projet-de-loi-relatif-a-la-.../articles/article-05.md

166 lines
26 KiB
Markdown
Raw Blame History

This file contains ambiguous Unicode characters

This file contains Unicode characters that might be confused with other characters. If you think that this is intentional, you can safely ignore this warning. Use the Escape button to reveal them.

# Article 5
I. Le titre III du livre Ier du code des assurances est complété par un chapitre V ainsi rédigé :
« Chapitre V
« Contrats conclus pour le remboursement et l'indemnisation des frais occasionnés par une maladie, une maternité ou un accident
« Art. L. 1351. Les entreprises d'assurance sont autorisées à traiter, en application du h du paragraphe 2 de l'article 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), et dans le respect de la loi n° 7817 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, les données à caractère personnel relatives à la santé de leurs assurés et ayants droit couverts par un contrat d'assurance conclu pour le remboursement et l'indemnisation des frais occasionnés par une maladie, une maternité ou un accident, notamment les numéros de code des actes effectués et des prestations servies.
« Elles sont également autorisées à traiter les données d'identification et de facturation des professionnels et organismes ou établissements ayant prescrit ou dispensé ces actes ou prestations.
« Art. L. 1352. Peuvent faire l'objet du traitement prévu à l'article L. 1351 les seules données strictement nécessaires :
« 1° Au remboursement et à l'indemnisation des frais occasionnés par une maladie, une maternité ou un accident dans le cadre des contrats mentionnés au même article L. 1351, y compris dans le cadre du tiers payant ;
« 2° Au contrôle et aux vérifications du respect des contrats couvrant les assurés et leurs ayants droit et des conventions souscrites avec les professionnels et organismes ou établissements de santé ;
« 3° À la constatation, à l'exercice ou à la défense de droits en justice.
« Art. L. 1353. Les entreprises d'assurance mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau élevé de sécurité ainsi que la protection des droits des personnes concernées. Elles s'assurent que les données à caractère personnel ne sont conservées que pendant une durée n'excédant pas celle strictement nécessaire au regard des finalités mentionnées à l'article L. 1352 et que leurs personnels, qui font l'objet d'une habilitation spécifique, n'accèdent qu'aux données strictement nécessaires à leurs missions.
« Les données à caractère personnel des traitements mis en œuvre en application du présent chapitre sont stockées exclusivement au sein de l'Espace économique européen, dans des conditions garantissant notamment la protection des données contre tout accès par des autorités publiques d'États tiers non autorisé par le droit de l'Union européenne ou d'un État membre.
« Seuls des professionnels de santé et les personnels placés sous leur autorité chargés du contrôle médical du dossier ont accès, dans le cadre de leurs fonctions et pour la durée de leur accomplissement, aux données à caractère personnel relatives à la santé d'un assuré ou d'un ayant droit couvert par un contrat mentionné à l'article L. 1351, lorsqu'elles sont associées au numéro de code d'une pathologie diagnostiquée.
« Tout personnel de l'entreprise d'assurance est tenu au secret professionnel pour toutes les données à caractère personnel relatives à la santé ou d'identification et de facturation mentionnées au même article L. 1351.
« Art. L. 1354. Par dérogation à l'article L. 11104 du code de la santé publique et pour les seuls besoins de la mise en œuvre du tiers payant et à l'exclusion des finalités mentionnées au 2° de l'article L. 1352, les professionnels de santé, organismes ou établissements dispensant des actes ou prestations remboursés ou indemnisés dans le cadre des contrats mentionnés à l'article L. 1351 du présent code à des assurés ou à leurs ayants droit couverts par ces contrats sont autorisés à communiquer aux entreprises d'assurance les données mentionnées à l'article L. 16129 du code de la sécurité sociale et toutes autres données strictement nécessaires à cette fin.
« Seuls des professionnels de santé et les personnels placés sous leur autorité chargés du contrôle médical du dossier ont accès, dans le cadre de leurs fonctions et pour la durée de leur accomplissement, aux données à caractère personnel relatives à la santé d'un assuré ou d'un ayant droit couvert par les contrats d'assurance mentionnés à l'article L. 1351 du présent code, lorsqu'elles sont associées au numéro de code d'une pathologie diagnostiquée.
« Le personnel des entreprises d'assurance est soumis au secret professionnel, dans les conditions prévues à l'article 22613 du code pénal, pour toutes les informations communiquées en application du présent article.
« Art. L. 1355. Un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, de l'Union nationale des professionnels de santé et de l'Union nationale des organismes complémentaires d'assurance maladie, précise les modalités d'application du présent chapitre, notamment :
« 1° Les catégories de données traitées, en particulier celles mentionnées à l'article L. 1352 et pouvant être communiquées aux entreprises d'assurance pour la mise en œuvre du tiers payant ;
« 2° Les durées de conservation des données prévues au 1° du présent article ;
« 3° Les modalités d'information des assurés, de leurs ayants droit et des professionnels de santé concernés, ainsi que les modalités d'exercice des droits qu'ils tiennent du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
« 4° (nouveau) Les modalités de distinction entre les traitements de données réalisés à des fins de contrôle de l'exécution du contrat et ceux réalisés à des fins de constatation, d'exercice ou de défense de droits en justice ;
« 5° (nouveau) Les modalités de supervision des échanges d'informations par les autorités compétentes, notamment la Commission nationale de l'informatique et des libertés, l'Autorité de contrôle prudentiel et de résolution et l'Union nationale des caisses d'assurance maladie ;
« 6° (nouveau) La transmission annuelle à la Commission nationale de l'informatique et des libertés et à l'Autorité de contrôle prudentiel et de résolution d'un rapport consolidé sur les échanges réalisés au titre des articles L. 1351 à L. 1354 du présent code. »
II. Le chapitre Ier du titre Ier du livre II du code de la mutualité est complété par une section 3 ainsi rédigée :
« Section 3
« Contrats conclus pour le remboursement et l'indemnisation des frais occasionnés par une maladie, une maternité ou un accident
« Art. L. 21116. Les mutuelles et unions sont autorisées à traiter, en application du h du paragraphe 2 de l'article 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), et dans le respect de la loi n° 7817 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, les données à caractère personnel relatives à la santé de leurs membres participants et ayants droit couverts par un contrat ou un règlement conclu pour le remboursement et l'indemnisation des frais occasionnés par une maladie, une maternité ou un accident, notamment les numéros de code des actes effectués et des prestations servies.
« Elles sont également autorisées à traiter les données d'identification et de facturation des professionnels et organismes ou établissements ayant prescrit ou dispensé ces actes ou prestations.
« Art. L. 21117. Peuvent faire l'objet du traitement prévu à l'article L. 21116 les seules données strictement nécessaires :
« 1° Au remboursement et à l'indemnisation des frais occasionnés par une maladie, une maternité ou un accident dans le cadre d'un contrat ou de l'adhésion à un règlement mentionné au même article L. 21116, y compris dans le cadre du tiers payant ;
« 2° Au contrôle et aux vérifications du respect des contrats ou règlements couvrant les membres participants et leurs ayants droit et des conventions souscrites avec les professionnels et organismes ou établissements de santé ;
« 3° À la constatation, à l'exercice ou à la défense de droits en justice.
« Art. L. 21118. Les mutuelles ou unions mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau élevé de sécurité ainsi que la protection des droits des personnes concernées. Elles s'assurent que les données à caractère personnel ne sont conservées que pendant une durée n'excédant pas celle strictement nécessaire au regard des finalités mentionnées à l'article L. 21117 et que leurs personnels, qui font l'objet d'une habilitation spécifique, n'accèdent qu'aux données strictement nécessaires à leurs missions.
« Les données à caractère personnel des traitements mis en œuvre en application de la présente section sont stockées exclusivement au sein de l'Espace économique européen, dans des conditions garantissant notamment la protection des données contre tout accès par des autorités publiques d'États tiers non autorisé par le droit de l'Union européenne ou d'un État membre.
« Seuls des professionnels de santé et les personnels placés sous leur autorité chargés du contrôle médical du dossier ont accès, dans le cadre de leurs fonctions et pour la durée de leur accomplissement, aux données à caractère personnel relatives à la santé d'un membre participant ou d'un ayant droit couvert par un contrat ou un règlement mentionné à l'article L. 21116 lorsqu'elles sont associées au numéro de code d'une pathologie diagnostiquée.
« Tout personnel de la mutuelle ou pour toutes les données de l'union est tenu au secret professionnel pour toutes les données à caractère personnel relatives à la santé ou d'identification et de facturation mentionnées au même article L. 21116.
« Art. L. 21119. Par dérogation à l'article L. 11104 du code de la santé publique et pour les seuls besoins de la mise en œuvre du tiers payant et à l'exclusion des finalités mentionnées au 2° de l'article L. 21117, les professionnels de santé, organismes ou établissements dispensant des actes ou prestations remboursés dans le cadre des contrats et règlements mentionnés à l'article L. 21116 du présent code à des membres participants ou à leurs ayants droit couverts par ces contrats ou règlements sont autorisés à communiquer aux mutuelles et unions les données mentionnées à l'article L. 16129 du code de la sécurité sociale et toutes autres données strictement nécessaires à cette fin.
« Seuls des professionnels de santé et les personnels placés sous leur autorité chargés du contrôle médical du dossier ont accès, dans le cadre de leurs fonctions et pour la durée de leur accomplissement, aux données à caractère personnel relatives à la santé d'un membre participant ou d'un ayant droit couvert par un contrat ou un règlement mentionné à l'article L. 21116 du présent code, lorsqu'elles sont associées au numéro de code d'une pathologie diagnostiquée.
« Le personnel des mutuelles et de leurs unions est soumis au secret professionnel, dans les conditions prévues à l'article 22613 du code pénal, pour toutes les informations communiquées en application du présent article.
« Art. L. 21120. Un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, de l'Union nationale des professionnels de santé et de l'Union nationale des organismes complémentaires d'assurance maladie, précise les modalités d'application de la présente section, notamment :
« 1° Les catégories de données traitées, en particulier celles mentionnées à l'article L. 21117 et pouvant être communiquées aux mutuelles et unions pour la mise en œuvre du tiers payant ;
« 2° Les durées de conservation des données prévues au 1° du présent article ;
« 3° Les modalités d'information des membres participants, de leurs ayants droit et des professionnels de santé concernés, ainsi que des modalités d'exercice des droits qu'ils tiennent du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). »
III. Le code de la sécurité sociale est ainsi modifié :
1° Après l'article L. 1149, sont insérés des articles L. 11491 à L. 11495 ainsi rédigés :
« Art. L. 11491. Lorsque les investigations menées en application de l'article L. 1149 mettent en évidence des faits pouvant être de nature à constituer une fraude en matière sociale mentionnés au deuxième alinéa de l'article L. 114162 et que l'importance ou la nature de la fraude présumée le justifie, dans des conditions définies par décret en Conseil d'État, les agents chargés du contrôle mentionnés à l'article L. 11410 du présent code ou à l'article L. 7247 du code rural et de la pêche maritime communiquent aux organismes d'assurance maladie complémentaire les informations strictement nécessaires à l'identification de l'auteur de ces faits et des actes et prestations sur lesquels ils portent.
« Dans le cadre de cette communication, les données à caractère personnel relatives à la santé sont strictement limitées à la nature des actes et prestations concernés. Les informations transmises ne peuvent être conservées par l'organisme d'assurance maladie complémentaire que pour la durée strictement nécessaire aux fins de contrôle et de vérification du respect des contrats conclus pour le remboursement et l'indemnisation des frais occasionnés par une maladie, une maternité ou un accident et des conventions souscrites avec les professionnels de santé, professionnels et organismes ou établissements de santé et, le cas échéant, de constatation, d'exercice ou de défense de droits en justice.
« Lorsqu'une décision de placement hors de la convention est prononcée, les agents mentionnés au premier alinéa du présent article en informent les organismes d'assurance maladie complémentaire.
« Art. L. 11492. Lorsque l'organisme d'assurance maladie complémentaire de l'assuré a connaissance de faits pouvant être de nature à constituer une fraude et que l'importance ou la nature de la fraude le justifie, dans des conditions définies par décret en Conseil d'État, il communique aux agents chargés du contrôle mentionnés à l'article L. 11410 du présent code ou à l'article L. 7247 du code rural et de la pêche maritime de l'organisme compétent les informations strictement nécessaires à l'identification de l'auteur de ces faits et des actes et prestations sur lesquels ils portent.
« Les informations transmises ne peuvent être conservées par l'organisme d'assurance maladie obligatoire qu'aux fins de déclencher ou poursuivre la procédure de contrôle ou d'enquête mentionnée au II de l'article L. 1149 du présent code, de constater et, le cas échéant, d'exercer ou de défendre des droits en justice, de mettre en œuvre une procédure de sanction administrative prévue à l'article L. 114171 ou l'une des procédures de placement hors de la convention définies aux articles L. 162151 et L. 162323 pour les organismes d'assurance maladie obligatoire.
« Art. L. 11493. Toute personne au sein des organismes d'assurance maladie complémentaire dont les interventions sont nécessaires aux finalités mentionnées aux articles L. 11491 et L. 11492 est tenue au secret professionnel.
« Les informations communiquées en application des mêmes articles L. 11491 et L. 11492 ne peuvent être utilisées à d'autres fins que celles prévues à ces articles, sous peine des sanctions prévues à l'article 22621 du code pénal.
« Les organismes concernés s'assurent de la mise à jour des informations transmises et procèdent à la suppression des données enregistrées dès lors que la suspicion de fraude est écartée et que la personne physique ou morale concernée est mise hors de cause.
« Art. L. 11494. Les organismes d'assurance maladie obligatoire et complémentaire peuvent recourir à un intermédiaire présentant des garanties techniques et organisationnelles appropriées assurant un haut niveau de sécurité des données ainsi que des garanties d'indépendance et d'expertise nécessaires à la mise en œuvre des échanges d'informations prévus aux articles L. 11491 à L. 11493.
« Art. L. 11495. Un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, de l'Union nationale des professionnels de santé, de l'Union nationale des caisses d'assurance maladie et de l'Union nationale des organismes d'assurance maladie complémentaire précise les conditions et modalités de mise en œuvre des échanges d'informations prévus aux articles L. 11491 à L. 11494, notamment les conditions d'habilitation des personnels de l'organisme d'assurance maladie complémentaire concerné ainsi que les modalités d'information des assurés et des professionnels concernés par ces échanges. Il définit le rôle, les attributions et les garanties de sécurité de l'intermédiaire mentionné à l'article L. 11494. » ;
2° La section 1 du chapitre Ier du titre III du livre IX est complétée par des articles L. 93139 à L. 931313 ainsi rédigés :
« Art. L. 93139. Les institutions de prévoyance et leurs unions sont autorisées à traiter, en application du h du paragraphe 2 de l'article 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), et dans le respect de la loi n° 7817 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, les données à caractère personnel relatives à la santé de leurs membres participants et ayants droit couverts par un contrat ou un règlement conclu pour le remboursement et l'indemnisation des frais occasionnés par une maladie, une maternité ou un accident, notamment les numéros de code des actes effectués et des prestations servies.
« Elles sont également autorisées à traiter les données d'identification et de facturation des professionnels et organismes ou établissements ayant prescrit ou dispensé ces actes ou prestations.
« Art. L. 931310. Peuvent faire l'objet du traitement prévu à l'article L. 93139 les seules données strictement nécessaires :
« 1° Au remboursement et à l'indemnisation des frais occasionnés par une maladie, une maternité ou un accident dans le cadre d'un contrat ou de l'adhésion à un règlement mentionné à l'article L. 93139, y compris dans le cadre du tiers payant ;
« 2° Au contrôle et aux vérifications du respect des contrats ou règlements couvrant les membres participants ainsi que leurs ayants droit et des conventions souscrites avec les professionnels et organismes ou établissements de santé ;
« 3° À la constatation, à l'exercice ou à la défense de droits en justice.
« Art. L. 931311. Les institutions de prévoyance et leurs unions mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau élevé de sécurité ainsi que la protection des droits des personnes concernées. Elles s'assurent que les données à caractère personnel ne sont conservées que pendant une durée n'excédant pas celle strictement nécessaire au regard des finalités mentionnées à l'article L. 931310 et que leurs personnels, qui font l'objet d'une habilitation spécifique, n'accèdent qu'aux données strictement nécessaires à leurs missions.
« Les données à caractère personnel des traitements mis en œuvre en application de la présente section sont stockées exclusivement au sein de l'Espace économique européen, dans des conditions garantissant notamment la protection des données contre tout accès par des autorités publiques d'États tiers non autorisé par le droit de l'Union européenne ou d'un État membre.
« Seuls des professionnels de santé et les personnels placés sous leur autorité chargés du contrôle médical du dossier ont accès, dans le cadre de leurs fonctions et pour la durée de leur accomplissement, aux données à caractère personnel relatives à la santé d'un membre participant ou d'un ayant droit couvert par un contrat ou un règlement mentionné à l'article L. 91339 lorsqu'elles sont associées au numéro de code d'une pathologie diagnostiquée.
« Tout personnel de l'institution de prévoyance ou pour toutes les données de leur union est tenu au secret professionnel pour toutes les données à caractère personnel relatives à la santé ou d'identification et de facturation mentionnées au même article L. 93139.
« Art. L. 931312. Par dérogation à l'article L. 11104 du code de la santé publique et pour les seuls besoins de la mise en œuvre du tiers payant et à l'exclusion des finalités mentionnées au 2° de l'article L. 931310, les professionnels de santé, organismes ou établissements dispensant des actes ou prestations remboursés dans le cadre des contrats ou règlements mentionnés à l'article L. 93139 du présent code à des membres participants ou à leurs ayants droit couverts par ces contrats ou règlements sont autorisés à communiquer aux institutions de prévoyance et à leurs unions les données mentionnées à l'article L. 16129 et toutes autres données strictement nécessaires à cette fin.
« Seuls des professionnels de santé et les personnels placés sous leur autorité chargés du contrôle médical du dossier ont accès, dans le cadre de leurs fonctions et pour la durée de leur accomplissement, aux données à caractère personnel relatives à la santé d'un membre participant ou d'un ayant droit couvert par un contrat ou un règlement mentionné à l'article L. 93139 lorsqu'elles sont associées au numéro de code d'une pathologie diagnostiquée.
« Le personnel des institutions de prévoyance et de leurs unions est soumis au secret professionnel, dans les conditions prévues à l'article 22613 du code pénal, pour toutes les informations communiquées en application du présent article.
« Art. L. 931313. Un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, de l'Union nationale des professionnels de santé et de l'Union nationale des organismes complémentaires d'assurance maladie, précise les modalités d'application des articles L. 93139 à L. 931312, notamment :
« 1° Les catégories de données traitées, en particulier celles mentionnées à l'article L. 931310 et pouvant être communiquées aux institutions de prévoyance et à leurs unions pour la mise en œuvre du tiers payant ;
« 2° Les durées de conservation des données prévues au 1° du présent article ;
« 3° Les modalités d'information des membres participants, de leurs ayants droit et des professionnels de santé concernés ainsi que les modalités d'exercice des droits qu'ils tiennent du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). »
III bis (nouveau). L'article L. 12261 du code du travail est ainsi modifié :
1° À la fin du 1°, les mots : « code de la sécurité sociale » sont remplacés par les mots : « même code » ;
2° Après le cinquième alinéa, il est inséré un alinéa ainsi rédigé :
« La caisse qui met en œuvre la suspension, décidée en application de l'article L. 3152 dudit code, du service de l'indemnité mentionnée au premier alinéa du présent article en avise, le cas échéant, l'entreprise d'assurance, la mutuelle ou union ou l'institut de prévoyance ou union assurant le versement de prestations au salarié concerné dans le cadre des garanties collectives mentionnées à l'article L. 9112 du même code. » ;
« Un décret précise les conditions dans lesquelles cette obligation est mise en œuvre.
3° L'avantdernier alinéa est complété par les mots : « du présent article ».
IV. Le 3° de l'article 65 de la loi n° 7817 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés est ainsi modifié :
1° Les mots : « ainsi que » sont remplacés par le mot : « et » ;
2° Après le mot : « complémentaire », la fin est ainsi rédigée : « ainsi que les traitements mis en œuvre pour les finalités mentionnées à l'article L. 931310 du code de la sécurité sociale, à l'article L. 1352 du code des assurances et à l'article L. 21117 du code de la mutualité. »