Protection des données : adapter l’information retraite des assurés au RGPD

Lecture rapide

Le décret ajoute les adresses électroniques des assurés parmi les données pouvant être transmises au groupement d’intérêt public « Union des institutions et services de retraites » par les organismes d’assurance maladie, afin de mettre en œuvre le droit à l’information sur les retraites. Il remplace également les références à la loi Informatique et Libertés par celles au règlement (UE) 2016/679 (RGPD) dans les articles R. 161-14 et R. 161-15 du code de la sécurité sociale.

Analyse juridique

1. Contexte du décret n° 2026-390 relatif à la transmission de données pour le droit à l’information sur les retraites

1.1. Le décret n° 2026-390 du 22 mai 2026 relatif à la transmission de données assurant la mise en œuvre du droit à l’information sur les retraites, publié au Journal officiel de la République française du 23 mai 2026 (Texte 8 sur 124), s’inscrit dans le cadre de la modernisation du droit à l’information sur les retraites prévu par l’article L. 161-17 du code de la sécurité sociale. Il vise à adapter les modalités de transmission de données au profit du groupement d’intérêt public « Union des institutions et services de retraites » (GIP UISR) et à mettre en conformité les références juridiques avec le règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données (RGPD).

1.2. Les publics concernés sont explicitement désignés : le groupement d’intérêt public « Union des institutions et services de retraites », les régimes obligatoires d’assurance maladie et les assurés. Le texte précise que le décret complète la liste des données susceptibles d’être transmises au GIP UISR par les organismes et caisses relevant des régimes obligatoires d’assurance maladie, en y ajoutant notamment les adresses électroniques des assurés. Cette évolution s’inscrit dans une logique de renforcement et de diversification des canaux d’information dans le cadre du droit à l’information sur les retraites.

1.3. Le décret rappelle son objet : d’une part, l’ajout des adresses électroniques des assurés parmi les données pouvant être transmises au GIP UISR ; d’autre part, la modification des articles R. 161-14 et R. 161-15 du code de la sécurité sociale afin de substituer les références à la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés par celles du règlement (UE) 2016/679 du 27 avril 2016. Il s’agit donc d’une mise à jour normative visant à aligner le dispositif français d’information retraite sur le cadre européen de la protection des données à caractère personnel.

1.4. L’entrée en vigueur du texte est immédiate : le décret précise qu’il entre en vigueur le lendemain de sa publication au Journal officiel. Cette entrée en vigueur rapide traduit la volonté d’intégrer sans délai les adresses électroniques dans les données mobilisables pour l’information des assurés et de sécuriser juridiquement les traitements au regard du RGPD.

2. Fondements juridiques : code de la sécurité sociale et RGPD

2.1. Le décret est pris en application de l’article L. 161-17 du code de la sécurité sociale, qui encadre le droit à l’information sur les retraites. Il se réfère également aux articles L. 114-12, L. 161-17 et L. 161-17-1 du code de la sécurité sociale, qui organisent la circulation des données entre organismes de sécurité sociale et définissent les conditions de mise en œuvre de l’information retraite. Ces dispositions constituent le socle juridique permettant aux organismes d’assurance maladie de transmettre certaines données au GIP UISR.

2.2. Le texte mentionne expressément le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, qui a abrogé la directive 95/46/CE. Ce règlement, connu sous l’acronyme RGPD, constitue le cadre de référence pour tout traitement de données à caractère personnel au sein de l’Union européenne, y compris pour les données gérées par les régimes obligatoires d’assurance maladie et le GIP UISR dans le cadre de l’information retraite.

2.3. Le décret opère une substitution explicite des références à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés par des références aux articles 14, 15, 16 et 18 du règlement (UE) 2016/679. Cette substitution marque le passage d’un régime essentiellement national de protection des données à un régime directement fondé sur le RGPD, en cohérence avec l’évolution générale du droit français de la protection des données à caractère personnel.

2.4. Le décret rappelle également la procédure suivie : il mentionne l’avis du conseil de la Caisse nationale de l’assurance maladie en date du 17 mars 2026 et l’audition du Conseil d’État (section sociale). Ces éléments soulignent que la modification des articles R. 161-13, R. 161-14 et R. 161-15 du code de la sécurité sociale a été examinée sous l’angle de la protection des assurés et de la conformité au RGPD.

3. Ajout des adresses électroniques des assurés dans l’article R. 161-13

3.1. Le point 1° de l’article 1er du décret modifie l’article R. 161-13 du code de la sécurité sociale. Il est indiqué qu’« à la deuxième phrase de l’article R. 161-13, après les mots : “aux adresses postales”, sont insérés les mots : “et électroniques” ». Cette insertion a pour effet d’étendre explicitement la possibilité d’utiliser, en plus des adresses postales, les adresses électroniques des assurés dans le cadre des transmissions de données nécessaires à la mise en œuvre du droit à l’information sur les retraites.

3.2. L’ajout des adresses électroniques répond à un double objectif. D’une part, il permet de diversifier les canaux de communication entre les régimes obligatoires d’assurance maladie, le GIP UISR et les assurés, en intégrant un vecteur numérique devenu central dans les échanges administratifs. D’autre part, il facilite la diffusion d’une information retraite plus rapide et potentiellement plus personnalisée, tout en restant encadrée par les exigences du RGPD en matière de protection des données à caractère personnel.

3.3. Sur le plan de la protection des données, l’intégration des adresses électroniques des assurés dans la liste des données susceptibles d’être transmises au GIP UISR implique que ces adresses sont désormais pleinement intégrées dans les traitements mis en œuvre pour le droit à l’information sur les retraites. Elles doivent donc être traitées conformément aux principes de licéité, de transparence, de minimisation des données et de sécurité prévus par le règlement (UE) 2016/679.

3.4. Cette évolution renforce la dimension numérique de l’information retraite sans modifier la nature des autres données déjà transmises par les régimes obligatoires d’assurance maladie. Elle s’inscrit dans une continuité : les adresses postales demeurent un canal de référence, mais sont complétées par les adresses électroniques, ce qui permet d’adapter le dispositif aux usages contemporains tout en conservant un ancrage dans les pratiques existantes.

4. Substitution des références à la loi Informatique et Libertés par le RGPD dans l’article R. 161-14

4.1. Le point 2° de l’article 1er du décret modifie l’article R. 161-14 du code de la sécurité sociale. Il est précisé que les mots « 32 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés » sont remplacés par les mots « 14 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ». Cette substitution opère un basculement explicite du fondement juridique de l’information des personnes vers le RGPD.

4.2. L’article 32 de la loi n° 78-17 du 6 janvier 1978 portait sur l’obligation d’information des personnes concernées lors de la collecte de leurs données. En remplaçant cette référence par l’article 14 du règlement (UE) 2016/679, le décret aligne l’article R. 161-14 sur le régime européen applicable à l’information des personnes physiques à l’égard du traitement des données à caractère personnel, en particulier lorsque les données ne sont pas collectées directement auprès de la personne concernée.

4.3. L’article 14 du RGPD impose au responsable de traitement de fournir à la personne concernée un ensemble d’informations, notamment sur l’identité du responsable de traitement, les finalités du traitement, les catégories de données à caractère personnel concernées, les destinataires des données, la durée de conservation et l’existence des droits de la personne (accès, rectification, limitation, etc.). En renvoyant à cet article, le décret renforce le cadre d’information des assurés dans le contexte de la transmission de données pour le droit à l’information sur les retraites.

4.4. Cette modification de l’article R. 161-14 a une portée pratique importante : elle garantit que les assurés bénéficient d’un niveau d’information conforme aux standards européens lorsqu’ils sont concernés par des traitements de données mis en œuvre par les régimes obligatoires d’assurance maladie et le GIP UISR. Elle contribue ainsi à renforcer la transparence et la confiance dans l’utilisation des données nécessaires à l’information retraite.

5. Reconnaissance des droits des assurés au titre du RGPD dans l’article R. 161-15

5.1. Le point 3° de l’article 1er du décret modifie le premier alinéa de l’article R. 161-15 du code de la sécurité sociale. Les mots « les concernant, prévus par les articles 39 et 40 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés » sont remplacés par les mots «, ainsi que le droit à la limitation du traitement, prévus respectivement aux articles 15, 16 et 18 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ».

5.2. Les anciens articles 39 et 40 de la loi n° 78-17 encadraient principalement les droits d’accès et de rectification des personnes concernées. En renvoyant désormais aux articles 15, 16 et 18 du règlement (UE) 2016/679, le décret intègre dans l’article R. 161-15 une référence explicite aux droits d’accès, de rectification et de limitation du traitement tels que définis par le RGPD. Il s’agit d’une extension et d’une clarification des droits reconnus aux assurés dans le cadre des traitements de données liés à l’information retraite.

5.3. L’article 15 du RGPD consacre le droit d’accès de la personne concernée à ses données à caractère personnel, l’article 16 consacre le droit de rectification des données inexactes, et l’article 18 consacre le droit à la limitation du traitement dans certaines situations. En intégrant ces références, le décret confirme que les assurés peuvent exercer ces droits à l’égard des traitements mis en œuvre par les régimes obligatoires d’assurance maladie et le GIP UISR pour la mise en œuvre du droit à l’information sur les retraites.

5.4. La mention explicite du droit à la limitation du traitement est particulièrement significative. Elle permet aux assurés, dans certaines hypothèses prévues par le règlement (UE) 2016/679, de demander que le traitement de leurs données soit limité, par exemple en cas de contestation de l’exactitude des données ou lorsque le traitement est illicite. Dans le contexte de l’information retraite, ce droit renforce la maîtrise des personnes sur l’utilisation de leurs données à caractère personnel.

5.5. En substituant les références à la loi n° 78-17 par celles du RGPD, l’article R. 161-15 se trouve pleinement intégré dans le dispositif européen de protection des données. Les assurés disposent ainsi d’un cadre clair pour l’exercice de leurs droits d’accès, de rectification et de limitation du traitement en lien avec les données utilisées pour leur information retraite.

6. Mise en œuvre, responsabilités ministérielles et portée pratique

6.1. L’article 2 du décret désigne les autorités chargées de son exécution : le ministre du travail et des solidarités, la ministre de la santé, des familles, de l’autonomie et des personnes handicapées et le ministre de l’action et des comptes publics sont chargés, chacun en ce qui le concerne, de l’exécution du texte, qui sera publié au Journal officiel de la République française. Cette répartition reflète la dimension à la fois sociale, sanitaire et financière de la mise en œuvre du droit à l’information sur les retraites et de la protection des données associée.

6.2. Le décret est signé par le Premier ministre, Sébastien Lecornu, et contresigné par le ministre du travail et des solidarités, Jean-Pierre Farandou, la ministre de la santé, des familles, de l’autonomie et des personnes handicapées, Stéphanie Rist, et le ministre de l’action et des comptes publics, David Amiel. Cette pluralité de signataires souligne l’importance transversale de la transmission de données pour l’information retraite et de sa conformité au règlement (UE) 2016/679.

6.3. Sur le plan pratique, l’ajout des adresses électroniques des assurés dans l’article R. 161-13 implique une adaptation des systèmes d’information des régimes obligatoires d’assurance maladie et du GIP UISR, afin d’intégrer ce canal dans les flux de données utilisés pour le droit à l’information sur les retraites. Cette adaptation doit être réalisée dans le respect des principes de protection des données à caractère personnel posés par le RGPD.

6.4. La substitution des références à la loi n° 78-17 par celles du règlement (UE) 2016/679 dans les articles R. 161-14 et R. 161-15 clarifie le cadre juridique applicable aux droits des assurés et à l’information qui leur est due. Les organismes concernés doivent veiller à ce que les mentions d’information, les procédures d’exercice des droits d’accès, de rectification et de limitation du traitement, ainsi que les dispositifs de sécurité, soient pleinement alignés sur les exigences du RGPD.

6.5. L’ensemble de ces modifications contribue à une meilleure articulation entre le droit à l’information sur les retraites et la protection des données à caractère personnel. En intégrant les adresses électroniques dans les données transmises et en se référant directement aux articles 14, 15, 16 et 18 du règlement (UE) 2016/679, le décret n° 2026-390 du 22 mai 2026 renforce à la fois l’efficacité de l’information retraite et la garantie des droits des assurés dans le cadre du RGPD.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.