Demande d'un assureur : sélectionner les justificatifs

Vous pouvez transmettre à l’assureur les données nécessaires à l’instruction d’un sinistre, sans lui ouvrir l’ensemble de vos dossiers clients ou salariés. Pour décider, rattachez chaque pièce à un fait à établir : dommage, montant, chronologie, identité d’une personne impliquée. Une demande générale de justificatifs ne suffit pas à rendre toutes les informations pertinentes.

Ce guide s’adresse à l’entreprise qui prépare cet envoi. Il distingue sa décision de communiquer des données du traitement que l’assureur réalise ensuite, et propose un bordereau rempli pour un dommage matériel.

Déclarer le sinistre sans attendre un dossier parfait

La déclaration et la constitution des justificatifs sont deux tâches à conduire en parallèle. L’article L. 113-2, 4° du Code des assurances impose à l’assuré d’aviser l’assureur dès qu’il connaît un sinistre susceptible de mobiliser sa garantie, au plus tard dans le délai contractuel. Il prévoit un minimum de cinq jours ouvrés, ramené notamment à deux jours ouvrés pour le vol, ainsi que des particularités et exceptions.

N’attendez donc pas d’avoir expurgé cinquante pièces pour signaler l’événement. Vérifiez la garantie, le délai et le canal applicables ; transmettez les faits nécessaires à la déclaration et précisez les justificatifs en préparation. Cette organisation ne préjuge ni de la couverture du sinistre ni de la suffisance des preuves réclamées.

Nommez un responsable du dossier côté entreprise. Il centralise les demandes, distingue celles de l’assureur de celles de l’expert et garde une trace des réponses. Les échanges directs dispersés entre comptabilité, direction et équipes techniques multiplient les copies et rendent difficile la justification de ce qui a effectivement été remis.

Identifier la base légale de la communication

« L’assureur le demande » décrit un destinataire, pas une base légale. Une obligation légale précisément applicable peut fonder certaines opérations ; l’intérêt légitime peut justifier une communication nécessaire à la gestion du sinistre, après examen des intérêts et droits des personnes.

Attention à la base contractuelle : l’Art. 6(1)(b) du RGPD vise le contrat auquel la personne concernée est partie. Le contrat d’assurance conclu par une société ne couvre pas automatiquement, sur cette base, les données personnelles de tous ses salariés, visiteurs ou clients. Les Art. 5(1)(b)/(c) et 6(1)(b)/(c)/(f) imposent d’identifier une finalité, les données nécessaires et un fondement approprié.

Pour un intérêt légitime, écrivez le raisonnement : quel intérêt concret est poursuivi, pourquoi les informations sont nécessaires, quelles conséquences l’envoi peut avoir et quelles garanties limitent l’atteinte. La volonté d’obtenir une indemnisation n’autorise pas, à elle seule, l’export de toutes les données disponibles.

Si vous réutilisez des informations collectées pour une autre finalité, examinez aussi les conditions de cette réutilisation, notamment l’Art. 6(4) lorsqu’il s’applique. Vérifiez l’information délivrée aux personnes : destinataires ou catégories de destinataires, finalités, bases, durées et droits. Une nouvelle finalité peut appeler une information préalable selon les Art. 13(3) ou 14(4). Une notice complétée ne remplace toutefois pas une base légale manquante.

Un bordereau rempli pour un dégât des eaux

Exemple fictif. La société Atelier Orme déclare un dégât des eaux dans son bureau. L’assureur demande les factures des équipements endommagés, des photographies et des éléments sur la découverte du sinistre. Le dossier S-24 est limité, à ce stade, aux dommages matériels. Aucun préjudice corporel n’y est instruit.

La responsable administrative examine cinq pièces. Les décisions suivantes sont propres à cet exemple ; elles ne décrivent pas un dossier effectivement traité.

La responsable ne masque pas systématiquement tous les noms. L’identité du témoin permet de comprendre d’où vient l’information ; elle est conservée dans T-04. À l’inverse, les dossiers clients visibles derrière l’imprimante ne prouvent ni la valeur du bien ni l’étendue des dégâts.

Elle conserve les originaux dont la préservation est justifiée dans un espace restreint, et identifie les copies de communication. Le bordereau précise les retraits : « P-02, recadrage des documents clients étrangers au sinistre ». Il ne faut pas faire passer une copie modifiée pour un original intact, ni supprimer un élément qui change la compréhension des faits.

Vérifier la copie réellement envoyée

Une occultation visible peut laisser du texte extractible, des commentaires ou une ancienne version dans le fichier. Ouvrez la version destinée à l’envoi, contrôlez ses pages, son contenu copiable et ses pièces jointes. Pour une photographie, examinez tout le cadre ; pour un historique, vérifiez la période et les colonnes exportées.

La fiche sur les captures destinées à un tiers aide à préparer cette version sans exposer les éléments affichés autour de la zone utile. Cette opération reste distincte de la conservation de l’original : supprimer la copie de travail ne doit pas détruire la seule preuve nécessaire.

Dans S-24, J-03 contient initialement les interventions sur plusieurs équipements. La responsable produit un extrait conservant les dates, les opérations concernant l’imprimante et le contexte nécessaire. Elle mentionne qu’il s’agit d’un extrait. Si l’expert conteste sa suffisance, elle lui demande quel fait exige une autre partie de l’historique, puis réexamine cette partie. Elle ne lui adresse pas spontanément la base entière pour éviter une discussion.

Traiter une demande de pièces supplémentaires

Une demande complémentaire peut être légitime. L’objectif consiste à comprendre son utilité, puis à transmettre le périmètre nécessaire. Voici une réponse possible dans le dossier fictif :

« Pour S-24, nous transmettons les pièces F-01, P-02, J-03 et T-04 décrites au bordereau. L’historique complet comporte des interventions sur d’autres équipements et des données sans lien identifié avec le sinistre. Pouvez-vous préciser la période et le fait à établir au-delà de l’extrait J-03 ? Nous préparerons le complément pertinent ou conviendrons des modalités de consultation nécessaires. »

Cette réponse ne constitue pas un refus de toute coopération. Elle laisse ouverte une consultation ciblée si une copie étendue n’est pas nécessaire. Notez la demande, la justification reçue et la décision prise.

Si un désaccord persiste sur une pièce conditionnant l’instruction, faites examiner ensemble le contrat, l’exigence probatoire et la protection des données par les personnes compétentes. Ne promettez pas une indemnisation sur la seule base du bordereau, et ne transformez pas le RGPD en argument pour dissimuler un fait pertinent.

Donner aux données de santé un circuit distinct

Un document médical ne suit pas automatiquement les photographies des dégâts. Les données de santé relèvent de l’Art. 9(1)/(2) du RGPD : une base de l’Art. 6 doit être accompagnée d’une exception applicable à cette interdiction. L’intérêt légitime, pris seul, ne suffit pas.

L’Art. 9(2)(f) concerne les traitements nécessaires à la constatation, à l’exercice ou à la défense d’un droit en justice ; ce n’est pas une autorisation générale pour chaque dossier d’assurance. D’autres exceptions obéissent à leurs propres conditions. La CNIL rappelle aussi que le secret médical reste à respecter indépendamment de la licéité du traitement.

Dans S-24, M-05 reste hors du dossier matériel. Si un volet corporel doit ensuite être instruit, son responsable détermine les pièces nécessaires, le fondement, les destinataires habilités et le canal approprié avant tout envoi. Lorsque la personne peut remettre directement les éléments à l’interlocuteur compétent de l’assureur, l’entreprise n’a pas nécessairement besoin d’en détenir une copie supplémentaire.

Un consentement général demandé au salarié ne résout ni la nécessité des pièces ni les règles de secret. Évitez également qu’un objet de courriel ou un bordereau largement partagé révèle le diagnostic retiré des annexes.

Sécuriser les destinataires et clore les accès

Assureur, courtier, expert et avocat peuvent poursuivre des missions distinctes. Identifiez l’entité, l’interlocuteur et le besoin de chaque destinataire. La profession ne permet pas de conclure automatiquement à une sous-traitance pour le compte de l’entreprise. Un accord entre responsables distincts peut structurer des échanges récurrents ; il n’est pas imposé sous cette forme pour chaque envoi ponctuel.

Choisissez des modalités adaptées au risque, conformément à l’Art. 32(1)/(2). Vérifiez l’adresse ou le compte du destinataire par un canal connu, limitez l’accès aux pièces concernées et retirez les accès devenus inutiles. L’accusé de réception doit permettre de savoir quelles versions ont été remises, sans recopier leur contenu sensible dans un journal accessible à tous.

En cas d’envoi excessif ou au mauvais interlocuteur, limitez immédiatement l’accès et demandez le retrait des copies indues. Documentez la violation lorsqu’elle est caractérisée et appréciez les risques ainsi que les obligations des Art. 33–34. La suppression annoncée par le destinataire n’exonère pas automatiquement de cette analyse.

À la clôture, séparez le dossier justificatif conservé pour un motif identifié des copies de travail et accès temporaires. Contrat, obligations applicables et recours possibles doivent guider les durées ; il n’existe pas une durée RGPD unique calculée depuis tout sinistre. Documentez les exceptions de conservation, leur périmètre et leur réexamen. Un différend sur une pièce ne justifie pas de conserver indéfiniment tout le dossier opérationnel d’origine.

Ce qu’il faut retenir

• Déclarez le sinistre dans le cadre applicable tout en préparant les justificatifs nécessaires.
• Reliez chaque pièce à un fait et conservez la trace des versions remises.
• Ne confondez pas contrat de la société et base contractuelle pour les données de tous les tiers.
• Traitez les données de santé et la fermeture des accès séparément.

FAQ

Un assureur peut-il demander une base clients complète ?

Il faut établir pourquoi ce périmètre est nécessaire. Demandez quels faits doivent être vérifiés et examinez un extrait ou une consultation ciblée. La seule facilité d’export ne justifie pas la communication de toute la base.

Faut-il recueillir l’accord de chaque témoin ?

Le consentement n’est pas l’unique base légale possible. Identifiez celle qui convient à la communication, informez les personnes selon les règles applicables et limitez les données nécessaires à l’appréciation du témoignage.

Peut-on effacer les originaux après réception par l’assureur ?

Pas automatiquement. La réception ne démontre ni la fin du besoin probatoire ni l’absence d’obligation de conservation. Déterminez les pièces à préserver et leurs accès, puis supprimez les copies devenues inutiles selon le calendrier documenté.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.