Divulgation des données personnelles des assurés sociaux

L’essentiel : La CARSAT SUD-EST a été accusée par Madame [X] d’avoir divulgué ses données personnelles à sa mère, entraînant un préjudice moral et financier. Cependant, l’enquête de la CNIL a conclu qu’aucune divulgation n’avait eu lieu, et le tribunal a noté l’absence de lien de causalité entre la consultation des données et les dommages allégués. Les demandeurs n’ont pas fourni de preuves tangibles de harcèlement ou de souffrance psychologique, ce qui a conduit à la rejet de leurs demandes d’indemnisation. En conséquence, ils ont été condamnés à payer des frais à la CARSAT.

La divulgation fautive de données personnelles (adresse et autres) par une caisse d’assurance sociale (CARSAT) suppose la preuve d’un rapport de causalité certain entre la faute alléguée et le dommage subi.

La responsabilité prévue aux articles 1240 et suivants du code civil suppose la démonstration d’un rapport de causalité certain entre la faute alléguée et le dommage subi.

En la cause, le lien de causalité entre la consultation sans motif des données d’une assurée sociale par un agent de la CARSAT, son éventuelle transmission à la mère de l’assurée sociale, au demeurant démentie par l’enquête de la CNIL, n’apparaît pas démontré.

Aucune violation de données personnelles n’a donc été retenue.

14 novembre 2024
Tribunal judiciaire de Marseille
RG n°
23/08011

TRIBUNAL JUDICIAIRE
DE MARSEILLE

PREMIERE CHAMBRE CIVILE

JUGEMENT N° 24/ DU 14 Novembre 2024

Enrôlement : N° RG 23/08011 – N° Portalis DBW3-W-B7H-3UXV

AFFAIRE : Mme [M] [X] et autre (Me Sylvain CARMIER)
C/ CARSAT SUD-EST (SELARL PIOS AVOCATS)

DÉBATS : A l’audience Publique du 19 Septembre 2024

COMPOSITION DU TRIBUNAL :

Président : SPATERI Thomas, Vice-Président (juge rapporteur)
Assesseur : BERGER-GENTIL Blandine, Vice-Présidente
Assesseur : BERTHELOT Stéphanie, Vice-Présidente

Greffier lors des débats : ALLIONE Bernadette

Vu le rapport fait à l’audience

A l’issue de laquelle, les parties ont été avisées que le prononcé de la décision aurait lieu par mise à disposition au greffe le : 14 Novembre 2024

Jugement signé par SPATERI Thomas, Vice-Président et par ALLIONE Bernadette, Greffier à laquelle la minute de la décision a été remise par le magistrat signataire.

NATURE DU JUGEMENT

contradictoire et en premier ressort

NOM DES PARTIES

DEMANDEURS

Madame [M] [X]
née le 23 Septembre 1982 à [Localité 6]
de nationalité Française, demeurant [Adresse 1] – CANADA

Monsieur [O] [U]
né le 16 Octobre 1984 à [Localité 5]
de nationalité Française, demeurant [Adresse 1] – CANADA

représentés par Maître Sylvain CARMIER, avocat au barreau de MARSEILLE

C O N T R E

DEFENDERESSE

La CARSAT SUD-EST
Organisme de sécurité sociale (régime général), dont le numéro de SIRET est 775 559 115 00016, dont le siège social est sis [Adresse 2], prise en la personne de son représentant légal en exercice domicilié en cette qualité audit siège

représentée par Maître Velen SOOBEN de la SELARL PIOS AVOCATS, avocat au barreau de MARSEILLE

EXPOSÉ DU LITIGE :

Faits et procédure :

Madame [X], par l’intermédiaire de son assureur de protection juridique, a saisi le 23 août 2021, le délégué à la protection des données de la CARSAT SUD-EST aux fins de l’informer d’une difficulté concernant une divulgation de données à caractère personnel la concernant.

Selon les termes de cette correspondance, des informations personnelles auraient été communiquées à la mère de madame [X], madame [L] [N], avec laquelle elle entretient de très mauvaises relations, par une personne appartenant au personnel de la CARSAT SUD-EST.

Madame [X] évoque, d’une part, une divulgation de l’adresse de son domicile dans la mesure où elle a reçu un colis postal de sa mère le 5 novembre 2020.
D’autre part, elle fait état d’une divulgation de ses coordonnées bancaires puisque sa mère lui aurait adressé un virement sur son compte bancaire le 6 juillet 2021.

Par courrier en date du 26 octobre 2021, la CARSAT SUD EST indiquait qu’à la suite des investigations menées, aucune divulgation de la part de l’un de ses salariés ne pouvait être relevée.

En parallèle et à la suite de la plainte de madame [X] auprès de la Commission nationale informatique et libertés (CNIL), cette dernière a demandé des précisions complémentaires à la CARSAT SUD-EST par email du 15 octobre 2021. S’en sont suivis des échanges à l’occasion desquels des recherches ont été effectuées en dehors des systèmes d’information de la CARSAT.
En effet, la CARSAT SUD-EST, dans son versant service social, dispose d’accès à un dispositif informatique « Medialog + », géré par l’Assurance maladie et mis en commun avec la CARSAT SUD-EST, qui lui permet de consulter les données administratives contenues dans la fiche client. Les investigations externes ont permis d’observer qu’une consultation de la fiche de madame [X] était intervenue le 29 juillet 2020 sur l’outil « Medialog + » par une personne habilitée et soumise au secret professionnel. Cette personne a confirmé avoir consulté cette fiche mais a indiqué qu’aucune divulgation d’information concernant madame [X] n’avait été faite auprès de tiers, cela étant d’ailleurs acté par la CNIL.

Madame [X] indique que dans ces circonstances, et pour éviter tout nouveau harcèlement de la part de sa mère, elle a été contrainte de déménager au Canada.

Par acte de commissaire de justice du 2 août 2023 madame [X] et monsieur [U] ont fait assigner la CARSAT du Sud Est.

Demandes et moyens des parties :

Aux termes de leurs dernières conclusions en date du 19 février 2024 madame [X] et monsieur [U] demandent au tribunal de condamner la CARSAT du Sud Est à leur payer les sommes de 50.000 € en réparation de leur préjudice moral, 159.806 € en réparation de leur préjudice financier et 2.000 € en application de l’article 700 du code de procédure civile.
Au soutien de leurs demandes ils exposent que la CARSAT est responsable du dommage causé par la faute de son préposé, que l’enquête de la CNIL a démontré que son dossier n’a été consulté qu’une fois le 29 juillet 2020 par un agent de la CARSAT, que madame [N] a bien utilisé l’adresse avec la précision du bâtiment qui ne figurait que dans les données de la CARSAT, que l’agent de la CARSAT auteur de la consultation a avoué avoir consulté son dossier sans motif professionnel et à la demande d’une tierce personne et a ainsi nécessairement transmis cette information. Elle ajoute que madame [N] a travaillé à la CARSAT du Sud Est pendant plus de dix ans et qu’elle a pu y garder des contacts. Elle indique également qu’à son retour sur le territoire français après une première période d’expatriation, elle a mis à jour son dossier auprès de la CPAM avec un erreur d’adresse sur l’indication du bâtiment dans lequel elle habitait, que les données de la CPAM sont partagées avec la CARSAT, que seuls ces deux organismes utilisaient cette adresse à la date du 5 novembre 2020 correspondant au jour de l’envoi de son courrier par madame [N] avec la même adresse, de sorte que celle-ci en a nécessairement eu connaissance soit par la CPAM soit par la CARSAT, et que seul un agent de cette dernière a consulté son dossier via l’outil Médialog +, dont la CARSAT indique elle-même qu’il s’agit d’une ancienne collègue de travail et amie de madame [N]. Madame [X] conteste toute autre origine de la divulgation de son adresse et notamment à partir de ses données bancaires, faisant observer que le compte ouvert auprès du Crédit Agricole avec la même adresse que celle utilisée par madame [N] n’a été ouvert que le lendemain de l’envoi du colis en cause, et que les comptes ouverts dans deux autres banques n’avaient pas été mis à jour de sa nouvelle adresse.
Sur leur préjudice madame [X] et monsieur [U] font valoir que par le passé madame [N] a adopté une comportement dangereux pour sa fille en raison de ses mauvaises mœurs, puis en adoptant à son encontre un comportement dénigrant et harcelant. Madame [X] indique ainsi avoir été contrainte de s’expatrier en Australie pendant deux ans, avant de revenir en France. Elle indique que la réception du colis du 5 novembre 2020 a réveillé les traumatismes subis pendant sa jeunesse du fait de sa mère, et que la crainte de subir un nouveau harcèlement de sa part l’a conduite à déménager de nouveau à l’étranger, s’éloignant ainsi de ses proches. Les demandeurs exposent avoir été ainsi contraints de vendre leur maison à vil prix, subissant une perte de 43.000 €, outre les frais de déménagement, des frais de logement temporaire (location d’un appartement pendant 10 mois), des frais d’assurance sociale, frais de garde, perte de salaire.

La CARSAT du Sud Est a conclu le 20 novembre 2023 au rejet des demandes formées à son encontre et à titre reconventionnel à la condamnation de madame [X] et de monsieur [U] à lui payer la somme de 4.000 € en application de l’article 700 du code de procédure civile aux motifs qu’il résulte des attestations de madame [S], ancienne employée, et de madame [N], qu’il n’y a pas eu de divulgation des données personnelles de madame [X] en dépit de la consultation de son dossier le 29 juillet 2020, et que madame [N] a par ailleurs indiqué avoir obtenu ces renseignements dans le milieu bancaire. Elle fait observer que l’adresse figurant sur le colis du 5 novembre 2020 n’est pas celle figurant dans sa base de données, et que la mention « bâtiment 2 » figure également sur son RIB, de sorte que la démonstration d’une divulgation de ses données personnelles par l’un de ses agents n’est pas démontrée.
Subsidiairement la CARSAT soutient que le dommage allégué n’est pas démontré, estimant que la décision de partir au Canada était programmée, ce départ n’étant effectif qu’en 2022 soit près de deux ans après la réception du colis en cause, que madame [X] et sa famille ont préalablement déménagé à une autre adresse, également à [Localité 7] où il n’est pas démontré qu’ils auraient été importunés par madame [N], et qu’en outre l’expatriation répondait à une opportunité professionnelle pour monsieur [U].

L’ordonnance de clôture a été rendue le 21 mai 2024.

MOTIFS DE LA DÉCISION :

La responsabilité prévue aux articles 1240 et suivants du code civil suppose la démonstration d’un rapport de causalité certain entre la faute alléguée et le dommage subi.

Il résulte de l’enquête de la CNIL diligentée à la suite de la plainte de madame [X] que la consultation de son dossier le 29 juillet 2020 à partir de l’outil Médialog + a été faite par un agent de la CARSAT habilité à utiliser cet outil.

Le compte-rendu d’enquête poursuit en indiquant que les investigations menées par la CARSAT l’ont conduit à écarter l’éventualité d’une divulgation des données consultées par un de ses agents du service social. Il ressort également de ces investigations qu’une tierce personne a sollicité un agent de la CARSAT afin d’obtenir des informations concernant madame [X], mais que l’agent qui a consulté le dossier de cette dernière sans motif apparent n’a pas répondu à la personne qui l’avait sollicitée, ce point ayant été confirmé par plusieurs salariés présents qui ont attesté en ce sens, et que la tierce personne en cause a déclaré avoir obtenu les renseignements qu’elle souhaitait par une autre source.

Par ailleurs si madame [X] et monsieur [U] ont bien reçu un colis, manifestement non désiré, de la part de madame [N] le 5 novembre 2020 à leur ancienne adresse sise « [Adresse 4], », il est à noter que l’adresse figurant dans le dossier détenu par la CARSAT était légèrement différente en ce qu’elle mentionnait simplement le bâtiment 2 (et non B2).

En outre au jour de l’enquête de la CNIL, en février 2022, madame [X] et monsieur [U] avaient déjà déménagé au [Adresse 3]. Il n’est ni démontré, ni allégué qu’à cette nouvelle adresse ils auraient reçu les sollicitations non désirées de madame [N] qui ne s’est manifestée qu’à deux reprises en novembre 2020 et juillet 2021 à leur précédente adresse.

Dans ces conditions le lien de causalité entre la consultation sans motif des données de madame [X] par un agent de la CARSAT en juillet 2020, son éventuelle transmission à madame [N] avant le 5 novembre de la même année, au demeurant démentie par l’enquête de la CNIL, et la décision de déménager à nouveau au Canada fin 2022, n’apparaît pas démontré.

Les demandes relatives à l’indemnisation des frais de déménagement et de réinstallation au Canada devront par conséquent être rejetées.

Le préjudice moral allégué résultant de la divulgation de l’adresse de madame [X] n’apparaît pas plus constitué, en l’absence de tout élément de nature à caractériser, autrement que par affirmations, le caractère maltraitant ou harcelant de madame [N] à l’encontre de madame [X], et surtout, à supposer ce comportement comme ayant existé par le passé, l’existence de répercussions actuelles sur son psychisme. Les demandeurs ne produisent en effet à ce titre ni certificat médical, ni attestations de proches en dehors de celle de madame [Z] qui se contente de faire état de mauvaises relations entre madame [X] et sa mère, sans autre conséquence.

Ce chef de demande sera également rejeté.

Madame [X] et monsieur [U], qui succombent à l’instance, en supporteront in solidum les dépens.

Ils seront en outre condamnés in solidum à payer à la CARSAT du Sud-Est la somme de 2.000 € en application de l’article 700 du code de procédure civile.

PAR CES MOTIFS :

Le tribunal, statuant par jugement contradictoire et en premier ressort :

Déboute madame [M] [X] et monsieur [O] [U] de leurs demandes ;

Condamne in solidum madame [M] [X] et monsieur [O] [U] à payer à la CARSAT du Sud-Est la somme de 2.000 € en application de l’article 700 du code de procédure civile ;

Condamne in solidum madame [M] [X] et monsieur [O] [U] aux dépens.

AINSI JUGÉ, PRONONCÉ ET MIS À DISPOSITION AU GREFFE DE LA PREMIÈRE CHAMBRE CIVILE DU TRIBUNAL JUDICIAIRE DE MARSEILLE LE QUATORZE NOVEMBRE DEUX MILLE VINGT QUATRE.

LE GREFFIER, LE PRÉSIDENT,

Q/R juridiques soulevées :

Quelles sont les obligations de la CARSAT en matière de protection des données personnelles ?

La CARSAT, en tant qu’organisme de sécurité sociale, est soumise aux exigences du Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés.

Ces textes imposent plusieurs obligations, notamment :

1. **Licéité et transparence** : Les données personnelles doivent être traitées de manière licite, loyale et transparente vis-à-vis des personnes concernées.

2. **Finalité** : Les données doivent être collectées pour des finalités déterminées, explicites et légitimes.

3. **Minimisation des données** : Les informations collectées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.

En cas de non-respect de ces obligations, l’article 82 de la loi Informatique et Libertés permet à toute personne de demander réparation pour le préjudice causé par un traitement non conforme.

Il est donc crucial que la CARSAT mette en œuvre toutes les mesures nécessaires pour protéger la sécurité et la confidentialité des données personnelles de ses usagers, afin d’éviter toute divulgation non autorisée.

La responsabilité de la CARSAT peut-elle être engagée en cas de divulgation de données personnelles ?

Oui, la responsabilité de la CARSAT peut être engagée selon les articles 1240 et suivants du Code civil, qui stipulent que toute faute causant un dommage à autrui oblige son auteur à le réparer.

L’article 1240 précise que :

« Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. »

Dans le cas présent, il incombe à Madame [X] de prouver le lien de causalité entre la faute alléguée, c’est-à-dire la divulgation de ses données personnelles, et le préjudice subi.

Cependant, le tribunal a constaté que l’enquête de la CNIL n’a pas établi de divulgation de données par la CARSAT, ce qui complique la démonstration de la responsabilité de l’organisme.

Quels sont les critères pour établir un préjudice moral dans ce contexte ?

Pour établir un préjudice moral, il est nécessaire de démontrer l’existence d’une souffrance psychologique ou d’une atteinte à la dignité de la personne.

Le tribunal se réfère souvent à la jurisprudence qui exige des éléments concrets pour prouver ce type de préjudice. En l’espèce, le tribunal a noté que :

– Les demandeurs n’ont pas produit de certificats médicaux ou d’attestations de proches pour corroborer leurs affirmations.

– Les seules preuves fournies étaient des déclarations générales sur les relations difficiles entre Madame [X] et sa mère, sans lien direct avec le préjudice allégué.

Ainsi, l’absence de preuves tangibles a conduit le tribunal à rejeter la demande d’indemnisation pour préjudice moral.

Quelles sont les conséquences d’une décision de justice défavorable pour les demandeurs ?

En cas de décision défavorable, comme celle rendue par le tribunal, les demandeurs peuvent être condamnés à payer les dépens, ainsi qu’une somme au titre de l’article 700 du Code de procédure civile.

L’article 700 stipule que :

« La partie qui succombe dans ses prétentions peut être condamnée à payer à l’autre partie une somme au titre des frais exposés et non compris dans les dépens. »

Dans cette affaire, Madame [X] et Monsieur [U] ont été condamnés à payer à la CARSAT du Sud-Est la somme de 2.000 € en application de cet article, en plus des dépens de l’instance. Cela souligne l’importance de bien préparer son dossier et de fournir des preuves solides lors d’une action en justice.