Les assureurs en responsabilité civile demandent fréquemment des expertises à des spécialistes externes (médecins, ingénieurs, biomécaniciens, économistes d'entreprise, etc.). Ces expertises leur servent à déterminer les prestations qu'il leur incombe d'allouer. Ce faisant, ils doivent respecter certains critères relevant de la protection des données - notamment les règles applicables au traitement de données par un tiers.
Dans son principe, la loi fédérale sur la protection des données (LPD) vise à faciliter les procédures impliquant une répartition des tâches et donc à éviter les obstacles excessifs. A l'art. 10a, elle contient une norme spéciale qui règle le traitement de données par un tiers et introduit ainsi une distinction entre le traitement par des tiers et des cas apparemment semblables.
I. Considérations juridiques
La condition primordiale d'une externalisation licite au sens de l'art. 10a LPD est que l'assureur en responsabilité civile soit lui-même autorisé à traiter les données relatives à la personne concernée. Le traitement des données doit en effet respecter le droit. Pour éviter toute atteinte à la personnalité, le traitement doit être justifié, en raison du fait que l'assureur en responsabilité civile n'entretient aucun rapport contractuel avec la personne lésée. Or, la communauté des assurés a un intérêt à soumettre la demande de la personne lésée à un examen approfondi, en vue d'établir le bien-fondé et l'ampleur du dédommagement. Cet intérêt doit être considéré comme un intérêt privé suffisant qui justifie le traitement de données relatives à la personne lésée.
Lorsque l'expert ne traite les données personnelles que pour les besoins de l'assureur en responsabilité civile, les deux partenaires entretiennent un lien juridiquement privilégié. Les mêmes règles justificatives s'appliquent à l'assureur et à l'expert. Une partie de la doctrine va même si loin, que certains juristes considèrent qu'il n'est pas nécessaire que la personne lésée soit informée du transfert de ses données personnelles à un expert, dès lors que ce transfert est licite. Le préposé ne saurait partager cette façon de voir. La plus récente révision de la LPD a eu pour objectif principal d'améliorer la transparence pour les personnes concernées. En cas de traitement de données sensibles, ces personnes doivent être informées de l'identité du maître de fichier aussi bien que du but du traitement. Toute autre indication requise en vertu des principes de la bonne foi et de la proportionnalité doit en outre être fournie.
Le traitement juridiquement privilégié dont bénéficie la relation interne entre l'assureur en responsabilité civile et l'expert, caractérisé par le fait qu'aucune justification particulière n'est exigée par la loi en cas de traitement licite de données par un tiers (en l'occurrence l'expert), ne signifie pas que le principe selon lequel le traitement doit être reconnaissable puisse être enfreint. Au moment où elle confie à l'assureur les données personnelles la concernant, la personne lésée doit pouvoir se rendre compte que ces données pourraient très bien être transmises à un expert. Comme il s'agit le plus souvent de données sensibles, la barre doit être placée très haut : si la possibilité d'un transfert des données à un expert n'est pas reconnaissable au premier coup d'œil, la personne lésée doit être informée explicitement de cette possibilité.
II. Le PFPDT propose le mode opératoire suivant:
- En principe, l'assureur en responsabilité civile a le droit de demander à un spécialiste externe une expertise relative à la personne lésée. L'accord de cette dernière n'est pas nécessaire.
- L'assureur en responsabilité civile informe la personne lésée du fait que les données personnelles la concernant peuvent également être transmises à un spécialiste externe aux fins d'expertise. L'information s'effectuera en règle générale au moment de la demande des données personnelles par l'assureur en responsabilité civile, mais au plus tard lors de la transmission des données à un expert externe.
Dernière modification 15.12.2009