RGPD : interdiction de fixation des cotisations Ocam en fonction des données de santé, selon le Sénat

Le Règlement européen sur la protection des données personnelles ou RGPD doit s’appliquer au 25 mai prochain. Dans le but d’adapter la législation française à cette nouvelle réglementation, les sénateurs ont adopté le 21 mars le projet de loi relatif à la protection des données personnelles. Il vient modifier la Loi « informatique et libertés » du 6 janvier 1978 et intègre les traitements de données de santé pour la prise en charge des prestations par les Ocam dans la liste des exceptions, au même titre que la Sécurité sociale.

Rappel des débats

Lors des discussions à l’Assemblée nationale, en février, les organismes complémentaires santé ont fait part de leurs inquiétudes quant à l’application du RGPD et de la nouvelle réglementation autour des données personnelles dites « sensibles ». L’article 9 du règlement interdit, en effet, tout traitement des données de santé sauf consentement explicite accordé par la personne concernée. En l’absence de ce consentement, le traitement serait soumis à l’accord préalable de la Cnil, conformément au chapitre IX de la loi « informatique et libertés ». « Une obligation étant susceptible de faire obstacle à l’exécution des contrats, notamment les contrats collectifs », soulignait alors la rapporteure du projet de loi à l’Assemblée nationale, Paula Forteza.

Pour y remédier, les députés ont adopté un amendement au texte permettant aux Ocam, en cas de non-obtention du consentement explicite de l’assuré, de ne plus avoir à effectuer toutes les démarches prévues par le chapitre IX de la loi « informatique et libertés ». Concrètement, ils n’auront pas l’obligation de formuler une déclaration de conformité aux référentiels de la Cnil ou une demande préalable pour le traitement des données des assurés.

La précision des sénateurs

Une disposition sur laquelle les sénateurs ne sont pas revenus, lors de l’examen du texte au Palais du Luxembourg. Ils ont toutefois adopté un amendement afin d’y apporter une précision : le traitement des données de santé dans le cadre de la prise en charge des prestations par les Ocam ne doit « en aucun cas avoir pour fin la détermination des choix thérapeutiques et médicaux et la sélection des risques ».

« Le texte que nous étudions aujourd’hui prévoit d’ouvrir aux organismes d’assurance maladie complémentaire privés un accès automatique aux données de santé à caractère personnel issues de la facturation des soins sans avoir à recueillir à chaque fois un accord préalable, a souligné lors des débats la sénatrice LR et médecin Annie Delmont-Koropoulis. Il existe déjà dans notre droit certains garde-fous contre les dérives qui pourraient découler (...), s’agissant plus particulièrement des majorations qui pourraient être appliquées sur les contrats en fonction de l’état de santé et des données de santé évolutives ».

La précision du Sénat « vise à renforcer ces garde-fous afin d’empêcher tout contournement de la loi, par une interdiction explicite de fixation des prix des assurances ainsi que d’utilisation de ces données à des fins de choix thérapeutique ou médical. Il s’agit d’écarter tout risque d’exploitation mercantile de ces éléments essentiels que constituent les données de santé, afin de renforcer la protection de la vie privée, », a-t-elle défendu avec le sénateur LR et médecin René-Paul Savary.

Notons que le projet de loi doit encore faire l'objet de débats en Commission Mixte Paritaire (CMP), chargée de trouver une version commune avec les députés, avant son adoption définitive.