TEXTE COORDONNE DU PROJET DE LOI PROJET DE LOI DU [--] relative au traitement de données concernant la santé en matière d’assurance et de réassurance et portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances Projet de loi portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances en vue d’insérer un chapitre 2ter relatif au traitement de données concernant la santé Article unique Art. 1er. Dans À la partie 2, titre II, sous-titre II, de la loi modifiée du 7 décembre 2015 sur le secteur des assurances, il est inséré après l’article 181 l’article 181-2, un nouveau chapitre 2bis chapitre 2ter nouveau qui prend la teneur suivante intitulé « Traitement de données concernant la santé », libellé comme suit : « Chapitre 2bis Chapitre 2ter – Traitement de données concernant la santé Art. 181bis Art. 181-3 - Traitement de données concernant la santé Conformément à l’article 9, paragraphe 2, lettre
- g)du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, le traitement de données concernant la santé, à l’exception de données génétiques, est licite lorsqu’il est nécessaire à l’exécution de mesures précontractuelles en matière d’assurance ou de réassurance ou à l’exécution d’un contrat d’assurance ou de réassurance sous réserve : Conformément à l’article 9, paragraphe 2, lettre g), du règlement (UE) 2016/679, et au regard des motifs d’intérêt public importants, inhérents aux contrats d’assurance et de réassurance pour lesquels la santé de la personne concernée constitue un élément déterminant, le traitement de données concernant la santé, à l’exception de données génétiques, est licite lorsqu’il est nécessaire à l’exécution de mesures précontractuelles en matière d’assurance ou de réassurance ou à l’exécution d’un contrat d’assurance ou de réassurance sous réserve : 1. du respect des dispositions en matière de secret professionnel énoncées à l’article 300 et ; 2. de la mise en œuvre des mesures appropriées suivantes compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes concernées, telles que :
- a)la désignation d’un délégué à la protection des données ;
- b)la réalisation d’analyses d’impact conformément à l’article 35 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données règlement (UE) 2016/679 ; 1
- c)l’anonymisation ou la pseudonymisation des données concernant la santé ou d’autres mesures de séparation fonctionnelle pour certaines opérations de traitement de données concernant la santé ;
- d)le chiffrement des données concernant la santé en transit, ainsi qu’une gestion des clés conformes à l’état de l’art ;
- e)la mise en place de restrictions d’accès aux données concernant la santé ;
- f)la mise en place de fichiers de journalisation qui permettent d’établir le motif, la date et l’heure de la consultation et l’identification de la personne qui a collecté, modifié ou supprimé les données concernant la santé ;
- g)la sensibilisation du personnel à la protection des données concernant la santé et au secret professionnel ;
- h)l’évaluation régulière de l’efficacité des mesures techniques organisationnelles mises en place à travers un audit indépendant ;
- i)l’adoption de codes de conduite sectoriels tels que prévus à l’article 40 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données règlement (UE) 2016/679 ;
- j)la mise en place d’une politique interne prévoyant notamment comment sont respectés les principes prévus à l’article 5 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données règlement (UE) 2016/679. et Chaque responsable de traitement, et, le cas échéant, chaque sous-traitant, doit documenter et justifier en interne l’exclusion, le cas échéant, d’une ou plusieurs des mesures énumérées au point 2 à l’alinéa 1er, point 2, lettres a), b), c),
- h)et i). Cette documentation est tenue à la disposition de la Commission nationale pour la protection des données. En aucun cas il ne peut être dérogé aux mesures énumérées à l’alinéa 1er, point 2, lettres d), e), f),
- g)et j). » Art. 2. L’annexe III, rubrique « Règlements », de la même loi, est complétée par l’alinéa suivant : « « Règlement (UE) 2016/679 » : Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ». 2