Données personnelles de santé : la Cnil fait un premier pas vers le recadrage des Ocam

Les nuages s’accumulent au-dessus des organismes complémentaires d’assurance maladie (Ocam) qui s’apprêtent à affronter une zone de turbulences concernant leur faculté de recevoir et traiter des données de santé à caractère personnel. Si l’on en croit le courrier que vient de leur envoyer la Commission nationale de l’informatique et des libertés (Cnil), les fondements juridiques les autorisant à recevoir et traiter de telles données sont très fragiles. Dans un contexte perturbé depuis plusieurs années pour l’activité des Ocam, la commission propose ni plus ni moins qu’une loi spécialement dédiée à l’encadrement du traitement de données personnelles de santé par ces organismes. Cette loi serait officiellement dédiée à la sécurisation du cadre juridique applicable, mais le législateur pourrait être tenté de durcir les conditions d’exercice des complémentaires santé en réduisant leurs marges de manœuvre actuelles dans l’utilisation des données.

L’analyse publiée par la Cnil reprend les points contenus dans le courrier qu’elle a envoyé aux Ocam. La commission explique qu’elle s’est penchée sur la question du fondement juridique de ce traitement de données de santé à caractère personnel (que nous appelons ci-après « données de santé ») après avoir reçu des centaines de plaintes de la part d’assurés d’une cinquantaine de complémentaires santé. Ces assurés questionnent la Cnil sur la légalité du traitement de leurs données par les Ocam. N’oublions pas que ces données dites sensibles sont protégées par un principe d’interdiction de traitement (article 6 de la loi relative à l’informatique, aux fichiers et aux libertés, dite Lil, et article 9 du Règlement général relatif à la protection des données, dit RGPD). Seules certaines exceptions très strictes, définies par la Lil et le RGPD, permettent de traiter de telles données.

La commission propose alors une étude courte et néanmoins intéressante sur le droit applicable en la matière. Il en ressort que les Ocam évoluent aujourd’hui entre deux eaux. D’un côté, les traitements de données de santé consacrés au fonctionnement des contrats responsables peuvent être rattachés à des fondements juridiques plutôt stables (mais cela n’est pas parfaitement clair au premier abord). De l’autre, les traitements liés aux contrats non responsables échappent à ces fondements et leur base légale est beaucoup moins évidente : l’activité des complémentaires santé sur ce volet est alors largement fragilisée.