L’essentiel
1. Présentation du fonds d’indemnisation des victimes de l’amiante (FIVA) et du cadre juridique
1.1. L’article 53 de la loi no 2000-1257 du 23 décembre 2000 modifiée de financement de la sécurité sociale pour 2001 (ci-après « LFSS 2001 modifiée ») a instauré un droit à la réparation intégrale des préjudices causés par une exposition à l’amiante. Pour mettre en œuvre ce droit, il a été créé un fonds d’indemnisation des victimes de l’amiante (FIVA), établissement public administratif chargé d’une mission d’indemnisation spécifique liée à l’amiante.
1.2. La délibération no 2025-117 du 11 décembre 2025 de la Commission nationale de l’informatique et des libertés (CNIL), publiée au Journal officiel de la République française du 17 avril 2026 (Texte 98 sur 137), porte avis sur un projet de décret en Conseil d’Etat créant un traitement de données à caractère personnel dénommé « base de données de contact du fonds d’indemnisation des victimes de l’amiante » et encadrant les échanges d’informations prévus au III bis A de l’article 53 de la loi no 2000-1257 du 23 décembre 2000.
1.3. La saisine de la CNIL émane du ministère du travail, de la santé, des solidarités et des familles, sur le fondement de l’article 53 de la loi no 2000-1257 du 23 décembre 2000 modifiée. La demande d’avis est enregistrée sous le no 25010262 et s’inscrit dans les thématiques : fonds d’indemnisation, amiante. La CNIL intervient ici en application du règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données (RGPD), et de la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés.
1.4. La délibération rappelle que le RGPD et la loi informatique et libertés constituent le socle juridique applicable à tout traitement de données à caractère personnel, y compris lorsqu’il s’agit de données particulièrement sensibles comme les données relatives à la santé des personnes exposées à l’amiante. Le projet de décret en Conseil d’Etat doit donc être apprécié à l’aune de ces textes, en articulation avec la LFSS 2001 modifiée.
2. Contexte : mission d’identification des victimes de l’amiante et politique proactive
2.1. La CNIL souligne que, « au regard des marges d’amélioration du taux de recours à ce dispositif par les personnes éligibles », une politique proactive d’identification et de contact des potentielles victimes a été mise en œuvre. En pratique, de nombreuses personnes susceptibles de bénéficier d’une réparation intégrale des préjudices causés par une exposition à l’amiante ne sollicitent pas le FIVA, ce qui justifie une action renforcée d’identification des personnes pouvant obtenir la réparation intégrale de leur préjudice.
2.2. Cette mission d’identification a été formellement confiée au FIVA par l’article 89 de la loi no 2023-1250 du 26 décembre 2023 de financement de la sécurité sociale pour 2024. Ce texte autorise le FIVA à requérir de différents services publics la communication des informations et données à caractère personnel permettant d’identifier les éventuels bénéficiaires d’une réparation. Le projet de décret soumis à la CNIL s’inscrit dans cette dynamique en organisant un traitement de données à caractère personnel dédié.
2.3. L’essentiel de la délibération met en avant que le FIVA est autorisé à requérir des organismes locaux du régime général d’assurance maladie (CPAM) et de la Caisse centrale de la Mutualité sociale agricole (CCMSA) la communication des données à caractère personnel permettant d’identifier les éventuels bénéficiaires d’une réparation des préjudices liés à l’amiante. Cette faculté de requérir des données est au cœur de la nouvelle base de données de contact du FIVA.
2.4. La CNIL rappelle que cette politique proactive doit être conciliée avec les exigences de protection des données à caractère personnel, en particulier s’agissant de données de santé. L’avis porte donc sur l’équilibre entre l’objectif d’indemnisation des victimes de l’amiante et le respect des droits des personnes concernées au sens du RGPD.
3. Objet du projet de décret : création de la base de données de contact du FIVA
3.1. Le projet de décret en Conseil d’Etat a pour objet de créer un traitement de données à caractère personnel dont les finalités sont clairement définies. Il s’agit de permettre au FIVA, en tant que responsable du traitement agissant sur le fondement de sa mission d’intérêt public :
3.1.1. d’identifier les potentiels bénéficiaires de la réparation des préjudices causés par une exposition à l’amiante ;
3.1.2. de les informer sur leur droit au bénéfice de cette réparation.
3.2. Pour atteindre ces finalités, le projet de décret organise, « au profit du FIVA », la transmission automatique et périodique par les CPAM et la CCMSA des données à caractère personnel des personnes :
3.2.1. ayant sollicité ou obtenu la reconnaissance d’une maladie professionnelle occasionnée par l’amiante ;
3.2.2. ou ayant obtenu la reconnaissance en affection longue durée (ALD) pour une pathologie occasionnée par l’amiante.
3.3. Le texte précise également les traitements effectués par les CPAM et la CCMSA, dont ces organismes sont responsables, pour constituer les fichiers aux fins de transmission au FIVA. Il s’agit d’un volet important, car ces traitements préalables conditionnent la qualité, la pertinence et la sécurité des données qui alimenteront la base de données de contact du FIVA.
3.4. La base de données ainsi constituée doit permettre au FIVA de mener des actions d’information ciblées auprès des personnes identifiées, afin de leur exposer leur droit à la réparation intégrale des préjudices causés par une exposition à l’amiante. L’enjeu est de transformer une simple possibilité théorique de recours au fonds en un accès effectif à l’indemnisation, tout en respectant les principes du RGPD (finalité, minimisation, exactitude, limitation de la conservation, intégrité et confidentialité).
4. Information des personnes concernées : articulation des articles 13 et 14 du RGPD
4.1. La CNIL examine d’abord la question de l’information des personnes, élément central de la protection des données à caractère personnel. Le projet de décret prévoit que les personnes concernées sont informées indirectement du traitement de leurs données par le FIVA, en application de l’article 14 du RGPD, « au moment de la première communication individuelle » effectuée par le FIVA.
4.2. Parallèlement, la CNIL relève que les personnes seront également informées directement par leur organisme de prise en charge (CPAM ou CCMSA), en application de l’article 13 du RGPD, « en amont de la transmission de leurs données au FIVA ». Cette information directe interviendra « à travers le courrier de notification à l’assuré de sa prise en charge en ALD ou de reconnaissance ou de rejet du caractère professionnel de sa maladie ».
4.3. L’essentiel de la délibération souligne que les personnes concernées seront donc informées à deux niveaux :
4.3.1. une première fois par la CPAM ou la CCMSA, lors de la notification de la prise en charge en ALD ou de la décision relative au caractère professionnel de la maladie ;
4.3.2. une seconde fois par le FIVA, lors de la première communication individuelle avec la personne, en application de l’article 14 du RGPD.
4.4. La CNIL insiste sur le fait que les personnes « ne pourront s’opposer au traitement de leurs données par le FIVA qu’après la première communication avec celui-ci ». Cette précision met en lumière la temporalité particulière du droit d’opposition dans le cadre de la base de données de contact du FIVA : l’information préalable par les organismes de prise en charge ne suffit pas à ouvrir immédiatement ce droit vis-à-vis du FIVA, qui ne naît qu’au moment où le FIVA entre en contact direct avec la personne.
4.5. D’un point de vue analytique, cette organisation de l’information répond à la logique du RGPD : l’article 13 s’applique lorsque les données sont collectées directement auprès de la personne (ici, par les CPAM et la CCMSA), tandis que l’article 14 s’applique lorsque les données sont obtenues indirectement (ici, par le FIVA auprès des caisses). La délibération montre comment ces deux régimes d’information sont combinés pour assurer une transparence suffisante dans le cadre du traitement de données à caractère personnel lié à l’amiante.
5. Mesures de sécurité et confidentialité des données de santé
5.1. La CNIL consacre une partie de son avis aux mesures de sécurité applicables aux traitements mis en œuvre par les CPAM et la CCMSA pour la constitution des fichiers transmis au FIVA. Elle rappelle que, « aux fins de la transmission au FIVA », ces organismes « constituent des fichiers contenant les données des personnes susceptibles d’obtenir la réparation intégrale de leurs préjudices » et qu’ils « conservent les fichiers pendant une durée maximale de trois mois à compter de la transmission ».
5.2. Compte tenu de la sensibilité des données traitées, « parmi lesquelles des données relatives à la santé des personnes », la CNIL « invite le ministère à rappeler aux responsables des traitements que les modalités de stockage des données à caractère personnel doivent assurer leur stricte confidentialité ».
5.3. La CNIL formule plusieurs recommandations concrètes :
5.3.1. la mise en œuvre de procédures visant à éviter toute divulgation volontaire ou accidentelle des données ;
5.3.2. l’habilitation spécifique des agents autorisés à consulter les fichiers conservés pour l’accomplissement de leurs missions ;
5.3.3. la formation des agents autorisés à consulter ces fichiers, afin de garantir une bonne compréhension des enjeux de confidentialité et de protection des données de santé ;
5.3.4. la mise en place d’une traçabilité des accès, permettant de suivre et de contrôler les consultations des fichiers.
5.4. Ces exigences s’inscrivent dans le principe d’intégrité et de confidentialité prévu par le RGPD, qui impose aux responsables de traitement et à leurs sous-traitants de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Dans le contexte de l’amiante et des données de santé, le risque pour les droits et libertés des personnes est particulièrement élevé, ce qui justifie une vigilance accrue.
5.5. L’analyse de la CNIL met en évidence que la base de données de contact du FIVA ne peut être envisagée sans un encadrement strict des modalités de stockage et de conservation des données par les CPAM et la CCMSA. La limitation de la durée de conservation à trois mois après la transmission au FIVA participe du principe de limitation de la conservation prévu par le RGPD.
6. Droit d’opposition et base légale des traitements
6.1. La CNIL examine ensuite la question du droit d’opposition dans le cadre des traitements mis en œuvre par les caisses (CPAM et CCMSA) et par le FIVA. Elle précise que le droit d’opposition ne s’applique pas aux traitements effectués par les caisses à des fins de transmission au FIVA, « ceux-ci étant fondés sur la base légale de l’obligation légale ».
6.2. En d’autres termes, lorsque les CPAM et la CCMSA traitent les données pour constituer les fichiers destinés au FIVA, elles agissent en exécution d’une obligation légale résultant de l’article 53 de la LFSS 2001 modifiée et des dispositions introduites par l’article 89 de la loi no 2023-1250 du 26 décembre 2023. Dans ce cadre, les personnes concernées ne peuvent pas s’opposer à ce traitement spécifique, ce qui est conforme au RGPD lorsque le traitement est nécessaire au respect d’une obligation légale.
6.3. La CNIL relève cependant que les personnes concernées « pourront tout de même s’opposer à la poursuite du traitement de leurs données dans la base de données de contact du FIVA, après la première communication individuelle avec celui-ci, en application de l’article 53 de la LFSS 2001 modifiée ». Ce point est central : si le transfert initial des données par les caisses au FIVA échappe au droit d’opposition, la poursuite du traitement par le FIVA, dans le cadre de sa mission d’intérêt public, est en revanche soumise à la possibilité pour la personne de s’y opposer.
6.4. Cette organisation du droit d’opposition reflète un compromis entre, d’une part, la nécessité pour le FIVA de disposer d’une base de données de contact suffisamment complète pour identifier les potentiels bénéficiaires et, d’autre part, le respect de la volonté des personnes qui, une fois informées, peuvent refuser que leurs données continuent d’être traitées par le FIVA.
6.5. La délibération précise enfin que « les autres dispositions du projet de décret n’appellent pas d’observations de la part de la CNIL ». Cette formule signifie que, au-delà des points relatifs à l’information des personnes, aux mesures de sécurité et au droit d’opposition, la CNIL ne formule pas de réserve particulière sur le dispositif proposé, ce qui peut être interprété comme une validation globale de l’architecture juridique et technique du traitement de données à caractère personnel envisagé.
7. Enjeux de protection des données personnelles dans le cadre de l’indemnisation des victimes de l’amiante
7.1. L’analyse de la CNIL met en lumière les enjeux spécifiques liés à la création d’une base de données de contact du fonds d’indemnisation des victimes de l’amiante. D’un côté, l’objectif d’intérêt public est manifeste : il s’agit de garantir l’effectivité du droit à la réparation intégrale des préjudices causés par une exposition à l’amiante, en améliorant le taux de recours au dispositif d’indemnisation. De l’autre, la mise en œuvre de ce dispositif suppose un traitement de données à caractère personnel particulièrement sensibles, notamment des données relatives à la santé.
7.2. La délibération illustre la manière dont le RGPD et la loi informatique et libertés encadrent ce type de traitement :
7.2.1. par la définition de finalités déterminées (identification des potentiels bénéficiaires et information sur le droit à réparation) ;
7.2.2. par l’organisation d’une information des personnes à deux niveaux (articles 13 et 14 du RGPD) ;
7.2.3. par la mise en place de mesures de sécurité renforcées, adaptées à la sensibilité des données ;
7.2.4. par la reconnaissance d’un droit d’opposition à la poursuite du traitement dans la base de données de contact du FIVA, après la première communication individuelle.
7.3. Le rôle de la CNIL, à travers cette délibération, est d’encadrer la base de contact du fonds d’indemnisation en veillant à ce que les données personnelles des victimes potentielles de l’amiante soient traitées dans le respect des principes de protection des données. L’avis met l’accent sur la stricte confidentialité des données, la traçabilité des accès, l’habilitation spécifique des agents et la formation, autant d’éléments qui conditionnent la confiance dans le dispositif.
7.4. En définitive, la base de données de contact du FIVA apparaît comme un outil au service de la réparation des préjudices causés par l’amiante, mais dont la légitimité repose sur un encadrement juridique et technique rigoureux. La délibération no 2025-117 du 11 décembre 2025, adoptée « sur proposition de M. Philippe Latombe, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement », et signée par la présidente M.-L. Denis, s’inscrit pleinement dans cette logique d’équilibre entre indemnisation et protection des données personnelles.
RGPD & protection des données
Approfondir ce sujet :