Avis de la Commission nationale pour la protection des données relatif aux amendements gouvernementaux sur le projet de loi n° 7511 relative au traitement de données concernant la santé en matière d'assurance et de réassurance et portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances. Délibération n°44/AV17/2024 du 28 juin 2024. 1. Conformémentà l'article 57, paragraphe 1er, lettre (
- e)du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après « te RGPD »), auquel se réfèrel'article 7 de la loi du 1er août2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données(ci-aprèsdésignée« la Commission nationale » ou « la CNPD ») « conseille, conformément au droit de l'Etat membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement». Par ailleurs, l'article 36. 4 du RGPD dispose que « [l]es États membres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement. » 2. En date du 27 janvier 2020, la CNPD a avisé1le projet de loi n° 7511 relative au traitement de donnéesconcernant la santé en matière d'assurance et de réassuranceet portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances (ci-après le « projet de loi n° 7511 »). 3. En date du 4 juin 2024, des amendements gouvernementaux relatifs audit projet de loi ont été adoptés (ci-après les « amendements »). N'ayant pas été directement saisie par Monsieur le Ministre des Finances, la Commission nationale souhaite néanmoins se prononcer quant aux amendements. 4. Il ressort de l'exposé des motifs que les amendements ont pour objectif d'apporter des ajustements ciblés au projet de loi n° 7511, suite à l'avis du Conseil d'Etat2, et plus 1 Délibération n°2/2020 du 27/01/2020. 2 Avis du Conseil d'Etatdu 28 avril 2020, document parlementaire 7511/3. CNPD Avis de la Commission nationale pour la protection des données relatif aux amendements gouvernementaux sur le projet de loi n° 7511 relative au traitement de donnéesconcernant la santé en matière d'assurance et de réassuranceet portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances. précisément « à donner suite à l'opposition formelle du Conseil d'Etat relative au droit d'une entreprise d'assurance ou de réassurance de déroger à une ou plusieurs des mesures spécifiques, destinées à préserver les droits fondamentaux et les intérêts d'une personne concernée par un traitement de données médicales, énumérées sous le point 2 du nouvel article 181-3 (précédemment181bis) qu'il est proposéd'introduire dans la loi modifiéedu 7 décembre 2015 sur le secteur des assurances. En effet, le Conseil d'Etat estime qu'un tel dispositif de dérogationdénatureraitin fine l'utilité des mesures de sauvegardedes droitsfondamentauxde la personne concernée. » 5. Dès lors, par l'amendement 2, il est proposé de modifier le texte du nouvel article 1er du projet de loi en ce sens que l'entreprise d'assurance ou de réassurance ne puisse plus dérogerà l'intégralitédes mesures listéessous le point2 du nouvel article 181-3 de la loi modifiée du 7 décembre 2015 sur le secteur des assurances. Une différence sera ainsi faite entre les mesures auxquelles l'entreprise d'assuranceou de réassurancene pourra en aucuncas déroger (le chiffrementdesdonnéesconcernantla santéen transit, la miseen placede restriction d'accès et de fichiersdejournalisation, ainsi que la sensibilisationdu personnel et la mise en place d'une politique interne3), d'une part, et celles auxquelles il pourra être dérogé dans le cadre d'une approche baséesur la proportionnalité (désignation d'un déléguéà la protection des données, réalisation d'une analyse d'impact relative à la protection des données, l'anonymisation ou la pseudonymisation des données, l'évaluation régulière par un audit indépendant, ainsi que l'adoption de codes de conduite sectoriels4 ), d'autre part. 6. Toute dérogationà cette deuxièmecatégoriede mesures devra être documentée en interne. En effet, l'obligation de mettre en ouvre toutes les mesures énumérées sous le point 2 du nouvel article 181-3 de la loi modifiée du 7 décembre 2015 sur le secteur des assurances n'aurait jamais pu être respectée ni en théorie, ni en pratique par toute société d'assurances ou de réassurance active sur le territoire luxembourgeois pour tous ses différents traitements de données à caractère personnel et mettrait le secteur de nouveau d'office dans l'illégalité. Le but du projet de loi n° 7511, c'est-à-diremettre un terme à l'insécuritéjuridique qui pèsesur lesdites sociétéspar l'introduction dans le droit national d'une basede légitimitéen matièrede traitement de données de santé, ne serait alors pas atteint. 7. La CNPD ne peut dès lors que saluer qu'il ne peut pas être dérogé aux mesures prévuesauxlettres d), e), f), g)etj) du nouvel article 181-3de la loi modifiéedu 7 décembre2015 sur le secteur des assurances, tandis qu'elle se joint aux explications des auteurs du projet de loi contenues dans le commentaire de l'amendement 2 en ce qui concerne les mesures auxquelles il pourra être dérogé,sous condition de le documenter en interne. 3 Voir les lettres d), e), f),
- g)et
- j)du nouvel article 1er, premier alinéa, du projet de loi n°7511. 4 Voir les lettres a), b), e),
- h)et
- i)du nouvel article 1er, premier alinéa du projet de loi n°7511. CNPD Avis de la Commission nationale pour la protection des données relatif aux amendements gouvernementaux sur le projet de loi n° 7511 relative au traitement de données oncernant la santé en matière d'assurance et de réassurance et portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances. 8. Par ailleurs, les amendements introduisent désormais l'obligation de tenir cette documentation sur les éventuelles dérogationsà la disposition de la Commission nationale5, une modification qu'elle ne peut que soutenir. Il convient de préciserdans ce contexte que conformémentà l'article 57. 1.
- a)du RGPD, auquel se réfère l'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime généralsur la protection des données, la CNPD a commemissiondecontrôlerl'applicationdu RGPDet deveilleraurespectdecelui-ci. Elle pourrait dès lors déciderde contrôler si les sociétésd'assurances et de réassurance ont respecté leur obligation de documenter et de justifier l'exclusion d'une ou plusieurs des mesures énumérées au point 2 du nouvel article 181-3 de la loi modifiée du 7 décembre 2015 sur le secteur des assurances, en adoptant, le cas échéant,une des mesures correctrices prévues à l'article 58.2 du RGPD.6 Ainsi adopté à Belvaux en date du 28juin 2024. La Commission nationale pour la protection des données '.'WhJ /^^^L Tine A. Larsen Thierry Lallemang lare Lemmer Alain Herrmann Présidente Commissaire Commissaire Commissaire 5 Voirdeuxièmealinéadu nouvel article 1erdu projet de loi n"7511 . 6 L'article 12 de la loi du 1er août2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données se réfère quant aux pouvoirs de la CNPD à article 58 du RGPD. CNPD Avis de la Commission nationale pour la protection des données relatif aux amendements gouvernementaux sur le projet de loi n° 7511 relative au traitement de données concernant la santé en matière d'assurance et de réassurance et portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances.