RGPD et assurance de prêt : qui voit vos données de santé ?

Vos réponses au questionnaire de santé de votre assurance de prêt vont au service médical de l’assureur, placé sous l’autorité d’un médecin. Votre banque, elle, reçoit la proposition d’assurance que vous avez acceptée : vos réponses ne lui sont pas destinées. Reste à savoir ce qui autorise l’assureur à vous interroger, combien de temps il garde vos réponses, et ce que le RGPD, le règlement européen sur la protection des données, vous permet de demander.

Votre banque voit-elle vos réponses ?

Votre questionnaire est destiné au service médical de l’assureur. La convention AERAS (s’Assurer et Emprunter avec un Risque Aggravé de Santé) y consacre un code de bonne conduite, que banques et assureurs s’engagent à respecter.

Vous pouvez adresser votre questionnaire sous pli cacheté, ou par un envoi sécurisé, au médecin-conseil, le médecin qui étudie votre dossier pour l’assureur. Le code recommande de vous y inviter formellement dès qu’une réponse touche une maladie, présente ou passée, les suites d’un accident ou un traitement en cours. En agence, vous répondez seul, sur place ou chez vous ; votre conseiller ne vous assiste que si vous le demandez, après vous avoir rappelé les règles de confidentialité.

La banque, elle, s’engage à vous donner sa décision sur le prêt dans les deux semaines suivant la transmission de « l’acceptation par le client de la proposition de l’assureur ». Une exclusion, c’est un risque que le contrat ne couvre pas. Quand elle tient à une maladie antérieure au contrat, les conditions particulières (la partie du contrat qui vous est propre) doivent la mentionner « clairement et limitativement ». Un courrier particulier du service médical vous la fait aussi connaître.

La proposition que reçoit votre banque porte donc les garanties, le tarif et, s’il y en a, les exclusions ; vos réponses, elles, sont destinées au service médical. Les examens et pièces demandés selon votre âge et le montant : notre guide des formalités médicales.

Chez l’assureur, qui lit votre dossier ?

Le code de bonne conduite commence par un lieu pour vos informations de santé : un service médical « apte à analyser et conserver ces informations ». Les dossiers y sont placés sous l’autorité d’un médecin « auquel doit être garantie l’indépendance technique et morale ». Ce médecin est « garant de la confidentialité des informations médicales fournies aux sociétés ».

Autour de lui, un personnel formé, « astreint au secret professionnel » et informé des sanctions encourues, dans des locaux particuliers. La confidentialité s’organise « physiquement pour le service, administrativement pour les circuits » : courrier, téléphone, informatique, rangement des dossiers. Puis vient une cloison, écrite en toutes lettres :

« En aucun cas, les services administratifs des sociétés d’assurance ne peuvent connaître les éléments relatifs à l’état de santé qui ont fondé la décision (acceptation avec ou sans surprime, refus, ajournement ou demande de complément d’instructions médicales), ni les éléments des contrats ayant trait à l’état de santé. »

Annexe 1 de la convention AERAS

Le service médical émet un avis sur les dossiers qui posent une question médicale ; cet avis va au service chargé de l’acceptation des risques, qui décide garantie par garantie. Le code prévoit une nuance : pour une exclusion liée à une maladie antérieure, le service médical transmet aussi l’information nécessaire au service administratif qui établit le contrat. Le code met à part vos réponses sur un sport ou une profession à risques : elles « peuvent être transmises à un service d’acceptation de risques », donc être lues hors du service médical.

Si le premier niveau refuse ou reporte votre demande, elle passe automatiquement au deuxième, où des réassureurs, les assureurs des assureurs, l’étudient à leur tour, puis, sous conditions, au troisième. Notre guide du parcours AERAS décrit ces trois niveaux.

Vos pièces médicales suivent le même chemin que vos réponses : elles sont adressées au service médical de l’assureur. C’est un circuit écrit, qui dit qui lit quoi, et vers qui vous tourner.

Qu’est-ce qui autorise l’assureur à vous interroger sur votre santé ?

Au départ, une interdiction : l’article 6 de la loi Informatique et libertés, la loi française de 1978 sur les données personnelles, interdit par principe de traiter des « données concernant la santé ». Les exceptions sont fixées par le RGPD, auquel il renvoie, et par la loi elle-même.

Pour votre assurance de prêt, ce qui lève l’interdiction, c’est votre accord. La fiche officielle de Service-public le rappelle : traiter des données dites sensibles demande en règle générale votre consentement. Le code de bonne conduite le prévoit : vous transmettez vos réponses au service médical en déclarant « dans le formulaire accepter cette communication ».

Ce traitement a des bornes, posées par l’article 4 de la même loi : un but précis, explicite et légitime, et rien au-delà du nécessaire. Selon la convention, les questionnaires ne font « aucune référence aux aspects intimes de la vie privée, et notamment à la sexualité ». Et aucune question ne peut porter sur des tests génétiques : notre guide des formalités médicales le détaille.

Le code de la santé publique (article L1141-2-1) oblige en outre la convention AERAS à définir « les garanties de confidentialité des données à caractère personnel et de nature médicale ». La convention exige en retour que le traitement des questionnaires de santé soit conforme au RGPD.

Et parfois, ni question de santé ni examen : pour un crédit immobilier, c’est le cas si votre part assurée, crédits cumulés, ne dépasse pas 200 000 €, avec une dernière échéance avant vos 60 ans. Notre guide du questionnaire de santé détaille ces deux conditions de l’article L113-2-1 du code des assurances.

Combien de temps vos réponses sont-elles gardées ?

La réponse franche : ni la loi Informatique et libertés ni la convention AERAS ne fixent un nombre d’années. La loi pose un plafond de principe : des données conservées « pendant une durée n’excédant pas celle nécessaire » au but pour lequel elles ont été recueillies (article 4).

Tant que votre assurance peut jouer, vos déclarations gardent leur utilité : c’est avec elles que l’assureur examine un sinistre, l’événement qui fait jouer la garantie. Le code de bonne conduite l’écrit : le paiement des prestations « nécessite le rapprochement des déclarations initiales faites lors de la souscription du contrat » de celles faites après le sinistre. La partie médicale du dossier de sinistre reste séparée, « conservée par le service médical ».

Après un refus, ou une fois le contrat terminé, la question se pose autrement : demandez à l’assureur combien de temps il garde votre dossier. Quand il vous transmet une copie de vos données, il doit d’ailleurs vous indiquer leur durée de conservation. Si elles ne lui servent plus, vous pouvez en demander l’effacement.

Quels sont vos droits, et comment les exercer ?

Tout se fait par une simple demande à l’assureur, à l’adresse indiquée sur son site. La demande est en principe gratuite, et l’assureur peut vérifier votre identité en cas de doute. Il répond au plus tard sous un mois, trois mois si la demande est complexe ou en raison du nombre de demandes.

Le droit d’accès vous donne une copie de vos données en langage clair (article 49 de la loi Informatique et libertés). Le droit de rectification fait corriger ce qui est inexact et compléter ce qui est incomplet (article 50), et l’assureur prévient les organismes à qui ces données avaient été communiquées. Il corrige une erreur ; il ne réécrit pas après coup une déclaration faite à la souscription.

Le droit à l’effacement (article 51) vise entre autres des données devenues inutiles au but de leur collecte, ou traitées illégalement, par exemple des données sensibles hors des cas autorisés. L’assureur peut refuser dans certains cas limités. Pendant le prêt, vos réponses servent encore : l’effacement vise ce qui ne sert plus.

S’y ajoute une voie propre à l’assurance : le courrier qui vous annonce un refus, une exclusion ou une surprime (un tarif majoré) doit vous signaler la possibilité d’écrire au médecin de l’assureur. Vous le faites vous-même ou par un médecin de votre choix, pour connaître les raisons médicales ; notre guide du parcours AERAS y revient.

Dernier cas, s’il se présente : une décision, refus, surprime ou exclusion, prise uniquement par un logiciel, sans intervention d’une personne. La loi prévoit alors que les règles de ce traitement et ses principales caractéristiques vous soient communiquées si vous le demandez, hors secrets protégés par la loi (article 47).

Sans réponse, ou si elle ne vous convient pas, vous pouvez adresser une plainte à la CNIL, l’autorité qui veille à la protection des données. Soyez précis sur les données visées, et gardez une copie de votre demande : elle vous servira si vous devez vous tourner vers la CNIL.

Que deviennent vos données si vous changez d’assurance ?

Changer d’assurance de prêt, c’est signer un nouveau contrat. Quand les deux conditions vues plus haut sont réunies, le nouvel assureur ne peut vous demander aucune information de santé. Au-delà, il vous pose ses propres questions : vous y répondez exactement, comme la première fois. La démarche est décrite dans notre guide de la loi Lemoine, et la simulation d’assurance emprunteur vous montre ce qu’un autre contrat vous coûterait.

La convention AERAS prévoit que le nouvel assureur utilise vos examens de moins de six mois, passés pour une autre demande, quand c’est vous qui les lui transmettez.

Et chez l’ancien assureur ? La même règle de durée s’applique : vous pouvez lui demander combien de temps il garde votre dossier, et l’effacement de ce qui ne lui sert plus. Gardez de votre côté une copie de vos examens récents.

Que se passe-t-il le jour où l’assurance doit jouer ?

Au sinistre, vos réponses de départ sont relues : des réponses exactes prennent alors toute leur valeur. Le code de bonne conduite encadre ce moment : des investigations « engagées avec tact et mesure », et des questionnaires qui séparent l’administratif du médical. Tout médecin qui intervient pour l’assureur précise « qui l’a missionné et quel est le but de sa mission ».

Tout document établi par un médecin qui vous a soigné vous est remis, ou à vos ayants droit (vos héritiers), qui « demeurent libres de son usage ».

Et pour vos proches, après un décès ?

Après votre décès, le secret médical ne fait pas obstacle à ce que vos ayants droit, votre concubin ou votre partenaire de Pacs obtiennent les informations médicales dont ils ont besoin. Trois motifs le permettent, selon l’article L1110-4 du code de la santé publique : connaître les causes de la mort, défendre votre mémoire, faire valoir leurs droits. Sauf si vous vous y êtes opposé de votre vivant.

La demande s’adresse au professionnel de santé ou à l’établissement qui détient le dossier. Ce que couvre la garantie elle-même est dans notre guide de la garantie décès.

Vos questions

Mon médecin peut-il remplir le questionnaire à ma place ?

Il peut vous aider pour un questionnaire simplifié, mais c’est vous qui le signez, et vous engagez ainsi votre responsabilité sur les réponses. Un questionnaire détaillé peut être rempli par le médecin qui vous soigne : il vous le remet en main propre, et vous l’adressez vous-même au médecin-conseil.

L’assureur peut-il demander mes comptes rendus directement à mon médecin ?

Le circuit prévu par le code de bonne conduite passe par vous : votre médecin vous remet en main propre, sous enveloppe, le certificat ou les pièces demandés pour le service médical. Selon ce code, les résultats d’examens vous sont remis pour que vous les transmettiez ; les conclusions du médecin examinateur partent directement, sous pli confidentiel. Vos comptes rendus, vous les obtenez de chaque professionnel ou établissement, au plus tard sous huit jours, deux mois s’ils datent de plus de cinq ans.

Mes réponses peuvent-elles servir à autre chose qu’à mon assurance ?

Elles sont recueillies pour un but précis, et la loi Informatique et libertés interdit de les réutiliser « d’une manière incompatible » avec ce but (article 4). À l’intérieur de la compagnie, le code de bonne conduite les place sous la pleine responsabilité du médecin qui dirige le service médical.

Vers qui me tourner si la convention AERAS n’est pas respectée ?

Vers sa commission de médiation, qui examine les réclamations des emprunteurs liées à la convention ; ses coordonnées figurent dans le courrier qui vous annonce un refus, une exclusion ou une surprime. Les autres pistes sont dans nos solutions après un refus.

Ce qu’on fait pour vous

Dès le premier échange, nous vous disons si une question de santé peut vous être posée. Nous vous indiquons ce que chaque assureur vous demandera, et nous faisons chiffrer des contrats à garanties équivalentes, parmi 120 assurances. L’étude est gratuite et sans engagement : la simulation d’assurance emprunteur pour un premier chiffre, ou une visio avec notre expert en assurance.

---

Mis à jour le 22 septembre 2026. Information générale, qui ne remplace pas un conseil personnalisé sur votre dossier. Seuls font foi les textes officiels listés en Sources.

Sources

Les règles et les délais cités dans cet article viennent des textes officiels listés ci-dessous, que vous pouvez ouvrir pour vérifier chaque information par vous-même.

• Article 6 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, version en vigueur depuis le 1er juin 2019 (Légifrance) : l’interdiction de principe de traiter des données concernant la santé (I) ; les exceptions, fixées dans les conditions prévues par le 2 de l’article 9 du règlement (UE) 2016/679 du 27 avril 2016, le RGPD, et par la loi elle-même (II).
• Article 4 de la loi n° 78-17 du 6 janvier 1978, version en vigueur depuis le 1er juin 2019 (Légifrance) : des données collectées pour des buts déterminés, explicites et légitimes, sans traitement ultérieur incompatible (2°), limitées à ce qui est nécessaire (3°), et conservées pendant une durée n’excédant pas celle nécessaire (5°).
• Article 47 de la loi n° 78-17 du 6 janvier 1978, version en vigueur depuis le 1er juin 2019 (Légifrance) : la décision prise sur le seul fondement d’un traitement automatisé, admise dans certains cas à condition que les règles définissant le traitement et les principales caractéristiques de sa mise en œuvre soient communiquées à la personne qui le demande, hors secrets protégés par la loi.
• Article 49 de la loi n° 78-17 du 6 janvier 1978, en vigueur depuis le 31 juillet 2021 (Légifrance) : le droit d’accès, exercé dans les conditions de l’article 15 du RGPD.
• Article 50 de la loi n° 78-17 du 6 janvier 1978, version en vigueur depuis le 1er juin 2019 (Légifrance) : le droit de rectification, exercé dans les conditions de l’article 16 du RGPD.
• Article 51 de la loi n° 78-17 du 6 janvier 1978, version en vigueur depuis le 1er juin 2019 (Légifrance) : le droit à l’effacement, exercé dans les conditions de l’article 17 du RGPD (I).
• Article L1141-2-1 du code de la santé publique, version en vigueur depuis le 1er janvier 2014 (Légifrance) : la convention AERAS définit notamment les garanties de confidentialité des données à caractère personnel et de nature médicale (5°).
• Article L1141-1 du code de la santé publique, version en vigueur depuis le 5 mars 2002 (Légifrance) : aucune question relative aux tests génétiques et à leurs résultats de la part des organismes qui garantissent le décès ou l’invalidité.
• Article L1110-4 du code de la santé publique, version en vigueur depuis le 4 août 2021 (Légifrance) : après un décès, les informations délivrées aux ayants droit, au concubin ou au partenaire lié par un pacte civil de solidarité, dans la mesure où elles leur sont nécessaires pour connaître les causes de la mort, défendre la mémoire du défunt ou faire valoir leurs droits, sauf volonté contraire exprimée avant le décès (V, troisième alinéa).
• Article L1111-7 du code de la santé publique, version en vigueur du 1er novembre 2021 au 1er janvier 2029 (Légifrance) : l’accès de chacun aux informations de santé détenues par les professionnels et établissements de santé, communiquées au plus tard dans les huit jours et au plus tôt après un délai de réflexion de quarante-huit heures, deux mois quand elles datent de plus de cinq ans.
• Article L113-2-1 du code des assurances, version en vigueur depuis le 1er juin 2022 (Légifrance) : aucune information relative à l’état de santé ni aucun examen médical sollicité si la part assurée sur l’encours cumulé des contrats de crédit n’excède pas 200 000 € par assuré et si l’échéance de remboursement est antérieure au soixantième anniversaire de l’assuré.
• Article L113-2 du code des assurances, version en vigueur depuis le 1er avril 2018 (Légifrance) : l’obligation de répondre exactement aux questions posées par l’assureur lors de la conclusion du contrat (2°).
• Convention AERAS, version actualisée 2023, annexes comprises (site officiel de la convention) : au titre II, l’engagement des professions à respecter le code de bonne conduite annexé (1), la réponse seul au questionnaire, sur place ou à domicile, et l’assistance du conseiller à la seule demande du client, après rappel des règles de confidentialité (2), le traitement des questionnaires conforme au règlement général sur la protection des données (3 b), l’absence de toute référence aux aspects intimes de la vie privée (3 c), les examens de moins de six mois transmis par le candidat (7) ; au titre III, le transfert automatique au deuxième niveau après un refus pour raison de santé, et les conditions du troisième niveau (1) ; au titre V, la décision de la banque dans les deux semaines suivant la transmission de l’acceptation de la proposition de l’assureur (1 b), et le courrier qui annonce un refus, un ajournement, une exclusion ou une surprime, avec la possibilité d’écrire au médecin de l’assureur, directement ou par un médecin de son choix, pour connaître les raisons médicales, et les coordonnées de la Commission de médiation (5 b) ; au titre VI, la Commission de médiation, qui examine les réclamations individuelles des candidats à l’emprunt (III) ; à l’annexe 1 (code de bonne conduite), le service médical placé sous l’autorité d’un médecin indépendant, son personnel tenu au secret, ses locaux et ses circuits, la règle qui tient les services administratifs à l’écart des éléments de santé (I), l’accord donné dans le formulaire, les déclarations de sports et de professions à risques, les informations traitées sous la pleine responsabilité du médecin responsable du service médical, les pièces remises sous enveloppe, les résultats d’examens remis au candidat et les conclusions des médecins transmises sous pli confidentiel, les exclusions mentionnées aux conditions particulières et portées à la connaissance du candidat par un courrier du service médical (II A), la formule sur le pli cacheté, l’avis transmis au service chargé de l’acceptation des risques, et les exclusions liées aux maladies antérieures, que les conditions particulières doivent mentionner clairement et limitativement, l’information nécessaire partant aussi au service administratif qui établit le contrat (II B), les investigations menées avec tact et mesure, le rapprochement des déclarations au sinistre, les questionnaires de sinistre qui séparent l’administratif du médical, le médecin qui précise qui l’a missionné, les documents remis à l’assuré ou à ses ayants droit et la partie médicale conservée par le service médical (III) ; à l’annexe 4, les trois niveaux d’examen et le passage automatique de l’un à l’autre.
• « Les questionnaires de santé » (site officiel de la convention AERAS) : l’envoi du questionnaire sous enveloppe cachetée ou par transmission sécurisée, à l’attention du médecin-conseil ; l’assistance du conseiller bancaire à votre seule demande ; le questionnaire simplifié signé par vous, le questionnaire détaillé rempli par le médecin qui vous soigne et adressé par vous au médecin-conseil.
• « Protection des données personnelles », fiche F2024, vérifiée le 13 mai 2026 (Service-public) : le consentement pour les données dites sensibles, sauf exceptions ; la copie en langage clair, en principe gratuite, avec la durée de conservation ; la vérification d’identité ; la réponse sous un mois, trois au plus ; la rectification signalée aux organismes destinataires ; les cas d’effacement et les refus limités ; la plainte à la CNIL et la copie de la démarche à conserver.
• « Dossier médical », fiche F12210, vérifiée le 28 février 2025 (Service-public) : les proches d’un défunt qui peuvent consulter les informations de santé, l’opposition exprimée de son vivant, les trois motifs de la demande, adressée au professionnel de santé ou à l’établissement détenteur.

Ces règles évoluent. Relus le 21 septembre 2026 : les articles 4, 6, 47, 49, 50 et 51 de la loi du 6 janvier 1978, les articles L1141-1, L1141-2-1, L1110-4 et L1111-7 du code de la santé publique, les articles L113-2 et L113-2-1 du code des assurances, la convention AERAS dans sa version actualisée 2023 et la page officielle sur les questionnaires de santé. L’article L1111-7 a déjà une nouvelle version programmée au 1er janvier 2029. Les fiches service-public sont datées du 13 mai 2026 et du 28 février 2025.