La protection des données personnelles du salarié dans le cadre de l'opération collective de prévoyance

The protection of the employees personal data in the context of the collective operation of insurance

• Auteur / Autrice : Morgane Bertrand
• Direction : Francis Kessler
• Type : Thèse de doctorat
• Discipline(s) : Droit privé
• Date : Soutenance le 04/02/2022
• Etablissement(s) : Paris 1
• Ecole(s) doctorale(s) : École doctorale de droit de la Sorbonne (Paris ; 2015-....)
• Partenaire(s) de recherche : Equipe de recherche : Institut de recherche juridique de la Sorbonne (Paris ; 2001-....)
• Jury : Président / Présidente : Pierre-Yves Verkindt
• Jury : Examinateurs / Examinatrices : Francis Kessler
• Jury : Rapporteur / Rapporteuse : Michel Borgetto, Marcel Moritz

Mots clés

Mots clés contrôlés

Assurance-groupe

Droit

Assurance complémentaire santé

Personnel -- Droits

France

Protection de l'information (informatique) -- Droit

Mots clés libres

Données personnelles

Salarié

Opération collective

Prévoyance

Assurance de groupe

Personal data

Employee

Collective operation

Insurance

Group insurance

Résumé

Le règlement général sur la protection des données et la loi n° 78-17 du 6 janvier 1978 modifiée, plus connus respectivement sous le nom de « RGPD » et de « loi Informatique et Libertés », s’appliquent aux traitements des données personnelles du salarié réalisés dans le cadre d’une opération collective de prévoyance. Ces traitements liés à la conclusion et à l’exécution du contrat d’assurance de groupe, fondé sur une relation triangulaire entre l’entreprise souscriptrice, l’assureur et le salarié, font apparaître des risques pour les droits et libertés individuels de ce dernier. Le principe de « redevabilité » consacré par le RGPD impose désormais à l’assureur et à l’entreprise souscriptrice de démontrer la conformité de leurs traitements. La recherche d’adéquation entre les règles de protection des données personnelles, élaborées selon une approche individualiste, et celles régissant l’opération collective de prévoyance, met en lumière la nécessité de prévoir des garde-boues juridiques tenant compte du particularisme de cette dernière par rapport à une assurance individuelle. L’attribution de la responsabilité du traitement et le choix d’un fondement juridique, y compris pour l’utilisation de données de santé, témoignent des incertitudes juridiques entourant l’application des règles de protection des données en prévoyance collective. Le principe de finalité et le dispositif des droits individuels apparaissant en outre insuffisants pour garantir au salarié une protection pleinement efficace, il est proposé de s’inspirer des mécanismes de représentation issus du droit du travail en vue d’envisager une approche collective de la protection des données personnelles du salarié.

The General Data Protection Regulation and Law No. 78-17 of 6 January 1978 as amended, better known respectively as the ''GDPR'' and the ''loi Informatique et Libertés'', apply to the processing of the employee's personal data in the course of activities provided for within the framework of a collective operation of insurance. Such processing linked to the conclusion and performance of the group insurance contract, based on a triangular relationship between the subscribing company, the insurer and the employee, reveal risks to the latter's individual rights and freedoms. The principle of ''accountability'' enshrined in the GDPR now requires the insurer and the subscribing company to demonstrate the compliance of their processing. The search for a balance between the rules for the protection of personal data, drawn up according to an individualistic approach, and those governing the collective operation of insurance, highlights the need to provide for legal safeguards taking into account the particularity of the latter in comparison with individual insurance. The attribution of responsibility for the processing and the choice of a legal basis, including for the use of health data, provide evidence of the legal uncertainty surrounding the application of the personal data protection rules with regard to the collective operation of insurance. As the principle of purpose and the provision of individual rights also appear insufficient to guarantee the employee fully effective protection, it is proposed to draw inspiration from the representation mechanisms resulting from labour law in order to consider a collective approach to the protection of the employee's personal data.