CHAMBER] I OF COMMERCE LUXEMBOURG POWERING BUSINESS Luxembourg, le 3 février 2020 Objet : Projet de loi n°75111 relative au traitement de données concernant la santé en matière d'assurance et de réassurance et portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances. (5395SBE) Saisine : Ministre des Finances (27 décembre 2019) Avis de la Chambre de Commerce Le projet de loi sous avis a pour objet d'introduire dans la loi modifiée du 7 décembre 2015 sur le secteur des assurances une disposition spécifique afin de légitimer explicitement le traitement des données de santé en matière d'assurance et de réassurance, après l'entrée en vigueur du règlement général sur la protection des données2 (ci-après, le « RGPD ») et de la loi du ier août 2018 ayant mis en oeuvre le RGPD3 (ci-après, la « Loi du 1er août 2018 »). En bref > La Chambre de Commerce accueille très favorablement le projet de loi qui permet d'apporter au secteur des assurances une base de légitimité explicite en matière de traitement de données de santé. > La Chambre de Commerce se félicite qu'il soit ainsi mis un terme à une insécurité juridique qui pèse actuellement sur les compagnies d'assurance. Alors que sous l'empire de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, le traitement des données de santé nécessaire aux fins de la gestion de services de santé pouvait être mis en œuvre notamment par les compagnies d'assurance lorsque le responsable du traitement était soumis au secret professionnel, il est apparu que tel n'était plus le cas à la lumière du cadre juridique actuel (RGPD et Loi du ier août 2018). En effet, l'article 9, paragraphe 1 du RGPD interdit, par principe, le traitement de données de santé et les seules dispositions sur lesquelles les compagnies d'assurance pourraient se baser en vertu des exceptions admises par l'article 9, paragraphe 2 ne sont pas adéquates. 'Lien vers le proiet de loi sur le site de la Chambre des Députés 2 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE (règlement général sur la protection des données) 3 Loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et mise en œuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État CHAMBEIn I OF COMMERCE L UXEMBOUR(3 POWERING BUSINESS 2 Doivent ainsi être écartés : - - /e « consentement explicite » donné par la personne concernée (prévu sous la lettre
- a)de l'article 9, paragraphe 2)4, le fait que le traitement soit « nécessaire aux fins de l'exécution des obligations et de l'exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail, de la sécurité sociale et de la protection sociale dans la mesure où ce traitement est autorisé par (...) le droit national » (prévu sous la lettre
- b)de l'article 9, paragraphe 2)5 ; le fait que le traitement soit « nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice ou chaque fois que des juridictions agissent dans le cadre de leur fonction juridictionnelle » (prévu sous la lettre
- f)de l'article 9, paragraphe 2)6. Afin de remédier à l'insécurité juridique exposée ci-avant, le projet de loi sous avis propose de légitimer explicitement le traitement des données de santé en matière d'assurance et de réassurance en invoquant à la fois : l'article 9 paragraphe 2, lettre
- g)du RGPD, qui autorise un traitement lorsqu'il est nécessaire pour des « motifs d'intérêt public important » ; et l'article 9 paragraphe 4 du RGPD, qui accorde aux Etats membres la possibilité d'introduire des conditions supplémentaires en ce qui concerne notamment le traitement des données de santé. Il ressort en effet du commentaire des articles' que « la CNPD estime (...) qu'il s'avère nécessaire qu'une disposition légale, conformément à l'article 9, paragraphe 4 du RGPD, soit adoptée pour légitimer le traitement de données en matière d'assurance et de réassurance ». En outre, comme souligné très justement dans l'exposé des motifs', « les services proposés par les compagnies d'assurance sont vitaux pour la collectivité qui compte sur les assurances pour se protéger dans la vie quotidienne financièrement mais aussi au-delà. (...) II parait indispensable de veiller à ce que tout individu puisse avoir accès à des systèmes d'assurance pour se protéger et pour préserver ses moyens de subsistance ». Le commentaire des articles' renvoie même à une position du Comité Directeur pour les Droits de l'homme du Conseil de l'Europe qui se dit « conscient du rôle que l'assurance privée volontaire peut jouer pour compléter (et parfois même suppléer) la couverture de ces risques [liés à la santé, à l'intégrité physique, à l'âge ou au décès d'une personne] par la sécurité sociale ou d'autres assurances publiques obligatoires ». Il s'ensuit que le traitement de données de santé par les compagnies d'assurance en vue de fournir leurs prestations dans le cadre notamment des contrats d'assurance maladie, d'assurance-accident ou d'assurance-vie, participe de manière substantielle à l'intérêt public et qu'a l'instar d'autres Etats membres'', la mise en place par le Luxembourg d'une disposition dans le droit 4 Cf. commentaire des articles, spéc. page 6 du projet de loi, qui se réfère à la Commission nationale pour la protection des données (CNPD), pour qui le consentement explicite des personnes concernées ne permet pas de légitimer le traitement de données dites sensibles alors qu'il ne pourra pas être considéré comme « libre » pour certains types de contrat d'assurance tels que par exemple l'assurance-vie 5 Cf. exposé des motifs, spéc. page 1 du projet de loi, qui indique que la CNPD a analysé la doctrine étrangère en la matière et a constaté que les entreprises d'assurances ne peuvent pas être considérées comme faisant partie du système de protection sociale nationale lorsque la loi ne le prévoit pas. 6 Cf. exposé des motifs, spéc .page 2 du projet de loi, qui indique que cette disposition est trop restrictive et ne peut servir de base légale pour les traitements des données de santé en matière d'assurance 7 Cf. commentaire des articles, spéc. page 6 du projet de loi Cf. exposé des motifs, spéc. page 2 du projet de loi 9 Cf. commentaire des articles, spéc. page 7 du projet de loi 10 Cf. commentaire des articles, spéc. page 9 du projet de loi, qui renseigne le Royaume-Uni, les Pays-Bas et la Finlande CHAMBER I OF COMMERCE LUXEMBOUR(, MWERU« BUSINESS 3 national autorisant explicitement le traitement des données de santé est nécessaire sur base de l'article 9 paragraphe 2, lettre
- g)du RGPD. Ainsi, il est prévu d'insérer après l'article 181 de la loi modifiée du 7 décembre 2015 sur le secteur des assurances, un nouveau chapitre 2bis intitulé « Traitement de données concernant la santé » comportant un article unique, l'article 181bis, lequel n'appelle pas de commentaire particulier de la part de la Chambre de Commerce. La Chambre de Commerce se rallie pleinement à l'exposé des motifs et aux commentaires des articles qui expliquent clairement le cadre et les objectifs du projet de loi sous avis et se félicite qu'il soit mis un terme à l'insécurité juridique qui pèse sur les compagnies d'assurance par la réintroduction dans le droit national d'une base de légitimité en matière de traitement de données de santé. Après consultation de ses ressortissants, la Chambre de Commerce approuve le projet de loi sous avis. SBE/DJI