L’essentiel
1. Contexte juridique et finalités de la « base de données de contact du fonds d’indemnisation des victimes de l’amiante »
1.1. Le décret no 2026-284 du 14 avril 2026, publié au Journal officiel de la République française du 17 avril 2026 (Texte 19 sur 137), crée un traitement de données à caractère personnel dénommé « base de données de contact du fonds d’indemnisation des victimes de l’amiante ». Ce traitement est placé sous la responsabilité du Fonds d’indemnisation des victimes de l’amiante (FIVA), mentionné à l’article 53 de la loi no 2000-1257 du 23 décembre 2000 de financement de la sécurité sociale pour 2001.
1.2. Le texte s’inscrit dans le cadre du III bis A de l’article 53 de la loi no 2000-1257 du 23 décembre 2000, tel que modifié par l’article 89 de la loi no 2023-1250 du 26 décembre 2023 de financement de la sécurité sociale pour 2024. Il vise à organiser les échanges d’informations entre les organismes locaux d’assurance maladie, la caisse centrale de la mutualité sociale agricole (MSA) et le FIVA, afin de permettre à ce dernier d’identifier et de contacter de potentiels bénéficiaires de la réparation des préjudices liés à l’amiante.
1.3. Le décret précise que la finalité principale du traitement est de permettre au FIVA de fournir aux éventuels bénéficiaires de la réparation des préjudices définis au I de l’article 53 de la loi du 23 décembre 2000 une information sur les conditions et modalités d’exercice de leur droit à réparation. Il s’agit donc d’un traitement mis en œuvre pour l’exécution d’une mission d’intérêt public, au sens du e du 1 de l’article 6 du règlement (UE) 2016/679 du 27 avril 2016motifs d’intérêt public mentionnés au g du 2 de l’article 9 du même règlement.
1.4. Le décret rappelle son fondement dans le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, ainsi que dans la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés. Il mentionne également le décret no 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l’usage du numéro d’inscription au répertoire d’identification des personnes physiques (NIR) ou nécessitant la consultation de ce répertoire.
1.5. Le texte entre en vigueur le lendemain de sa publication au Journal officiel. Il a été pris après avis de la Commission nationale de l’informatique et des libertés (CNIL) en date du 11 décembre 2025, de la commission des accidents du travail et des maladies professionnelles (14 janvier 2026) et du conseil de la Caisse nationale de l’assurance maladie (20 janvier 2026). Le Conseil d’État (section sociale) a également été entendu.
2. Publics concernés et périmètre des personnes visées
2.1. Le décret vise principalement les assurés du régime général et du régime agricole atteints d’une pathologie liée à une exposition à l’amiante. Sont également concernés les organismes locaux d’assurance maladie, la caisse centrale de la mutualité sociale agricole et le Fonds d’indemnisation des victimes de l’amiante.
2.2. L’article 1er, I, définit deux catégories de personnes dont les données peuvent être transmises au FIVA :
2.2.1. D’une part, les personnes ayant obtenu la reconnaissance d’une maladie professionnelle occasionnée par l’amiante au titre de la législation française de sécurité sociale, ainsi que celles dont la demande de reconnaissance a été rejetée (1o).
2.2.2. D’autre part, les personnes atteintes d’une affection de longue durée (ALD) pour une pathologie susceptible d’être provoquée par l’amiante, prise en charge au titre de la législation française de sécurité sociale, ainsi que celles dont la demande de prise en charge a été rejetée (2o).
2.3. Le décret prévoit que les personnes mentionnées aux 1o et 2o reçoivent une information selon laquelle les données mentionnées au II de l’article 1er les concernant sont transmises au FIVA. Cette information participe au respect des exigences de transparence prévues par le règlement (UE) 2016/679.
3. Données transmises par les organismes d’assurance maladie au FIVA
3.1. L’article 1er, II, énumère les données et informations d’identification transmises par les organismes locaux d’assurance maladie du régime général de sécurité sociale et par la caisse centrale de la mutualité sociale agricole pour les personnes mentionnées au I.
3.2. Outre l’information de la qualité d’assuré social de l’intéressé, les données suivantes sont transmises :
3.2.1. Le nom de famille, les prénoms, le sexe, la date et le lieu de naissance (1o), qui constituent les principaux identifiants civils nécessaires à l’identification fiable des personnes.
3.2.2. Le numéro de téléphone, l’adresse postale et l’adresse électronique (2o), qui sont des coordonnées de contact permettant au FIVA de joindre les personnes pour les informer de leurs droits à réparation.
3.2.3. Le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) (3o), dont l’usage est encadré par le décret no 2019-341 du 19 avril 2019. L’inclusion du NIR renforce la sécurité de l’identification et limite les risques de confusion entre assurés.
3.3. L’article 1er, III, impose que ces données soient transmises par voie électronique, dans des conditions assurant la sécurité, la confidentialité et la traçabilité des données. Cette exigence répond aux principes de sécurité du traitement posés par le règlement (UE) 2016/679 et par la loi no 78-17 du 6 janvier 1978.
3.4. Le rythme de transmission est différencié :
3.4.1. Les organismes locaux d’assurance maladie du régime général de sécurité sociale transmettent les données une fois par mois.
3.4.2. La caisse centrale de la mutualité sociale agricole transmet les données une fois par semestre.
3.5. L’article 1er, IV, encadre la durée de conservation des fichiers constitués aux fins de transmission par les organismes d’assurance maladie : ces fichiers sont conservés pendant une durée maximale de trois mois à compter de leur transmission. Cette limitation temporelle illustre le principe de minimisation de la durée de conservation des données.
3.6. En application de l’article 56 de la loi du 6 janvier 1978, l’article 1er, V, précise que le droit d’opposition prévu à l’article 21 du règlement (UE) 2016/679 ne s’applique pas aux traitements de données mis en œuvre par les organismes locaux d’assurance maladie et par la caisse centrale de la mutualité sociale agricole pour réaliser les transmissions prévues au I. Cette exclusion est justifiée par la mission d’intérêt public et par les motifs d’intérêt public liés à l’indemnisation des victimes de l’amiante.
4. Création et finalités de la base de données de contact du FIVA
4.1. L’article 2, I, crée formellement un traitement de données à caractère personnel dénommé « base de données de contact du fonds d’indemnisation des victimes de l’amiante ». Ce traitement est placé sous la responsabilité du FIVA, en lien direct avec l’article 53 de la loi du 23 décembre 2000.
4.2. Les finalités de ce traitement sont clairement définies : il s’agit de permettre au FIVA de fournir aux éventuels bénéficiaires de la réparation des préjudices définis au I de l’article 53 une information sur les conditions et modalités d’exercice de leur droit à réparation. Le traitement n’a donc pas pour objet l’instruction des demandes elles-mêmes, mais la mise en contact et l’information des personnes.
4.3. Le décret rattache explicitement ce traitement au règlement (UE) no 2016/679 du 27 avril 2016 :
4.3.1. Sur le fondement juridique, il est mis en œuvre pour l’exécution d’une mission d’intérêt public, conformément au e du 1 de l’article 6 du règlement.
4.3.2. S’agissant des données de santé ou des données liées à une pathologie susceptible d’être provoquée par l’amiante, le traitement est justifié par les motifs d’intérêt public mentionnés au g du 2 de l’article 9 du même règlement.
4.4. Le traitement vise spécifiquement les personnes mentionnées au I de l’article 1er qui n’ont pas demandé réparation des préjudices définis au I de l’article 53 de la loi du 23 décembre 2000. Il s’agit donc d’un outil proactif pour identifier des bénéficiaires potentiels et leur proposer une information sur leurs droits.
5. Catégories de données enregistrées dans la base de contact
5.1. L’article 2, II, encadre strictement les données à caractère personnel pouvant être enregistrées dans la « base de données de contact du fonds d’indemnisation des victimes de l’amiante ». Ces données ne peuvent être traitées que dans la stricte mesure où elles sont nécessaires à la poursuite des finalités définies au I.
5.2. Les catégories de données sont les suivantes :
5.2.1. Le nom de famille, les prénoms, le sexe, la date et le lieu de naissance (1o), qui permettent l’identification précise des personnes concernées.
5.2.2. Le numéro de téléphone, l’adresse postale et l’adresse électronique (2o), qui constituent les coordonnées de contact nécessaires pour la communication individuelle du FIVA avec les assurés.
5.2.3. Le numéro d’inscription au répertoire national d’identification des personnes physiques (3o), qui assure une identification unique et sécurisée, en cohérence avec le cadre posé par le décret no 2019-341 du 19 avril 2019.
5.2.4. La réponse de la personne à l’information délivrée par le FIVA sur l’exercice de son droit à réparation (accord ou refus) (4o). Cette donnée est essentielle pour tracer l’accord ou le refus de la personne d’engager une démarche de réparation, et pour organiser la gestion des droits (notamment le droit d’opposition).
5.3. Le périmètre des données est limité : le décret ne prévoit pas l’enregistrement, dans cette base de contact, de données médicales détaillées ou de données relatives au contenu des préjudices. Il s’agit d’un fichier de contact et de suivi de la réponse des personnes à l’information sur leurs droits, et non d’un dossier médical ou d’un dossier d’instruction de demande d’indemnisation.
6. Accès au traitement et habilitation des agents du FIVA
6.1. L’article 3 définit les catégories de personnes habilitées à accéder au traitement « base de données de contact du fonds d’indemnisation des victimes de l’amiante ».
6.2. Sont habilités à accéder au traitement, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître, les agents en charge d’informer les éventuels bénéficiaires de la réparation des préjudices définis au I de l’article 53 de la loi du 23 décembre 2000. Ces agents doivent être spécialement habilités par le directeur du FIVA.
6.3. Cette limitation de l’accès aux seules personnes dont les missions sont directement liées à l’information des bénéficiaires potentiels répond au principe de proportionnalité et de confidentialité des données à caractère personnel. Elle contribue à garantir que les données ne sont pas utilisées à des fins étrangères à la mission d’intérêt public définie par le décret.
7. Durées de conservation, archivage et sécurité des données
7.1. L’article 4, I, encadre la durée de conservation des données et informations enregistrées dans le traitement mentionné à l’article 2. Deux cas principaux sont distingués.
7.2. Premier cas : les données sont conservées jusqu’à la présentation par la personne concernée d’une demande de réparation des préjudices définis au I de l’article 53 de la loi du 23 décembre 2000, sans préjudice de la durée de conservation des données du traitement mis en œuvre pour l’instruction de cette demande. À défaut de demande, les données sont conservées pendant une durée maximale de deux ans à compter de leur enregistrement (1o).
7.3. Deuxième cas : lorsque la personne exprime son refus d’exercer son droit à réparation ou son opposition à la poursuite du traitement, les données sont conservées en base active jusqu’à cette expression, et, à défaut, pendant une durée maximale de deux ans à compter de leur enregistrement (2o).
7.4. Après l’expression du refus ou de l’opposition, les données et informations strictement nécessaires pour assurer le respect du droit d’opposition peuvent être conservées en base d’archivage intermédiaire pendant une durée maximale de deux ans à compter de ce refus ou de cette opposition. Cette conservation limitée permet au FIVA de garantir le respect du droit d’opposition tout en limitant la durée de conservation des autres données.
7.5. L’article 4, II, prévoit que les données techniques et de traçabilité liées à l’utilisation du traitement font l’objet d’un enregistrement et sont conservées pendant une durée de six mois. Ces données de traçabilité sont essentielles pour assurer la sécurité, la traçabilité des accès et la responsabilisation des utilisateurs du traitement.
7.6. L’article 4, III, impose que les données et informations enregistrées dans le traitement soient conservées dans des conditions assurant leur confidentialité et leur intégrité. Cette exigence rejoint les obligations générales de sécurité des traitements prévues par le règlement (UE) 2016/679 et par la loi no 78-17 du 6 janvier 1978, notamment en matière de mesures techniques et organisationnelles appropriées.
8. Information des personnes et exercice des droits
8.1. L’article 5 organise l’information des personnes concernées par le traitement et l’exercice de leurs droits au titre du règlement (UE) 2016/679.
8.2. Le FIVA doit fournir aux personnes concernées par le traitement mentionné à l’article 2 les informations prévues par l’article 14 du règlement (UE) 2016/679 du 27 avril 2016, ainsi que l’information relative à leur droit d’opposition prévu au III bis A de l’article 53 de la loi du 23 décembre 2000. Cette information doit être délivrée au moment de la première communication individuelle mentionnée au troisième alinéa du III bis A du même article 53.
8.3. Le décret précise que ces informations sont également disponibles sur le site internet du FIVA. Cette mise à disposition en ligne complète l’information individuelle et contribue au respect du principe de transparence du traitement.
8.4. Les droits d’accès et de rectification des données, ainsi que les droits à l’effacement, à la limitation du traitement et le droit d’opposition, prévus respectivement aux articles 15, 16, 17, 18 et 21 du règlement (UE) 2016/679, s’exercent auprès du FIVA. Le décret désigne donc clairement le responsable de traitement comme interlocuteur unique pour l’exercice de ces droits.
8.5. Il convient de distinguer, d’une part, l’impossibilité d’exercer le droit d’opposition à l’égard des organismes locaux d’assurance maladie et de la caisse centrale de la mutualité sociale agricole pour la phase de transmission des données (article 1er, V), et, d’autre part, la possibilité pour les personnes d’exercer leur droit d’opposition à l’égard du FIVA pour la poursuite du traitement dans la base de contact (article 5, combiné avec l’article 4, I et II).
9. Gouvernance, responsabilité et exécution du décret
9.1. Le décret est signé par le Premier ministre, SÉBASTIEN LECORNU, et contresigné par la ministre de la santé, des familles, de l’autonomie et des personnes handicapées, STÉPHANIE RIST, ainsi que par le ministre du travail et des solidarités, JEAN-PIERRE FARANDOU. L’article 6 leur confie la charge de l’exécution du décret, chacun en ce qui le concerne.
9.2. La gouvernance du traitement repose sur le FIVA, en tant que responsable de la base de données de contact, et sur les organismes locaux d’assurance maladie et la caisse centrale de la mutualité sociale agricole, en tant que fournisseurs des données d’identification et de contact. Le rôle du directeur du FIVA est central pour l’habilitation des agents autorisés à accéder au traitement (article 3).
9.3. Le dispositif s’inscrit dans une architecture juridique articulant le règlement (UE) 2016/679, la loi no 78-17 du 6 janvier 1978, la loi no 2000-1257 du 23 décembre 2000 et le décret no 2019-341 du 19 avril 2019. Il est également encadré par les avis de la CNIL, de la commission des accidents du travail et des maladies professionnelles et du conseil de la Caisse nationale de l’assurance maladie, ainsi que par l’avis du Conseil d’État (section sociale).
9.4. L’ensemble des dispositions vise à concilier la protection des données à caractère personnel des assurés atteints d’une pathologie liée à une exposition à l’amiante avec l’objectif d’intérêt public consistant à identifier et informer les potentiels bénéficiaires de la réparation des préjudices par le Fonds d’indemnisation des victimes de l’amiante.
10. Synthèse : protection des données et indemnisation des victimes de l’amiante
10.1. Le décret no 2026-284 du 14 avril 2026 met en place un cadre détaillé pour la création et l’encadrement de la base de données de contact du FIVA. Il définit précisément les publics concernés, les données transmises, les finalités du traitement, les conditions d’accès, les durées de conservation et les droits des personnes.
10.2. En organisant les échanges d’informations entre les organismes locaux d’assurance maladie, la caisse centrale de la mutualité sociale agricole et le Fonds d’indemnisation des victimes de l’amiante, le texte permet au FIVA d’identifier et de contacter de potentiels bénéficiaires qui n’ont pas encore demandé réparation de leurs préjudices.
10.3. Le dispositif repose sur une articulation étroite entre la mission d’intérêt public d’indemnisation des victimes de l’amiante et les exigences de protection des données à caractère personnel issues du règlement (UE) 2016/679 et de la loi no 78-17 du 6 janvier 1978. Il illustre la manière dont un traitement de données peut être conçu pour répondre à un objectif de réparation des préjudices tout en respectant les principes de sécurité, de confidentialité, de minimisation et de transparence.
10.4. En encadrant la création de la base de données de contact du FIVA, le décret contribue à structurer la politique publique d’indemnisation des victimes de l’amiante et à garantir que les assurés du régime général et du régime agricole atteints d’une pathologie liée à une exposition à l’amiante soient mieux informés de leurs droits à réparation, dans un cadre conforme aux règles de protection des données à caractère personnel.
RGPD & protection des données
Approfondir ce sujet :