- Le responsable de la protection des données du canton de Zurich attire l’attention sur les accès illégaux des case managers aux données des patients.
- Les assureurs maladie ont besoin de consentements valides et éclairés ; les obligations d’information envers les assurés ne sont pas suffisamment remplies.
- L’OFSP/EDÖB recommande des concepts de protection des données, des registres de collecte de données, des responsables et des audits externes chez les assureurs.
- Le droit fédéral (LPD, LAMal, LPGA) s’applique ; les autorités de surveillance contrôlent les assureurs individuellement, une modification de la loi n’est pas jugée nécessaire pour le moment.
Interpellation Prelicz-Huber (09.3515) : Gestion des cas. Atteintes illégales au secret des patients et violation de la protection des données
Fait (25.09.2009)
Texte soumis
Dans son 14e rapport d’activités du 3 mars 2009, le préposé à la protection des données du canton de Zurich a clairement indiqué que les gestionnaires de cas (case managers) des assureurs-maladie peuvent accéder de manière étendue aux données de santé dans les hôpitaux, violant ainsi parfois massivement la protection des données et le secret des patients. Les conventions existantes entre les assureurs et les hôpitaux ne règlent que l’activité de coordination des gestionnaires de cas et contiennent des dispositions insuffisantes concernant la préservation du secret médical et du secret des patients ou des indications sur un devoir d’information de la part des assureurs. Une réglementation légale dans la loi sur l’assurance-maladie fait défaut.
Les assureurs-maladie se procurent des données sensibles sur la santé même sans le consentement des patients et disposent par exemple avant eux d’informations telles que le diagnostic, les mesures thérapeutiques ou la durée probable de l’hospitalisation. Même lorsqu’une déclaration de consentement est obtenue, l’information nécessaire des patients fait manifestement défaut. Cette situation intolérable va si loin que les hôpitaux sont même invités par les assurances à signaler à l’assureur les personnes qui ne signent pas la déclaration. Cette situation ne peut plus être tolérée.
Plusieurs questions se posent à ce sujet au Conseil fédéral :
1. bien que l’autorité fédérale de surveillance ait été informée dès 2007 par plusieurs parties des agissements illégaux des assureurs, rien n’a été entrepris à ce sujet. Pourquoi ?
2. comment juge-t-il la gestion du secret médical et du secret des patients lorsque les gestionnaires de cas apprennent souvent beaucoup plus que ce qui est nécessaire, par leur participation à des rapports ou à des planifications de traitement ?
3. comment voit-il la suite à donner à cette démarche des assurances maladie qui viole la loi sur la protection des données ?
4. quelles sont les mesures prises pour garantir la protection des patients et assurer durablement la conformité avec la protection des données ?
5. a‑t-il l’intention de prendre au sérieux la protection des données dans les contrats déjà existants et de vérifier leur légalité, le respect de l’obligation d’information et de la protection des données ?
6. envisage-t-il de modifier la loi ? Si oui, dans quel sens ?
<
h1>Prise de position du Conseil fédéral
<
h1>
1. le Conseil fédéral a déjà constaté, à l’occasion de deux interventions parlementaires précédentes (postulat Heim 08.3493, question Schenker Silvia 09.5060), qu’il était nécessaire d’agir en matière de protection des données dans le domaine de l’assurance obligatoire des soins (AOS). Une enquête qui vient d’être publiée par le Préposé fédéral à la protection des données et à la transparence (Edöb) et l’Office fédéral de la santé publique (OFSP) expose maintenant de manière plus nuancée que la protection des données est largement garantie auprès des assureurs-maladie qui pratiquent l’assurance obligatoire des soins et l’assurance facultative d’indemnités journalières selon la loi fédérale sur l’assurance-maladie (LAMal ; RS 832.10), mais qu’il est nécessaire d’agir dans certains domaines. Avec la publication du rapport, les recommandations suivantes ont été adressées aux assureurs-maladie, dont la mise en œuvre sera vérifiée dans le cadre de la surveillance des assureurs-maladie au cours des prochains mois :
Chaque assureur-maladie devrait élaborer un concept de protection des données (stratégie). Un registre des fichiers doit être tenu par chaque assureur-maladie. Un règlement de traitement doit être établi pour chaque fichier contenant des données personnelles sensibles (description des processus, y compris les responsabilités, les autorisations, le flux de données ainsi que les mesures techniques de sécurité des données). Chaque assureur-maladie devrait désigner un responsable de la protection des données et un maître de fichier pour chaque fichier. Les tâches de ces rôles sont décrites dans un cahier des charges. Les responsables de la protection des données doivent disposer des connaissances techniques nécessaires. Des audits de protection des données externes à l’administration doivent être réalisés régulièrement et les résultats doivent être soumis aux autorités de surveillance.
2. bien que le case management ne soit pas explicitement réglementé par la LAMal, les dispositions relatives à la protection des données s’appliquent de la même manière. Les assurés dont les examens et les traitements sont accompagnés par un case manager doivent, en vertu des principes de la LAMal (p. ex. choix du fournisseur de prestations ou de la méthode de traitement) et des dispositions pertinentes en matière de protection des données, donner leur consentement volontaire et explicite à cet accompagnement ainsi qu’à la consultation de leurs données médicales qui en découle. La validité de leur consentement suppose qu’ils aient été préalablement informés de manière adéquate par leur assureur-maladie et qu’ils soient en mesure de comprendre la portée de leur accord. En outre, ils doivent être informés par le fournisseur de prestations ou l’assureur-maladie que le fournisseur de prestations est en droit, dans des cas justifiés, et en tout cas tenu, à la demande de la personne assurée, de ne communiquer des données médicales qu’au médecin-conseil de l’assureur-maladie.
Les assureurs-maladie sont habilités à traiter les données personnelles, y compris les données sensibles et les profils de la personnalité, dont ils ont besoin pour accomplir les tâches qui leur sont confiées en vertu de la loi, notamment pour évaluer le droit aux prestations et calculer les prestations. Ce faisant, ils doivent respecter strictement le principe de proportionnalité et ne peuvent pas conclure avec les fournisseurs de prestations des accords qui leur donneraient accès à des données sur la santé des assurés dont ils n’ont pas besoin pour accomplir les tâches qui leur sont confiées en vertu de la loi.
3/4 La situation en matière de protection des données dans le domaine du case management varie d’un assureur-maladie à l’autre. Les autorités de surveillance s’adresseront donc individuellement aux assureurs-maladie concernés afin d’améliorer la situation en matière de protection des données.
5. la problématique soulevée par le préposé à la protection des données du canton de Zurich concerne les contrats conclus entre les hôpitaux et les assureurs-maladie au niveau cantonal. L’examen et l’approbation de tels contrats (tarifaires) incombent aux autorités cantonales. Il en va de même pour le respect de la protection des données. En ce qui concerne les réglementations dans les conventions tarifaires, il convient de noter que le Tribunal administratif fédéral a récemment établi, dans son arrêt du 29 mai 2009, que “la transmission du diagnostic et du code d’intervention avec l’annonce d’entrée, respectivement avec la facturation – dans le cadre notamment du principe de proportionnalité et des autres dispositions relatives à la protection des données – n’est admissible que si sa forme exacte est réglée selon le principe de l’intervention la plus faible possible …”.
6) La loi fédérale sur la protection des données (LPD ; RS 235.1) et l’ordonnance relative à la loi fédérale sur la protection des données (OLPD ; RS 235.11) s’appliquent intégralement aux assureurs-maladie en tant qu’organes fédéraux. L’article 33 de la loi fédérale sur la partie générale du droit des assurances sociales (LPGA ; RS 830.1) prévoit une obligation générale de garder le secret pour les organes d’exécution des assurances sociales. Avec les articles 84 et 84a LAMal ainsi que les articles 59 et 120 de l’ordonnance sur l’assurance-maladie (OAMal ; RS 832.102), il existe des dispositions spéciales supplémentaires concernant le traitement des données personnelles, la communication des données, la garantie de la protection des données et l’information des assurés par les assureurs-maladie. En raison de ces normes de protection des données dans le domaine de l’assurance-maladie, aucune autre disposition de protection des données n’est nécessaire pour le case management.