- Le PFPDT conteste l’accès contraire à la protection des données aux données de l’assurance de base par Helsana Assurances complémentaires SA, faute de base légale.
- Le traitement de l’appartenance à une caisse crée un effet économique de la prime ; enfreint la LAMal, donc inadmissible.
- Le PFPDT estime que le consentement n’est pas libre en raison du lien avec l’accès au programme ; la délimitation juridique par rapport à l’interdiction de couplage n’est pas suffisamment expliquée.
Le site PFPDT a procédé à l’examen des faits dans l’affaire Helsana+ conformément aux articles 27 et 29 de la loi sur l’assurance maladie. DSG avec une Recommandation (PDF) car les parties n’étaient pas d’accord sur certains points. La recommandation concerne le Programme de bonus “Helsana+“qui est proposé par l’assurance complémentaire Helsana. Le programme de bonus
permet de collecter des points pour un comportement soucieux de la santé, un engagement social et sociétal et un attachement à Helsana. Les points positifs collectés peuvent être échangés contre des valeurs financières, des prestations en nature, des bons, etc. ou sous forme d’avantages bonus (tels que des rabais) auprès des partenaires d’Helsana.
[Conditions d’utilisation et de protection des données pour l’application Helsana]
La politique de confidentialité contient la disposition suivante :
L’utilisateur accepte expressément qu’Helsana ait accès, dans le cadre du traitement de l’application Helsana+, aux données disponibles auprès des sociétés d’assurance du Groupe Helsana. Données des assurés de l’utilisateur est autorisé.
Ainsi, le fournisseur du programme, Helsana Assurances complémentaires GTLe système identifie l’utilisateur en comparant ses données d’assuré. L’accès aux données de l’assurance de base (statut d’assuré de l’utilisateur) est effectué.
Le site PFPDT a examiné le programme de bonus dans le cadre de l’établissement des faits et l’a critiqué sur deux points :
- Il est contraire à la protection des données que les assurances complémentaires d’Helsana GT dans le cadre du processus d’inscription sur les données de l’assureur de base de l’assurance maladie. Selon elle, l’assureur de base est un organe fédéral et ne peut donc être base légale n’interviennent pas. Une telle communication fait défaut pour la communication de données à Helsana Assurances complémentaires. GT.
- Les points bonus peuvent être convertis en avantages appréciables en argent, le montant des avantages dépendant notamment du fait que l’utilisateur est assuré auprès d’Helsana au titre de l’assurance de base et/ou de l’assurance complémentaire. En conséquence, le traitement de l’affiliation à la caisse entraîne économiquement un remboursement de primes. Cela viole le principe de l’égalité de traitement. LAMALLe traitement de ces données n’est donc pas autorisé.
Sur tous les autres points, le PFPDT le programme comme étant conforme à la protection des données (cf. Communiqué de presse d’Helsana).
En amont de la recommandation, Helsana a décidé, sans préjudice, de renoncer à la transmission des données de l’assurance de base vers l’assurance complémentaire et de demander à la place aux utilisateurs de l’application une attestation de l’assurance de base, ce qui contourne certes le problème de la communication des données par l’assureur de base, mais revient au même au final.
Le cas présent concerne essentiellement des questions de consentement (et de droit des assurances, mais cela ne nous intéresse pas ici) :
- Importance du consentement pour les organes fédérauxEn supposant que les assureurs de base du Groupe Helsana, lorsqu’ils communiquent des données d’assurance à Helsana Assurances complémentaires GT agissent en tant qu’organe fédéral dans le cadre du programme de clémence, le principe de légalité s’applique (art. 17, al. 1 DSG). Art. 19, al. 1, let. b DSG permet toutefois la communication de données avec le consentement “au cas par cas”. Il devrait s’agir d’un cas particulier, car le consentement concerne un cas clairement défini, ce qui constitue déjà un “cas particulier” ; en outre, le consentement ne concerne même qu’un seul traitement.
- Caractère volontaire du consentement: Le PFPDT tient compte du consentement à la collecte de données par Helsana Assurances complémentaires GT (il serait plus juste de dire : le consentement à la communication des données par l’assureur de base ; la collecte elle-même ne viole prima vista aucun principe de traitement et n’a donc pas besoin d’un motif justificatif) n’est pas considérée comme volontaire, car le consentement est obligatoirement lié à l’accès au programme.
La reproduction des faits dans la recommandation et les considérations juridiques du PFPDT sont trop succincts pour une analyse approfondie. Les points suivants attirent toutefois l’attention :
- Le site PFPDT continue de supposer un Interdiction de couplage (comme précédemment ; voir voir ici et ici), qu’il ne justifie pas davantage ici non plus. Il semble toutefois estimer que l’utilisateur ne peut pas décider librement s’il veut consentir à la communication de données en question, car il ne peut pas participer au programme de bonus sans ce consentement. A mon avis, c’est faux. Tout d’abord, personne n’est obligé de participer à un programme de bonus. A cet effet, il convient de rappeler que BGE 129 III 35 i.S. Poste vs. VgT sur l’obligation de contracter en droit privé :
“Pour concrétiser ce principe, il convient toutefois de préciser au préalable que Liberté de contracter – et donc aussi la liberté de conclure des contrats – en tant qu’élément de l’autonomie privée, une une importance exceptionnelle dans l’ordre juridique privé. Étant donné que les restrictions à la liberté de conclure des contrats résultent déjà aujourd’hui en grand nombre de dispositions légales expresses – le plus souvent de droit public, les obligations de contracter en dehors de dispositions légales explicites ont un caractère exceptionnel et ne peuvent être acceptées qu’avec une grande réserve. Toutefois, dans certaines conditions, une obligation de contracter peut être déduite du principe d’interdiction des comportements contraires aux bonnes mœurs.
- Une interdiction de couplage n’est pas la même chose qu’une obligation de contracter, mais elle est apparentée à celle-ci, car elle limite également la liberté de contracter. La recommandation ne contient pas de considérations à ce sujet.
- Deuxièmement, un Interdiction de couplage ne s’applique de toute façon que si le consentement concerne un traitement de données qui est lié au l’objet du contrat. Si un traitement de données est nécessaire pour un contrat, il est bien entendu autorisé ; il n’y a alors pas de couplage, mais une modalité d’exécution du contrat. En règle générale, le consentement n’est pas nécessaire dans ce cas. S’il l’est exceptionnellement, par exemple parce qu’un organe fédéral communique des données à des tiers, comme dans le cas présent, cela ne change rien au lien matériel entre le contrat et le consentement.
- Dans le cas présent, un tel lien matériel semble exister, car le programme de bonus dépend entre autres du statut d’assurance. La question de savoir si cet aménagement du programme de bonus est admissible est une autre question qui ne peut pas être résolue par le biais de l’interdiction de couplage. Dans le cas contraire, l’interdiction de couplage – si une telle interdiction devait être admise en droit suisse – serait détournée de son but pour servir d’instrument de contrôle du contenu.