Luxembourg, le 1er juillet 2024 Objet : Projet de loi n°75111 relative au traitement de données concernant la santé en matière d’assurance et de réassurance et portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances - Amendements gouvernementaux. (5395bisSBE) Saisine : Ministre des Finances (4 juin 2024) Les trois amendements gouvernementaux sous avis (ci-après, le(
- s)« Amendement(
- s)») ont pour objet de modifier le projet de loi n°7511 relative au traitement de données concernant la santé en matière d’assurance et de réassurance, dans le prolongement de l’avis du Conseil d’Etat du 28 avril 2020 dans lequel la Haute-autorité a notamment émis une opposition formelle. En bref ➢ Les Amendements, qui visent principalement à redresser une opposition formelle du Conseil d’Etat, n’appellent pas de commentaires particuliers. ➢ Compte tenu du délai écoulé entre l’avis du Conseil d’Etat et les Amendements, la Chambre de Commerce espère le vote rapide du projet de loi n° 7511 au vu de son importance pour les entreprises d’assurance et de réassurance. ➢ La Chambre de Commerce approuve les amendements gouvernementaux sous avis. A titre liminaire, la Chambre de Commerce rappelle que le projet de loi n°7511 qui est modifié par les Amendements vise à introduire dans la loi modifiée du 7 décembre 2015 sur le secteur des assurances une disposition spécifique afin de légitimer explicitement le traitement des données de santé en matière d’assurance et de réassurance après l’entrée en vigueur du règlement général sur la protection des données2 (ci-après, le « RGPD ») et de la loi du 1er août 2018 ayant mis en oeuvre ce dernier. 1 2 Lien vers le projet de loi sur le site de la Chambre des Députés Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE (règlement général sur la protection des données) 2 Dans son avis du 3 février 20203, la Chambre de Commerce a accueilli favorablement le projet de loi n°7511 précité en se félicitant qu’il soit ainsi mis fin à l’insécurité juridique qui pèse actuellement sur les compagnies d’assurance4. Compte tenu du délai écoulé entre l’avis du Conseil d’Etat du 28 avril 2020 et les Amendements, la Chambre de Commerce ne peut que réitérer l’absolue nécessité de légitimer par la loi le traitement des données de santé en matière d’assurance et de réassurance, en espérant le vote rapide du projet de loi n° 7511. Quant au fond des Amendements, la Chambre de Commerce relève spécialement l’Amendement 25 qui, en vue de redresser l’opposition formelle du Conseil d’Etat, opère des modifications concernant l’article 181-3 projeté suivant lequel : «
(1)le traitement de données de santé est licite sous réserve de la mise en œuvre des mesures appropriées suivantes :
- a)la désignation d’un délégué à la protection des données ;
- b)la réalisation d’analyses d’impact conformément à l’article 35 du RGPD ;
- c)l’anonymisation ou la pseudonymisation des données concernant la santé ou d’autres mesures de séparation fonctionnelle pour certaines opérations de traitement de données concernant la santé ;
- d)le chiffrement des données concernant la santé en transit, ainsi qu’une gestion des clés conformes à l’état de l’art ;
- e)la mise en place de restrictions d’accès aux données concernant la santé ;
- f)la mise en place de fichiers de journalisation qui permettent d’établir le motif, la date et l’heure de la consultation et l’identification de la personne qui a collecté, modifié ou supprimé les données concernant la santé ;
- g)la sensibilisation du personnel à la protection des données concernant la santé et au secret professionnel ;
- h)l’évaluation régulière de l’efficacité des mesures techniques et organisationnelles mises en place à travers un audit indépendant ;
- i)l’adoption de codes de conduite sectoriels tels que prévus à l’article 40 du RGPD ;
- j)la mise en place d’une politique interne prévoyant notamment comment sont respectés les principes prévus à l’article 5 du RGPD ;
(2)il est possible de déroger à tout ou partie de ces mesures, sous réserve de documenter et justifier en interne l’exclusion et dans le cadre d’une approche basée sur la proportionnalité. » Le Conseil d’Etat ayant estimé que la possibilité pour une entreprise d’assurance ou de réassurance de déroger à l’intégralité des mesures listées au point
(1)risquait de dénaturer l’obligation de mettre en œuvre des mesures appropriées, l’article projeté est modifié de sorte qu’il puisse seulement être dérogé aux mesures prévues sous les lettres a), b), c),
- h)et
- i)6, ce dont la Chambre de Commerce prend acte. 3 Avis disponible sur le site de la Chambre de Commerce alors même que lesdites compagnies fournissent des services qui nécessitent de traiter des données de santé dans le cadre notamment des contrats d’assurance maladie, d’assurance accident ou d’assurance vie, participant ainsi de manière substantielle à l’intérêt public. 5 Les Amendements 1 et 3 font suite à des observations légistiques de la part du Conseil d’Etat et n’appellent pas de remarque particulière de la part de la Chambre de Commerce. 6 Le cas échéant, les entreprises d’assurance ou de réassurance auront l’obligation de tenir la documentation justifiant l’exclusion à la disposition de la Commission nationale pour la protection des données. 4 3 * * * Après consultation de ses ressortissants, la Chambre de Commerce approuve les amendements gouvernementaux sous avis. SBE/DJI