Circulaire n° 7.1 du 2024.04.22

Collaborateurs responsables : ENG ; Equipe de Protection des données

Berne, 22 avril 2024

Entrée en vigueur : 1°" mai 2024

Surveillance par l’'OFSP des domaines soumis aux dispositions de la LSAMal’, de l’?OSAMal?, de la LAMal* et de l’'OAMal‘ relatives à la protection des données

1 Cadre général

La présente circulaire concrétise les normes de protection des données inscrites dans la législation sur l’'assurance-maladie. Cette limitation auxdites normes implique la suppression de quelques chapitres de la version du 17 décembre 2015 en vigueur jusqu'ici (notamment Règlement de traitement, Abandon de la déclaration des fichiers — désignation du conseiller à la protection des données, Externalisation). Cela ne signifie nullement que les assureurs seraient déliés des prescriptions légales décrites dans ces chapitres. Au contraire, il est renvoyé, pour l'application et la mise en œuvre des normes de protection des données inscrites ailleurs que dans le droit de l’assurance-maladie (LPD° notamment), à la législation, à la jurisprudence et à la doctrine en la matière, et nous attendons des assureurs-maladie un système de gestion de la conformité (compliance management system) en rapport. À tout moment, les assureurs doivent respecter les prescriptions légales.

La présente circulaire ne constitue en aucun cas un assouplissement des exigences en matière de

1 Loi fédérale du 26 septembre 2014 sur la surveillance de l’assurance-maladie sociale (loi sur la surveillance de l’assurancemaladie ; RS 832.12)

2 Ordonnance du 18 novembre 2015 sur la surveillance de l’assurance-maladie sociale (ordonnance sur la surveillance de l’assurance-maladie ; RS 832.121)

3 Loi fédérale du 18 mars 1994 sur l'assurance-maladie (RS 832.10)

4 Ordonnance du 27 juin 1995 sur l’assurance-maladie (RS 832.102)

5 Loi fédérale du 25 septembre 2020 sur la protection des données (RS 235.1)

protection des données.

Étant donné que, pour les normes de la législation sur l’assurance-maladie qui sont pertinentes pour ce domaine, la surveillance exercée par le PFPDT® et celle de l'autorité de surveillance de l’assurancemaladie, l'OFSP7, se recoupent, la surveillance est coordonnée entre les deux instances.

1.1 Pouvoir de surveillance de l’'OFSP

Le champ d'application matériel du pouvoir de surveillance de l'OFSP et de son pouvoir de donner des instructions se limite à la législation sur l’assurance-maladie (autrement dit, aux normes de la LSAMal, de la LAMal et de leurs ordonnances d'application ; cf. art. 34, al. 1, let. a, LSAMal). L'OFSP n'a donc aucun pouvoir de surveillance ni de donner des instructions en matière de protection de données pour les normes qui ne relèvent pas du droit de l’assurance-maladie (et qui n’ont pas de contenu supplémentaire autonome pour cette assurance). De son côté, le PFPDT surveille, aux termes de l’art. 4, al. 1, LPD, l'application par les organes fédéraux de la LPD et des autres dispositions fédérales relatives à la protection des données.

Loi-cadre, la LPD s'applique partout où il n'existe pas de disposition dérogatoire dans le droit spécifique de l’assurance-maladie. Si de telles dispositions (avec un contenu autonome) y figurent, il y a recoupement entre le PFPDT et l'OFSP pour la surveillance relative a ces dispositions de la loi spéciale.

Ce recoupement de compétences concerne tout traitement de données fondé sur les art. 84, 84a et 57 LAMal et 59af, al. 2, OAMal. La présente version de la circulaire 7.1 de l'OFSP s’écarte par conséquent de la pratique adoptée jusqu'ici et ne porte plus que sur la législation qui concerne directement l'office, en particulier les art. 84, 84a et 57 LAMal et 59af", al. 2, OAMal, soit les normes du droit de l’assurancemaladie qui sont pertinentes en matière de protection des données. Dans ce domaine, le PFPDT et l'OFSP coordonnent leur activité de surveillance.

1.2 Délimitation des compétences

Étant donné qu’en vertu de la LSAMal, l'OFSP surveille l'application de l’assurance-maladie sociale (cf. notamment art. 34 LSAMal), il lui incombe également de contrôler que les assureurs pratiquent l’assurance conformément à la loi. Cela signifie, par exemple pour la garantie de la protection des données par les assureurs (art. 84b LAMal), qu'il vérifie si ceux-ci disposent d’un concept de protection et de sécurité des données, et si les règlements de traitement des données requis existent et sont rendus publics. En revanche, l'appréciation de la conformité à la protection des données selon la législation sur la protection des données est dans les deux cas du ressort du PFPDT.

L'OFSP et le PFPDT, dans le respect de leurs compétences légales respectives, procèdent à des échanges réguliers, ainsi qu’à des échanges spécifiques lorsque des cas d'espèce nécessitent une coordination ou pour garantir l'efficacité de leurs tâches de surveillance, notamment en coopérant et en partageant leurs connaissances matérielles dans leurs domaines respectifs.

L’OFSP surveille également le respect de la protection des données lorsqu'il contrôle la gouvernance d'entreprise des assureurs. Cette dernière est régie par la LSAMal et l'OSAMaI, mais aussi par l’art. 716a, al. 1, ch. 5, COS, et elle exige une organisation et une direction qui garantissent le respect des prescriptions légales.

6 Préposé fédéral a la protection des données et a la transparence

7 Office fédéral de la santé publique

8 Loi fédérale du 30 mars 1911 complétant le Code civil suisse (Livre cinquième : Droit des obligations ; RS 220)

Circulaire n° 7.1 2/16

Une gouvernance d'entreprise bien structurée a pour pilier essentiel un système de gestion de la conformité, avec gestion des risques et mécanismes de contrôle interne, qui garantisse une mise en œuvre conforme à la loi des prescriptions relatives à la protection des données. Gouvernance d'entreprise, conformité à la loi et protection des données sont donc dans un rapport de dépendance mutuelle direct. Autrement dit, il convient d'adopter des règles techniques et organisationnelles qui permettent d'éviter ou de déceler à temps les infractions à la loi en matière de protection des données. La non-conformité aux prescriptions légales représente un gros risque pour la gestion de l’entreprise, car elle peut entraîner des dommages financiers et nuire à la réputation de l'assureur.

Le contrôle matériel de la légalité en ce qui concerne le droit de la protection des données est du ressort du PFPDT. Ce dernier agit en tant qu’autorité de surveillance indépendante, selon ses ressources et ses priorités. La présente circulaire traite dans les chapitres qui suivent, à la lumière du cadre général qui vient d’être tracé, des domaines pertinents pour la surveillance de l'OFSP.

2 Concept de protection et de sécurité des données, et exigences concernant la gestion des

risques et les mécanismes de contrôle interne

Art. 846 LAMal / Art. 22 et 23 LSAMal / Art. 40 et 41 OSAMal

L’OFSP exige de tous les assureurs-maladie qu'ils élaborent un concept complet et global de protection et de sécurité des données. La sécurité des données est un aspect essentiel de la protection des données.

Un tel concept donne des informations sur la stratégie de mise en ceuvre de la protection et de la sécurité des données au sein de l’entreprise, à moyen et à long terme. Il décrit comment la protection des données est organisée et comment les flux de données sont conçus pour s’y conformer. C’est en outre a partir de ce concept que sont définies, en particulier, les taches des personnes responsables des fichiers et de la protection des données.

Fondement essentiel de la protection et de la sécurité des données au sein de l’entreprise, le concept de protection et de sécurité des données permet d’intégrer la protection des données dans les processus à l’interne. Ce concept ou des éléments de celui-ci pourront ensuite être concrétisés dans des directives a l’adresse du personnel, dans des directives de sécurité et de protection de l'information pour le service informatique et d’autres secteurs, ainsi que dans des réglements de traitement des données (art. 846 LAMal).

L’art. 84b LAMal répète l'obligation que la législation sur la protection des données fait déjà a l’assureur d'établir les règlements de traitement des données nécessaires. En vertu de cette disposition, ces règlements, dans l’esprit de la délimitation des compétences décrite au ch. 1.2, sont soumis à l’appréciation du PFPDT et sont rendus publics.

L'OFSP vérifie si les assureurs disposent d’un concept de protection et de sécurité des données et si les règlements de traitement des données nécessaires existent et sont rendus publics. En revanche, et toujours dans l’esprit de la délimitation des compétences décrite au ch. 1.2, la surveillance de la conformité du contenu des règlements au droit de la protection des données est du ressort du PFPDT.

La mise en ceuvre du concept de protection et de sécurité des données nécessite aussi des mesures techniques et organisationnelles. Les assureurs doivent dégager les ressources nécessaires pour les appliquer. La gestion des risques et les mécanismes de contrôle interne, en particulier, doivent être dotés en adéquation avec les risques de violation de la protection des données (art. 40, al. 4, OSAMal).

2.1 Gestion des risques et système de contrôle interne

Les assureurs doivent être organisés de manière à pouvoir, en particulier, recenser, limiter et contrôler tous les risques principaux (art. 22, al. 1, LSAMal). Ils doivent mettre en place pour leur activité un système de contrôle interne (SCI) qui soit efficace et adapté à la taille et à la complexité de l’entreprise (art. 23, al. 1, LSAMal).

Le travail avec des données a caractére personnel ne va pas sans risques. En tant que maitre des données, l'assureur est responsable de la conformité à la loi du traitement des données (ce qui comprend aussi l'acquisition et la communication de données) et donc d’une gestion des risques adéquate (art. 40 OSAMal).

Pour évaluer et analyser les risques en matière de protection des données, cette gestion doit porter au moins sur les risques juridiques et opérationnels suivants :

e utilisation abusive des données personnelles

e fonctions d’attribution et autorisations d’accés non conformes à la législation sur la protection des données

e non-qualification de la personne responsable de la protection des données

e organisation du service du médecin-conseil non conforme à la loi

e absence de réglement de traitement des données

e absence de processus ou mauvais processus du bureau de contrôle DRG, perte du certificat

e insuffisance des prescriptions techniques pour garantir la sécurité dans le processus de numérisation

e non-observation des obligations de déclaration légales

e absence de surveillance des partenaires externes traitant des données (personnelles) sensibles

Ces risques en matière de protection des données sont souvent liés aux processus d’affaires et leur gestion constitue une tache essentielle du SCI. Il importe donc, dans un premier temps, de les identifier et de les évaluer. Pour surveiller l’activité de l’assureur et garantir le respect des lois et des prescriptions au moyen de mesures appropriées, l’art. 23 LSAMal exige un SCI efficace.

L’OFSP contrôle la documentation de la gestion des risques et du SCI établie par l’assureur (art. 41 OSAMal). En revanche, dans l’esprit de la délimitation des compétences décrite au ch. 1.2, la surveillance de la conformité du contenu de ces documents à la législation sur la protection des données est du ressort du PFPDT.

3 Indépendance du médecin-conseil et du service du médecin-conseil

Art. 42, al. 5, et 57 LAMal / Art. 321 CP®

En vertu de l’art. 57 LAMal, le médecin-conseil constitue un organe particulier de l’assurance-maladie sociale. Ses tâches sont précisées à l’art. 57, al. 4 et 5, LAMal : il donne son avis à l’assureur sur des questions médicales ainsi que sur des questions relatives à la rémunération et à l'application des tarifs. Il exerce en outre une fonction de surveillance et de contrôle. Il examine en particulier si les conditions de prise en charge d’une prestation sont remplies (al. 4). Il lui incombe de contrôler l'efficacité, l'adéquation et le caractère économique du traitement au sens des art. 32 et 56 LAMal. Sa compétence se limite à répondre à des questions médicales.

9 Code pénal suisse du 21 décembre 1937 (RS 311.0)

Techniquement parlant, l'assureur ne peut pas lui donner de directives. Le médecin-conseil évalue les cas en toute indépendance ; il ne transmet aux organes compétents des assureurs que les indications dont ceux-ci ont besoin pour décider de la prise en charge d’une prestation, pour fixer la rémunération, pour calculer la compensation des risques ou pour motiver une décision. Ce faisant, il respecte les droits de la personnalité des assurés (art. 57, al. 7, LAMal). Le fournisseur de prestations est fondé, lorsque les circonstances l’exigent, ou astreint dans tous les cas, si l'assuré le demande, à ne fournir les indications d'ordre médical qu’au médecin-conseil de l’assureur (art. 42, al. 5, LAMal). Ces dispositions doivent être strictement respectées.

L'indépendance du médecin-conseil telle que prescrite par la loi doit aussi caractériser l’organisation du service du médecin-conseil. Les locaux et les postes de travail de ce service doivent être suffisamment séparés et les documents papier pouvoir être conservés sous clé. Le courrier ne peut être ouvert que par du personnel auxiliaire clairement désigné pour cela et il doit être garanti en tout temps qu'aucune information médicale ne puisse sortir du service. S'agissant des systèmes informatiques, il importe de garantir que l'échange électronique de données respecte également ces principes.

Le médecin-conseil et ses auxiliaires sont punissables s'ils utilisent les données personnelles obtenues dans le cadre de leur activité à d’autres fins que celles prescrites par la loi'®. L’assureur doit veiller à ce que les collaborateurs engagés en tant qu’auxiliaires du médecin-conseil soient clairement désignés comme tels sur une liste et expressément rendus attentifs à leur position et à leurs obligations légales. Les auxiliaires du médecin-conseil doivent signer une déclaration de confidentialité mentionnant clairement l'obligation de respecter le secret professionnel, ce que l’assureur doit contrôler et faire appliquer.

Le médecin-conseil doit avoir en outre la compétence d'engager son personnel auxiliaire. En ce qui concerne la subordination technique et organisationnelle ainsi que le taux d'occupation défini pour le service du médecin-conseil, il importe de veiller à ce que les postes des auxiliaires soient conçus de manière à n’entrainer aucun conflit d'intérêts. Pour les spécialistes engagés pour le contrôle des factures de type DRG (p. ex. spécialistes en codage médical) qui remplissent leurs tâches aussi bien pour la division Prestations que pour le service du médecin-conseil, il importe d'installer autant que possible les postes de travail et les systèmes informatiques dans la division Prestations et dans le service du médecin-conseil de manière à permettre une séparation claire des tâches respectives.

4 Degré de détail dans la facturation

Art. 42, al. 3 à 5, et 57, al. 4 et 6, LAMal / Art. 59 et 59a OAMal

L'art. 42, al. 3, LAMal prévoit que le fournisseur de prestations remette au débiteur de la rémunération une facture détaillée et compréhensible (1° phrase). Il doit aussi lui transmettre toutes les indications nécessaires lui permettant de vérifier le calcul de la rémunération et le caractère économique de la prestation (2° phrase). L'art. 42, al. 35s, LAMal exige en particulier que les fournisseurs de prestations fassent figurer dans la facture au sens de l’al. 3 les diagnostics et les procédures sous forme codée, conformément aux classifications actuelles (pour la mise en œuvre de cette disposition concernant la facturation selon un modèle de rémunération du type DRG, cf. art. 59a LAMal et annexe 4 de la présente circulaire).

En outre, l'art. 42, al. 4, LAMal prévoit que l'assureur peut exiger des renseignements supplémentaires d'ordre médical. Aux termes de l’art. 42, al. 5, LAMal, le fournisseur de prestations est fondé, lorsque les circonstances l’exigent, ou astreint dans tous les cas, si l'assuré le demande, à ne fournir les indications d'ordre médical qu’au médecin-conseil de l'assureur. Cela implique que l’assureur informe l’assuré qu'il va demander des renseignements supplémentaires d'ordre médical au fournisseur de prestations et que ce dernier ne pourra les fournir qu’au médecin-conseil de l’assureur, si l’assuré le demande.

10 Art. 321 CP

En ce cas, le fournisseur de prestations doit donner au médecin-conseil les indications dont ce dernier a besoin pour remplir ses tâches (art. 57, al. 6, 1" phrase, LAMal). Ces tâches comprennent en particulier les conseils à l'assureur sur des questions médicales et sur des questions relatives à la rémunération et à l'application des tarifs, ainsi que la vérification que les conditions de prise en charge d’une prestation sont remplies (art. 57, al. 4, LAMal). Selon la doctrine, ces dispositions imposent aux fournisseurs de prestations l'obligation de communiquer ces informations, mais les habilitent aussi à les communiquer. Dans les situations visées à l’art. 42, al. 3, 2° phrase, 355, 1"e phrase, et 4, ainsi qu’à l’art. 57, al. 6, 1 phrase, LAMal, le fournisseur de prestations est délié du secret professionnel, dans sa relation avec l’assureur-maladie, pour autant que cela soit nécessaire dans le cas concret. La transmission des informations n’est pas laissée au bon vouloir du fournisseur de prestations ; il s’agit d’une obligation légale de ce dernier à l’égard de l'assureur. Ces dispositions, qui imposent aux fournisseurs de prestations de transmettre toutes les données pertinentes sous l’angle du droit des prestations, ont une grande portée. Les assureurs ont par conséquent le droit d'exiger une facturation détaillée au sens des considérations ci-dessus et de ne procéder à aucun paiement tant qu'ils ne l'ont pas obtenue.

5 Traitement de données personnelles et communication de données

Art. 84 et 84a LAMal / Art. 33 LPGA?? / Art. 54, al. 1, let. d, et al. 2, LSAMal

5.1 Le traitement de données visé à l’art. 84 LAMal

Les assureurs pratiquant l’assurance-maladie sociale doivent traiter une grande quantité de données personnelles. En vertu de l’art. 34 LPD, cette activité requiert une base légale. L'art. 84 LAMal constitue la base légale de tout traitement de données personnelles nécessaires pour accomplir les tâches assignées par la LAMal ou la LSAMal (pratiquer l’assurance-maladie sociale au sens de l’art. 5, let. f, LSA- Mal).

L'énumération faite à l’art. 84 LAMal des tâches qui permettent le traitement de données personnelles n’est pas exhaustive. Cet article constitue une disposition générale mentionnant des exemples. De manière générale, on peut cependant affirmer que les prescriptions de la LPD s'appliquent aussi, partout où des règles dérogatoires n'ont pas été inscrites dans la LAMal. De même, l’art. 84 LAMal doit être interprété selon les principes fondamentaux de la LPD, notamment les principes de finalité et de proportionnalité. Des normes spéciales telles que l’art. 42, al. 3 à 5, LAMal ou l’art. 57, al. 6, LAMal priment, en tant que loi spéciale, la disposition plus générale de l’art. 84 LAMal ainsi que les normes inscrites dans la LPD.

Selon le principe de proportionnalité, le traitement de données personnelles dans le domaine de la LAMal est licite s’il relève d’une tâche inscrite dans la LAMal ou dans la LSAMal, qu'il est nécessaire et approprié à l'accomplissement de cette tâche et qu’il ne dépasse pas la mesure requise. Si donc l’assureur collecte des données personnelles, il ne peut les utiliser que pour les tâches prévues par la LAMal ou la LSAMal.

Selon le principe de finalité, les données personnelles ne peuvent être utilisées que pour l’accomplissement de tâches dont la finalité est la même que celle des tâches pour l’accomplissement desquelles elles ont été récoltées. La personne concernée doit être en mesure de reconnaître le but visé par le traitement des données. L'OFSP demande par conséquent aux assureurs de respecter strictement les principes de finalité et de proportionnalité, et de ne traiter des données personnelles que dans le cadre d’une tâche que la LAMal ou la LSAMal leur assignent et non à d’autres fins.

1 G. Eugster/R. Luginbühl, Datenschutz in der obligatorischen Krankenpflegeversicherung, in B. Hürlimann/R. Jacobs/T. Poledna (éd.), Datenschutz im Gesundheitswesen, Schulthess 2001, pp. 98 ss

12 Loi fédérale du 6 octobre 2000 sur la partie générale du droit des assurances sociales (RS 830.1)

Circulaire n° 7.1 6/16

Ainsi, le traitement de données de santé et de profils de la personnalité en vue d'identifier des groupes cibles particuliers et d'adresser aux assurés ainsi sélectionnés un courrier leur recommandant des mesures de promotion de la santé ou des médicaments n’est pas compatible avec les bases juridiques citées. Une recommandation ciblée à des assurés sélectionnés sur la base d’un état de santé ou d’une maladie spécifiques n'entre pas dans le champ de l’art. 84 LAMal, car il ne s’agit pas d’une tâche d’exécution déléguée à l'assureur en vertu de la LAMal ou de la LSAMal. Ne reposant sur aucune base légale, un tel traitement de données personnelles est illicite et doit être proscrit.

L'attribution des assurés à une catégorie ou une notation de ceux-ci au moyen d’une analyse de leurs données individuelles (p. ex. celles de leurs primes et prestations LAMal) en vue de les contacter de façon ciblée pour des mesures de marketing, notamment dans le domaine de la LCA‘? ou pour des offres d'entreprises partenaires de l’assureur, n’est pas non plus compatible avec le principe de finalité.

5.2 La communication de données visée à l’art. 84a LAMal

Tous les collaborateurs de l’assureur sont soumis à l'obligation de garder le secret! au sens de l’art. 33 LPGA. Aux termes de cette disposition, les personnes qui participent à l'application des lois sur les assurances sociales ainsi qu’au contrôle ou à la surveillance de cette application sont tenues de garder le secret à l'égard des tiers. L'obligation de garder le secret interdit donc la communication de données personnelles à des tiers, à moins que l’art. 84a LAMal ou d’autres lois ne prévoient des exceptions pour les personnes soumises à cette obligation. De manière générale, on peut dire que les principes généraux de la LPD sont déterminants pour la communication de données. En résumé, cette dernière doit contribuer à l’accomplissement d'une tâche légale, se limiter à la quantité de données nécessaires à cette fin (cf. art. 84a, al. 6, LAMal) et respecter le principe de la bonne foi.

Aux termes de l’art. 84a, al. 1, LAMal, la communication de données personnelles n’est pas admissible si un intérêt privé prépondérant (au premier chef, les intérêts des personnes sur lesquelles des données seraient communiquées, mais aussi, en second lieu, ceux de tierces personnes) s'y oppose. L'intérêt prépondérant s’apprécie dans une perspective objectivante. L’admissibilité de la communication de données est de la responsabilité de l’organe qui les transmet. L’exactitude des indications motivant la demande de transmission est en revanche de la responsabilité de l’instance requérante.

L’organe qui transmet les données doit par conséquent vérifier si la communication demandée est nécessaire à l'instance requérante pour accomplir ses tâches. Il doit également vérifier si les autres conditions légales sont respectées.

Si aucun intérêt privé prépondérant ne s’y oppose, l’art. 84a, al. 1, LAMal prévoit que les organes chargés d’appliquer la LAMal ou la LSAMal ou d'en contrôler ou surveiller l'application peuvent communiquer des données, en dérogation à l’art. 33 LPGA, pour autant que les conditions énumérées exhaustivement à l’art. 84a, al. 1, let. aah, soient remplies.

Alors que les let. a à gPi autorisent la communication de données sans qu’une demande écrite ait été présentée au préalable, la let. h prévoit que des données ne peuvent être communiquées que dans des cas d'espèce et sur demande écrite et motivée aux autorités compétentes en matière d'aide sociale,

13 Loi fédérale du 2 avril 1908 sur le contrat d'assurance (RS 221.229.1)

14 L'obligation de garder le secret régie par la LPGA porte sur tout élément qui vient à la connaissance de la personne tenue au secret dans l'exercice de son activité. Cette connaissance peut provenir en particulier du dossier, de l'instruction du cas (p. ex. de la procédure d'administration des preuves) ou de l'appréciation des faits (KIESER, ATSG-Kommentar, 4° édition, Art. 33 ATSG, n° 22, p. 662). L'auteur ajoute que « toute personne ou service extérieurs à l’assureur de la branche concernée doivent être réputés tiers. C'est notamment le cas [...] des autres assurances (en particulier des assurances privées) ou des autres autorités. Il n’en va pas différemment lorsque l'assureur social concerné est lié, juridiquement ou de fait, à une autre assurance (complémentaire, par exemple [...]) ; l'obligation de garder le secret visée à l’art. 33 LPGA doit être respectée au même titre que si le lien en question n'existait pas. Peu importe à cet égard, en fin de compte, que le tiers en question soit ou non tenu de garder le secret ; l'obligation de garder le secret s'applique dans tous les cas » (Kieser, op. cit., n° 23 et 24, pp. 662 s.).

7116

aux tribunaux civils, aux tribunaux pénaux et aux organes d'instruction pénale, ainsi qu'aux offices des poursuites et aux autorités de protection de l’enfant et de l'adulte.

5.2.1 La communication de données dans la pratique des formes particulières d'assurance avec

choix limité du fournisseur de prestations

En vertu de l’art. 84a, al. 1, let. a, LAMal, les organes chargés d'appliquer l’assurance-maladie sociale peuvent communiquer des données à d’autres organes chargés de cette application, lorsque ces données sont nécessaires à l’accomplissement des tâches que la LAMal ou la LSAMal leur assignent.

Dans la pratique des formes particulières d'assurance avec choix limité du fournisseur de prestations visées aux art. 41, al. 4, et 62 LAMal, certaines données concernant l'assuré sont échangées entre l'assureur et un organe de coordination (p. ex. centre de télémédecine ou médecin de premier recours). L’OFSP est d’avis que l'organe de coordination participe à la pratique de la forme particulière d’assurance en question et que l'application de la loi lui est partiellement déléguée. Les données peuvent être traitées et communiquées, en vertu des art. 84 et 84a, al. 1, let. a, LAMal en relation avec l’art. 41, al. 4, LAMal, si elles sont nécessaires à l'application de la forme particulière d'assurance. Cette application doit être liée au choix limité du fournisseur de prestations et viser des soins plus avantageux. C’est par exemple le cas si le traitement et la communication des données sont nécessaires pour établir le droit de l'assuré aux prestations et pour calculer les prestations selon les règles de la forme particulière d'assurance (cf. art. 84, let. c, LAMal).

Pour que les assurés soient suffisamment informés avant de contracter une forme particulière d’assurance avec choix limité du fournisseur de prestations, les clauses soumises à approbation concernant cette forme d'assurance doivent préciser la nature des données personnelles qui seront communiquées, leurs destinataires et le but de cette communication. L’assuré doit être informé de façon précise des données transmises, de l'identité du destinataire et de la finalité de l'échange de données.

Les autres conditions rendant admissible la communication de données sont réglées de façon exhaus-

5.2.2 Le consentement écrit dans des cas particuliers

Dans les cas prévus à l’art. 84a, al. 5, let. b, LAMal, les données personnelles ne peuvent être transmises que dans le cas d'espèce, à cette fin unique et avec le consentement écrit de la personne concernée. Une communication régulière et systématique de données par un processus automatisé (p. ex. sous forme de listes) n’est pas admissible, et notamment pas sur la base d’une procuration générale. Quant à la question de savoir ce qui doit être considéré comme cas d'espèce, il est permis de suivre l'avis de certains commentateurs'$ pour qui une interprétation uniforme des dispositions de la LPD et de la LAMal déterminantes ici'® est indiquée, et le consentement en l'espèce pourrait se référer, selon le premier message relatif à la LPD, à une communication faite à plusieurs reprises!7.

Ce qui est déterminant, c'est que le cas pour lequel le consentement est donné soit décrit de façon suffisamment claire et concrète. Les circonstances dans lesquelles la communication peut avoir lieu doivent être claires pour la personne concernée.

15 Cf. Lukas Bühimann/Michael Schüepp, Information, Einwilligung und weitere Brennpunkte im (neuen) Datenschutzrecht, in : Jusletter, 15 mars 2021 (Edition Weblaw), ch. 39-48, pp. 14-16.

17 cf. message du 23 mars 1988 concernant la LPD, FF 1988 11 476, et message du 19 février 2003 relatif à la modification de la LPD, FF 2003 1939 (propos identiques).

Circulaire n° 7.1 8/16

Quant à la forme écrite, les mêmes commentateurs estiment que l'exigence formulée à l’art. 84a, al. 5, let. b, LAMal ne contient aucun indice sur ce que le législateur historique entendait protéger par ce moyen. Ses intentions les plus vraisemblables sont une fonction d'avertissement, autrement dit, la protection contre une décision irréfléchie, et une fonction d’information, autrement dit, le renvoi à certaines indications avant la remise d'une déclaration de consentement importante. Mais une signature manuscrite n’est pas indispensable pour cela. Le consentement doit au moins être donné sous une forme permettant la preuve par le texte. Ce qui est déterminant ici, c’est que la déclaration de consentement parvienne au destinataire sous une forme visuellement perceptible et physiquement reproductible. Cette exigence peut être satisfaite même par des processus d'inscription ou de commande en ligne".

5.2.3 Autres principes à observer

Une compagnie d'assurance qui propose des assurances régies par la LCA et qui appartient au même groupe que l’assureur-maladie est un tiers au sens de l’art. 84a, al. 5, LAMal. Si l’assureur-maladie propose lui-même des assurances régies par la LCA, les principes cités plus haut, et notamment le principe de finalité et le traitement selon le principe de la bonne foi s'appliquent aussi. Là où le recours aux mêmes flux (automatisés) de données personnelles pour l'assurance obligatoire des soins et pour les assurances régies par la LCA recèle un potentiel d'usage abusif, il s'impose d'opter pour des voies de traitement séparées.

Ainsi, la communication de données personnelles à des organes externes n’est admissible que dans un cadre très restreint. Elle est admissible aussi dans le cadre de l'assistance administrative au sens de l’art. 32, al. 2, LPGA et de l’art. 82 LAMal, prétée de manière générale ou dans des cas particuliers, ainsi que dans le cadre de la consultation du dossier au sens de l’art. 47 LPGA. Conformément à l’art. 120 OAMal, les assureurs doivent informer les assurés sur la communication de données prévue à l’art. 84a LAMal et sur l'assistance administrative prétée en vertu des art. 32, al. 2, LPGA et 82 LAMal.

Par ailleurs, les réorganisations et les fusions recèlent le risque que des personnes non autorisées aient accès à des données personnelles, que trop de données soient communiquées (trop tôt ou pas aux bonnes personnes) ou que des données personnelles soient utilisées à d’autres fins que celles prévues par la loi. Il importe donc de veiller, à toutes les phases d’une réorganisation ou d’une fusion, à ce que les données personnelles transmises continuent de n'être traitées que pour le but indiqué lors de leur collecte, qui était reconnaissable dans son contexte ou prévu par la loi (art. 6 LPD), et que seules des personnes autorisées y aient accès.

Rappelons que la LSAMal prévoit à cet égard des sanctions dans ses dispositions pénales (art. 54, al. 1, let. d, et al. 2).

6 Suite des travaux

L'OFSP vérifiera, en coordination avec le PFPDT et par des contrôles menés sur place par la section Audit, si les prescriptions du droit de l’assurance-maladie en matière de protection des données sont respectées conformément à la présente circulaire. Toute violation de ces prescriptions peut avoir des conséquences pénales, mais aussi entraîner des mesures de surveillance au sens des art. 38 et 39 LSAMal. De plus, l'OFSP peut informer le public sur les mesures qu'il a prises et les sanctions qu'il a prononcées (art. 37 LSAMal).

18 Tel est l'avis de Bühimann/Schüepp , loc. cit., ch. 39-48, pp. 14-16, avec renvoi à diverses sources.

Circulaire n° 7.1 9/16

La présente circulaire remplace la circulaire 7.1 du 20 décembre 2021 suite à la révision totale de la

LPD, en vigueur depuis le 1° septembre 2023.

Christen Thomas BRSM06 06.04.2024

Thomas Christen Directeur suppléant OFSP Responsable Assurance maladie et accidents

Annexes : Annexes 1 a 4

Muri Philipp MRRAH1 05.04.2024

Philipp Muri Responsable de la division Surveillance de l'assurance

Annexe 1 : Questionnaires relatifs à l’état de santé

Art. 5 Cst. / Art. 5, let. i, LSAMal / Art. 61, al. 1, OSAMal / Art. 6a OAMal

Les questions relatives à l’état de santé des personnes qui déposent une demande d'affiliation à l’assurance obligatoire des soins sont contraires au droit de l’assurance-maladie (et de la surveillance de celle-ci) et au principe de proportionnalité. Recueillir de cette manière des données relatives à l'état de santé est illicite.

Les assureurs n'ont pas le droit, lors de l’admission de personnes tenues de s'assurer, de s'informer sur leur état de santé. Cette interdiction découle de leur obligation d'admettre toute personne tenue de s'assurer (art. 5, let. i, LSAMal) et du principe de proportionnalité défini à l’art. 5, al. 2, Cst.'®

Les questions relatives à l’état de santé ne peuvent être posées au moment de l’admission que si la personne tenue de s'assurer fait expressément part de son intérêt à conclure une assurance complémentaire au sens de la LCA ou une assurance facultative d’indemnités journalières au sens de la LAMal. Le questionnaire correspondant devra porter exclusivement sur les assurances non obligatoires et le préciser clairement. Le formulaire d'affiliation comportant des questions relatives à l’état de santé doit être strictement séparé du formulaire d'affiliation à l'assurance obligatoire des soins.

Les assureurs doivent veiller à ce que les courtiers en assurances qu'ils mandatent ne s’informent pas de l’état de santé des personnes intéressées à s’affilier.

Si des données relatives à l’état de santé ont déjà été obtenues de cette manière, ces informations, recueillies de manière illicite, et les fichiers qui les contiennent, dont l'exploitation est par voie de conséquence également illicite, doivent être détruits sans délai.

19 Constitution fédérale du 18 avril 1999 (RS 101)

Annexe 2 : Case management

Divers assureurs proposent une gestion des cas (case management), laquelle n’est pas définie de manière uniforme.

La gestion de cas donne lieu au traitement de beaucoup de données sensibles. Comme les gestionnaires de cas agissent aussi bien dans l'intérêt de la personne concernée que dans celui de l’assureur, des conflits d'intérêts peuvent survenir ; il importe donc d'observer scrupuleusement les principes de finalité et de transparence (art. 6, al. 2 et 3, LPD). Ce que ce procédé a de particulier, c'est que le gestionnaire de cas est engagé par l’assureur pour réduire autant que possible les coûts occasionnés par un accident ou par une maladie et pour prendre en charge la personne concernée de manière à ce qu'elle recouvre la santé le plus rapidement possible.

Pour que le gestionnaire de cas puisse procéder légalement au traitement de données, il est essentiel qu'il informe la personne concernée de son rôle, de ses objectifs, du but du traitement des données ainsi que de son mandataire, l’assureur-maladie. Les données personnelles recueillies ne peuvent être utilisées qu’à des fins que la personne concernée est à même de reconnaître. Le gestionnaire de cas doit veiller à la transparence en fournissant toutes les informations nécessaires.

Dans la gestion de cas, la quantité de données personnelles, sensibles, qui sont échangées entre l’assureur, le gestionnaire de cas et les fournisseurs de prestations est plus importante qu'elle ne le serait sans gestion des cas. Il faut donc que l’assuré y consente expressément (cf. annexe 3, ch. 1).

L’assuré doit être informé de façon précise des données transmises, de l'identité du destinataire et de la finalité de l'échange de données. II doit en outre pouvoir révoquer son consentement en tout temps, et être informé de ce droit.

En ce qui concerne la subordination technique et organisationnelle ainsi que le taux d'occupation défini pour la gestion des cas, il importe de veiller à ce que les postes des gestionnaires de cas et de leurs auxiliaires soient conçus de manière à n’entrainer aucun conflit d'intérêts. Ces personnes ne doivent pas être chargées de tâches incompatibles les unes avec les autres.

Annexe 3 : Procuration / consentement

Art. 321 CP / Art. 28, al. 3, 33 et 43, al. 3, LPGA / Art. 5, let. i, LSAMal / Art. 42, al. 3, et 84a LAMal /

Art. 6a, al. 1, OAMal

3.1 Procuration / consentement

En vertu de l’art. 33 LPGA, les assureurs sont tenus de garder le secret à l'égard des tiers. IIs ne peuvent communiquer des données que si les conditions énoncées à l’art. 84a LAMal sont remplies. Les fournisseurs de prestations et leurs auxiliaires sont soumis au secret professionnel (art. 321 CP) ; les autres acteurs du domaine de la santé (autres assureurs sociaux, assureurs privés) sont également soumis a l'obligation de garder le secret (art. 33 LPGA, art. 62 LPD). En pratique, nombreux sont les assureurs qui exigent de leurs assurés la signature d’une procuration qui les autorise a recueillir des informations auprès de tiers ou à communiquer des informations à des tiers. Une telle procuration doit remplir les conditions prévues par la loi, notamment celles de l’art. 6 LPD. Les données de l'assuré ne peuvent donc être traitées que si ce dernier a donné librement son consentement éclairé. Le consentement est dit éclairé si la personne a été dûment informée au moment où elle donne son consentement, autrement dit, si elle est en mesure d’en estimer la portée et de discerner les données qui sont transmises, les personnes qui peuvent transmettre ces informations et celles à qui ces dernières peuvent être transmises, ainsi que le but de la transmission de ces informations. Les données relatives à l’état de santé sont des données sensibles au sens de l’art. 5, let. c, LPD. Leur traitement requiert donc le consentement explicite de l'assuré (art. 6, al. 7, LPD).

3.2 Procuration au moment de l’affiliation

Aux termes de l’art. 5, let. i, LSAMal, les assureurs doivent admettre, dans les limites de leur champ territorial d'activité, toute personne tenue de s'assurer et toute personne qui est en droit de conclure un contrat d'assurance d’indemnités journalières. Les questionnaires relatifs à l'état de santé sont interdits (cf. annexe 1). Étant donné que l'assureur est autorisé à demander, dans le formulaire d'affiliation, toutes les données nécessaires à l'admission dans l’assurance obligatoire des soins ou au changement d’assureur (art. 6a, al. 1, OAMal), une procuration est superflue. En effet, l'assureur doit obtenir tous les renseignements nécessaires de l'assuré lui-même.

3.3 Procuration lors d’un cas de prestations

Aux termes de l’art. 28, al. 1, LPGA, les assurés et les employeurs doivent collaborer gratuitement à l'exécution des lois sur les assurances sociales. L'art. 28, al. 3, LPGA précise que les personnes qui font valoir le droit à des prestations d'assurance sont tenues d'autoriser dans le cas d'espèce toutes les personnes et institutions concernées, notamment les employeurs, les médecins, les assurances et les organes officiels, à fournir les renseignements nécessaires pour établir le droit aux prestations. Ces personnes et institutions sont tenues de donner les renseignements requis.

En vertu de l’art. 28, al. 3, LPGA et sous réserve de l’art. 42, al. 3, LAMal, la procuration doit toujours se référer à un cas de prestations particulier. Dans le document qu'il soumet à l'assuré pour signature, l'assureur doit indiquer expressément le cas d'assurance (maladie / accident, date) pour lequel la procuration est demandée. Une procuration établie pour des cas de prestations futurs n'est donc pas valide.

La procuration doit respecter le principe de proportionnalité : l'assureur ne peut pas obtenir davantage d'informations que celles dont il a besoin pour remplir ses tâches conformément à la LSAMal et à la LAMal. Il ne peut pas non plus porter à la connaissance de tiers davantage de données que celles dont ceux-ci ont effectivement besoin.

L’assuré peut révoquer la procuration en tout temps. II doit être informé explicitement de ce droit.

Il n'est pas correct d'indiquer dans la procuration que le défaut de signature de ce document entraîne la suspension ou la suppression du droit aux prestations. Si l’assuré refuse à tort de signer la procuration, l'assureur doit lui adresser une mise en demeure écrite pour lui rappeler son obligation de collaborer et l’informer des conséquences juridiques. L’assureur peut impartir à l'assuré un délai de réflexion convenable (art. 43, al. 3, LPGA).

Annexe 4 : Facturation dans le cas d’un modèle de rémunération de type DRG ainsi que dans le secteur ambulatoire et dans le domaine de la réadaptation

Art. 42, al. 35s, LAMal / Art. 59, 59a, 59abis et 59ater, al. 2, OAMal / Ordonnance du DFI du 20 novembre 2012 sur les fichiers de données pour la transmission des données entre fournisseurs de prestations et assureurs2°

4.1 Transmission systématique des données

L’art. 42, al. 35s, LAMal a concrétisé le principe de la transmission systématique de données entre fournisseurs de prestations et assureurs. La transmission de données dans le cas d’un modèle de rémunération de type DRG a été précisée dans les dispositions de l’art. 59a OAMal. S'agissant de la facturation dans le secteur ambulatoire et dans le domaine de la réadaptation, la transmission des données est réglée à l’art. 59abis OAMal. Les fournisseurs de prestations doivent faire figurer dans la facture les diagnostics et les procédures sous forme codée, conformément aux classifications contenues dans l'édition suisse correspondante publiée par le département compétent.

Pour qu’un assureur puisse recevoir les factures ainsi que les fichiers de données administratives et médicales, il doit impérativement disposer d’un service de réception des données certifié (art. 59a, al. 6, OAMal). L'OFSP contrôle, dans le cadre de sa surveillance visée à l’art. 34, al. 1, let. a à c, LSAMal, si chaque assureur dispose d’un tel service. Le contrôle de la certification du service de réception des données au sens de l’art. 13 LPD est du ressort du PFPDT.

Le fournisseur de prestations doit transmettre au service de réception des données de l'assureur les indications administratives et médicales en même temps que la facture (art. 59a, al. 3, OAMal). Pour que le fichier de données administratives et le fichier de données médicales puissent être regroupés après le tri, le fournisseur de prestations doit les munir d’un numéro d'identification unique (art. 59a, al. 1, OAMal).

4.2 Contenu de la facture

En vertu de l’art. 42, al. 35s, LAMal en relation avec l’art. 59a, al. 2, OAMal, le fournisseur de prestations doit coder les diagnostics et les procédures conformément aux classifications mentionnées pour la statistique médicale des hôpitaux au ch. 62 de l’annexe à l’ordonnance du 30 juin 1993 sur les relevés statistiques?! et les faire figurer sous forme codée dans la facture.

L'art. 59a, al. 3, OAMal prescrit en outre que le fournisseur de prestations doit transmettre au service de réception des données de l’assureur, en même temps que la facture, les fichiers contenant les indications administratives et médicales visées à l’art. 59, al. 1, OAMal. Le même article prévoit que l’assureur doit garantir que ce service soit le seul à pouvoir obtenir l'accès aux indications médicales.

La structure uniforme des fichiers de données, leur étendue et leur contenu sont définis dans l’ordonnance du DFI du 20 novembre 2012 sur les fichiers de données pour la transmission des données entre fournisseurs de prestations et assureurs.

4.3 Service de réception des données

Le service de réception des données certifié a pour fonction de réaliser un tri entièrement automatisé des factures au moyen des données de la facture, indications médicales et administratives comprises. Ce tri se fait selon des paramètres fixés au préalable par l'assureur. Ce dernier doit les fixer de manière

20 RS 832.102.14 27 RS 431.012.1

à prendre en compte le principe de proportionnalité au sens de la LPD tout en permettant un contrôle efficace de la facture et du caractère économique des prestations. Le contrôle du principe de proportionnalité au sens de la LPD est du ressort du PFPDT.

Après que le service de réception des données certifié a effectué ce tri, seules les factures qui présentent des anomalies en fonction des paramètres sélectionnés sont transmises au service compétent de l'assureur pour un contrôle approfondi. Avant de procéder à l'évaluation requise de l’ensemble de données médicales cliniques (MCD}?, le service de réception des données doit s'assurer que ce dernier corresponde à une facture qui concerne effectivement une personne assurée auprès de l’assureur. Toutes les factures qui ne présentent pas d'anomalies sont débloquées pour paiement, mais les indications médicales doivent être conservées sous forme chiffrée auprès de l'assureur.

Si les indications médicales visées à l’art. 59, al. 1, OAMal ne sont pas conservées sous forme chiffrée, l'identité des assurés doit être protégée au moyen d’un pseudonyme pour la conservation de ces indications (art. 59a'", al. 2, 1° phrase, OAMal).

Toutes les factures que le service de réception des données a écartées en vue d’un contrôle approfondi doivent être effectivement contrôlées de façon approfondie par l’assureur. Le tri ne doit pas aboutir à un stockage indéfini de ces factures.

Après le contrôle approfondi des factures en question, les indications médicales doivent également être archivées sous forme chiffrée ou protégée au moyen d’un pseudonyme.

Une fois l'archivage effectué sous cette forme, seul le médecin-conseil peut lever l’utilisation du pseudonyme ou le chiffrement (art. 59af, al. 2, 2° phrase, OAMal).

22 Les indications médicales pour la facture sont transmises à l’assureur dans un fichier défini (Medical Clinical Dataset, MCD).