Projet de loi n° 7511 TEXTE ET COMMENTAIRE DES AMENDEMENTS GOUVERNEMENTAUX Amendement 1 concernant l’intitulé L’intitulé de la loi en projet prend la

Doc. parl. 7511 AMENDEMENTS GOUVERNEMENTAUX au projet de loi n° 7511 du [--] relative au traitement de données concernant la santé en matière d’assurance et de réassurance et portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances * EXPOSE DES MOTIFS Les amendements gouvernementaux ont pour objectif d’apporter des ajustements ciblés au projet de loi n° 7511, suite à l’avis du Conseil d’Etat. Le projet de loi n° 7511 vise à introduire dans la loi modifiée du 7 décembre 2015 sur le secteur des assurances des dispositions relatives au traitement de données concernant la santé. Les amendements gouvernementaux visent principalement à donner suite à l’opposition formelle du Conseil d’Etat relative au droit d’une entreprise d’assurance ou de réassurance de déroger à une ou plusieurs des mesures spécifiques, destinées à préserver les droits fondamentaux et les intérêts d’une personne concernée par un traitement de données médicales, énumérées sous le point 2 du nouvel article 181-3 (précédemment 181bis) qu’il est proposé d’introduire dans la loi modifiée du 7 décembre 2015 sur le secteur des assurances. En effet, le Conseil d’Etat estime qu’un tel dispositif de dérogation dénaturerait in fine l’utilité des mesures de sauvegarde des droits fondamentaux de la personne concernée. Dès lors, il est proposé de modifier le texte du projet de loi en ce sens que l’entreprise d’assurance ou de réassurance ne puisse plus déroger à l’intégralité des mesures listées sous le point 2 du nouvel article 181-3. Une différence sera ainsi faite entre les mesures auxquelles l’entreprise d’assurance ou de réassurance ne pourra en aucun cas déroger et celles auxquelles il pourra être dérogé dans le cadre d’une approche basée sur la proportionnalité. Toute dérogation à cette deuxième catégorie de mesures devra être documentée en interne. Par ailleurs, afin de compléter le dispositif déjà mis en place dans le projet de loi initial, les amendements gouvernementaux introduisent désormais l’obligation de tenir cette documentation à la disposition de la Commission nationale pour la protection des données. 1 * Projet de loi n° 7511 TEXTE ET COMMENTAIRE DES AMENDEMENTS GOUVERNEMENTAUX Amendement 1 concernant l’intitulé L’intitulé de la loi en projet prend la teneur suivante : « Projet de loi portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances en vue d’insérer un chapitre 2ter relatif au traitement de données concernant la santé ». Motivation de l’amendement Le présent amendement vise à donner suite à la remarque d’ordre légistique formulée par le Conseil d’Etat, moyennant un ajustement ciblé visant à refléter le fait que le chapitre nouvellement introduit sera désormais un chapitre 2ter et non 2bis, suite à l’introduction d’un chapitre 2bis par la loi du 30 mars 2022 relative aux comptes inactifs, aux coffres-forts inactifs et aux contrats d’assurance en déshérence. Amendement 2 concernant l’article unique (nouvel article 1er) L’article unique du projet de loi devient l’article 1er, et est modifié comme suit : 1° Dans la phrase introductive, les mots « l’article 181 » sont remplacés par les mots « l’article 1812 » et les mots « nouveau chapitre 2bis » sont remplacés par les mots « chapitre 2ter nouveau » ; 2° Dans l’intitulé du chapitre nouvellement introduit, les mots « Chapitre 2bis » sont remplacés par les mots « Chapitre 2ter » et les mots « Art. 181bis » sont remplacés par les mots « Art. 181-3 » ; 3° À l’endroit du nouvel article 181-3, alinéa 1er, la phrase liminaire prend la teneur suivante : « Conformément à l’article 9, paragraphe 2, lettre g), du règlement (UE) 2016/679, et au regard des motifs d’intérêt public importants, inhérents aux contrats d’assurance et de réassurance pour lesquels la santé de la personne concernée constitue un élément déterminant, le traitement de données concernant la santé, à l’exception de données génétiques, est licite lorsqu’il est nécessaire à l’exécution de mesures précontractuelles en matière d’assurance ou de réassurance ou à l’exécution d’un contrat d’assurance ou de réassurance sous réserve : » ; 4° À l’endroit du nouvel article 181-3, alinéa 1er, point 2, le mot « suivantes » est inséré entre les mots « mesures appropriées » et les mots « compte tenu de », et les mots « , telles que » sont supprimés ; 5° À l’endroit du nouvel article 181-3, alinéa 1er, point 2, lettres b),

1. i)et j), les mots « Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des 2 personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données » sont remplacés par les mots « règlement (UE) 2016/679 » ; 6° À l’endroit de l’article 181-3, alinéa 2, les mots « au point 2 » sont remplacés par les mots « à l’alinéa 1er, point 2, lettres a), b), c),
2. h)et
3. i)» ; 7° À l’endroit de l’article 181-3, alinéa 2, sont ajoutées une deuxième et une troisième phrase, libellées comme suit : « Cette documentation est tenue à la disposition de la Commission nationale pour la protection des données. En aucun cas il ne peut être dérogé aux mesures énumérées à l’alinéa 1er, point 2, lettres d), e), f),
4. g)et j). ». Motivation de l’amendement Dans un souci de cohérence de la numérotation des différents articles de la loi modifiée du 7 décembre 2015 sur le secteur des assurances, les points 1° et 2 de l’amendement visent à ajuster la numérotation du nouveau chapitre concernant le traitement de données de santé en matière d’assurance et de l’article 181bis, suite à l’introduction d’un chapitre 2bis par la loi du 30 mars 2022 relative aux comptes inactifs, aux coffres-forts inactifs et aux contrats d’assurance en déshérence comprenant un article 181-1, ainsi que l’introduction d’un article 181-2 par la loi du 29 mars 2024 portant transposition de la directive (UE) 2021/2118 du Parlement européen et du Conseil du 24 novembre 2021 modifiant la directive 2009/103/CE concernant l'assurance de la responsabilité civile résultant de la circulation de véhicules automoteurs et le contrôle de l'obligation d'assurer cette responsabilité. Le point 3° de l’amendement reprend en grande partie la proposition de texte du Conseil d’Etat formulée dans son avis du 28 avril 2020 en invoquant le motif d’intérêt public important poursuivi par une législation sur le secteur des assurances, moyennant quelques ajustements. En effet, une précision est apportée à la proposition de texte du Conseil d’Etat, afin de faire référence à la « personne concernée » au lieu de « l’assuré », étant donné qu’il ne s’agit pas seulement des motifs d’intérêt public importants inhérents aux contrats d’assurance et de réassurance pour lesquels la santé de l’assuré lui-même constitue un élément déterminant. Il est nécessaire de viser les motifs d’intérêt public importants, inhérents aux contrats d’assurance ou de réassurance pour lesquels la santé de toute « personne concernée », telles que les personnes lésées ou les bénéficiaires, constitue un élément déterminant. Ainsi, à titre d’exemple, lors d’un accident routier, la personne lésée peut être une tierce personne, qui doit être remboursée par l’assureur de la personne responsable. Afin que l’assureur puisse traiter le dossier du sinistre, il doit être en mesure de pouvoir traiter les données médicales de la personne concernée par le sinistre. Les points 4°, 6° et 7° de l’amendement visent à donner suite à l’opposition formelle du Conseil d’Etat, qui estime que « La possibilité de déroger à tout ou partie des mesures prévues aux lettres
5. a)à
6. j)risque d’avoir pour effet de dénaturer l’obligation imposée au point 2 ». En effet, le fait que la liste des mesures à mettre en place soit précédée à l’article 181-3, alinéa 1er, point 2, par les mots « telles que » pourrait être interprété comme signifiant que cette liste a un caractère exemplaire et que les entreprises d’assurance peuvent simplement choisir sans justification quelles mesures elles veulent mettre en place. Pourtant, il s’agit d’une liste de mesures énumérant des garanties additionnelles à prévoir par une entreprise d’assurance, en sus des garanties juridiques et mesures techniques ou organisationnelles habituellement nécessaires conformément à l’état d’art, 3 comme exigées par l’article 9, paragraphe 2, lettre g), du règlement (UE) 2016/679 (ci-après « RGPD »). Le point 6° de l’amendement s’inscrit dans la continuité du point 4° et de la sauvegarde des droits fondamentaux et intérêts des personnes concernées par un traitement de données médicales dans le cadre de l’assurance. En introduisant les mots « aux lettres a), b), c),
7. h)et
8. i)» à l’alinéa 2 de l’article 181-3, l’amendement identifie clairement les mesures qui pourraient faire l’objet d’une dérogation par l’entreprise d’assurance, et le point 7° met en évidence les mesures pour lesquelles aucune dérogation n’est possible. Dès lors, le principe de base, ancré dans le projet de loi, est celui de la mise en place obligatoire, sans possibilité de dérogation par l’entreprise d’assurance, des mesures listées sous les lettres d), e), f),
9. g)et j). Ces mesures sont considérées comme essentielles pour maintenir les droits fondamentaux et les intérêts de la personne concernée en matière de traitement de données médicales. En effet, la mesure sous la lettre
10. d)qui préconise « le chiffrement des données concernant la santé en transit, ainsi qu’une gestion des clés conformes à l’état de l’art » ne pourra pas faire l’objet d’une dérogation étant donné que les données de santé sont particulièrement à risque au moment du transit des données. Le chiffrement garantira en plus que le traitement des données médicales ne pourra se faire que par les personnes habilitées et destinataires de ces données. La mesure figurant à la lettre e), qui oblige l’entreprise d’assurance à mettre en place des restrictions d’accès aux données concernant la santé, permet d’assurer que seuls certains employés de l’entreprise d’assurance, notamment ceux en charge de la gestion des sinistres, aient accès aux données médicales. Il sera ainsi évité qu’une personne n’ayant pas un motif légitime lié à l’exécution d’un contrat d’assurance ne puisse avoir accès à des données sensibles. La mise en place de fichiers de journalisation sous la lettre
11. f)rajoute un niveau supplémentaire de contrôle à la mesure énoncée sous la lettre
12. e)et constitue un moyen pour contrôler que l’accès aux données médicales était nécessaire et légitime. La sensibilisation du personnel à la protection des données sous la lettre
13. g)reflète une pratique déjà bien établie dans le secteur des assurances pour l’ensemble des données nominatives et permet de maintenir les niveaux les plus élevés en matière de protection des données au sein des compagnies d’assurance. Finalement, « la mise en place d’une politique interne prévoyant notamment comment sont respectés les principes prévus à l’article 5 du règlement (UE) 2016/679 » devra être respectée à tout moment à des fins de transparence envers la personne concernée. Il s’ensuit que les mesures auxquelles les entreprises d’assurance peuvent déroger sont restreintes aux lettres a), b), c),
14. h)et i), et ce conformément aux conditions décrites à l’alinéa 2, en application d’une approche basée sur la proportionnalité. En effet, il est proportionné qu’une entreprise d’assurance puisse déroger à la lettre a), en application du RGPD qui contient une disposition d’ouverture à l’article 37, paragraphe 4, concernant l’obligation de désigner un délégué à la protection des données (ci-après, « DPO »). La lettre
15. a)propose la désignation d’un DPO comme mesure d’atténuation des risques liés au traitement des données médicales. Néanmoins, en cas de raisons dûment justifiées, une entreprise d’assurance pourra, le cas échéant, décider de ne pas appliquer cette mesure. De telles raisons pourraient être, par exemple, le fait qu’une entreprise d’assurance ne traite que de manière occasionnelle des données de santé (par 4 exemple, une entreprise d’assurance spécialisée principalement dans la couverture de dommages matériels, des risques liés à la perte d’exploitation, dans l’assurance crédit-caution ou encore dans l’assurance responsabilité civile maritime). La lettre
16. b)prévoit la réalisation d’analyses d’impact relatives à la protection des données (ci-après, « AIPD ») prévues à l’article 35 du RGPD. Il convient de noter qu’en plus des cas prévus au paragraphe 3 de l’article 35 précité, la CNPD a adopté conformément au paragraphe 4 dudit article une liste de types d'opérations de traitement pour lesquelles une AIPD est requise1. Ainsi, en vertu d’une approche basée sur le risque, le responsable du traitement doit apprécier la probabilité et le degré de risque encouru pour les droits et libertés des individus lorsqu’il entame un traitement. Ainsi, il serait disproportionné de contraindre une entreprise d’assurance à réaliser une AIPD si elle estime ne pas tomber sous une des hypothèses où une AIPD serait obligatoire en vertu de l’article 35 du RGPD ou de la liste nationale adoptée par la CNPD. L’anonymisation des données proposée par la lettre
17. c)ne pourra se concrétiser en pratique que si la durée de conservation des données à caractère personnel s’est écoulée. En effet, une fois que l’objectif poursuivi par un traitement est atteint, les données à caractère personnel doivent être supprimées, ou faire l’objet d’un processus d’anonymisation des données, afin de rendre impossible la « ré-identification » des personnes. Ces données, n’étant plus des données à caractère personnel, peuvent ainsi être conservées librement et servir à la production de statistiques. De plus, la lettre
18. c)propose la pseudonymisation des données. La pseudonymisation est définie à l’article 4, point 5), du RGPD comme « le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable ». Dans la mesure où les entreprises d’assurance ont besoin de données de santé nominatives liées à des personnes concernées directement identifiables afin de pouvoir exécuter un contrat d’assurance, il pourrait s’avérer disproportionné de pseudonymiser toutes les données à caractère personnel concernant les personnes concernées durant la validité du contrat. La mesure prévue à la lettre
19. h)propose une évaluation régulière de l’efficacité des mesures techniques et organisationnelles à travers un audit indépendant. Alors qu’un audit interne ou externe est reconnu en tant qu’instrument de contrôle, celui-ci peut représenter un exercice intensif en ressources et disproportionnellement complexe à réaliser dans le cas où l’entreprise d’assurance est amenée de par ses activités principales à ne traiter qu’occasionnellement des données de santé. Enfin, la mesure énoncée au point 2, lettre i), prévoit l’adoption de codes de conduite sectoriels tels que prévus à l’article 40 du RGPD. Cet article encourage l'élaboration de codes de conduite volontaires destinés à contribuer à la bonne application du RGPD. Un tel code de conduite sectoriel ne peut pas être élaboré par un responsable du traitement, mais doit être mis en place par une organisation représentative d’un secteur d’activité. La volonté du secteur entier des assurances est alors nécessaire, afin que les entreprises d’assurance puissent respecter cette exigence. 1 Délibération N° 34/2019 du 6 mars 2019 de la Commission nationale pour la protection des données portant adoption de la liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise. 5 Enfin, il convient de noter que si une entreprise d’assurance ou de réassurance fait usage de la faculté de déroger aux lettres a), b), c),
20. h)ou i), elle devra, conformément à l’alinéa 2 de l’article 181-3, documenter et justifier en interne cette exclusion, et devra, conformément au point 7° du présent amendement, tenir la documentation nécessaire relative à cette exclusion à la disposition de la CNPD. Le point 5° vise, ensemble avec l’amendement 3, à assurer la cohérence rédactionnelle du dispositif de la loi modifiée du 7 décembre 2015 sur le secteur des assurances, en introduisant l’intitulé de citation du règlement RGPD dans l’annexe III de ladite loi, et en employant la formule abrégée dans le dispositif de l’article 181-3. Le point 7° de l’amendement vise, afin de tenir compte de la remarque du Conseil d’Etat, à introduire une disposition supplémentaire qui vise à apporter « les garanties appropriées en matière de transparence aux personnes dont les données sont collectées ». En effet, il ne ressortait précédemment pas clairement de l’alinéa 2 de l’article 181-3 comment les entreprises d’assurance seraient amenées à documenter et justifier en interne de manière transparente envers la personne concernée, l’exclusion d’une ou de plusieurs des mesures susmentionnées. Etant donné que le projet de loi n’a pas d’incidence sur l’application des règles du RGPD, les principes relatifs au traitement des données à caractère personnel énumérés à l’article 5 du RGPD et toutes les obligations générales incombant au responsable du traitement et prévues au chapitre IV du RGPD doivent être respectées. Ainsi, les personnes concernées disposent de tous les droits prévus aux articles 13 à 22 du RGPD dans les conditions y énumérées et doivent plus particulièrement être informées par les entreprises d’assurance conformément aux articles 12 à 14 du RGPD. Ainsi, toutes les informations y prévues doivent leur être fournies selon les modalités et conditions y énumérées. En ce qui concerne spécifiquement « la base juridique du traitement » (article 13.1.
21. c)et 14.1.
22. c)du RGPD), il convient de se référer conjointement à l’article 9.2.
23. g)du RGPD, ainsi qu’au futur article 1813 de la loi modifiée du 7 décembre 2015 sur le secteur des assurances, pour le traitement de données de santé en matière d’assurances. Même si les personnes concernées sont informées conformément aux dispositions existantes du RGPD, il convient d’apporter des précisions supplémentaires en ce qui concerne les informations qui doivent être tenues à la disposition de la CNPD. Ainsi, à travers le point 7° de l’amendement, il est précisé que les entreprises d’assurance doivent tenir à disposition de la CNPD toute documentation justifiant les raisons qui ont mené à la dérogation à une ou plusieurs des mesures énoncées aux lettres a), b), c),
24. h)et i). Amendement 3 introduisant un nouvel article 2 Il est inséré un nouvel article 2, libellé comme suit : « Art. 2. L’annexe III, rubrique « Règlements », de la même loi, est complétée par l’alinéa suivant : « « Règlement (UE) 2016/679 » : Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ». ». 6 Motivation de l’amendement Vu l’introduction à l’article 181-3 de la LSA de références au règlement (UE) 2016/679, il y a lieu de citer l’intitulé complet de ce règlement à l’annexe III de la LSA, en application de l’article 32, paragraphe 2, de ladite loi. * PRISE DE POSITION DU GOUVERNEMENT par rapport à l’avis du Conseil d’Etat du 28 avril 2020 Quant aux considérations générales et aux remarques du Conseil d’Etat relatives à l’article unique, il est renvoyé à l’amendement 2 et à la motivation dudit amendement. Concernant certaines observations d’ordre légistique, il convient de renvoyer aux amendements 1 et 3. Les autres observations d’ordre légistique ont été prises en compte telles que reflétées dans le texte coordonné du projet de loi. 7