La gestion des données personnelles de Santé par les mutuelles en question

Les organismes d’assurance maladie complémentaire ont-ils le droit de gérer les données de Santé personnelles qu’ils reçoivent des professionnels de Santé ? C’est la question à laquelle a tenté de répondre la CNIL dans un communiqué, après le dépôt de plainte de nombreux patients. Mais les réponses apportées, hormis les nécessaires ajustements législatifs, sont insuffisantes au vu de la problématique soulevée.

Les usages du numérique appliqués à la Santé génèrent des volumes exponentiels de données, les Big datas de Santé, qui sont, d’une part, hautement confidentielles, d’autre part, très recherchées par les scientifiques et l’industrie.

Quelle confidentialité pour les données de Santé gérés par les mutuelles ?

Elles font ainsi l’objet d’une attention toute particulière de la part des organismes de tutelle ainsi que du législateur, par le truchement, notamment, du Règlement Général sur la Protection des Données (RGPD) et de la loi Informatique et Libertés. Mais il arrive que cette confidentialité attendue de tous ne soit quelque peu bafouée, soit par inadvertance, soit par cupidité, ces informations ayant une valeur certaine. C’est ainsi que la Commission Nationale Informatique et Libertés (CNIL) a reçu, depuis 2020, des centaines de plaintes d’assurés sociaux visant les pratiques de certaines mutuelles qui reçoivent des données générées par les professionnels de santé pour le suivi des patients, via les ordonnances et prescriptions médicales. Ces données, communiquées dans le but d’assurer le remboursement des dépenses de santé, sont acheminées sous la forme de codes spécifiques, utilisés dans le cadre de la sécurité sociale.

Des patients portent plainte, la CNIL se penche sur le problème

Mais les patients ayant porté plainte considèrent que la confidentialité de leurs données de Santé a été violée, ce qui, en effet, pose la question de la pertinence de leur gestion par des organismes d’assurance maladie complémentaire qui sont des sociétés privées. La CNIL s’est donc penchée sur ce problème et a examiné la possibilité pour ces dernières de gérer ces informations en conformité avec le RGPD et la Loi Informatique et libertés. Dans un communiqué du 14 novembre 2022, elle a rappelé que l’ensemble de ces données (codes, ordonnances, prescriptions, etc.) sont des données personnelles de Santé et sont donc couvertes par le secret médical. Leur collecte et leur utilisation sont dès lors interdites, sauf exceptions prévues à l’article 9 du RGPD ou si une loi le permet.

Une législation à affiner

Et c’est dans ce cadre que les mutuelles sont autorisées, selon la CNIL, à utiliser des données de santé pour procéder aux remboursements de leurs assurés, tout en remarquant que la législation n’est pas assez claire dans ce domaine. Elle souhaite que les textes soient affinés pour mieux encadrer ces pratiques et donner des garanties aux personnes en cas d’éventuels écarts de conduite. La CNIL remarque, de plus, qu’une dérogation au secret médical devrait être précisée et complétée dans la Loi, pour accorder cette dérogation en l’encadrant et en prévoyant des garanties appropriées. Mais, pour l’heure, aucune suite ne devrait être donnée aux plaintes suscitées, les organismes d’assurance maladie complémentaire étant sensées utiliser les données de Santé à des fins professionnelles.

Des dispositions peu satisfaisantes prises par la CNIL

La CNIL autorise donc les transmissions à se poursuivre pour les contrats dits « responsables », qui ouvrent droit à certains avantages fiscaux et s’inscrivent dans le cadre de la réforme du « 100% santé ». Pour les autres, le patient doit soit transmettre les informations lui-même à sa mutuelle, soit autoriser au cas par cas son professionnel de santé à le faire. Dans ce cas, il est légitime de se demander comment, dans le cas où le patient refuse de transmettre ses informations à sa mutuelle, celle-ci évaluera précisément le coût des actes médicaux générés en vue de leur remboursement ou pire, si ces actes pourront être remboursés. Une question sur laquelle la CNIL devra se pencher...

Bruno Benque
Rédacteur en chef www.cadredesante.com
bruno.benque@cadredesante.com
@bbenk34.