations par l'assureur.

69.Davantage qu'une restriction, c'est une interdiction [108] qui est ainsi faite aux assureurs de collecter et de faire usage de données relatives au mode de vie ou à la santé de l'assuré, qui seraient issues d'objets connectés, cette interdiction se déclinant en deux volets. Le premier entend éviter que le candidat assuré soit pénalisé, en termes d'accès à l'assurance ou de tarification, au motif qu'il refuserait, pour quelque raison que ce soit, de se doter d'un objet connecté qui permettrait de transmettre de telles données à l'assureur. Le second entend faire obstacle à ce que l'assureur favorise un candidat assuré qui ferait volontairement usage d'un tel objet connecté aux fins de la prise en compte, par l'assureur, de données relatives à son mode de vie ou à sa santé.

En revanche, la loi du 10 décembre 2020 ne fait pas obstacle à ce que l'assureur s'enquière de données relatives au mode de vie ou à l'état de santé du (candidat-)assuré que ce dernier serait à même de fournir, le cas échéant, avec l'assistance de son médecin traitant, indépendamment de l'utilisation d'un objet connecté (p. ex., habitudes alimentaires, consommation d'alcool ou de tabac, activités sportives ou récréatives pratiquées, …). [109] L'on rappellera toutefois que, en assurance du solde restant dû, les questionnaires médicaux ne peuvent plus viser des aspects tels que les hobbys (sportifs, p. ex.) du candidat à l'assurance. [110]

Chapitre V. Les droits de la personne concernée à l'égard du traitement de ses données personnelles

Section 1. Présentation générale

70.Au-delà de la protection découlant des principes de base auxquels doit satisfaire tout traitement de données personnelles en vertu de l'article 5 du RGPD, ainsi que de l'encadrement, par les articles 6 et 9 de ce règlement, des fondements de licéité de tels traitements, notamment lorsque ceux-ci portent sur des données sensibles telles que les données de santé, la personne concernée se voit conférer par ce même règlement un certain nombre de droits à l'égard du responsable du traitement. [111]

71.Parmi ceux qui sont plus spécifiquement pertinents dans le contexte de la présente contribution, l'on mentionnera le droit pour la personne concernée d'être informée, au nom du principe de transparence consacré à l'article 5, 1., sous a), du RGPD et conformément aux articles 12 à 14 de ce règlement, de l'existence d'un traitement de données la concernant, mais aussi, notamment, de l'identité du responsable de ce traitement, des finalités poursuivies par ce dernier et du ou des fondement(s) sur le(s)quel(s) ce dernier prend appui (en particulier, des intérêts légitimes poursuivis par le responsable du traitement lorsque celui-ci se prévaut de l'art. 6, 1., sous f), du RGPD pour justifier la licéité du traitement).

72.L'article 15 du RGPD consacre, quant à lui, le droit de toute personne concernée à accéder aux données personnelles détenues par le responsable de leur traitement. En vertu du paragraphe 3. de cet article, la personne concernée peut, en particulier, obtenir de ce responsable une copie des données personnelles faisant l'objet de ce traitement.

73.Conformément à l'article 16 du RGPD, la personne concernée a également le droit d'obtenir la rectification (correction) des données personnelles détenues par le responsable du traitement, qui s'avéreraient inexactes.

74.L'article 17 du RGPD confère à la personne concernée le droit à l'effacement, dans les meilleurs délais, des données personnelles la concernant, notamment lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière (1., sous a)). Ce droit apparaît comme le corollaire du principe de « limitation de la conservation » énoncé à l'article 5, 1., sous e), du RGPD.

En assurance de personnes, l'on songe en particulier à l'hypothèse dans laquelle il n'existe plus de risque à assurer par l'assureur, que ce soit à la suite du décès de la tête assurée ou d'une résiliation du contrat avec changement d'assureur. En pareille hypothèse, l'article 61, alinéa 5, de la loi relative aux assurances consacre, non pas un droit à l'effacement des données personnelles de l'assuré, mais l'obligation pour le médecin-conseil de l'assureur de restituer, à leur demande, les certificats médicaux à l'assuré ou, en cas de décès, à ses ayants droit. [112]

Si cette disposition entend faire en sorte que le dossier médical de l'assuré ne devienne pas la « propriété à vie » du médecin-conseil de l'assureur, il reste qu'elle peut conduire, dans le cas du décès de la tête assurée, à la prise de connaissance de données sensibles par des personnes autres que la personne concernée, telles que ses héritiers, ce que des auteurs ont critiqué au motif que la transmission, sur simple demande, d'informations médicales relatives au de cujus peut être de nature à violer la vie privée de ce dernier et apparaît difficilement conciliable avec le choix du législateur de limiter, dans le cadre de la loi du 22 août 2002 sur les droits du patient, le droit de consultation et d'accès indirect au dossier médical d'une personne décédée à certains proches seulement. [113]

75.L'article 21 du RGPD confère à la personne concernée le droit de s'opposer à tout moment au traitement de ses données personnelles par le responsable du traitement dans certaines situations.

Ainsi, notamment, cette personne peut, en vertu de l'article 21, 1., du RGPD, s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement de données personnelles justifié par la poursuite d'intérêts légitimes par le responsable du traitement, en remettant en cause la « balance des intérêts » opérée par ce responsable.

De même peut-elle, en vertu de l'article 21, 2., du RGPD, s'opposer, à tout moment et sans devoir exciper d'une justification particulière, au traitement de ses données personnelles à des fins de prospection (commerciale), en ce compris à des fins de profilage lié à une telle prospection.

En vertu de l'article 21, 6., du RGPD, elle peut aussi s'opposer, pour des raisons tenant à sa situation particulière, au traitement de ses données personnelles à des fins, notamment, statistiques, à moins que ce traitement soit nécessaire à l'exécution d'une mission d'intérêt public.

A ce droit d'opposition s'ajoute le droit, déjà évoqué [114], conféré à la personne concernée par l'article 7, 3., du RGPD, de retirer son consentement à tout moment, et sans conséquence défavorable, dans les hypothèses où la licéité du traitement de données personnelles (y compris, le cas échéant, de données sensibles telles que des données de santé) repose sur ce consentement (art. 6, sous a) et art. 9, 2., sous a)).

76.Enfin, l'article 22 du RGPD confère à la personne concernée le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé (y compris à des fins de profilage), produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire (1.). A titre d'exemple, le considérant (71) du RGPD mentionne, entre autres, le rejet automatique d'une demande de crédit en ligne sans intervention humaine. Nous paraît également visé le rejet automatique d'une demande d'assurance de personnes sans une telle intervention.

S'agissant de données « non sensibles », une telle décision est toutefois permise lorsqu'elle est nécessaire à la conclusion ou à l'exécution d'un contrat entre la personne concernée et le responsable du traitement, lorsqu'elle est autorisée par le droit national auquel le responsable du traitement est soumis et qui prévoit également des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée ou lorsqu'elle est fondée sur le consentement explicite de cette personne (art. 22, 2.).

S'agissant de données sensibles, telles que des données de santé, des décisions basées exclusivement sur un traitement automatisé ne peuvent être fondées sur de telles données, à moins que la personne concernée y ait donné son consentement explicite ou que le traitement soit nécessaire pour des motifs d'intérêt public important, au sens du droit de l'Union ou du droit national, et pourvu, dans les deux cas, que des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée aient été mises en place (art. 22, 4.). [115]

Section 2. Application particulière: le droit d'accès au dossier médical du médecin-conseil de l'assureur

77.Dans un jugement du 8 octobre 2019, le tribunal de première instance francophone de Bruxelles a été appelé à se prononcer sur la portée du droit d'un preneur d'assurance à accéder, sur le fondement de l'article 15 du RGPD, au dossier médical constitué par le médecin-conseil de l'assureur. [116]

L'intéressée, qui avait souscrit une assurance « revenus garantis », avait bénéficié de l'intervention de l'assureur à la suite de la survenance d'un sinistre. Ce dernier décida toutefois ultérieurement de cesser le versement des prestations d'assurance en invoquant une clause d'exclusion spécifique de risque et en se prévalant de rapports de ses médecins-conseils. L'assurée demanda alors à l'assureur de lui communiquer ces rapports médicaux, ce à quoi l'assureur s'opposa en excipant du fait que ces derniers constituaient des rapports internes couverts par la confidentialité.

78.Nous ne nous appesantirons pas ici sur les développements consacrés par ce jugement au principe du contradictoire et aux droits de la défense qui font partie intégrante du droit à un procès équitable au sens de l'article 6 de la convention européenne des droits de l'homme. Nous ne nous étendrons pas non plus sur le droit de la personne concernée à obtenir du médecin-conseil de l'assureur, sur le fondement de la loi relative aux droits du patient (plus précisément, de l'art. 9, § 2, de cette loi), la communication du dossier médical constitué par ce médecin-conseil. [117]

En effet, en l'occurrence, la demande d'accès au dossier médical avait été introduite par l'assurée, non pas auprès du médecin-conseil de l'assureur (dont elle ignorait peut-être l'identité), mais auprès de l'assureur lui-même, et les considérations du tribunal relatives à l'incidence du RGPD sur le sort à réserver à cette demande ont porté plus spécifiquement sur la relation (en l'occurrence, contractuelle) existant entre cette assurée et l'assureur, responsable du traitement des données médicales concernant cette dernière.

79.S'agissant du RGPD, le tribunal de première instance francophone de Bruxelles a jugé que la personne assurée était fondée à obtenir de l'assureur, sur le fondement de l'article 15, 3., du RGPD, la communication des rapports du médecin-conseil (à l'exception des données techniques, telles que les « notions tactiques, suggestions de gestion, réserves », et des données concernant des tiers) que cet assureur avait invoqués pour justifier la cessation du versement de ses prestations. Il a ajouté que le droit à la protection de la confidentialité de ces rapports, invoqué par l'assureur, devait être mis en balance avec le droit à un procès équitable et au respect du RGPD, et que, en l'espèce, il apparaissait que le droit de l'assurée à avoir accès aux données de santé collectées par l'assureur à son sujet ainsi que le respect des droits de la défense et le principe du contradictoire devaient l'emporter sur la protection invoquée par l'assureur, la demande de l'assurée étant guidée par un but légitime, strictement limitée et proportionnée à ce qui est nécessaire au procès.

80.La solution consacrée par ce jugement revient ainsi à contraindre l'assureur, d'une part, à exiger de son médecin-conseil qu'il fasse fi de ses obligations déontologiques et, d'autre part, à communiquer à l'assuré un dossier médical que cet assureur n'est pas censé détenir, que ce soit en vertu des principes de licéité et de confidentialité énoncés à l'article 5, 1., sous a) et f), du RGPD, lesquels exigent, en substance, que les données de santé ne puissent être traitées que par des personnes tenues par une obligation de secret professionnel, ou en vertu des dispositions de l'article 61 de la loi relative aux assurances, qui font du médecin-conseil de l'assureur (ou du service médical de ce dernier) le destinataire exclusif des données de santé de l'assuré.

Elle est également de nature à conduire des services non médicaux de l'assureur à devoir prendre connaissance de dossiers médicaux, ne serait-ce que pour s'assurer que la version du dossier vouée à être communiquée à l'assuré est expurgée de données auxquelles ce dernier ne peut obtenir l'accès, comme des données concernant des tiers.

81.Afin de concilier le droit d'accès de l'intéressé aux données médicales le concernant qui sont détenues par le médecin-conseil de l'assureur et la protection de la confidentialité due à ces données, une solution pourrait consister, à défaut de disposition légale subordonnant actuellement le personnel non médical de l'assureur à une obligation de secret professionnel [118], à exiger de l'assureur, saisi d'une demande d'accès d'un assuré à de telles données, qu'il aiguille ce dernier vers son médecin-conseil, seul dépositaire de ces données et seul à même de procéder, dans le respect de la confidentialité dictée par ses obligations déontologiques, à l'effeuillage du dossier médical qu'il détient en vue d'en retirer les données que l'assuré n'est pas en droit de se voir communiquer.

Conclusion

82.Transparence (pré)contractuelle, protection des données personnelles et respect du secret professionnel, telles sont les trois variables qui ont, de tout temps, incarné la délicate équation qui sous-tend les activités d'assurances de personnes. Les exigences inhérentes à la protection des données personnelles, en particulier des données sensibles, dans le domaine des assurances de personnes soulèvent, depuis l'entrée en vigueur des premières réglementations visant à organiser cette protection, de nombreuses et complexes questions, auxquelles un acte de portée aussi générale que le RGPD n'avait pas pour ambition de répondre entièrement. C'est pourquoi, en dépit des précisions et des développements que ce règlement européen comporte par rapport à la défunte directive de 1995, d'importantes zones d'ombre subsistent.

83.Ainsi, si la notion de « données génétiques » a récemment été précisée par la jurisprudence belge en relation avec les articles 58 et 61 de la loi relative aux assurances, il faut s'attendre à ce que cette notion, telle que définie à l'article 4, 13), du RGPD, fasse tôt ou tard l'objet, dans le contexte de l'assurance ou dans un contexte différent, d'une interprétation de la part de la Cour de justice de l'Union européenne, tendant à assurer son application uniforme à travers l'Union.

84.Quant aux fondements possibles de la licéité des traitements de données personnelles en assurance de personnes, s'ils offrent une palette non négligeable lorsque sont en cause des données « ordinaires », ceux que comporte l'article 9 du RGPD pour le traitement de données sensibles, comme les données de santé, suscitent chacun leur lot d'interrogations. L'on songe, notamment, aux incertitudes entourant les conditions relatives au caractère « libre » et « explicite » du consentement de la personne concernée ou encore à la question de l'applicabilité, dans le domaine des assurances privées, des dérogations à l'interdiction du traitement de données sensibles qui sont prévues en faveur des systèmes de protection et de sécurité sociales ou de gestion des systèmes de santé, ou au bénéfice d'un intérêt public important comme la protection de la santé publique.

D'où l'émergence de voix doctrinales et de propositions, notamment de la Commission des assurances, suggérant, à la lumière des enseignements fournis par le droit comparé, la consécration d'un fondement légal spécifique au traitement des données sensibles à des fins d'assurances de personnes, qui permettrait, moyennant un encadrement rigoureux, de faire en grande partie l'économie de l'obtention du consentement explicite du candidat à l'assurance ou de l'assuré lorsque le traitement de telles données par l'assureur s'avère nécessaire à la conclusion ou à l'exécution du contrat.

85.Il est, en tout cas, frappant de constater que, en dépit des solutions couchées, depuis plusieurs décennies, dans la législation belge sur les assurances ainsi que dans les réglementations, belge et européenne, relatives à la protection des données personnelles, la mise en balance des intérêts des (candidats-)assurés et des assureurs continue de s'apparenter, à bien des égards, à la quadrature du cercle, soumise à la géométrie variable de la création prétorienne.

[1]	Référendaire à la Cour de justice de l'Union européenne; maître de conférences invité à l'U.C.L. Les opinions exprimées dans cette contribution le sont à titre strictement personnel.
[2]	L'on précisera d'emblée que, en assurance maladie privée, le législateur belge fait la distinction entre les contrats d'assurance liés à l'activité professionnelle et ceux qui ne le sont pas. Les premiers sont définis à l'art. 201, § 2, de la loi du 4 avril 2014 relative aux assurances (M.B., 30 avril 2014 ; ci-après la « loi relative aux assurances »), comme ceux qui sont « conclu[s] par un ou plusieurs preneurs d'assurance au profit d'une ou plusieurs personnes liées professionnellement au(x) preneur(s) d'assurance au moment de l'affiliation » (p. ex., assurance groupe souscrite par un employeur au profit de tout ou partie des membres de son personnel, assurance souscrite par une organisation professionnelle pour le compte et au profit de ses membres). Les seconds doivent s'entendre, par défaut, comme ceux qui ne relèvent pas de cette définition (p. ex., assurance souscrite à titre individuel par un-e chef-fe de ménage à son profit et à celui des membres de sa famille ou par un travailleur indépendant à son propre profit).
[3]	Cette obligation perdure, après la signature d'une « proposition d'assurance », au sens de l'art. 55, 6°, de la loi relative aux assurances, et l'accomplissement de formalités médicales, jusqu'à la date de la souscription du contrat. Voir récemment en ce sens, dans le contexte d'une assurance « obsèques », Liège, 9 décembre 2020, 2019/RG/768, commenté par B. Toussaint, « La déclaration du risque s'impose au preneur d'assurance jusqu'à la conclusion du contrat », R.D.C., 2021/1, p. 100.
[4]	Directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (J.O., 1995, L. 281, p. 31).
[5]	Loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (M.B., 18 mars 1993). Cette loi fut sensiblement modifiée par une loi du 11 décembre 1998 visant à transposer la directive n° 95/46 en droit belge (M.B., 3 février 1999). Pour une présentation générale de la thématique de la protection des données personnelles en assurance sous l'empire de la loi du 8 décembre 1992, voy. not., L. Schuermans et C. Van Schoubroeck, Grondslagen van het Belgische verzekeringsrecht, 3^e éd., Antwerpen-Cambridge, Intersentia, 2015, pp. 207-214.
[6]	Règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive n° 95/46/CE (règlement général sur la protection des données) (J.O., 2016, L. 119, p. 1).
[7]	Art. 99 RGPD.
[8]	Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (M.B., 5 septembre 2018).
[9]	Art. 281 de la loi.
[10]	Art. 55 de ce code.
[11]	Arrêté royal du 10 avril 2014 réglementant certains contrats d'assurance visant à garantir le remboursement du capital d'un crédit hypothécaire (M.B., 10 juin 2014).
[12]	Voir, en ce sens, les considérants 9 et 10 du RGPD. Voir égal. Y. Poullet, « Avant-propos : le RGPD - une volonté de bien faire : certes ! … mais appropriée ? », in C. de Terwangne et K. Rosier (dirs.), Le règlement général sur la protection des données (RGPD/GDPR). Analyse approfondie, Collection du CRIDS, Bruxelles, Larcier, 2018, p. 8 ; O. Santantonio, « Exposé introductif du règlement général sur la protection des données », in C.-A. von Oldeneel (coord.), Data Protection. L'impact du GDPR en assurance - Data Protection. De impact van de GDPR in de verzekering, Dossier 2017 du Bulletin des assurances, pp. 21-22 ; N. Stroobants, « GDPR en het verwerken van gezondheidsgegevens in private ziekteverzekeringen », D.C.C.R., 2019, n^os 122-123, p. 231 ; V. Verbruggen, « RGPD: coeur du puzzle de l'encadrement de la protection des données à caractère personnel dans l'Union européenne », in Le règlement général sur la protection des données …, o.c., pp. 25 et 27.
[13]	Art. 288, al. 2, TFUE.
[14]	Voir, en ce sens, l'arrêt de la Cour constitutionnelle n° 166/2011 du 10 novembre 2011 (rejetant le recours en annulation introduit par Assuralia contre la loi du 21 janvier 2010 qui introduisit à l'époque, dans la loi du 25 juin 1992 sur le contrat d'assurance terrestre, les art. 138ter -1 à 138ter -13 relatifs aux assurances du solde restant dû), qui souligne que l'utilisation de questionnaires médicaux aux fins de la détermination du risque à assurer et de la fixation de la prime d'assurance constitue une ingérence dans le droit au respect de la vie privée (pt. B.16.7.), droit qui est étroitement lié à celui portant sur la protection des données personnelles (voir, en ce sens, C.J.U.E., 9 novembre 2010, C 92/09 et C 93/09, Volker und Markus Schecke et Eifert, EU:C:2010:662, pt. 47).
[15]	J. Amankwah, « In het licht van de AVG: het verwerken van bijzondere catégorieën van persoonsgegevens in de verzekeringssector », R.D.C., 2019/2, p. 247.
[16]	Pour une analyse approfondie de ces dispositions du RGPD, voir, not., C. de Terwangne, « Les principes relatifs au traitement des données à caractère personnel et à sa licéité », in Le règlement général sur la protection des données …, o.c. , pp. 87-119 et O. Santantonio, o.c., pp. 30-34.
[17]	Sur ces principes de licéité, de loyauté et de transparence, voir, not., C. de Terwangne, « Les principes relatifs au traitement… », op. cit., pp. 89-94.
[18]	Voir not., à cet égard, C. de Terwangne, « Les principes relatifs au traitement … », o.c., pp. 94-98, et, pour une étude antérieure au RGPD, S. Gutwirth, « De toepassing van het finaliteitbeginsel van de privacywet van 8 december 1992 tot de bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens », T.P.R., 1993/4, pp. 1409 et s.
[19]	Anvers, 3 mai 1999, Ann. Prat. comm., 1999, pp. 524-527 et A.J.T., 1999, p. 437 et note C. De Vos.
[20]	L'art. 4, 4), du RGPD définit le « profilage » comme « toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique ».
[21]	Voir, à cet égard, P. Van Eecke et Ch. Suffys, « Herbestemming van verzamelde persoonsgegevens voor andere doeleinden », in N. Ragheno (dir.), Data Protection & Privacy. Le GDPR dans la pratique - De GDPR in de praktijk, Limal, Anthemis, 2017, p. 71.
[22]	Le consentement à un traitement de données dites « sensibles » doit par ailleurs satisfaire à une exigence supplémentaire, tenant à son caractère explicite (voir infra, n° 46).
[23]	Voir, en ce sens, C. de Terwangne, « Les principes relatifs au traitement … », o.c., p. 108 et O. Santantonio, o.c., pp. 30-31.
[24]	C. de Terwangne, « Les principes relatifs au traitement … », o.c., p. 111.
[25]	Civ. Bruxelles, 15 octobre 2003, J.T., 2004, pp. 140-141.
[26]	C. de Terwangne, « Les principes relatifs au traitement … », o.c., pp. 115-116.
[27]	Sur ce principe de responsabilité, voir, not., C. de Terwangne, « Les principes relatifs au traitement … », o.c., pp. 116-118.
[28]	Sur cette hypothèse de légitimation fondée sur le consentement de la personne concernée et sur les différents critères de qualité du consentement, voir, not., B. Bruyndonckx, « De verwerking van bijzondere categorieën van persoonsgegevens en de toestemming », in Data Protection - L'impact du GDPR en assurance, o.c., pp. 48-61 et C. de Terwangne, « Les principes relatifs au traitement … », o.c., pp. 120-131.
[29]	Voir, not., les considérants 32, 33 et 42 à 44 du RGPD.
[30]	Voir le considérant 42 du RGPD. Sur les difficultés soulevées par la condition tenant au caractère « libre » du consentement dans le cadre de la collecte de données « sensibles », telles que des données de santé, à des fins d'assurances de personnes, voir infra, n^os 46-48.
[31]	Sur l'articulation de cette disposition et de l'art. 6, 1., sous b), du RGPD, qui offre une base de légitimation au traitement de données personnelles lorsque ce traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles sollicitées par cette personne, voir B. Bruyndonckx, o.c. , pp. 50-51 et D. De Bot, « De gevolgen van de Algemene Verordening Gegevensbescherming voor de verzekeringssector. Enkele kritische bedenkingen », Bull. ass., 2016, p. 140.
[32]	Voir le considérant 32 du RGPD. Voir égal., à ce sujet, J.-F. Henrotte et F. Coton, « L'impact du R.G.P.D. dans le secteur des assurances : comment s'y conformer ? », For. Ass., n° 185, juin 2018, p. 109 et N. Stroobants, « GDPR en het verwerken van gezondheidsgegevens … », o.c., p. 242.
[33]	Voir, en ce sens, le considérant 42 du RGPD, qui ajoute que, conformément à la directive n° 93/13/CEE du Conseil du 5 avril 1993 concernant les clauses abusives dans les contrats conclus avec les consommateurs (J.O., 1993, L. 95, p. 29), une déclaration de consentement rédigée préalablement par le responsable du traitement ne devrait contenir aucune clause abusive.
[34]	Voir, en ce sens, Cl. Devoet, « Assurance maladie privée : questions choisies », Bull. ass., 2020/3, p. 245. Voir toutefois, pour une approche plus nuancée, N. Stroobants (« GDPR en het verwerken van gezondheidsgegevens … », o.c., p. 245), qui, à cet égard, prend appui, notamment, sur les indications du Groupe de travail « Article 29 ». Ce dernier était un groupe de travail européen indépendant qui traitait des questions relatives à la protection de la vie privée et aux données à caractère personnel avant l'entrée en vigueur du RGPD. C'est à présent le Comité européen de la protection des données (European Data Protection Board (E.D.P.B.)) qui, en sa qualité d'organe européen indépendant, contribue à l'application cohérente du RGPD.
[35]	Voir le considérant 32 du RGPD. Voir égal., en ce sens, C.J.U.E., 1^er octobre 2019, C 673/17, Planet49, EU:C:2019:801, pts. 60 à 62. Pour un examen détaillé de cette exigence, voir N. Stroobants, « GDPR en het verwerken van gezondheidsgegevens … », o.c., pp. 243-244.
[36]	Voir, en ce sens, N. Stroobants, « GDPR en het verwerken van gezondheidsgegevens … », o.c., p. 244.
[37]	Cette autorité, qui a succédé à la Commission de la protection de la vie privée, a été créée par la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (M.B., 10 janvier 2018).
[38]	La décision est disponible sur le site internet de cette autorité (www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-24-2020.pdf). Pour des commentaires de cette décision, voir Cl. Devoet, « Assurance maladie privée … », o.c., pp. 245-246, ainsi que C. Huart et S. Pâques, « RGPD - La déclaration de confidentialité doit être transparente », Life & Benefits, n° 9, novembre 2020, pp. 6-8.
[39]	Autres que des données de santé, lesquelles font l'objet, à l'art. 9 du RGPD, de règles de protection renforcées (voir infra, n^os 35 et s.).
[40]	Pt. 39 de la décision.
[41]	Autres que des données de santé.
[42]	Pt. 40 de la décision.
[43]	Voir, en ce sens, J. Amankwah, o.c., p. 247.
[44]	Voir, à propos de la disposition correspondante de l'art. 7, 1., sous f), de la directive n° 95/46, les arrêts du 4 mai 2017, C 13/16, Rigas satiksme, EU:C:2017:336, pt. 28 et du 11 décembre 2019, C 708/18, Asociatia de Proprietari bloc M5A-ScaraA, EU:C:2019:1064, pt. 40.
[45]	Pts. 33 et 49 de la décision. En l'occurrence, l'Autorité de protection des données a considéré que cette démonstration n'avait pas été faite par l'assureur en ce qui concerne des finalités telles que « la réalisation de tests informatisés », « le contrôle de la qualité du service », « la formation du personnel » ou encore « la surveillance et les rapports » (pt. 33). Elle a également relevé (pt. 43 de la décision) que l'assureur n'avait pas démontré l'existence d'un intérêt légitime supplantant les intérêts et les droits fondamentaux de la personne concernée, qui puisse justifier le transfert de données personnelles concernant cette dernière à d'autres sociétés du groupe auquel appartient ledit assureur « pour le suivi et les rapports » ou le transfert de telles données à des « sous-traitants dans l'Union européenne ou en dehors de celle-ci, chargés des activités de traitement définies par la compagnie d'assurance ».
[46]	Pt. 34 de la décision.
[47]	C. de Terwangne, « Les principes relatifs au traitement … », o.c., pp. 90 et 119-120. Contra, voir J. Ausloos, « Giving meaning to Lawfulness under the GDPR », CiTiP Blog, 2 mai 2017, www.law.kuleuven.be/citip/blog/2761-2.
[48]	Voir, not., pts. 46 à 48 et 54 à 56 de la décision.
[49]	Voir infra, n^os 35 et s.
[50]	Ainsi, p. ex., la justification fondée sur la seule existence d'un intérêt légitime prépondérant du responsable du traitement des données personnelles n'est pas admise pour le traitement de données personnelles de santé.
[51]	Voir, not., pts. 49 à 51 et 57 de la décision.
[52]	Voir, not., pts. 52 et 53 de la décision.
[53]	Voir, en ce sens, J.-M. Van Gyseghem, « Les catégories particulières de données à caractère personnel », in Le règlement général sur la protection des données, o.c. , p. 255.
[54]	Pour plus de détails sur cette notion de « données concernant la santé » ainsi que sur le chevauchement entre cette notion et celle de « données génétiques », voir, not., B. Bruyndonckx, o.c., pp. 42-45 ; J. Herveg et J.-M. Van Gyseghem, « L'impact du Règlement général sur la protection des données dans le secteur de la santé », in Le règlement général sur la protection des données, o.c. , pp. 703-727 ; N. Stroobants, « GDPR en het verwerken van gezondheidsgegevens… », o.c., pp. 235-238 et J.-M. Van Gyseghem, « Les catégories particulières de données… », o.c., pp. 263-265.
[55]	Voir, en ce sens, C.J.U.E., 6 novembre 2003, C 101/01, Lindqvist, EU:C:2003:596, qui englobe dans cette notion « tous les aspects, tant physiques que psychiques, de la santé d'une personne » (pt. 50 de l'arrêt).
[56]	Voir, en ce sens, J. Herveg et J.-M. Van Gyseghem (o.c., pp. 706-707), qui s'appuient sur la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et sur le rapport explicatif de cette convention, ainsi que sur l'exposé des motifs de la recommandation n° R (97) 5 relative à la protection des données médicales, adoptée le 13 février 1997 par le Comité des ministres du Conseil de l'Europe.
[57]	CM/Rec(2016)8, pp. 15-17.
[58]	Soulignements ajoutés.
[59]	Affaires 2018/AR/1112 à 1114, Test-Achats / AG Insurance, Axa Belgium et Belfius Insurance. Ces arrêts sont reproduits, en tout ou en partie, dans le même numéro de cette Revue (pp. 2009-2017).
[60]	A/17/01046, 01140 et 01141.
[61]	Sur ce droit à l'oubli, voir, not., J.-M. Binon et N. Schmitz, « Développements récents dans les assurances de personnes », in C. Paris (dir.), Actualités en droit des assurances, Coll. Commission Université-Palais, vol. 201, novembre 2020, pp. 250-280, ainsi que Q. de Thysebaert, « Accès à l'assurance du solde restant dû: un chantier enfin achevé ? », For. Ass., n° 198, novembre 2019, pp. 149-157.
[62]	Pour une analyse approfondie de ce fondement, voir N. Stroobants, « GDPR en het verwerken van gezondheidsgegevens… », o.c., pp. 241-254.
[63]	Sur les formes (écrite, électronique,…) que peut revêtir ce consentement « explicite » (exigence dont il appartient au responsable du traitement de démontrer le respect), voir N. Stroobants, « GDPR en het verwerken van gezondheidsgegevens… », o.c., pp. 245-246.
[64]	Pour une analyse approfondie de cette question, voir, not., J. Amankwah (o.c., pp. 248-249) et N. Stroobants (« GDPR en het verwerken van gezondheidsgegevens… », o.c., pp. 248-254) qui renvoient, à cet égard, à différentes lignes directrices du Groupe de travail « Article 29 » (not. du 10 avril 2018). Ces auteurs font également état de la position de la fédération européenne des assureurs (Insurance Europe) qui, se fondant sur une lecture a contrario de l'art. 7, 4), du RGPD, considère que, dès lors que le traitement de données sensibles est nécessaire à la conclusion ou à l'exécution du contrat d'assurance, le consentement du candidat à l'assurance à ce traitement doit être regardé comme étant libre.
[65]	Voir supra, n° 23.
[66]	Comm. Bruxelles (cess.), 16 juin 2003, Test-Achats / DKV Belgium, R.D.C., 2003, p. 901.
[67]	Voir supra, n° 41.
[68]	Dans ses arrêts du 29 juin 2020 mentionnés supra, n° 41, la cour d'appel de Bruxelles n'a, pour sa part, pas été amenée à se prononcer sur cette question.
[69]	L'art. 9, 3., du RGPD précise que les données sensibles visées à l'art. 9, 1., peuvent faire l'objet d'un traitement aux fins prévues à l'art. 9, 2., sous h), si ces données sont traitées par un professionnel de la santé soumis à une obligation de secret professionnel.
[70]	Considérant 52.
[71]	Considérant 53.
[72]	Voir, not., J.-M. Van Gyseghem, « Les catégories particulières de données … », o.c., pp. 274-275.
[73]	Sur l'état de la controverse, voir, not., N. Stroobants, « GDPR en het verwerken van gezondheidsgegevens… », o.c., pp. 264-269.
[74]	Pour une analyse approfondie de ce fondement, voir N. Stroobants, « GDPR en het verwerken van gezondheidsgegevens … », o.c., pp. 254-257.
[75]	Sur l'état de la controverse, voir N. Stroobants, « GDPR en het verwerken van gezondheidsgegevens… », o.c., pp. 257-263.
[76]	Avis du 16 juillet 2019 concernant le traitement des données relatives à la santé dans le cadre du règlement (UE) n° 2016/679 (règlement général sur la protection des données) (www.fsma.be/sites/default/files/legacy/content/advorg&so l;2019/advice&lowbar;c&lowbar;2019&lowbar;1.pdf).
[77]	Voir, en particulier, les pages 6 à 8 de cet avis. Pour un aperçu de droit comparé, voir, égal., J. Amankwah, o.c., pp. 250-251, ainsi que N. Stroobants, « GDPR en het verwerken van gezondheidsgegevens… », o.c., pp. 260-262 et 267-268.
[78]	Voir, à cet égard, l'analyse exhaustive de N. Stroobants (« GDPR en het verwerken van gezondheidsgegevens… », o.c., pp. 248-254, 257-263, 264-269 et 270-271) sur les failles que comportent, pour le traitement de données sensibles dans les assurances de personnes, les différents fondements inscrits à l'art. 9, 2., du RGPD. A cela s'ajoute le fait que, en dehors de l'art. 9, 2., sous j), du RGPD, qui permet le traitement de données sensibles à des fins, notamment, statistiques, dans le respect de l'art. 89, 1., de ce règlement, sur la base du droit de l'Union ou du droit d'un Etat membre, qui soit proportionné à l'objectif poursuivi, qui respecte l'essence du droit à la protection des données et qui prévoie des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée, les autres hypothèses visées par cet art. 9, 2., ne sont pas pertinentes pour les assurances de personnes. Ainsi en est-il de l'art. 9, 2., sous c), qui vise la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique, de l'art. 9, 2., sous d), qui a trait aux activités légitimes de certaines fondations, de certaines associations ou de certains organismes à but non lucratif, de l'art. 9, 2., sous e), qui concerne les données « manifestement rendues publiques par la personne concernée », et de l'art. 9, 2., sous f), qui se rapporte à la constatation, à l'exercice ou à la défense d'un droit en justice.
[79]	Le retrait du consentement ne remet, en revanche, pas en cause la licéité des traitements antérieurs. Voir, en ce sens, N. Stroobants, « GDPR en het verwerken van gezondheidsgegevens… », o.c., p. 246.
[80]	Voir, en ce sens, J. Amankwah , o.c., p. 249, ainsi que l'avis de la Commission des assurances du 16 juillet 2019, pp. 4-5.
[81]	Abstraction faite de l'hypothèse de son retrait.
[82]	Sur cette autre source d'insécurité juridique, voir J. Amankwah (o.c., pp. 249-250), qui expose les positions divergentes du Groupe de travail « Article 29 » et de l'association professionnelle Insurance Europe à ce sujet.
[83]	Voir la page 17 de cet avis.
[84]	Dans cet avis (p. 2), la Commission des assurances rappelle qu'un amendement avait visé, lors des travaux parlementaires ayant conduit à la loi du 30 juillet 2018, à introduire une base de traitement spécifique pour les assurances sur le fondement de l'art. 9, 2., sous h), du RGPD. Cet amendement a toutefois été retiré après que le secrétaire d'Etat à la protection de la vie privée ait fait remarquer qu'il fallait éviter de réglementer des situations spécifiques, notamment pour le secteur des assurances, dans une loi-cadre. Dans sa décision n° 24/2020 du 14 mai 2020 (citée supra, n° 28), l'Autorité de protection des données a également lancé un appel au législateur belge en vue de l'introduction d'une base juridique spécifique au secteur des assurances, qui permettrait la collecte de données de santé « dans des limites bien définies dans le cadre de la relation (pré)contractuelle entre l'assureur et l'assuré » (pt. 75). Voir égal., à ce sujet, Cl. Devoet, « Assurance maladie privée… », o.c., pp. 245-246. Le 13 septembre 2021, le Vice-premier ministre et ministre de l'économie et du travail a soumis à la Commission des assurances, pour avis, un avant-projet de loi relatif au traitement des données à caractère personnel concernant la santé. À la suite de l'avis rendu par la Commission des assurances le 20 décembre 2021 (doc/C2021/3), il a toutefois informé cette dernière, en janvier 2022, que, partageant les critiques des représentants des consommateurs reflétées dans cet avis, il avait décidé de na pas poursuivre dans la voie de cet avant-projet de loi.
[85]	Voir, not., J.-M. Van Gyseghem , « Les catégories particulières de données … », o.c., pp. 275-276.
[86]	Voir, en ce sens, la méthodologie suggérée, sous la forme d'un « jeu de piste », par J.-M. Van Gyseghem (« Les catégories particulières de données… », o.c., pp. 258 et 271-272), pour garantir que le traitement de données sensibles soit en tous points conforme au RGPD.
[87]	Affaire 2018/AR/1114, Test-Achats / Belfius Insurance. Cet arrêt est publié dans le même numéro de cette Revue, pp. 2009-2017.
[88]	Comm. Bruxelles (cess.), 16 juin 2003, Test-Achats / ING Insurance, R.D.C., 2003, p. 885.
[89]	Comm. Bruxelles (cess.), 16 juin 2003, Test-Achats / Fortis AG, R.D.C., 2003, p. 895.
[90]	Comm. Bruxelles (cess.), 16 juin 2003, Test-Achats / DKV Belgium, R.D.C., 2003, p. 903.
[91]	L'art. 128, § 1 et 2, du code de déontologie médicale précise, quant à lui, qu'il est interdit au médecin désigné par l'assureur de révéler, y compris à son mandant, les raisons d'ordre médical qui motivent ses conclusions, ce médecin ne pouvant faire part à ce mandant que des « constatations utiles » faites sur les candidats à l'assurance ou les assurés malades, blessés ou accidentés, qu'il est amené à examiner.
[92]	Bull. ass., 2021/1, pp. 74-77.
[93]	Comm. Bruxelles (cess.), 16 juin 2003, Test-Achats / DKV Belgium, R.D.C., 2003, p. 902.
[94]	Comm. Bruxelles (cess.), 16 juin 2003, Test-Achats / Fortis AG, R.D.C., 2003, pp. 894-895, et Test-Achats / DKV Belgium, R.D.C., 2003, p. 902.
[95]	Voir, en ce sens, la proposition de loi du 14 septembre 2018, déposée par M^me Lalieux et consorts, relative aux assurances solde restant dû et établissant un « droit à l'oubli » pour les personnes souffrant ou ayant souffert de pathologies cancéreuses et d'autres pathologies, notamment chroniques (Doc. parl., Ch. repr., S.O. 2018-2019, Doc. n° 54-3272/001). Cette proposition recommandait de compléter l'art. 5 de l'arrêté royal du 10 avril 2014 par une disposition (nouveau pt. 3) imposant que les « processus de recueil et de traitement des informations personnelles concernant la santé de l'assuré et du candidat preneur d'assurance garantissent la confidentialité de ces informations » et, à cette fin, que « les dossiers concernant ces informations [soient] placés sous l'autorité d'un médecin dont l'indépendance technique et morale doi[ve] être garantie [et qui] [soit] responsable de la confidentialité de toute information médicale fournie aux sociétés ».
[96]	L'on rappellera ici la proposition de la Commission des assurances du 16 juillet 2019 visant à insérer dans la loi du 30 juillet 2018 une disposition assujettissant les assureurs, les réassureurs, les intermédiaires d'assurance ou de réassurance, ainsi que les membres de leur personnel et leurs collaborateurs, à une obligation de secret professionnel lors du traitement de données de santé (voir supra, n° 56). Sur la pratique consistant à collecter des données médicales, en particulier des données biométriques, grâce à des « robots », voir l'affaire opposant, aux États-Unis, une association de consommateurs à la compagnie d'assurances Lemonade (www.insurancebusinessmag.com/uk/news/technology/lemon ade-faces-class-action-lawsuit-over-alleged-mishandling-of-biometric-data-308314.aspx).
[97]	L'on mentionnera également, sans s'y attarder dans le cadre de la présente contribution, l'interdiction faite aux assureurs d'exploiter, en assurance du solde restant dû, les données se rapportant à une pathologie cancéreuse dont le traitement a pris fin depuis au moins dix ans (ce délai étant réduit pour certains types de cancers) et qui n'a pas récidivé dans ce même délai, ou à certaines maladies chroniques, pour déterminer l'état de santé actuel du candidat à l'assurance à quelque fin que ce soit (refus d'assurance, exclusion spécifique de garantie, application d'une surprime) [sur ce « droit à l'oubli », qui est régi par les art. 61/1 à 61/4 de la loi relative aux assurances, ainsi que par l'arrêté royal du 26 mai 2019 déterminant une grille de référence relative au droit à l'oubli en certaines assurances de personnes visée à l'art. 61/3 de la loi du 4 avril 2014 relative aux assurances (M.B., 14 juin 2019), voir les références doctrinales citées en note de bas de page 61], ainsi que l'interdiction faite aux assureurs maladie, par l'art. 208, § 1^er, alinéa 1^er, de la loi relative aux assurances, de collecter de nouvelles données médicales (via un examen médical supplémentaire ou un nouveau questionnaire médical) auprès d'une personne qui, après avoir été affiliée pendant au moins deux ans à une assurance liée à l'activité professionnelle, fait usage de son droit de poursuivre individuellement cette assurance lorsqu'elle vient à en perdre le bénéfice. Sur ce droit de poursuite individuelle, qui est régi par les art. 208 à 211 de la loi relative aux assurances, voir, not., J.-M. Binon, Droit des assurances de personnes. Aspects civils, techniques et sociaux, 2^e éd., Bruxelles, Larcier, pp. 897-907; Th. Vansweevelt et B. Weyts (éds.), Handboek Verzekeringsrecht, Anvers-Cambridge, Intersentia, 2016, pp. 914-917; N. Schmitz, « Les modifications apportées à la loi du 25 juin 1992 sur le contrat d'assurance terrestre en assurance maladie et en assurance du solde restant dû: trois pas en avant… », in B. Dubuisson et V. Callewaert (dirs.), La loi sur le contrat d'assurance terrestre. Bilan et perspectives après 20 années d'application, Bruxelles, Bruylant, 2012, pp. 330-341, ainsi que L. Schuermans et C. Van Schoubroeck, o.c., pp. 647-649. Bien que ces deux mesures ne comportent pas de référence à l'art. 9, 4., du RGPD (la seconde ayant, d'ailleurs, été adoptée antérieurement à ce dernier), elles paraissent pouvoir relever, à l'heure actuelle, du champ d'application de cette disposition.
[98]	Si ces dispositions, qui sont antérieures à l'entrée en vigueur du RGPD, ne comportent pas de référence à l'art. 9, 4., de celui-ci, elles paraissent, elles aussi, pouvoir relever du champ d'application de cette disposition.
[99]	En assurance maladie, l'art. 206, al. 2, de la loi relative aux assurances précise, en ce qui concerne le droit des malades chroniques et des personnes handicapées à une assurance soins de santé, que le document joint au contrat pour décrire la maladie chronique ou le handicap dont souffre l'assuré s'entend sans préjudice de l'application des art. 58 et 61 de cette loi concernant les données génétiques. Sur cette prohibition de la communication et de l'exploitation des données génétiques en assurance (not., de personnes), voir not., J.-M. Binon, Droit des assurances de personnes , o.c., pp. 90-91 et références citées ; voir égal. Th. Vansweevelt et B. Weyts (éds.), Handboek Verzekeringsrecht, o.c., pp. 424-427.
[100]	Voir, not., en ce sens, L. Kerzmann, « Du neuf en matière de clauses et de pratiques abusives en assurances de personnes », D.C.C.R., 2004, n° 63, p. 45, ainsi que Th. Vansweevelt et B. Weyts (éds.), Handboek Verzekeringsrecht, o.c., p. 424.
[101]	Voir supra, n^os 41-44. Pour une analyse exhaustive de la problématique des données génétiques en assurance, notamment, de personnes, voir C. Cornelis, Genetische gegeven en verzekeringen, Anvers - Gand - Cambridge, Intersentia, 2021, 710 p.
[102]	Loi du 10 décembre 2020 modifiant la loi du 4 avril 2014 relative aux assurances en vue d'établir dans le domaine de l'assurance maladie et de l'assurance individuelle sur la vie une restriction de traitement des données à caractère personnel concernant le mode de vie ou la santé issues des objets connectés (M.B., 15 janvier 2021). Pour une présentation détaillée de cette loi, voir Th. Derval et Ch. De Thaye, « Hoe goed dienen verzekeraars op de hoogte te zijn van de levenswijze van hun verzekerden? Belgische wetgever beperkt het gebruik van door smart devices verzamelde gezondheidsgegevens in het kader van ziekte- en levensverzekeringen », Bull. ass., 2021/2, pp. 187-194. Voir égal. la contribution exhaustive de N. Stroobants, « Het gebruik van persoonsgegevens inzake levensstijl of gezondheid verzameld door met het internet verbonden apparaten in individuele levensverzekeringen en ziekteverzekeringen: het segmentatiebeleid van private verzekeraars verder aan banden gelegd », R.D.C., 2021/9, pp. 1926-1943.
[103]	Il peut s'agir d'applications permettant de quantifier une activité ou un paramètre physique, tel que le nombre de pas ou de kilomètres parcourus sur une journée ou lors d'une randonnée pédestre ou cycliste, de surveiller la nutrition et les comportements alimentaires au travers de l'estimation des calories consommées, de surveiller le poids, le rythme cardiaque ou le taux d'oxygène, de suivre un facteur de risque lié à une maladie chronique telle que l'hypertension ou le diabète, de mesurer la qualité et le temps de sommeil ou encore d'évaluer l'humeur.
[104]	Une autre justification mise en avant a trait au souci de préserver le rôle des assureurs et des intermédiaires d'assurance « classiques » face à la possible émergence de conglomérats regroupant des géants du secteur de la fabrication d'objets connectés, du secteur de la santé et du secteur des assurances (Doc. parl., Ch. repr., S.O. 2019-2020, Doc. n° 55-0263/001, pp. 5-6 et Doc. n° 55-0263/005, p. 4).
[105]	Les assurances groupe ne sont donc pas visées par ces nouvelles dispositions.
[106]	Se fondant sur des indications fournies par le Groupe de travail « Article 29 », N. Stroobants (« GDPR en het verwerken van gezondheidsgegevens… », o.c., p. 237) relève que, si des données captées par les objets connectés telles que le nombre de pas parcourus ou de calories consommées journalièrement ou les habitudes et la qualité du sommeil, ne relèvent pas, en tant que telles, à proprement parler des « données de santé », au sens de l'art. 9, 4., du RGPD, leur combinaison avec d'autres données (telles que l'indice de masse corporelle) peut permettre de tirer des enseignements sur l'état de santé de la personne concernée.
[107]	Alors que la proposition initiale visait les « capteurs de santé », dont elle envisageait la définition dans un nouveau pt. 53 de l'art. 5 de la loi relative aux assurances, le législateur a finalement renoncé à cette notion et à cette définition au motif que celles-ci pourraient rapidement devenir obsolètes en raison de la rapidité des évolutions technologiques (Doc. parl., Ch. repr., S.O. 2019-2020, Doc. n° 55-0263/008, p. 5). La loi du 10 décembre 2020 se réfère à la notion d'« objet connecté » non autrement définie ou précisée que par une référence au fait qu'il doit s'agir d'un objet qui permet de récolter des données personnelles concernant le mode de vie ou la santé de l'assuré. Des questions d'interprétation de cette notion ne sont donc pas à exclure.
[108]	Bien que les travaux préparatoires ne s'en expliquent pas, la raison de la référence à une « restriction » dans l'intitulé de la loi du 10 décembre 2020 pourrait tenir au souci du législateur belge de chercher à s'inscrire dans le périmètre de la faculté offerte aux Etats membres par l'art. 9, 4., du RGPD, laquelle autorise, tout au plus, une « restriction ». Par ailleurs, tandis que la proposition initiale prévoyait l'insertion, dans la loi relative aux assurances, d'une disposition interdisant expressément « le traitement de données à caractère personnel récoltées par un capteur de santé » (Doc. parl., Ch. repr., S.O. 2019-2020, Doc. n° 55-0263/001, p. 9), un amendement a conduit à ne pas retenir cette disposition au motif qu'une telle interdiction ressort de manière suffisamment claire de l'art. 9, 1., du RGPD (Doc. parl., Ch. repr., S.O. 2019-2020, Doc. n° 55-0263/008, p. 8).
[109]	Voir, en ce sens, Th. Derval et Ch. De Thaye, o.c., p. 190.
[110]	Voir supra, n° 60.
[111]	Pour une présentation détaillée de ces droits, voir, not., D. De Bot, « De rechten van de betrokkenen benaderd vanuit de invalshoek van verwerkingsverantwoordelijken. Welke verplichtingen houden zij in? », in Data Protection. L'impact du GDPR en assurance, o.c., pp. 103-176 et Th. Tombal, « Les droits de la personne concernée dans le RGPD », in Le règlement général sur la protection des données…, o.c., pp. 407-557.
[112]	Voir égal., à cet égard, l'avis du Conseil national de l'ordre des médecins du 5 juillet 2019 (R.G.A.R., 2019, n° 15.615 et note M. Vanderweckene, « La conservation des archives médicales: quel délai ? »), dont il ressort, notamment, que le médecin-conseil d'un assureur ne peut pas conserver les données une fois accomplie la mission que lui a confiée l'assureur, mais qu'il peut se justifier que ce médecin conserve dans ses propres archives la lettre de mission et le rapport du déroulé de celle-ci de façon à pouvoir se défendre en cas de contestation.
[113]	Art. 9, § 4, de la loi du 22 août 2002 relative aux droits du patient (M.B., 26 septembre 2002). Voir, à cet égard, I. Lutte, « Les données relatives à la santé », in Data Protection. L'impact du GDPR en assurance, o.c., pp. 78-79, 92-94 et 101.
[114]	Voir supra, n° 54.
[115]	Voir, à ce sujet, J. Amankwah, o.c., p. 253.
[116]	Pour des commentaires de ce jugement, voir, à cet égard, Cl. Devoet, « Assurance maladie privée … », o.c., pp. 242-245 et I. Lutte, « L'accès aux données de santé. A propos du dossier médical établi par le médecin-conseil d'une compagnie d'assurance », Rev. dr. santé, 2020-2021, pp. 259-263.
[117]	En substance, le tribunal a jugé que, sur la base de l'art. 9, § 2, de la loi relative aux droits du patient, une personne assurée a le droit d'obtenir du médecin-conseil de l'assureur, mais non de l'assureur (lequel ne relève pas du champ d'application personnel de cette loi), l'accès à l'intégralité du dossier médical constitué par ce médecin-conseil, à l'exception des annotations personnelles de ce dernier et des données relatives aux tiers. Ainsi que le relève Cl. Devoet (« L'assurance maladie privée… », o.c., p. 243), une divergence de vues oppose, d'un côté, le Conseil national de l'Ordre des médecins, lequel préconise de faire une distinction entre les données médicales, personnelles et professionnelles, qui doivent être accessibles à l'assuré, et les données relatives aux estimations techniques et financières, auxquelles cet assuré ne devrait pas pouvoir accéder, et, de l'autre côté, la Commission fédérale « Droits des patients », dont l'avis du 21 juin 2013 est invoqué par le tribunal de première instance francophone de Bruxelles à l'appui de son jugement, et qui n'admet aucune restriction à l'accès au dossier détenu par le médecin-conseil (si ce ne sont celles liées aux annotations personnelles de ce dernier et aux données concernant des tiers). Pour un examen détaillé de cette question, voir I. Lutte, « Les données relatives à la santé… », o.c., pp. 72-101, en particulier pp. 89-90.
[118]	Voir, dans le sens de l'imposition d'une telle obligation, la proposition de la Commission des assurances du 16 juillet 2019 mentionnée supra, n° 56.

Assurances de personnes et protection des données personnelles : un mariage tumultueux à l'ombre du RGPD, R.D.C.-T.B.H., 2021/9, p. 1949-1971

Rechercher Actualités

Filtrer