CONSEIL D’ÉTAT =============== N° CE : 60.090 N° dossier parl. : 7511 Projet de loi portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances en vue d’insérer un chapitre 2ter relatif au traitement de données concernant la santé Avis complémentaire du Conseil d’État (10 décembre 2024) Le Conseil d’État a été saisi pour avis le 4 juin 2024, par le Premier ministre, d’une série de trois amendements gouvernementaux au projet de loi sous rubrique. Le texte des amendements était accompagné d’un exposé des motifs, d’un commentaire pour chacun desdits amendements, d’une prise de position du Gouvernement par rapport à l’avis du Conseil d’État du 28 avril 2020, d’une fiche financière, d’un « check de durabilité – Nohaltegkeetscheck », d’une fiche d’évaluation d’impact, d’un texte coordonné du projet de loi tenant compte des amendements ainsi que d’un texte coordonné par extraits de la loi que le projet de loi tend à modifier, tenant également compte des amendements sous rubrique. Les avis complémentaires de la Commission nationale pour la protection des données et de la Chambre de commerce ont été communiqués au Conseil d’État en date respectivement des 28 juin et 17 juillet 2024. Examen des amendements Amendement 1 Sans observation. Amendement 2 Les points 1°, 2° et 5° n’appellent pas d’observation. Le point 3° modifie la phrase liminaire de l’article 181-3 nouveau. En reprenant en grande partie la proposition de texte formulée par le Conseil d’État dans son avis du 28 avril 2020 qui se réfère aux motifs d’intérêt public pouvant être invoqués par les compagnies d’assurance et de réassurance pour justifier la dérogation à l’interdiction de traitement des données de santé. Les points 4°, 6° et 7°, entendent répondre à l’opposition formelle que le Conseil d’État avait formulée, dans son avis précité du 28 avril 2020, au sujet de l’article 181bis initial, et plus particulièrement en ce qui concerne l’alinéa 2. Dans sa version initiale, l’alinéa 2 permettait au responsable du traitement d’exclure une ou plusieurs des mesures destinées à assurer la protection des droits fondamentaux et des intérêts de la personne concernée par un traitement de données. Les mesures énoncées sont :
- a)la désignation d’un délégué à la protection des données ;
- b)la réalisation d’analyses d’impact ;
- c)l’anonymisation ou la pseudonymisation des données concernant la santé ou d’autres mesures de séparation fonctionnelle pour certaines opérations de traitement de données concernant la santé ;
- d)le chiffrement des données concernant la santé en transit, ainsi qu’une gestion des clés conformes à l’état de l’art ;
- e)la mise en place de restrictions d’accès aux données concernant la santé ;
- f)la mise en place de fichiers de journalisation qui permettent d’établir le motif, la date et l’heure de la consultation et l’identification de la personne qui a collecté, modifié ou supprimé les données concernant la santé ;
- g)la sensibilisation du personnel à la protection des données concernant la santé et au secret professionnel ;
- h)l’évaluation régulière de l’efficacité des mesures techniques et organisationnelles mises en place à travers un audit indépendant ;
- i)l’adoption de codes de conduite sectoriels ;
- j)la mise en place d’une politique interne indiquant notamment comment sont respectés les principes prévus à l’article 5 du règlement général sur la protection des données. Dans son avis du 28 avril 2020, le Conseil d’État s’était opposé formellement à la disposition qui accordait au responsable du traitement la possibilité de déroger à tout ou partie de ces mesures, ceci au motif qu’une telle dérogation risquait de dénaturer l’obligation de protection des droits et libertés des personnes concernées, étant donné que le projet de loi lui-même constitue déjà une dérogation à l’interdiction du traitement des données de santé. L’amendement proposé entend exclure la possibilité pour le responsable du traitement de déroger à l’intégralité des mesures énumérées ci-dessus, en interdisant toute dérogation aux mesures visées au point 2, lettres d), e), f), g), et j). Les autres mesures peuvent faire l’objet d’une dérogation dans le cadre d’une approche fondée sur la proportionnalité. Cette dérogation doit être documentée et la documentation doit être tenue à disposition de la Commission nationale pour la protection des données. Au vu des amendements, des explications données par les auteurs et à la lecture de l’avis complémentaire de la Commission nationale pour la protection des données, le Conseil d’État se voit en mesure de lever son opposition formelle sur ce point. Amendement 3 Sans observation. 2 Observations d’ordre légistique Amendement 2 Au point 7°, à l’article 181-3, alinéa 2, troisième phrase, il convient d’insérer une virgule à la suite des termes « En aucun cas ». Ainsi délibéré en séance plénière et adopté à l’unanimité des 19 votants, le 10 décembre 2024. Le Secrétaire général, Le Président, s. Marc Besch s. Marc Thewes 3