BGE-131-II-413 - 2005-05-09 - ATF - Droit administratif et droit international public - Art. 17 LPD; art. 57, 84 et 84a LAMal; transmission, par le médecin-conseil de l'assureur, du dossier médical de l'assuré

Urteilskopf

131 II 413

30. Extrait de l'arrêt de la Ire Cour de droit public dans la cause X. contre Helsana Assurances SA ainsi que Commission fédérale de la protection des données (recours de droit administratif) 1A.190/2004 / 1A.191/2004 du 9 mai 2005

Regeste (de):

Art. 17 DSG; Art. 57, 84 und 84a KVG; Weiterleitung des medizinischen Dossiers des Versicherten durch den Vertrauensarzt des Versicherers an einen externen Spezialisten.

Eine derartige Weiterleitung ist nach Art. 84 KVG zulässig (E. 2.1). Von hier nicht zutreffenden Ausnahmen abgesehen, benötigt sie weder das Einverständnis des Versicherten noch dessen vorgängige Information (E. 2.4).

Regeste (fr):

Art. 17 LPD; art. 57 , 84 et 84a LAMal; transmission, par le médecin-conseil de l'assureur, du dossier médical de l'assuré à un médecin consultant spécialisé.

Une telle transmission est autorisée par l'art. 84 LAMal (consid. 2.1). Sauf exceptions non réalisées en l'espèce, elle ne nécessite ni le consentement de l'assuré, ni une information préalable (consid. 2.4).

Regesto (it):

Art. 17 LPD; art. 57 , 84 e 84a LAMal; trasmissione a uno specialista dell'incarto medico dell'assicurato da parte del medico di fiducia dell'assicuratore.

Una simile trasmissione è permessa dall'art. 84 LAMal (consid. 2.1). Salvo eccezioni non realizzate in concreto, essa non presuppone il consenso dell'assicurato né la sua preventiva informazione (consid. 2.4).

Sachverhalt ab Seite 414

BGE 131 II 413 S. 414

Le 29 mai 2001, Helsana Assurances SA (ci-après: Helsana) écrivit à son assuré X. qu'elle entendait désormais restreindre la prise en charge d'un traitement de psychothérapie à une séance par semaine, contre deux jusqu'alors. Cette décision a été contestée par l'assuré. Le 13 septembre 2001, le Dr A., médecin-conseil d'Helsana, s'est adressé au Dr B., médecin psychiatre et consultant externe, également médecin-conseil, en lui remettant le dossier de l'assuré afin d'obtenir son avis au sujet de l'indication, du nombre de séances et de la durée des traitements; des cas de ce genre étaient fréquents, et il convenait d'obtenir une ligne générale. Le dossier de l'assuré a été transmis une seconde fois, vraisemblablement le 15 octobre 2001, le médecin-conseil désirant savoir quelle serait l'issue possible en cas de recours. Le Dr B. a rendu deux rapports, les 27 septembre et 24 octobre 2001, estimant qu'il n'y avait pas de raison de dépasser le cadre des prestations prévues à l'art. 3 OPAS. Par acte du 17 mars 2003, X. a saisi la Commission fédérale de la protection des données (ci-après: la commission) en lui demandant notamment de constater le caractère illicite des transmissions de son dossier au Dr B. et d'ordonner la destruction de ses rapports. Par jugement du 3 juin, la commission a rejeté le recours: les transmissions de dossiers au Dr B. étaient licites, car ce dernier pouvait être assimilé à un auxiliaire du médecin-conseil, appelé à se prononcer non seulement sur des questions générales mais aussi sur le cas d'un assuré présentant des difficultés particulières. Exiger un tri préalable ou une anonymisation du dossier n'était pas possible. X. forme un recours de droit administratif contre ce jugement, en reprenant ses conclusions. Subsidiairement, il demande le renvoi de la cause à la commission afin qu'elle statue à nouveau dans le sens des considérants. Le Tribunal fédéral a rejeté le recours.
Erwägungen

Extrait des considérants:

2. Le recourant persiste à considérer comme illicites les transmissions de son dossier par le Dr A. au Dr B. Il relève qu'un médecin traitant n'aurait pas le droit de consulter de cette manière un confrère spécialisé à l'insu de son patient, et qu'il devrait en aller de même pour le médecin-conseil. Le recourant estime que le Dr A. n'aurait pas choisi en toute indépendance le consultant externe,
BGE 131 II 413 S. 415

puisque le Dr B. avait été mandaté par l'assureur pour donner des avis en matière de psychiatrie. Le système des art. 13 Cst. et 321 CP permettrait à toute personne de décider elle-même de l'accès aux données qui la concernent; le principe de transparence, ainsi que les art. 4 , 8 et 9 de la loi fédérale du 19 juin 1992 sur la protection des données (LPD; RS 235.1) supposeraient le consentement du patient, ou à tout le moins une information avant toute transmission de données. La solution consacrée par la commission serait ainsi arbitraire, et violerait les art. 13 Cst. et 8 CEDH. Le recourant se plaint de ce que la liste des médecins-conseils n'ait pas encore été publiée; il estime aussi qu'une liste de médecins consultants spécialisés et agréés devrait être établie.
2.1 Le recourant ne conteste plus que le médecin-conseil, dans le cadre de sa mission, peut requérir l'avis d'un autre médecin spécialisé, appelé à se prononcer sur une question nécessitant des connaissances particulières. En effet, le contrôle du caractère économique et de la qualité des prestations (art. 56 LAMal; RS 832.10) ne peut parfois se faire sans le recours à un spécialiste. Par ailleurs, les contestations des parties quant à la publication de la liste des médecins-conseils, et à la manière dont le choix du Dr B. s'est opéré, sont sans rapport direct avec la question de la protection des données, et n'ont pas à être examinées dans ce cadre. Le recourant admet implicitement que la remise de son dossier médical était bien nécessaire afin de permettre au consultant de donner son avis. La base légale formelle pour une telle transmission est l'art. 84 LAMal, qui prévoit expressément qu'un organe peut traiter ou "faire traiter" des données personnelles, y compris des données sensibles. Cette expression recouvre notamment la transmission de données personnelles dans le cadre d'une mission d'expertise (FF 2000 p. 227; EUGSTER/LUGINBÜHL, Datenschutz in der obligatorischen Krankenpflegeversicherung, in Datenschutz im Gesundheitswesen, Zurich 2001, p. 73-146, 81). En réplique, le recourant estime que les art. 42 al. 5 et 57 al. 7 LAMal empêcheraient toute transmission de données autres que celles qui y sont expressément mentionnées. Tel n'est pas le sens de ces dispositions: la première permet au fournisseur de prestations de ne donner des indications d'ordre médical qu'au médecin-conseil; elle constitue une exception au principe de l'obligation de renseigner de l'art. 42 al. 3 et 4 LAMal, et concerne les relations entre prestataires et assureurs. Quant à l'art. 57 al. 7 LAMal, il concerne la transmission de données à l'assureur. On ne
BGE 131 II 413 S. 416

saurait donc déduire de ces dispositions une interdiction faite au médecin-conseil de transmettre des données à un tiers. L'existence d'une base légale formelle dispense d'examiner si la commission pouvait, comme elle l'a fait également, fonder la transmission litigieuse sur la convention passée le 14 décembre 2001 entre Santésuisse et la Fédération des médecins suisses, relative aux médecins-conseils (laquelle prévoit notamment à son art. 6 le recours à des auxiliaires, tenus au secret professionnel du médecin), ou sur la directive en matière de protection des données édictée par Santésuisse.
2.2 Le recourant ne conteste pas non plus les considérations de la commission en rapport avec le principe de la proportionnalité. Selon le jugement attaqué, la transmission de l'intégralité du dossier était nécessaire afin de s'assurer que le spécialiste dispose des éléments nécessaires pour se prononcer valablement; on ne saurait exiger du non-spécialiste qu'il opère un tri préalable, au risque d'influencer l'avis du spécialiste. On ne pouvait non plus exiger un travail disproportionné d'anonymisation, lequel n'empêcherait au demeurant pas des recoupements d'informations. En définitive, la seule question encore litigieuse à ce stade est de savoir si la transmission du dossier devait être soumise au consentement préalable de l'assuré, ou devait à tout le moins faire l'objet d'une information à ce dernier.
2.3 L'assureur-maladie ayant la qualité d'organe fédéral au sens de l'art. 2 al. 1 let. a LPD, il en va de même du médecin-conseil. La transmission des données personnelles est régie à la fois par cette loi et par la LAMal; hormis l'obligation générale de garder le secret posée à son art. 33 , la loi fédérale du 6 octobre 2000 sur la partie générale du droit des assurances sociales (LPGA; RS 830.1) ne règle pas ce problème. Selon l'art. 3 let. e LPD, la communication de données personnelles, soit le fait de les rendre accessibles en les transmettant (let. f) constitue un traitement au sens des art. 16 ss LPD. Un tel traitement nécessite une base légale (art. 17 al. 1 LPD). Un dossier médical renfermant des informations sur la santé d'un patient contient en outre des données sensibles au sens de l'art. 3 let. c ch. 3 LPD, de sorte qu'une base légale formelle est nécessaire (art. 17 al. 2 LPD). S'agissant de communication, les exceptions à cette exigence sont
BGE 131 II 413 S. 417

mentionnées à l'art. 19 al. 1 let. a à d LPD. Il s'agit notamment du besoin absolu du destinataire pour accomplir la tâche (let. a), du consentement de la personne concernée (let. b), ou de l'opposition abusive de ce dernier (let. d). Les art. 84 et 84a LAMal, entrés en vigueur le 1er janvier 2001, constituent la base légale formelle exigée par l'art. 17 al. 2 LPD en matière de traitement et de communication des données. L'art. 84 LAMal prévoit que les organes chargés de l'application de la loi ou d'en surveiller l'exécution "sont habilités à traiter et à faire traiter les données personnelles, y compris les données sensibles et les profils de la personnalité, qui leur sont nécessaires pour accomplir les tâches que leur assigne cette loi, notamment pour: établir le droit aux prestations, les calculer, les allouer et les coordonner avec celles d'autres assurances sociales" (let. c). Intitulé "communication de données", l'art. 84a LAMal prévoit que, "dans la mesure où aucun intérêt prépondérant ne s'y oppose, les organes chargés d'appliquer la présente loi ou d'en contrôler l'application peuvent communiquer des données, en dérogation à l'art. 33 LPGA: à d'autres organes chargés d'appliquer la présente loi ou d'en contrôler l'exécution, lorsqu'elles sont nécessaires à l'accomplissement des tâches que leur assigne la présente loi" (let. a). Le statut des médecins-conseils est défini à l'art. 57 LAMal. Il s'agit de praticiens désignés par les assureurs ou leur fédération, chargés de donner leur avis à l'assureur sur des questions médicales ainsi que sur des questions relatives à la rémunération et à l'application des tarifs. Ils examinent en particulier si les conditions d'une prise en charge d'une prestation sont remplies (al. 4). Les médecins-conseils évaluent les cas en toute indépendance. Ni l'assureur, ni le fournisseur de prestations, ni leurs fédérations ne peuvent leur donner de directives (al. 5).

2.4 L'institution du médecin-conseil a pour but essentiel de garantir les droits de la personnalité des assurés à l'égard des assureurs (OFAS, Protection de la personnalité dans l'assurance-maladie et accidents sociale et privée, rapport d'une commission d'experts instituée par le DFI et le DFJP, mars 2001, p. 106). La loi réglemente ainsi de manière restrictive la transmission de données entre le médecin-conseil et l'assureur (art. 42 al. 5 et 57 al. 7 LAMal), le médecin-conseil ayant pour fonction de sélectionner les informations à destination de l'assureur (rapport OFAS, p. 93 ss). En
BGE 131 II 413 S. 418

revanche, la loi permet au médecin-conseil de transmettre des données à un médecin tiers; la protection des données est assurée dans ce cas, d'une part en raison du secret professionnel auquel est soumis le médecin tiers lui même, d'autre part en raison du fait que le médecin-conseil est responsable de la protection des données qu'il fait ainsi traiter (art. 16 al. 1 LPD, art. 22 OLPD [RS 235.11]). Selon l'art. 57 al. 5 LAMal, le médecin-conseil examine le cas en toute indépendance; la décision de recourir à l'avis d'un spécialise lui appartient, et il est libre dans le choix du consultant. Il doit pouvoir adresser à ce dernier toutes les données propres à la résolution de la question posée, sans que ni l'assureur, ni le fournisseur de prestation, ni même l'assuré n'aient à donner leur consentement à ce genre de démarches. En l'occurrence, le fait que le Dr A. se soit adressé à un praticien qui est lui-même médecin-conseil, constitue une garantie supplémentaire.
2.5 Dans la systématique de l'art. 17 LPD, le consentement de l'intéressé n'est pas nécessaire lorsqu'il existe une base légale formelle pour le traitement de données sensibles. Le médecin-conseil reste toutefois obligé, en vertu du principe de la proportionnalité, de s'en tenir aux données nécessaires au but poursuivi, dans le respect des droits de la personnalité de l'assuré (cf. art. 84a al. 6 LAMal et, par analogie, art. 57 al. 7 in fine LAMal).
A défaut d'un droit d'opposition de la part de l'assuré, un devoir d'information préalable relatif à la transmission des données ne s'impose pas non plus. A ce sujet, le droit d'accès consacré à l'art. 8 LPD constitue une garantie suffisante (ATF 125 II 321). En outre, dans la mesure où la consultation du médecin spécialisé a pour cadre une procédure à l'issue de laquelle une décision formelle devra être prise concernant la prise en charge ou non de certaines prestations, l'information aura lieu dans ce cadre où la consultation du dossier est également garantie; l'assuré pourra faire valoir tous ses griefs à l'encontre du médecin consulté, tant en ce qui concerne sa personne (dans l'optique d'une éventuelle récusation) que du contenu de son avis. Si celui-ci est fondé sur des données inexactes, l'intéressé peut aussi faire valoir, après-coup, son droit de rectification. Ces garanties apparaissent suffisantes dans la mesure où, compte tenu du statut du destinataire des données, il n'y a pas à craindre que celles-ci parviennent à d'autres personnes. C'est par conséquent à tort que le recourant entend faire valoir un droit systématique d'être préalablement renseigné sur la
BGE 131 II 413 S. 419

transmission, par le médecin-conseil, de son dossier à un médecin expert. Il peut certes arriver qu'en raison de circonstances particulières (données particulièrement sensibles, liens possibles entre l'assuré et l'expert), le médecin-conseil puisse être tenu de fournir une telle information, afin de permettre à l'intéressé de s'exprimer au sujet du choix de l'expert, ou des données à lui transmettre; en l'occurrence, le recourant ne démontre pas qu'il existerait des données nécessitant une protection particulière, ou que l'identité du destinataire appelait une information préalable.
2.6 Le recourant invoque en vain l'art. 9 Cst., ainsi que les dispositions constitutionnelles et conventionnelles relatives à la protection de la sphère privée; les garanties qui en découlent ne vont pas plus loin que les droits consacrés dans la législation spécifique. Il s'ensuit que le recours de droit administratif doit être rejeté, sous suite de frais et dépens.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 17 Dérogations - 1 En dérogation à l'art. 16, al. 1 et 2, des données personnelles peuvent être communiquées à l'étranger dans les cas suivants:
¹	En dérogation à l'art. 16, al. 1 et 2, des données personnelles peuvent être communiquées à l'étranger dans les cas suivants:
^a	la personne concernée a expressément donné son consentement à la communication;
^b	la communication est en relation directe avec la conclusion ou l'exécution d'un contrat:
^b1	entre le responsable du traitement et la personne concernée, ou
^b2	entre le responsable du traitement et son cocontractant, dans l'intérêt de la personne concernée;
^c	la communication est nécessaire:
^c1	à la sauvegarde d'un intérêt public prépondérant, ou
^c2	à la constatation, à l'exercice ou à la défense d'un droit devant un tribunal ou une autre autorité étrangère compétente;
^d	la communication est nécessaire pour protéger la vie ou l'intégrité corporelle de la personne concernée ou d'un tiers et il n'est pas possible d'obtenir le consentement de la personne concernée dans un délai raisonnable;
^e	la personne concernée a rendu les données personnelles accessibles à tout un chacun et ne s'est pas opposée expressément au traitement;
^f	les données personnelles proviennent d'un registre prévu par la loi, accessible au public ou à toute personne justifiant d'un intérêt légitime, pour autant que les conditions légales pour la consultation dans le cas d'espèce soient remplies.
²	Le responsable du traitement ou le sous-traitant informe, sur demande, le PFPDT des communications de données personnelles effectuées en vertu de l'al. 1, let. b, ch. 2, c et d.

SR 832.10 Loi fédérale du 18 mars 1994 sur l'assurance-maladie (LAMal) LAMal Art. 57 Médecins-conseils - 1 Après avoir consulté les sociétés médicales cantonales, les assureurs ou leurs fédérations désignent des médecins-conseils. Ceux-ci doivent satisfaire aux conditions d'admission prévues aux art. 36a et 37, al. 1, et avoir pratiqué dans un cabinet médical ou exercé une fonction dirigeante dans un hôpital pendant cinq ans au moins.179
²	Les médecins-conseils appelés à exercer dans toute la Suisse doivent être désignés avec l'accord de la société médicale du canton dans lequel l'assureur a son siège principal ou dans lequel la fédération d'assureurs a son siège.
³	Une société médicale cantonale peut récuser un médecin-conseil pour de justes motifs; dans ce cas, le tribunal arbitral au sens de l'art. 89 statue.
⁴	Le médecin-conseil donne son avis à l'assureur sur des questions médicales ainsi que sur des questions relatives à la rémunération et à l'application des tarifs. Il examine en particulier si les conditions de prise en charge d'une prestation sont remplies.
⁵	Le médecin-conseil évalue les cas en toute indépendance. Ni l'assureur ni le fournisseur de prestations ni leurs fédérations ne peuvent lui donner de directives.
⁶	Les fournisseurs de prestations doivent donner aux médecins-conseils les indications dont ils ont besoin pour remplir leurs tâches selon l'al. 4. S'il n'est pas possible d'obtenir ces informations par un autre moyen, le médecin-conseil peut examiner lui-même l'assuré; il doit en informer préalablement le médecin traitant et lui communiquer le résultat de l'examen. Si les circonstances le justifient, l'assuré peut toutefois exiger que l'examen soit effectué par un médecin autre que le médecin-conseil. Lorsque l'assuré et l'assureur ne peuvent s'entendre, le tribunal arbitral au sens de l'art. 89 tranche, en dérogation à l'art. 58, al. 1, LPGA180.181
⁸	Les associations faîtières suisses de médecins et d'assureurs règlent la transmission des indications au sens de l'al. 7, la formation continue et le statut des médecins-conseils. Si elles ne peuvent s'entendre, le Conseil fédéral édicte les dispositions nécessaires.

SR 832.10 Loi fédérale du 18 mars 1994 sur l'assurance-maladie (LAMal) LAMal Art. 84 Traitement de données personnelles - 1 Les organes chargés d'appliquer la présente loi ou la LSAMal273 ou d'en contrôler ou surveiller l'exécution sont habilités à traiter ou à faire traiter les données personnelles, y compris les données sensibles, qui leur sont nécessaires pour accomplir les tâches que leur assignent la présente loi ou la LSAMal, notamment pour:274
¹	Les organes chargés d'appliquer la présente loi ou la LSAMal273 ou d'en contrôler ou surveiller l'exécution sont habilités à traiter ou à faire traiter les données personnelles, y compris les données sensibles, qui leur sont nécessaires pour accomplir les tâches que leur assignent la présente loi ou la LSAMal, notamment pour:274
^a	veiller au respect de l'obligation de s'assurer;
^b	calculer et percevoir les primes;
^c	établir le droit aux prestations, les calculer, les allouer et les coordonner avec celles d'autres assurances sociales;
^d	établir le droit à des réductions de primes au sens de l'art. 65275, les calculer et les verser;
^e	faire valoir une prétention récursoire contre le tiers responsable;
^f	surveiller l'exécution de la présente loi;
^g	établir des statistiques;
ⁱ	calculer la compensation des risques.
²	Pour accomplir ces tâches, ils sont en outre habilités à traiter ou à faire traiter des données personnelles, notamment des données permettant d'évaluer la santé, la gravité de l'affection physique ou psychique, les besoins et la situation économique de la personne assurée.278

SR 832.10 Loi fédérale du 18 mars 1994 sur l'assurance-maladie (LAMal) LAMal Art. 84^a Communication de données - 1 Dans la mesure où aucun intérêt privé prépondérant ne s'y oppose, les organes chargés d'appliquer la présente loi ou la LSAMal280 ou d'en contrôler ou surveiller l'application peuvent communiquer des données, en dérogation à l'art. 33 LPGA281:282
^a	à d'autres organes chargés d'appliquer la présente loi ou la LSAMal ou d'en contrôler ou surveiller l'exécution, lorsque ces données sont nécessaires à l'accomplissement des tâches que la présente loi ou la LSAMal leur assignent;
^b	aux organes d'une autre assurance sociale, lorsque, en dérogation à l'art. 32, al. 2, LPGA, l'obligation de les communiquer résulte d'une loi fédérale;
^cbis	aux autorités compétentes en matière d'impôt à la source, conformément aux art. 88 et 100 de la loi fédérale du 14 décembre 1990 sur l'impôt fédéral direct285 et aux dispositions cantonales correspondantes;
^d	aux organes de la statistique fédérale, conformément à la loi du 9 octobre 1992 sur la statistique fédérale286;
^e	aux organismes chargés d'établir des statistiques servant à l'exécution de la présente loi, lorsque les données sont nécessaires à l'accomplissement de cette tâche et que l'anonymat des assurés est garanti;
^f	aux autorités cantonales compétentes, s'agissant des données visées à l'art. 22a qui sont nécessaires à la planification des hôpitaux et des établissements médico-sociaux ainsi qu'à l'examen des tarifs;
^g	aux autorités d'instruction pénale, lorsqu'il s'agit de dénoncer ou de prévenir un crime;
^h	dans des cas d'espèce et sur demande écrite et motivée:
^h1	aux autorités compétentes en matière d'aide sociale, lorsqu'elles leur sont nécessaires pour fixer ou modifier des prestations, en exiger la restitution ou prévenir des versements indus,
^h2	aux tribunaux civils, lorsqu'elles leur sont nécessaires pour régler un litige relevant du droit de la famille ou des successions,
^h3	aux tribunaux pénaux et aux organes d'instruction pénale, lorsqu'elles leur sont nécessaires pour établir les faits en cas de crime ou de délit,
^h4	aux offices des poursuites, conformément aux art. 91, 163 et 222 de la loi fédérale du 11 avril 1889 sur la poursuite pour dettes et la faillite290,
^h5	aux autorités de protection de l'enfant et de l'adulte visées à l'art. 448, al. 4, CC292;
^h6	...294
²	...295
³	En dérogation à l'art. 33 LPGA, les données d'intérêt général qui se rapportent à l'application de la présente loi peuvent être publiées. L'anonymat des assurés doit être garanti.296
⁴	En dérogation à l'art. 33 LPGA, les assureurs sont habilités à communiquer des données aux autorités d'aide sociale ou aux autorités cantonales compétentes en cas de retard de paiement, lorsque, après une sommation infructueuse, l'assuré ne paie pas les primes ou les participations aux coûts échues.297
⁵	Dans les autres cas, des données peuvent être communiquées à des tiers, en dérogation à l'art. 33 LPGA:298
^a	s'agissant de données non personnelles, lorsqu'un intérêt prépondérant le justifie;
^b	s'agissant de données personnelles, lorsque la personne concernée y a, en l'espèce, consenti par écrit ou, s'il n'est pas possible d'obtenir son consentement, lorsque les circonstances permettent de présumer qu'il en va de l'intérêt de l'assuré.
⁶	Seules les données qui sont nécessaires au but en question peuvent être communiquées.
⁷	Le Conseil fédéral règle les modalités de la communication et l'information de la personne concernée.
⁸	Les données sont communiquées en principe par écrit et gratuitement. Le Conseil fédéral peut prévoir la perception d'émoluments pour les cas nécessitant des travaux particulièrement importants.

SR 832.10 Loi fédérale du 18 mars 1994 sur l'assurance-maladie (LAMal) LAMal Art. 84 Traitement de données personnelles - 1 Les organes chargés d'appliquer la présente loi ou la LSAMal273 ou d'en contrôler ou surveiller l'exécution sont habilités à traiter ou à faire traiter les données personnelles, y compris les données sensibles, qui leur sont nécessaires pour accomplir les tâches que leur assignent la présente loi ou la LSAMal, notamment pour:274
¹	Les organes chargés d'appliquer la présente loi ou la LSAMal273 ou d'en contrôler ou surveiller l'exécution sont habilités à traiter ou à faire traiter les données personnelles, y compris les données sensibles, qui leur sont nécessaires pour accomplir les tâches que leur assignent la présente loi ou la LSAMal, notamment pour:274
^a	veiller au respect de l'obligation de s'assurer;
^b	calculer et percevoir les primes;
^c	établir le droit aux prestations, les calculer, les allouer et les coordonner avec celles d'autres assurances sociales;
^d	établir le droit à des réductions de primes au sens de l'art. 65275, les calculer et les verser;
^e	faire valoir une prétention récursoire contre le tiers responsable;
^f	surveiller l'exécution de la présente loi;
^g	établir des statistiques;
ⁱ	calculer la compensation des risques.
²	Pour accomplir ces tâches, ils sont en outre habilités à traiter ou à faire traiter des données personnelles, notamment des données permettant d'évaluer la santé, la gravité de l'affection physique ou psychique, les besoins et la situation économique de la personne assurée.278

SR 101 Constitution fédérale de la Confédération suisse du 18 avril 1999 Cst. Art. 13 Protection de la sphère privée - 1 Toute personne a droit au respect de sa vie privée et familiale, de son domicile, de sa correspondance et des relations qu'elle établit par la poste et les télécommunications.
¹	Toute personne a droit au respect de sa vie privée et familiale, de son domicile, de sa correspondance et des relations qu'elle établit par la poste et les télécommunications.
²	Toute personne a le droit d'être protégée contre l'emploi abusif des données qui la concernent.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 4 Préposé fédéral à la protection des données et à la transparence - 1 Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est chargé de surveiller la bonne application des dispositions fédérales de protection des données.
¹	Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est chargé de surveiller la bonne application des dispositions fédérales de protection des données.
²	Il ne peut exercer aucune surveillance sur:
^a	l'Assemblée fédérale;
^b	le Conseil fédéral;
^c	les tribunaux fédéraux;
^d	le Ministère public de la Confédération, en ce qui concerne le traitement de données personnelles dans le cadre de procédures pénales;
^e	les autorités fédérales, en ce qui concerne le traitement de données personnelles dans le cadre de leurs activités juridictionnelles ou dans le cadre de procédures d'entraide judiciaire internationale en matière pénale.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 8 Sécurité des données - 1 Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru.
¹	Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru.
²	Les mesures doivent permettre d'éviter toute violation de la sécurité des données.
³	Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 9 Sous-traitance - 1 Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou la loi le prévoie et que les conditions suivantes soient réunies:
¹	Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou la loi le prévoie et que les conditions suivantes soient réunies:
^a	seuls sont effectués les traitements que le responsable du traitement serait en droit d'effectuer lui-même;
^b	aucune obligation légale ou contractuelle de garder le secret ne l'interdit.
²	Le responsable du traitement doit en particulier s'assurer que le sous-traitant est en mesure de garantir la sécurité des données.
³	Le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu'avec l'autorisation préalable du responsable du traitement.
⁴	Il peut faire valoir les mêmes motifs justificatifs que le responsable du traitement.

SR 832.10 Loi fédérale du 18 mars 1994 sur l'assurance-maladie (LAMal) LAMal Art. 56 Caractère économique des prestations - 1 Le fournisseur de prestations doit limiter ses prestations à la mesure exigée par l'intérêt de l'assuré et le but du traitement.
¹	Le fournisseur de prestations doit limiter ses prestations à la mesure exigée par l'intérêt de l'assuré et le but du traitement.
²	La rémunération des prestations qui dépassent cette limite peut être refusée. Le fournisseur de prestations peut être tenu de restituer les sommes reçues à tort au sens de la présente loi. Ont qualité pour demander la restitution:
^a	l'assuré ou, conformément à l'art. 89, al. 3, l'assureur dans le système du tiers garant (art. 42, al. 1);
^b	l'assureur dans le système du tiers payant (art. 42, al. 2).
³	Le fournisseur de prestations doit répercuter sur le débiteur de la rémunération les avantages directs ou indirects qu'il perçoit:
^a	d'un autre fournisseur de prestations agissant sur son mandat;
^b	de personnes ou d'institutions qui fournissent des médicaments ou des moyens et appareils diagnostiques ou thérapeutiques.
^3bis	Les assureurs et les fournisseurs de prestations peuvent prévoir, dans une convention, que les avantages visés à l'al. 3, let. b, ne sont pas répercutés intégralement. Cette convention doit être communiquée aux autorités compétentes si celles-ci en font la demande. Elle doit garantir qu'une majeure partie des avantages sera répercutée et que les avantages non répercutés seront utilisés de manière vérifiable pour améliorer la qualité du traitement.177
⁴	Si le fournisseur de prestations ne répercute pas cet avantage, l'assuré ou l'assureur peut en exiger la restitution.
⁵	Les fournisseurs de prestations et les assureurs prévoient dans les conventions tarifaires des mesures destinées à garantir le caractère économique des prestations. Ils veillent en particulier à éviter une réitération inutile d'actes diagnostiques lorsqu'un assuré consulte plusieurs fournisseurs de prestations.
⁶	Les fournisseurs de prestations et les assureurs conviennent d'une méthode visant à contrôler le caractère économique des prestations.178

SR 832.10 Loi fédérale du 18 mars 1994 sur l'assurance-maladie (LAMal) LAMal Art. 42 - 1 Sauf convention contraire entre les assureurs et les fournisseurs de prestations, l'assuré est le débiteur de la rémunération envers le fournisseur de prestations. L'assuré a, dans ce cas, le droit d'être remboursé par son assureur (système du tiers garant). En dérogation à l'art. 22, al. 1, LPGA126, ce droit peut être cédé au fournisseur de prestations.127
¹	Sauf convention contraire entre les assureurs et les fournisseurs de prestations, l'assuré est le débiteur de la rémunération envers le fournisseur de prestations. L'assuré a, dans ce cas, le droit d'être remboursé par son assureur (système du tiers garant). En dérogation à l'art. 22, al. 1, LPGA126, ce droit peut être cédé au fournisseur de prestations.127
²	Assureurs et fournisseurs de prestations peuvent convenir que l'assureur est le débiteur de la rémunération (système du tiers payant). En cas de traitement hospitalier, l'assureur, en dérogation à l'al. 1, est le débiteur de sa part de rémunération.128
³	Le fournisseur de prestations doit remettre au débiteur de la rémunération une facture détaillée et compréhensible. Il doit aussi lui transmettre toutes les indications nécessaires lui permettant de vérifier le calcul de la rémunération et le caractère économique de la prestation. Dans le système du tiers payant, le fournisseur de prestations est tenu de transmettre à l'assuré une copie de la facture qui est adressée à l'assureur sans que l'assuré n'ait à le demander. L'assureur et le fournisseur de prestations peuvent convenir que l'assureur fait parvenir la copie de la facture à l'assuré. La facture peut également être transmise à l'assuré par voie électronique.129 En cas de traitement hospitalier, l'hôpital atteste la part du canton et celle de l'assureur de manière séparée. Le Conseil fédéral règle les modalités.130 131
^3bis	Les fournisseurs de prestations doivent faire figurer dans la facture au sens de l'al. 3 les diagnostics et les procédures sous forme codée, conformément aux classifications contenues dans l'édition suisse correspondante publiée par le département compétent. Le Conseil fédéral édicte des dispositions détaillées sur la collecte, le traitement et la transmission des données, dans le respect du principe de la proportionnalité.132
⁴	L'assureur peut exiger des renseignements supplémentaires d'ordre médical.133
⁵	Le fournisseur de prestations est fondé lorsque les circonstances l'exigent, ou astreint dans tous les cas, si l'assuré le demande, à ne fournir les indications d'ordre médical qu'au médecin-conseil de l'assureur, conformément à l'art. 57.
⁶	En dérogation à l'art. 29, al. 2, LPGA, aucune formule n'est nécessaire pour faire valoir le droit aux prestations.134

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 2 Champ d'application à raison de la personne et de la matière - 1 La présente loi régit le traitement de données personnelles concernant des personnes physiques effectué par:
¹	La présente loi régit le traitement de données personnelles concernant des personnes physiques effectué par:
^a	des personnes privées;
^b	des organes fédéraux.
²	Elle ne s'applique pas:
^a	aux traitements de données personnelles effectués par une personne physique pour un usage exclusivement personnel;
^b	aux traitements de données personnelles effectués par les Chambres fédérales et les commissions parlementaires dans le cadre de leurs délibérations;
^c	aux traitements de données personnelles effectués par les bénéficiaires institutionnels au sens de l'art. 2, al. 1, de la loi du 22 juin 2007 sur l'État hôte3 qui jouissent en Suisse de l'immunité de juridiction.
³	Les traitements de données personnelles effectués dans le cadre de procédures devant des tribunaux ou dans le cadre de procédures régies par des dispositions fédérales de procédure, ainsi que les droits des personnes concernées, obéissent au droit de procédure applicable. La présente loi s'applique aux procédures administratives de première instance.
⁴	Les registres publics relatifs aux rapports de droit privé, notamment l'accès à ces registres et les droits des personnes concernées, sont régis par les dispositions spéciales du droit fédéral applicable. À défaut la présente loi s'applique.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
¹	La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
²	Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 16 Principes - 1 Des données personnelles peuvent être communiquées à l'étranger si le Conseil fédéral a constaté que l'État concerné dispose d'une législation assurant un niveau de protection adéquat ou qu'un organisme international garantit un niveau de protection adéquat.
¹	Des données personnelles peuvent être communiquées à l'étranger si le Conseil fédéral a constaté que l'État concerné dispose d'une législation assurant un niveau de protection adéquat ou qu'un organisme international garantit un niveau de protection adéquat.
²	En l'absence d'une décision du Conseil fédéral au sens de l'al. 1, des données personnelles peuvent être communiquées à l'étranger si un niveau de protection approprié est garanti par:
^a	un traité international;
^b	les clauses de protection des données d'un contrat entre le responsable du traitement ou le sous-traitant et son cocontractant, préalablement communiquées au PFPDT;
^c	des garanties spécifiques élaborées par l'organe fédéral compétent et préalablement communiquées au PFPDT;
^d	des clauses type de protection des données préalablement approuvées, établies ou reconnues par le PFPDT;
^e	des règles d'entreprise contraignantes préalablement approuvées par le PFPDT ou par une autorité chargée de la protection des données relevant d'un État qui assure un niveau de protection adéquat.
³	Le Conseil fédéral peut prévoir d'autres garanties appropriées au sens de l'al. 2.

SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) LPD Art. 19 Devoir d'informer lors de la collecte de données personnelles - 1 Le responsable du traitement informe la personne concernée de manière adéquate de la collecte de données personnelles, que celle-ci soit effectuée auprès d'elle ou non.
¹	Le responsable du traitement informe la personne concernée de manière adéquate de la collecte de données personnelles, que celle-ci soit effectuée auprès d'elle ou non.
²	Lors de la collecte, il communique à la personne concernée les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence des traitements soit garantie; il lui communique au moins:
^a	l'identité et les coordonnées du responsable du traitement;
^b	la finalité du traitement;
^c	le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont transmises.
³	Si les données personnelles ne sont pas collectées auprès de la personne concernée, il communique en outre les catégories de données traitées à cette personne.
⁴	Lorsque des données personnelles sont communiquées à l'étranger, il communique également à la personne concernée le nom de l'État ou de l'organisme international auquel elles sont communiquées et, le cas échéant, les garanties prévues à l'art. 16, al. 2, ou l'application d'une des exceptions prévues à l'art. 17.
⁵	Si les données personnelles ne sont pas collectées auprès de la personne concernée, il communique à cette personne les informations mentionnées aux al. 2 à 4 au plus tard un mois après qu'il a obtenu les données personnelles. S'il communique les données personnelles avant l'échéance de ce délai, il en informe la personne concernée au plus tard lors de la communication.