Votre banque conditionne votre prêt immobilier à une assurance emprunteur et l’assureur vous adresse un questionnaire détaillé sur votre état de santé, vos antécédents, vos traitements et vos habitudes de vie. Vous vous demandez si vous êtes tenu de tout révéler, si le conseiller bancaire peut lire vos réponses, si un refus de répondre peut faire échouer votre crédit et ce que deviennent ensuite ces informations particulièrement sensibles. La réponse tient en deux mouvements. D’un côté, l’assureur a le droit d’évaluer le risque qu’il couvre et la loi sanctionne sévèrement la fausse déclaration intentionnelle. De l’autre, vos données de santé bénéficient de la protection la plus élevée du droit français et européen : interdiction de principe de leur traitement, minimisation, secret médical et, depuis la loi Lemoine, interdiction pure et simple du questionnaire de santé en dessous d’un certain montant. Connaître la frontière exacte entre ces deux mouvements permet de remplir le questionnaire sans se mettre en faute, de refuser les demandes excessives et, en cas d’abus, de saisir la CNIL et le juge pour obtenir l’effacement et la réparation de votre préjudice.

I. Ce que l’assureur et la banque peuvent vous demander sur votre santé

A. Le questionnaire de santé : obligatoire au-dessus des seuils, interdit en dessous

Hors assurance emprunteur, aucun assureur ne peut exiger de vous des informations sur votre santé sans un fondement précis et proportionné. En assurance emprunteur, le questionnaire médical reste la règle dès que le crédit dépasse les seuils légaux, et il doit alors être rempli en toute bonne foi. Comme le rappelle le site officiel service-public.fr, le questionnaire doit être rempli en toute bonne foi, et toute omission volontaire ou fausse déclaration intentionnelle expose à la nullité du contrat. L’article L. 113-8 du code des assurances dispose en effet que « le contrat d’assurance est nul en cas de réticence ou de fausse déclaration intentionnelle de la part de l’assuré, quand cette réticence ou cette fausse déclaration change l’objet du risque ou en diminue l’opinion pour l’assureur ». La nullité est encourue alors même que le risque caché aurait été sans influence sur le sinistre, et les primes versées restent acquises à l’assureur. Lorsque la mauvaise foi n’est pas établie, l’article L. 113-9 du même code écarte la nullité : l’assureur peut maintenir le contrat moyennant une surprime, le résilier avec restitution partielle de prime si l’inexactitude est découverte avant tout sinistre, ou réduire l’indemnité en proportion des primes si elle n’est découverte qu’après (article L. 113-9 du code des assurances). La frontière est donc nette : l’oubli de bonne foi se répare, la dissimulation volontaire anéantit la garantie.

Depuis le 1er juin 2022, la loi n° 2022-270 du 28 février 2022, dite loi Lemoine, a inversé la logique pour les emprunts modestes. L’article L. 113-2-1 du code des assurances prévoit qu’« aucune information relative à l’état de santé ni aucun examen médical de l’assuré ne peut être sollicité par l’assureur » lorsque deux conditions sont réunies : la part assurée sur l’encours cumulé des crédits n’excède pas 200 000 euros par assuré et l’échéance de remboursement intervient avant le soixantième anniversaire de l’emprunteur. Le ministère de l’Économie confirme que, dans ce cas, les emprunteurs considérés à risque pour raisons de santé n’ont pas à supporter de surprimes ni d’exclusions de garanties (Assurance emprunteur : questionnaire de santé, quand est-ce obligatoire ?). En pratique, si votre part assurée dépasse 200 000 euros ou si vous aurez plus de soixante ans à la fin du prêt, le questionnaire redevient obligatoire et doit être complété avec exactitude. Si vous êtes en dessous des deux seuils et que l’assureur ou la banque vous demande quand même un questionnaire médical, cette demande est illégale : refusez par écrit, conservez la preuve de la demande et signalez-la, car elle constitue un traitement de données de santé sans fondement.

Une règle pratique décisive concerne le destinataire de vos réponses. Seul le personnel médical de l’assureur est habilité à connaître votre état de santé. Comme l’indique le ministère de l’Économie, seul le personnel médical de l’assureur saisi est habilité à se renseigner sur votre état de santé par ce questionnaire, à l’exclusion du conseiller bancaire ou de l’agent immobilier. Ne remettez donc jamais un questionnaire complété à votre conseiller bancaire, ne le laissez pas transiter par l’agence et vérifiez que l’enveloppe ou le téléservice est adressé au médecin-conseil. Si un intermédiaire insiste pour lire vos réponses, opposez un refus écrit : la collecte par une personne non habilitée viole à la fois le secret médical et le principe de minimisation exposé ci-après.

B. Minimisation, consentement explicite et secret médical : le triple verrou de vos données de santé

Même lorsque le questionnaire est légal, l’assureur ne peut pas tout demander ni tout conserver. Le règlement général sur la protection des données impose que les données personnelles soient adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités de leur traitement (article 5 du règlement). La CNIL applique ce principe de minimisation au secteur de l’assurance en des termes directs : les données traitées dans le cadre d’un contrat d’assurance doivent être pertinentes et nécessaires au regard de l’objectif du contrat (fiche minimisation et données de santé dans l’assurance). Une question sans rapport avec le risque à garantir, une demande de dossier médical complet alors qu’un questionnaire ciblé suffirait, ou la conservation de vos réponses bien après la fin du contrat violent ce principe. Le numéro de sécurité sociale fait l’objet d’une vigilance redoublée : son utilisation n’est permise que dans les cas prévus par le décret cadre du 19 avril 2019, ce que la CNIL rappelle dans la même fiche. Si l’assureur vous réclame votre carte Vitale ou votre numéro de sécurité sociale pour une simple assurance emprunteur hors protection sociale, exigez le fondement écrit de cette demande.

Deuxième verrou, plus élevé encore : les données de santé appartiennent aux catégories particulières de données. L’article 9 du règlement général sur la protection des données interdit par principe le traitement des données de santé d’une personne physique (article 9 du règlement). Cette interdiction peut être levée dans plusieurs cas, dont le consentement explicite donné par la personne concernée pour une ou plusieurs finalités spécifiques (article 9 du règlement). La CNIL précise l’articulation pour l’assurance : pour les contrats relevant de la protection sociale, comme la complémentaire santé ou la prévoyance, l’assureur peut se prévaloir de l’exécution de ses obligations en la matière ; pour les autres contrats, dont l’assurance emprunteur, le recueil d’un consentement explicite est requis, et, pour être valable, ce consentement doit être libre, éclairé, spécifique et univoque (fiche de la CNIL sur la minimisation dans l’assurance). Surtout, la CNIL souligne que refuser de consentir à un traitement qui n’est pas nécessaire à l’exécution du contrat ne doit avoir aucune conséquence sur le contrat ou le service. Concrètement, une case pré-cochée, un consentement global noyé dans les conditions générales ou un refus de garantir opposé à une personne qui décline une utilisation secondaire de ses données de santé, comme le reciblage publicitaire, ne satisfont pas à ces exigences. Distinguez toujours le questionnaire nécessaire à l’évaluation du risque, auquel vous devez répondre sincèrement au-dessus des seuils Lemoine, des autorisations annexes de réutilisation de vos données, que vous pouvez refuser sans que votre garantie en pâtisse.

Troisième verrou : le secret médical. L’article L. 1110-4 du code de la santé publique dispose que « ce secret couvre l’ensemble des informations concernant la personne venues à la connaissance du professionnel » et qu’il s’impose à tous les professionnels intervenant dans le système de santé. La Cour de cassation en tire une conséquence directement utile aux assurés : « l’assureur ne peut produire des documents couverts par le secret médical intéressant le litige à défaut d’accord des personnes légalement autorisées à y accéder » (deuxième chambre civile, 5 juillet 2018, n° 17-20.244, cassation). Autrement dit, si l’assureur refuse votre indemnisation en invoquant des éléments médicaux qu’il détiendrait sans votre accord, le juge doit écarter cette preuve ou, à tout le moins, vérifier si votre opposition tend à protéger un intérêt légitime. Conservez précieusement cet arrêt : il constitue votre bouclier lorsque le médecin-conseil de l’assureur prétend s’appuyer sur des pièces que vous ne lui avez jamais transmises.

Enfin, les personnes guéries d’un cancer ou d’une hépatite C bénéficient du droit à l’oubli. L’article L. 1141-5 du code de la santé publique prévoit que « le délai au-delà duquel aucune information médicale relative aux pathologies cancéreuses et à l’hépatite virale C ne peut être recueillie par les organismes assureurs ne peut excéder cinq ans à compter de la fin du protocole thérapeutique ». Le ministère de l’Économie précise les conditions : contrat couvrant un prêt, échéance du contrat avant votre soixante et onzième anniversaire, fin du protocole depuis plus de cinq ans et absence de rechute. Dans ce cas, vous n’avez pas à déclarer cette pathologie, et l’assureur ne peut ni appliquer de surprime ni exclure la garantie de ce chef. Attention à la limite rappelée par la convention AERAS : les autres pathologies, les incapacités ou invalidités actuelles et les arrêts de travail en cours restent à déclarer. Le droit à l’oubli efface une pathologie passée précisément identifiée, jamais l’ensemble de votre état de santé présent.

II. Refuser les abus, corriger votre dossier et obtenir réparation

A. Vos droits opérationnels : accès, rectification, effacement et opposition

Face à une demande excessive, à un refus de communiquer ou à une conservation abusive, le règlement européen vous donne quatre leviers directs contre l’assureur ou la banque, qui sont responsables du traitement de vos données. Le droit d’accès permet d’obtenir la confirmation que des données vous concernant sont traitées, l’accès à ces données et des informations sur les finalités, les catégories de données, les destinataires et la durée de conservation (article 15 du règlement général sur la protection des données). Demandez par écrit la copie de l’intégralité de votre dossier de souscription, y compris l’avis du médecin-conseil lorsqu’il a fondé une surprime ou une exclusion : si des données inexactes bloquent votre crédit, votre location ou votre embauche, la rectification s’impose. Le droit de rectification permet d’obtenir dans les meilleurs délais la correction des données inexactes vous concernant (article 16 du règlement). Joignez les pièces qui établissent l’exactitude, comme un certificat de votre médecin traitant, et exigez la correction dans tous les fichiers, y compris ceux transmis au réassureur ou au courtier.

Le droit à l’effacement permet d’obtenir la suppression de vos données lorsqu’elles ne sont plus nécessaires, lorsque vous retirez votre consentement sans autre fondement ou lorsque vous vous opposez au traitement sans motif impérieux contraire (article 17 du règlement général sur la protection des données). Après un refus de garantie, une résiliation ou le remboursement complet du prêt, exigez l’effacement des données de santé qui n’ont plus de raison d’être conservées, en réservant les durées légales de conservation comptable et contentieuse que l’assureur doit justifier précisément. Le droit d’opposition, enfin, vous permet de vous opposer à tout moment à un traitement fondé sur l’intérêt légitime et, sans condition, à toute prospection : dès votre opposition à des fins de prospection, les données ne doivent plus être traitées à ces fins (article 21 du règlement général sur la protection des données). Si votre assureur revend ou partage vos coordonnées avec des partenaires commerciaux après votre refus, cette opposition écrite constitue la première pièce de votre dossier.

L’assureur doit répondre vite. Le règlement impose au responsable du traitement de fournir des informations sur les mesures prises dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande (article 12 du règlement), délai prolongeable de deux mois pour les demandes complexes à condition de vous en informer. Envoyez donc chaque demande en recommandé avec accusé de réception ou par un canal traçable, datez-la, décrivez précisément les données visées et fixez l’échéance d’un mois. En cas de silence ou de réponse évasive, ce courrier daté établit le point de départ du manquement et servira devant la CNIL comme devant le juge. Adressez-vous d’abord au délégué à la protection des données de l’organisme, dont les coordonnées doivent figurer dans la notice d’information, puis au service réclamation. Si l’assureur persiste à exiger un questionnaire interdit par les seuils Lemoine, à collecter des données non pertinentes ou à conserver indéfiniment votre dossier médical, passez au stade contentieux sans attendre : chaque mois de conservation illicite aggrave le préjudice.

B. Saisir la CNIL et le juge : sanctions, injonctions et indemnisation

Lorsque l’organisme ignore vos droits, deux voies se complètent au lieu de s’exclure. La réclamation devant la CNIL vise à faire cesser le manquement et à le faire sanctionner. Le règlement ouvre à toute personne concernée le droit de saisir l’autorité de contrôle d’une réclamation si elle estime (article 77 du règlement) que le traitement de ses données viole le texte. Déposez votre plainte en ligne sur le site de la CNIL en joignant vos courriers datés, le questionnaire litigieux, la preuve des seuils applicables à votre prêt et la réponse ou le silence de l’organisme. Une plainte précise, qui identifie l’article violé et les pièces qui l’établissent, a plus de chances d’aboutir à une mise en demeure, à une injonction de mise en conformité ou à une sanction pécuniaire. Si votre demande est restée sans réponse ou a été classée sans suite, la méthode reste la même : contraindre l’organisme par une réclamation documentée, comme l’explique notre guide pour déposer une réclamation efficace devant la CNIL, puis saisir le juge. La CNIL informe l’auteur de la réclamation de l’état d’avancement et de l’issue de son dossier, ce qui vous fournit des éléments écrits utilisables ensuite devant le tribunal.

Le recours juridictionnel vous permet d’obtenir ce que la CNIL ne peut pas vous accorder à titre personnel : l’exécution forcée de vos droits et de l’argent. Le règlement garantit un droit à un recours effectif devant le juge contre le responsable du traitement ou son sous-traitant, exercé en France (article 79 du règlement) devant le tribunal judiciaire. Demandez au juge d’ordonner sous astreinte la communication de votre dossier, la rectification des données inexactes, l’effacement des données illicitement collectées et la cessation de tout partage non consenti. Fondez ces demandes sur les articles 15 à 21 du règlement et, pour les pièces couvertes par le secret médical que l’assureur détiendrait sans votre accord, sur l’arrêt de la deuxième chambre civile du 5 juillet 2018 précité, qui prive l’assureur du droit de produire de tels documents sans l’accord des personnes autorisées. En référé, l’existence d’un questionnaire exigé en violation des seuils Lemoine ou d’une conservation manifestement excessive caractérise un trouble manifestement illicite que le juge peut faire cesser rapidement.

L’indemnisation obéit à un régime que la Cour de justice de l’Union européenne a précisé le 4 mai 2023 dans l’arrêt UI contre Österreichische Post (affaire C-300/21), à propos d’un traitement de données relatives aux affinités politiques sans consentement. Le règlement prévoit que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du texte a le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82 du règlement). De cet arrêt se dégagent trois enseignements directement utiles à votre dossier. D’abord, la violation seule ne suffit pas : vous devez démontrer un préjudice concret causé par cette violation, comme le retard de votre acquisition immobilière, la perte d’un taux, une surprime indue ou l’angoisse durable née de la divulgation de votre état de santé. Ensuite, aucun seuil de gravité ne peut vous être opposé pour votre préjudice moral : un préjudice réel, même modeste, ouvre droit à réparation dès lors qu’il est établi. Enfin, le montant de l’indemnisation relève des règles nationales de réparation, sous réserve des principes d’équivalence et d’effectivité du droit de l’Union. Chiffrez donc chaque poste : surprimes payées, frais de courtage exposés en vain, coût du retard, préjudice moral lié à l’intrusion dans votre intimité médicale. Compte tenu de la sensibilité particulière des données de santé, les juges français n’hésitent pas à allouer des sommes significatives lorsque la violation est établie et documentée.

Préparez vos preuves dès le premier incident. Conservez le questionnaire vierge et complété, les échanges avec le conseiller bancaire et le médecin-conseil, les tableaux d’amortissement établissant votre part assurée et votre âge à l’échéance, les surprimes et exclusions notifiées, ainsi que les courriers de demande d’accès, de rectification ou d’effacement avec leurs accusés de réception. Faites constater par écrit tout refus de communiquer votre dossier et toute demande de données manifestement hors sujet. Si l’assureur vous oppose une exclusion fondée sur une pathologie relevant du droit à l’oubli, produisez l’attestation de fin de protocole thérapeutique et l’absence de rechute. Un dossier chronologique, complet et daté transforme une contestation orale en condamnation : le juge sanctionne d’autant plus sévèrement que la violation est documentée et persistante.

Si votre état de santé vous vaut un refus ou une tarification prohibitive, la convention AERAS organise un second examen de votre dossier. La convention AERAS pour s’assurer et emprunter avec un risque aggravé de santé facilite l’accès à l’assurance et à l’emprunt des personnes ayant ou ayant eu un problème de santé : lorsque l’assurance aux conditions habituelles est impossible, l’assureur ou le prêteur déclenche automatiquement son application et votre demande est réexaminée à trois niveaux successifs avant tout refus définitif. Si aucune proposition ne peut malgré tout vous être faite, vous pouvez saisir la commission de médiation de la convention, chargée d’examiner les réclamations individuelles et de favoriser le règlement amiable des dossiers. Parallèlement, la banque peut accepter une garantie alternative à l’assurance : le cautionnement d’une personne solvable qui s’engage à rembourser à votre place, le nantissement d’un capital tel qu’un contrat d’assurance vie dans lequel la banque puisera en cas de défaillance, ou l’hypothèque sur un bien dont vous êtes déjà propriétaire. C’est à l’organisme de crédit qu’il appartient d’apprécier la valeur de cette garantie alternative. Ces voies présentent un intérêt direct pour la protection de vos données : chaque garantie alternative acceptée réduit le périmètre des informations de santé à divulguer, et chaque niveau AERAS oblige l’assureur à motiver ses exigences au lieu de collecter par défaut. Mentionnez-les systématiquement dans vos échanges écrits lorsque l’assureur prétend que la collecte exhaustive de votre historique médical serait indispensable.

Du côté répressif, la CNIL dispose d’un pouvoir de sanction gradué qui renforce l’effet de votre réclamation. Outre les rappels à l’ordre, les injonctions de mise en conformité sous astreinte et les limitations temporaires ou définitives de traitement, elle peut prononcer des amendes administratives dont les plafonds, fixés par (l’article 83 du règlement général sur la protection des données), atteignent les montants les plus élevés du droit européen de la régulation pour les violations portant sur les principes et les droits des personnes. Dans le secteur de la santé, la CNIL a déjà prononcé des sanctions de plusieurs millions d’euros contre des organismes traitant des données de santé en violation du règlement, ce qui donne à votre plainte individuelle un poids réel : l’assureur sait que la conservation indue d’un questionnaire médical ou le partage de vos données avec des partenaires non autorisés l’expose à bien plus qu’un simple rappel à la loi. Joignez à votre réclamation le calcul précis de votre préjudice et la chronologie des manquements : la CNIL tient compte de la gravité, de la durée et du caractère intentionnel des faits pour calibrer sa réponse.

Deux textes complètent votre arsenal et méritent d’être connus. D’abord, votre accès direct aux informations de santé : « Toute personne a accès à l’ensemble des informations concernant sa santé détenues, à quelque titre que ce soit, par des professionnels de santé », prévoit l’article L. 1111-7 du code de la santé publique. Si le médecin-conseil de l’assureur a constitué un dossier médical à votre sujet, vous pouvez en exiger la communication par son intermédiaire, sous huit jours pour les informations récentes et deux mois pour les plus anciennes, avec l’accompagnement d’un médecin que vous désignez si nécessaire. Ensuite, le fondement déontologique du secret : « Le secret professionnel institué dans l’intérêt des patients s’impose à tout médecin dans les conditions établies par la loi », énonce l’article R. 4127-4 du code de la santé publique, en précisant que le secret couvre tout ce que le médecin a vu, entendu ou compris dans l’exercice de sa profession. Le médecin-conseil de l’assureur reste un médecin soumis à ce secret : il ne peut ni transmettre votre dossier au service commercial, ni le communiquer au banquier, ni le verser à un litige sans votre accord, comme la Cour de cassation l’a jugé en 2018. Invoquez ces deux articles ensemble dans vos courriers : l’un ouvre l’accès à ce qui vous concerne, l’autre ferme la diffusion à tout autre destinataire.

En définitive, vos données de santé ne sont pas une monnaie d’échange que la banque et l’assureur pourraient puiser sans limite. En dessous de 200 000 euros assurés avec un remboursement achevé avant soixante ans, aucun questionnaire ni examen médical ne peut vous être imposé. Au-dessus de ces seuils, répondez sincèrement au questionnaire, mais remettez-le au seul médecin-conseil, refusez les questions sans lien avec le risque et les réutilisations secondaires non nécessaires, et opposez le secret médical à toute production non autorisée. Les personnes guéries depuis plus de cinq ans d’un cancer ou d’une hépatite C n’ont pas à déclarer cette pathologie lorsque l’échéance intervient avant soixante et onze ans. Et si l’organisme s’affranchit de ces limites, exercez vos droits d’accès, de rectification, d’effacement et d’opposition dans le délai d’un mois, saisissez la CNIL d’une réclamation documentée, puis demandez au juge l’injonction sous astreinte et la réparation de votre préjudice moral et matériel, sans qu’aucun seuil de gravité puisse vous être opposé.