La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié le 14 novembre 2022 sa position sur la collecte des données de santé effectuée par les organismes de complémentaire santé. Elle constate que la réglementation actuelle est implicite et pas assez protectrice et se prononce donc en faveur d’une loi afin d’encadrer le recueil de ces données sensibles.Pourquoi les complémentaires santé collectent les données de santé ?
Comme indiqué précédemment, la CNIL a reçu des centaines de plaintes qui portaient sur la transmission des données de santé aux mutuelles par les professionnels de santé. Le traitement de ces plaintes entre pleinement dans les attributions de la CNIL puisque ses missions sont les suivantes :
- Promouvoir la protection des données à caractère personnel ;
- Fournir des conseils et des orientations aux entreprises et organismes publics sur la conformité des traitements de données à caractère personnel ;
- Assurer le contrôle et la surveillance des traitements de données à caractère personnel ;
- Veiller à l'application des mesures et des sanctions prévues par la loi ;
- Développer et promouvoir l'éducation au respect des libertés et des droits des personnes dans le traitement des données à caractère personnel.
En l’espèce, les données litigieuses sur lesquelles portaient les plaintes sont des données de santé et plus précisément :
- les codes des actes médicaux ou des équipements comme les verres pour les mutuelles optiques ;
- les ordonnances ou prescriptions médicales.
Ces données sont nécessaires pour les complémentaires santé afin de pouvoir procéder aux remboursements des dépenses de santé de leurs assurés à hauteur des garanties qu’ils ont souscrit dans le cadre de leur contrat. Cela couvre à la fois les remboursements dentaires, optiques, d’audition, d’hospitalisation, de pharmacie, d’analyses médicales, de consultations, etc.
La réglementation actuelle
Les données de santé sont protégées par le RGPD et couvertes par le secret médical. A ce titre, la CNIL rappelle que leur collecte et leur utilisation sont interdites, à moins que l'article 9 du RGPD ou un texte spécifique le permettent.
L’utilisation par les mutuelles de ces données de santé pour effectuer les remboursements des assurés entrent dans le cadre de ces exceptions. Néanmoins, la CNIL regrette le flou qui entoure ces exceptions. Cet organisme estime que les textes sont trop implicites et souhaite que la réglementation soit plus explicite et encadre ainsi mieux la transmission de ces données sensibles que sont les données de santé.
Par ailleurs, la CNIL rappelle que les complémentaires santé sont soumises aux dispositions du RGPD. Ce dernier texte leur impose de ne collecter et n’utiliser que les données nécessaires pour leur activité.
Une loi pour sécuriser et encadrer l’utilisation des données de santé par les mutuelles
Selon la CNIL, la réglementation sur le secret médical n’est pas assez précise. En effet, les données que récupèrent les complémentaires santé pour rembourser les frais médicaux de leurs assurés relèvent du secret médical. Or en consultant les textes, on ne trouve aucune dérogation claire et explicite autorisant une telle transmission et une telle utilisation.
La CNIL se positionne donc en faveur d’un texte de loi qui encadrerait cette dérogation en faveur des complémentaires santé.
En attendant une telle évolution législative, et sans certitudes sur le fait que le gouvernement va suivre cette préconisation, la CNIL distingue les contrats responsables de complémentaires santé des contrats non responsables.
La majorité des contrats de complémentaires santé sont des contrats responsables. Cela signifie qu’ils remplissent un certain nombre de conditions, notamment la prise en charge des dépenses inclues dans la réforme 100 % Santé, ce qui permet à leurs souscripteurs de bénéficier d’avantages fiscaux.
Pour ces derniers, la CNIL estime que la dérogation implicite peut continuer à s’appliquer. En revanche, pour les autres, soit la transmission des informations doit être effectuée par le patient, soit soit ce dernier doit autoriser le professionnel de santé de la réaliser.
