Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7511 relative au traitement de données concernant la santé en matière d'assurance et de réassurance et portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances. Délibération n°2/2020 du 27/01/2020 Conformément à l'article 57, paragraphe ler, lettre (c) du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/0E (règlement général sur la protection des données) (ci-après « le RGPD »), auquel se réfère l'article 7 de la loi du ler août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 23 décembre 2019, Monsieur le Ministre des Finances a invité la Commission nationale à se prononcer sur le projet de loi n°7511 relative au traitement de données concernant la santé en matière d'assurance et de réassurance et portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances (ci-après le « projet de loi n°7511 »). Il ressort de l'exposé des motifs que le présent projet de loi a pour objet de par son article unique d'introduire dans la loi modifiée du 7 décembre 2015 sur le secteur des assurances une disposition nationale pour légitimer le traitement de données de santé en matière d'assurances en se basant, conformément à l'article 9 paragraphe
(2)lettre g) du RGPD, des motifs d'intérêt public important. Les données de santé sont en effet strictement réglementées par ledit article 9 du RGPD et elles ne peuvent être traitées que si l'une des dix conditions y énumérées est remplie. Dans le commentaire de l'article unique du projet de loi n°7511, les auteurs du projet de loi argumentent à suffisance de droit pourquoi le consentement des personnes désirant souscrire une assurance ne peut pas être une « base habilitante fiable et solide pour le traitement de données concernant la santé ». Pour cette raison, cette intervention du législateur est un requis essentiel pour lever l'insécurité juridique dans laquelle les compagnies d'assurance se trouvent au stade actuel lorsqu'ils traitent des catégories particulières de données au sens de l'article 9 paragraphe
(1)du RGPD et plus particulièrement des données de santé. Avis de la Commission nationale pour la protection des données • V.{4,11ON CES DON.d. relatif au projet de loi n°7511 relative au traitement de données concernant la santé en matière d'assurance et de réassurance et portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances. 1 En effet, déjà dans son deuxième avis complémentaire du 8 juin 2018' concernant le projet de loi n°7184 devenu la loi du 1 er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale avait estimé que, même s'il est un fait que les compagnies d'assurance doivent pouvoir traiter des données de santé pour certains types de contrats d'assurance, « le consentement explicite prévu à l'article 9 paragraphe
(2)lettre a) du RGPD des personnes concernées ne permet pas de légitimer ce traitement de données, alors qu'il pourrait ne pas être considéré comme libre au sens du RGPD pour certains types d'assurance (p.ex. assurance-vie dans le contexte d'un prêt hypothécaire, assurance solde restant dû, ...) ». Par ailleurs, comme un contrat d'assurance est un contrat d'adhésion, la Commission nationale avait estimé que le consentement n'était pas à considérer comme approprié pour légitimer le traitement de données de santé dans ce contexte, mais qu'une condition de légitimité appropriée aurait pu être celle prévue à l'article 6 paragraphe
(1)lettre b) du RGPD (« le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci »). Or, il s'avère que le législateur européen n'a pas prévue cette finalité à l'endroit de l'article 9 du RGPD. La Commission nationale avait d'ailleurs suggéré au législateur d'introduire une disposition au projet de loi n°7184 précité permettant aux compagnies d'assurances de traiter des données de santé, à l'exception de données génétiques, lorsqu'il est nécessaire à l'exécution d'un contrat d'assurance auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci. Toutefois, cette proposition de texte n'avait pas rencontré l'assentiment du Conseil d'Etat qui estimait qu'il s'agit d'une « dérogation nationale, ajoutée à la liste du paragraphe 2 [de l'article 9 du RGPD], que les États membres ne sont pas autorisés à introduire. Le dispositif ne saurait pas non plus être considéré comme introduisant des conditions supplémentaires au sens de l'article 9, paragraphe 4. Le nouveau paragraphe 2 de l'article 66 du projet de loi, dans sa version amendée, n'est dès lors pas conforme à l'article 9 du règlement. Le Conseil d'État doit s'y opposer formellement et en demande la suppression ».2 L'article unique du projet de loi n°7511 tel que proposé par le législateur se base quant à lui sur l'article 9 paragraphe
(2)lettre g) du RGPD qui dispose que « le traitement est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ». 1 Délibération n°423/2018 du 8 juin
- 2 Deuxième avis complémentaire du Conseil d'Etat du 17 juillet 2018 concernant le projet de loi n°
- Avis de la Commission nationale pour la protection des données on DON., relatif au projet de loi n°7511 relative au traitement de données concernant la santé en matière d'assurance et de réassurance et portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances. 2 Selon la Commission nationale, cette disposition n'ajoute pas de dérogations à celles prévues à l'article 9 paragraphe
(2)du RGPD et ne se base pas sur l'article 9 paragraphe
(4)du RGPD permettant aux États membres de « maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques, des données biométriques ou des données concernant la santé ». Le traitement de données de santé par les compagnies d'assurances et de réassurances peut ainsi être fondé sur base de l'article 9 paragraphe 2 lettre g) du RGPD, sous condition que le droit national prévoit spécifiquement « des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée », ce qui n'est actuellement pas le cas. En d'autres termes, l'objet du projet de loi sous avis vise à combler cette lacune en droit national. La CNPD salue le texte du projet de loi sous examen, alors que le point 2 de l'article 181bis de la loi modifiée du 7 décembre 2015 sur le secteur des assurances, introduit par l'article unique du projet de loi n°7511 sous revue, énumère de manière suffisante quelles sont ces mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée qui sont à respecter en cas de traitement de données de santé nécessaire à l'exécution de mesures précontractuelles en matière d'assurance ou de réassurance ou à l'exécution d'un contrat d'assurance ou de réassurance, à l'instar d'autres législations européennes comme par exemple celle de l'Irlande, du Royaume-Uni ou des Pays-Bas. Toutefois, la Commission nationale constate que le commentaire de l'article unique, ainsi que l'exposé des motifs mentionnent à côté de l'article 9 paragraphe
(2)lettre g) du RGPD comme base légale du traitement de données de santé par les assurances l'article 9 paragraphe
(4)du RGPD. Or, en raison des explications qui précèdent, elle est d'avis que l'unique base légale applicable en espèces est l'article 9 paragraphe
(2)lettre g) du RGPD et elle propose ainsi de supprimer toute référence à l'article 9 paragraphe
(4)du RGPD. Finalement, la CNPD tient à souligner que le projet de loi sous examen n'a pas d'incidence sur l'application des règles du RGPD, c'est-à-dire que toutes les dispositions prévues au RGPD restent applicables aux sociétés d'assurance et de réassurance qui traitent des données de santé conformément à l'article unique du projet de loi n°
- Notamment, les principes relatifs au traitement des données à caractère personnel énumérés à l'article 5 du RGPD et toutes les obligations générales incombant au responsable du traitement et prévues au chapitre IV du RGPD sont à respecter. Par ailleurs, les personnes concernées, c'est-à-dire les clients et prospects desdites sociétés, disposent de tous les droits prévus aux articles 13 à 22 du RGPD dans les conditions y énumérées et en aucun cas, l'article unique du projet de loi n°7511 pourrait être utilisé en tant que base légale pour contourner le respect des droits précités. '.'CNPD 1 WA/1040.1f ,Je , LtryliCIIIJI4 ces ooxrdeu Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7511 relative au traitement de données concernant la santé en matière d'assurance et de réassurance et portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances. 3 Ainsi décidé à Esch-sur-Alzette en date du 27 janvier
- La Commission nationale pour la protection des données tik( Tine A. Larsen Présidente Thierry Lallemang Commissaire Ch i ophe Buschmann Commissaire rc Lemmer Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7511 relative au traitement de données concernant la santé en matière d'assurance et de réassurance et portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances. 4