Le Sénat arme les complémentaires santé et l'Assurance maladie pour lutter contre la fraude

Le Sénat a adopté en première lecture, via une procédure accélérée, le projet de loi renforçant la lutte contre les fraudes sociales et fiscales. Son article 5 vise à intensifier et sécuriser les échanges d’informations entre l’Assurance maladie obligatoire (AMO) et les organismes complémentaires (Ocam), afin de mieux repérer les fraudes, notamment dans le tiers payant et le dispositif « 100 % santé ».

Scrutin de la séance du 18 novembre 2025 sur l'ensemble du projet de loi relatif à la lutte contre les fraudes sociales et fiscales @Sénat

Le texte clarifie d’abord le cadre juridique dont disposent les Ocam pour traiter des données de santé. Ces organismes (assureurs, mutuelles, institutions de prévoyance) peuvent déjà traiter certaines données personnelles nécessaires à la gestion d’un service de protection sociale, en conformité avec le RGPD. Les finalités autorisées restent limitées : remboursement et indemnisation, contrôle du respect des contrats avec les professionnels de santé, et défense de droits en justice. En revanche, l’utilisation des données de santé pour ajuster les garanties, cotisations ou primes demeure strictement interdite.

L’accès aux données reste encadré : seules les équipes médicales des Ocam peuvent consulter les informations liées aux pathologies, et l’ensemble du personnel est tenu au secret professionnel. Les professionnels de santé peuvent communiquer certaines données aux Ocam pour la mise en œuvre du tiers payant, par dérogation au secret médical.

Echanges entre l'AMO et l'AMC

Le projet de loi introduit ensuite un véritable mécanisme d’échanges bidirectionnels entre AMO et Ocam.

• Du côté des Ocam vers l’AMO : lorsqu’un organisme complémentaire identifie des faits pouvant constituer une fraude, il doit transmettre à l’AMO les informations strictement nécessaires pour identifier l’auteur et les actes concernés. Ces données ne peuvent être conservées que pour engager une procédure de contrôle, de sanction ou judiciaire.
• Du côté de l’AMO vers les Ocam : lorsque des investigations révèlent des éléments laissant présumer une fraude significative, l’AMO doit communiquer aux Ocam les données nécessaires à l’identification des actes et des auteurs, en limitant les données de santé à la seule nature des actes. L’AMO doit aussi notifier les décisions de déconventionnement.

Un décret en Conseil d’État, après avis de la CNIL, de l’UNCAM et de l’UNOCAM, précisera les modalités de ces échanges. Les Ocam pourront faire appel à un intermédiaire technique garantissant la sécurité et l’indépendance des flux d’informations. En cas de fausse alerte ou de mise hors de cause, les données devront être supprimées immédiatement.

Ce nouveau cadre devrait lever les incertitudes juridiques relevées par la CNIL et améliorer l’efficacité de la lutte contre la fraude. Le gouvernement estime qu’un doublement des signalements issus des Ocam pourrait générer un gain annuel d’environ 1 milliard d’euros pour l’assurance maladie. L’objectif est ainsi d’ouvrir enfin une « route » d’échange d’informations réellement bidirectionnelle, tout en maintenant des garde-fous stricts pour protéger les données de santé.

Les entreprises d’assurance, les mutuelles ou unions, et les institutions de prévoyance sont tenues de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau élevé de sécurité et la protection des droits des personnes concernées. Cela n'empêchera sans doute pas les cyberattaques et le vol de données de santé comme ça a été le cas il y a quelques jours sur la plateforme du réseau de soins Itélis. 

Le projet de loi a été transmis à l’Assemblée nationale le 18 novembre pour une première lecture.