BGE-131-II-413 - 2005-05-09 - DTF - Diritto amministrativo e diritto internazionale pubblico - Art. 17 LPD; art. 57, 84 e 84a LAMal; trasmissione a uno specialista dell'incarto medico dell'assicurato da parte del medico

Urteilskopf

131 II 413

30. Extrait de l'arrêt de la Ire Cour de droit public dans la cause X. contre Helsana Assurances SA ainsi que Commission fédérale de la protection des données (recours de droit administratif) 1A.190/2004 / 1A.191/2004 du 9 mai 2005

Regeste (de):

Art. 17 DSG; Art. 57, 84 und 84a KVG; Weiterleitung des medizinischen Dossiers des Versicherten durch den Vertrauensarzt des Versicherers an einen externen Spezialisten.

Eine derartige Weiterleitung ist nach Art. 84 KVG zulässig (E. 2.1). Von hier nicht zutreffenden Ausnahmen abgesehen, benötigt sie weder das Einverständnis des Versicherten noch dessen vorgängige Information (E. 2.4).

Regeste (fr):

Art. 17 LPD; art. 57 , 84 et 84a LAMal; transmission, par le médecin-conseil de l'assureur, du dossier médical de l'assuré à un médecin consultant spécialisé.

Une telle transmission est autorisée par l'art. 84 LAMal (consid. 2.1). Sauf exceptions non réalisées en l'espèce, elle ne nécessite ni le consentement de l'assuré, ni une information préalable (consid. 2.4).

Regesto (it):

Art. 17 LPD; art. 57 , 84 e 84a LAMal; trasmissione a uno specialista dell'incarto medico dell'assicurato da parte del medico di fiducia dell'assicuratore.

Una simile trasmissione è permessa dall'art. 84 LAMal (consid. 2.1). Salvo eccezioni non realizzate in concreto, essa non presuppone il consenso dell'assicurato né la sua preventiva informazione (consid. 2.4).

Sachverhalt ab Seite 414

BGE 131 II 413 S. 414

Le 29 mai 2001, Helsana Assurances SA (ci-après: Helsana) écrivit à son assuré X. qu'elle entendait désormais restreindre la prise en charge d'un traitement de psychothérapie à une séance par semaine, contre deux jusqu'alors. Cette décision a été contestée par l'assuré. Le 13 septembre 2001, le Dr A., médecin-conseil d'Helsana, s'est adressé au Dr B., médecin psychiatre et consultant externe, également médecin-conseil, en lui remettant le dossier de l'assuré afin d'obtenir son avis au sujet de l'indication, du nombre de séances et de la durée des traitements; des cas de ce genre étaient fréquents, et il convenait d'obtenir une ligne générale. Le dossier de l'assuré a été transmis une seconde fois, vraisemblablement le 15 octobre 2001, le médecin-conseil désirant savoir quelle serait l'issue possible en cas de recours. Le Dr B. a rendu deux rapports, les 27 septembre et 24 octobre 2001, estimant qu'il n'y avait pas de raison de dépasser le cadre des prestations prévues à l'art. 3 OPAS. Par acte du 17 mars 2003, X. a saisi la Commission fédérale de la protection des données (ci-après: la commission) en lui demandant notamment de constater le caractère illicite des transmissions de son dossier au Dr B. et d'ordonner la destruction de ses rapports. Par jugement du 3 juin, la commission a rejeté le recours: les transmissions de dossiers au Dr B. étaient licites, car ce dernier pouvait être assimilé à un auxiliaire du médecin-conseil, appelé à se prononcer non seulement sur des questions générales mais aussi sur le cas d'un assuré présentant des difficultés particulières. Exiger un tri préalable ou une anonymisation du dossier n'était pas possible. X. forme un recours de droit administratif contre ce jugement, en reprenant ses conclusions. Subsidiairement, il demande le renvoi de la cause à la commission afin qu'elle statue à nouveau dans le sens des considérants. Le Tribunal fédéral a rejeté le recours.
Erwägungen

Extrait des considérants:

2. Le recourant persiste à considérer comme illicites les transmissions de son dossier par le Dr A. au Dr B. Il relève qu'un médecin traitant n'aurait pas le droit de consulter de cette manière un confrère spécialisé à l'insu de son patient, et qu'il devrait en aller de même pour le médecin-conseil. Le recourant estime que le Dr A. n'aurait pas choisi en toute indépendance le consultant externe,
BGE 131 II 413 S. 415

puisque le Dr B. avait été mandaté par l'assureur pour donner des avis en matière de psychiatrie. Le système des art. 13 Cst. et 321 CP permettrait à toute personne de décider elle-même de l'accès aux données qui la concernent; le principe de transparence, ainsi que les art. 4 , 8 et 9 de la loi fédérale du 19 juin 1992 sur la protection des données (LPD; RS 235.1) supposeraient le consentement du patient, ou à tout le moins une information avant toute transmission de données. La solution consacrée par la commission serait ainsi arbitraire, et violerait les art. 13 Cst. et 8 CEDH. Le recourant se plaint de ce que la liste des médecins-conseils n'ait pas encore été publiée; il estime aussi qu'une liste de médecins consultants spécialisés et agréés devrait être établie.
2.1 Le recourant ne conteste plus que le médecin-conseil, dans le cadre de sa mission, peut requérir l'avis d'un autre médecin spécialisé, appelé à se prononcer sur une question nécessitant des connaissances particulières. En effet, le contrôle du caractère économique et de la qualité des prestations (art. 56 LAMal; RS 832.10) ne peut parfois se faire sans le recours à un spécialiste. Par ailleurs, les contestations des parties quant à la publication de la liste des médecins-conseils, et à la manière dont le choix du Dr B. s'est opéré, sont sans rapport direct avec la question de la protection des données, et n'ont pas à être examinées dans ce cadre. Le recourant admet implicitement que la remise de son dossier médical était bien nécessaire afin de permettre au consultant de donner son avis. La base légale formelle pour une telle transmission est l'art. 84 LAMal, qui prévoit expressément qu'un organe peut traiter ou "faire traiter" des données personnelles, y compris des données sensibles. Cette expression recouvre notamment la transmission de données personnelles dans le cadre d'une mission d'expertise (FF 2000 p. 227; EUGSTER/LUGINBÜHL, Datenschutz in der obligatorischen Krankenpflegeversicherung, in Datenschutz im Gesundheitswesen, Zurich 2001, p. 73-146, 81). En réplique, le recourant estime que les art. 42 al. 5 et 57 al. 7 LAMal empêcheraient toute transmission de données autres que celles qui y sont expressément mentionnées. Tel n'est pas le sens de ces dispositions: la première permet au fournisseur de prestations de ne donner des indications d'ordre médical qu'au médecin-conseil; elle constitue une exception au principe de l'obligation de renseigner de l'art. 42 al. 3 et 4 LAMal, et concerne les relations entre prestataires et assureurs. Quant à l'art. 57 al. 7 LAMal, il concerne la transmission de données à l'assureur. On ne
BGE 131 II 413 S. 416

saurait donc déduire de ces dispositions une interdiction faite au médecin-conseil de transmettre des données à un tiers. L'existence d'une base légale formelle dispense d'examiner si la commission pouvait, comme elle l'a fait également, fonder la transmission litigieuse sur la convention passée le 14 décembre 2001 entre Santésuisse et la Fédération des médecins suisses, relative aux médecins-conseils (laquelle prévoit notamment à son art. 6 le recours à des auxiliaires, tenus au secret professionnel du médecin), ou sur la directive en matière de protection des données édictée par Santésuisse.
2.2 Le recourant ne conteste pas non plus les considérations de la commission en rapport avec le principe de la proportionnalité. Selon le jugement attaqué, la transmission de l'intégralité du dossier était nécessaire afin de s'assurer que le spécialiste dispose des éléments nécessaires pour se prononcer valablement; on ne saurait exiger du non-spécialiste qu'il opère un tri préalable, au risque d'influencer l'avis du spécialiste. On ne pouvait non plus exiger un travail disproportionné d'anonymisation, lequel n'empêcherait au demeurant pas des recoupements d'informations. En définitive, la seule question encore litigieuse à ce stade est de savoir si la transmission du dossier devait être soumise au consentement préalable de l'assuré, ou devait à tout le moins faire l'objet d'une information à ce dernier.
2.3 L'assureur-maladie ayant la qualité d'organe fédéral au sens de l'art. 2 al. 1 let. a LPD, il en va de même du médecin-conseil. La transmission des données personnelles est régie à la fois par cette loi et par la LAMal; hormis l'obligation générale de garder le secret posée à son art. 33 , la loi fédérale du 6 octobre 2000 sur la partie générale du droit des assurances sociales (LPGA; RS 830.1) ne règle pas ce problème. Selon l'art. 3 let. e LPD, la communication de données personnelles, soit le fait de les rendre accessibles en les transmettant (let. f) constitue un traitement au sens des art. 16 ss LPD. Un tel traitement nécessite une base légale (art. 17 al. 1 LPD). Un dossier médical renfermant des informations sur la santé d'un patient contient en outre des données sensibles au sens de l'art. 3 let. c ch. 3 LPD, de sorte qu'une base légale formelle est nécessaire (art. 17 al. 2 LPD). S'agissant de communication, les exceptions à cette exigence sont
BGE 131 II 413 S. 417

mentionnées à l'art. 19 al. 1 let. a à d LPD. Il s'agit notamment du besoin absolu du destinataire pour accomplir la tâche (let. a), du consentement de la personne concernée (let. b), ou de l'opposition abusive de ce dernier (let. d). Les art. 84 et 84a LAMal, entrés en vigueur le 1er janvier 2001, constituent la base légale formelle exigée par l'art. 17 al. 2 LPD en matière de traitement et de communication des données. L'art. 84 LAMal prévoit que les organes chargés de l'application de la loi ou d'en surveiller l'exécution "sont habilités à traiter et à faire traiter les données personnelles, y compris les données sensibles et les profils de la personnalité, qui leur sont nécessaires pour accomplir les tâches que leur assigne cette loi, notamment pour: établir le droit aux prestations, les calculer, les allouer et les coordonner avec celles d'autres assurances sociales" (let. c). Intitulé "communication de données", l'art. 84a LAMal prévoit que, "dans la mesure où aucun intérêt prépondérant ne s'y oppose, les organes chargés d'appliquer la présente loi ou d'en contrôler l'application peuvent communiquer des données, en dérogation à l'art. 33 LPGA: à d'autres organes chargés d'appliquer la présente loi ou d'en contrôler l'exécution, lorsqu'elles sont nécessaires à l'accomplissement des tâches que leur assigne la présente loi" (let. a). Le statut des médecins-conseils est défini à l'art. 57 LAMal. Il s'agit de praticiens désignés par les assureurs ou leur fédération, chargés de donner leur avis à l'assureur sur des questions médicales ainsi que sur des questions relatives à la rémunération et à l'application des tarifs. Ils examinent en particulier si les conditions d'une prise en charge d'une prestation sont remplies (al. 4). Les médecins-conseils évaluent les cas en toute indépendance. Ni l'assureur, ni le fournisseur de prestations, ni leurs fédérations ne peuvent leur donner de directives (al. 5).

2.4 L'institution du médecin-conseil a pour but essentiel de garantir les droits de la personnalité des assurés à l'égard des assureurs (OFAS, Protection de la personnalité dans l'assurance-maladie et accidents sociale et privée, rapport d'une commission d'experts instituée par le DFI et le DFJP, mars 2001, p. 106). La loi réglemente ainsi de manière restrictive la transmission de données entre le médecin-conseil et l'assureur (art. 42 al. 5 et 57 al. 7 LAMal), le médecin-conseil ayant pour fonction de sélectionner les informations à destination de l'assureur (rapport OFAS, p. 93 ss). En
BGE 131 II 413 S. 418

revanche, la loi permet au médecin-conseil de transmettre des données à un médecin tiers; la protection des données est assurée dans ce cas, d'une part en raison du secret professionnel auquel est soumis le médecin tiers lui même, d'autre part en raison du fait que le médecin-conseil est responsable de la protection des données qu'il fait ainsi traiter (art. 16 al. 1 LPD, art. 22 OLPD [RS 235.11]). Selon l'art. 57 al. 5 LAMal, le médecin-conseil examine le cas en toute indépendance; la décision de recourir à l'avis d'un spécialise lui appartient, et il est libre dans le choix du consultant. Il doit pouvoir adresser à ce dernier toutes les données propres à la résolution de la question posée, sans que ni l'assureur, ni le fournisseur de prestation, ni même l'assuré n'aient à donner leur consentement à ce genre de démarches. En l'occurrence, le fait que le Dr A. se soit adressé à un praticien qui est lui-même médecin-conseil, constitue une garantie supplémentaire.
2.5 Dans la systématique de l'art. 17 LPD, le consentement de l'intéressé n'est pas nécessaire lorsqu'il existe une base légale formelle pour le traitement de données sensibles. Le médecin-conseil reste toutefois obligé, en vertu du principe de la proportionnalité, de s'en tenir aux données nécessaires au but poursuivi, dans le respect des droits de la personnalité de l'assuré (cf. art. 84a al. 6 LAMal et, par analogie, art. 57 al. 7 in fine LAMal).
A défaut d'un droit d'opposition de la part de l'assuré, un devoir d'information préalable relatif à la transmission des données ne s'impose pas non plus. A ce sujet, le droit d'accès consacré à l'art. 8 LPD constitue une garantie suffisante (ATF 125 II 321). En outre, dans la mesure où la consultation du médecin spécialisé a pour cadre une procédure à l'issue de laquelle une décision formelle devra être prise concernant la prise en charge ou non de certaines prestations, l'information aura lieu dans ce cadre où la consultation du dossier est également garantie; l'assuré pourra faire valoir tous ses griefs à l'encontre du médecin consulté, tant en ce qui concerne sa personne (dans l'optique d'une éventuelle récusation) que du contenu de son avis. Si celui-ci est fondé sur des données inexactes, l'intéressé peut aussi faire valoir, après-coup, son droit de rectification. Ces garanties apparaissent suffisantes dans la mesure où, compte tenu du statut du destinataire des données, il n'y a pas à craindre que celles-ci parviennent à d'autres personnes. C'est par conséquent à tort que le recourant entend faire valoir un droit systématique d'être préalablement renseigné sur la
BGE 131 II 413 S. 419

transmission, par le médecin-conseil, de son dossier à un médecin expert. Il peut certes arriver qu'en raison de circonstances particulières (données particulièrement sensibles, liens possibles entre l'assuré et l'expert), le médecin-conseil puisse être tenu de fournir une telle information, afin de permettre à l'intéressé de s'exprimer au sujet du choix de l'expert, ou des données à lui transmettre; en l'occurrence, le recourant ne démontre pas qu'il existerait des données nécessitant une protection particulière, ou que l'identité du destinataire appelait une information préalable.
2.6 Le recourant invoque en vain l'art. 9 Cst., ainsi que les dispositions constitutionnelles et conventionnelles relatives à la protection de la sphère privée; les garanties qui en découlent ne vont pas plus loin que les droits consacrés dans la législation spécifique. Il s'ensuit que le recours de droit administratif doit être rejeté, sous suite de frais et dépens.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 17 Eccezioni - 1 In deroga all'articolo 16 capoversi 1 e 2, dati personali possono essere comunicati all'estero se:
¹	In deroga all'articolo 16 capoversi 1 e 2, dati personali possono essere comunicati all'estero se:
^a	la persona interessata ha dato il suo espresso consenso alla comunicazione;
^b	la comunicazione è in relazione diretta con la conclusione o l'esecuzione di un contratto:
^b1	tra il titolare del trattamento e la persona interessata, o
^b2	tra il titolare del trattamento e un altro contraente, nell'interesse della persona interessata;
^c	la comunicazione è necessaria per:
^c1	tutelare un interesse pubblico preponderante, o
^c2	accertare, esercitare o far valere un diritto dinanzi a un giudice o a un'altra autorità estera competente;
^d	la comunicazione è necessaria per proteggere la vita o l'integrità fisica della persona interessata o di un terzo e non è possibile ottenere il consenso della persona interessata entro un termine ragionevole;
^e	la persona interessata ha reso i dati personali accessibili a chiunque e non si è opposta espressamente al loro trattamento; o
^f	i dati provengono da un registro previsto dalla legge accessibile al pubblico o alle persone con un interesse degno di protezione, sempreché nel caso specifico siano adempiute le condizioni legali per la consultazione.
²	Il titolare o il responsabile del trattamento che comunica dati personali conformemente al capoverso 1 lettere b numero 2, c e d ne informa, su richiesta, l'IFPDT.

SR 832.10 Legge federale del 18 marzo 1994 sull'assicurazione malattie (LAMal) LAMal Art. 57 Medici di fiducia - 1 Gli assicuratori o le rispettive federazioni designano, d'intesa con le società mediche cantonali, i medici di fiducia. Questi devono soddisfare le condizioni d'autorizzazione ai sensi degli articoli 36a e 37 capoverso 1 e avere inoltre, durante almeno cinque anni, esercitato presso uno studio medico o rivestito una funzione medica direttiva in un ospedale.175
¹	Gli assicuratori o le rispettive federazioni designano, d'intesa con le società mediche cantonali, i medici di fiducia. Questi devono soddisfare le condizioni d'autorizzazione ai sensi degli articoli 36a e 37 capoverso 1 e avere inoltre, durante almeno cinque anni, esercitato presso uno studio medico o rivestito una funzione medica direttiva in un ospedale.175
²	I medici di fiducia abilitati ad esercitare in tutta la Svizzera devono essere designati d'intesa con la società medica del Cantone in cui si trova la sede principale dell'assicuratore o la sede della federazione degli assicuratori.
³	Una società medica cantonale può ricusare per gravi motivi un medico di fiducia; in tal caso statuisce in merito il tribunale arbitrale giusta l'articolo 89.
⁴	Il medico di fiducia consiglia l'assicuratore su questioni d'ordine medico come pure su problemi relativi alla rimunerazione e all'applicazione delle tariffe. Esamina in particolare se sono adempite le condizioni d'assunzione d'una prestazione da parte dell'assicuratore.
⁵	Il medico di fiducia decide autonomamente. Né l'assicuratore né il fornitore di prestazioni e le rispettive federazioni possono impartirgli istruzioni.
⁶	I fornitori di prestazioni devono trasmettere ai medici di fiducia le informazioni necessarie per l'adempimento dei compiti ai sensi del capoverso 4. Se non è possibile ottenerle altrimenti, il medico di fiducia può esaminare personalmente l'assicurato; ne deve prima informare il medico curante e comunicargli il risultato dell'esame. Tuttavia, in casi debitamente motivati, l'assicurato può esigere che l'esame di controllo sia effettuato da un altro medico. Se l'assicurato non si accorda in merito con l'assicuratore, la decisione spetta, in deroga all'articolo 58 capoverso 1 LPGA176, al tribunale arbitrale ai sensi dell'articolo 89.177
⁷	I medici di fiducia trasmettono agli organi competenti degli assicuratori unicamente le indicazioni necessarie per decidere l'assunzione delle prestazioni, stabilire la rimunerazione, calcolare la compensazione dei rischi o motivare una decisione. Ciò facendo salvaguardano i diritti della personalità degli assicurati.178
⁸	Le associazioni centrali svizzere dei medici e degli assicuratori disciplinano la trasmissione delle indicazioni ai sensi del capoverso 7, come pure la formazione permanente e lo statuto dei medici di fiducia. Se non giungono ad un accordo, il Consiglio federale emana le necessarie disposizioni.

SR 832.10 Legge federale del 18 marzo 1994 sull'assicurazione malattie (LAMal) LAMal Art. 84 Trattamento di dati personali - 1 Gli organi incaricati di eseguire, controllare o sorvegliare la presente legge o la LVAMal270 possono trattare o far trattare dati personali, compresi dati personali degni di particolare protezione, di cui necessitano per adempiere i compiti conferiti loro dalla presente legge o dalla LVAMal, segnatamente per:271
¹	Gli organi incaricati di eseguire, controllare o sorvegliare la presente legge o la LVAMal270 possono trattare o far trattare dati personali, compresi dati personali degni di particolare protezione, di cui necessitano per adempiere i compiti conferiti loro dalla presente legge o dalla LVAMal, segnatamente per:271
^a	sorvegliare l'osservanza dell'obbligo di assicurarsi;
^b	calcolare e riscuotere i premi;
^c	stabilire il diritto alle prestazioni, nonché calcolarle, versarle e coordinarle con quelle di altre assicurazioni sociali;
^d	stabilire il diritto a riduzioni dei premi conformemente all'articolo 65272, nonché calcolarle e concederle;
^e	far valere una pretesa di regresso nei confronti di terzi responsabili;
^f	sorvegliare l'esecuzione della presente legge;
^g	allestire statistiche;
^h	assegnare o verificare il numero AVS;
ⁱ	calcolare la compensazione dei rischi.
²	Per adempiere tali compiti, possono inoltre trattare o far trattare dati personali che permettono segnatamente di valutare la salute, la gravità dell'infermità fisica o psichica, i bisogni e la situazione economica dell'assicurato.275

SR 832.10 Legge federale del 18 marzo 1994 sull'assicurazione malattie (LAMal) LAMal Art. 84^a Comunicazione di dati - 1 Purché nessun interesse privato preponderante vi si opponga, gli organi incaricati di applicare la presente legge o di controllarne o sorvegliarne l'esecuzione possono comunicare i dati, in deroga all'articolo 33 LPGA277:278
¹	Purché nessun interesse privato preponderante vi si opponga, gli organi incaricati di applicare la presente legge o di controllarne o sorvegliarne l'esecuzione possono comunicare i dati, in deroga all'articolo 33 LPGA277:278
^a	ad altri organi incaricati di applicare la presente legge o la LVAMal, nonché di controllarne o sorvegliarne l'esecuzione, qualora ne necessitino per adempiere gli obblighi conferiti loro dalla presente legge o dalla LVAMal;
^b	agli organi di altre assicurazioni sociali, qualora, in deroga all'articolo 32 capoverso 2 LPGA, l'obbligo di comunicazione sia sancito da una legge federale;
^cbis	alle autorità competenti per l'imposta alla fonte, conformemente agli articoli 88 e 100 della legge federale del 14 dicembre 1990281 sull'imposta federale diretta (LIFD), nonché alle rispettive disposizioni cantonali;
^d	agli organi della statistica federale, conformemente alla legge federale del 9 ottobre 1992282 sulla statistica federale;
^e	agli organi incaricati di allestire statistiche per l'esecuzione della presente legge, qualora i dati siano necessari all'adempimento di tale obbligo e l'anonimato degli assicurati sia garantito;
^f	alle competenti autorità cantonali, qualora i dati rientrino nel campo d'applicazione dell'articolo 22a e siano necessari per la pianificazione degli ospedali e delle case di cura e per l'esame delle tariffe;
^g	alle autorità istruttorie penali, qualora ne necessitino per denunciare o impedire un crimine;
^gbis	al Servizio delle attività informative della Confederazione (SIC) o agli organi di sicurezza dei Cantoni a destinazione del SIC, qualora sussista una minaccia concreta per la sicurezza interna o esterna secondo l'articolo 19 capoverso 2 della legge federale del 25 settembre 2015285 sulle attività informative;
^h	in singoli casi e su richiesta scritta e motivata:
^h1	alle autorità d'assistenza sociale, qualora ne necessitino per determinare o modificare prestazioni, chiederne la restituzione o prevenire pagamenti indebiti,
^h2	ai tribunali civili, qualora ne necessitino per giudicare una controversia relativa al diritto di famiglia o successorio,
^h3	ai tribunali penali e alle autorità istruttorie penali, qualora ne necessitino per accertare un crimine o un delitto,
^h4	agli uffici d'esecuzione, conformemente agli articoli 91, 163 e 222 della legge federale dell'11 aprile 1889286 sulla esecuzione e sul fallimento,
^h5	alle autorità di protezione dei minori e degli adulti, conformemente all'articolo 448 capoverso 4 del Codice civile288,
^h6	... 290
²	...291
³	In deroga all'articolo 33 LPGA, i dati d'interesse generale in relazione all'applicazione della presente legge possono essere pubblicati. L'anonimato degli assicurati dev'essere garantito.292
⁴	In deroga all'articolo 33 LPGA, gli assicuratori sono autorizzati a comunicare i dati necessari alle autorità d'assistenza sociale o ad altre autorità cantonali competenti in caso di inadempienze nei pagamenti da parte dell'assicurato, se quest'ultimo, benché diffidato, non paga premi o partecipazioni ai costi, scaduti.293
⁵	Negli altri casi, in deroga all'articolo 33 LPGA, i dati possono essere comunicati a terzi alle condizioni seguenti:294
^a	per i dati non personali: se la comunicazione è giustificata da un interesse preponderante;
^b	per i dati personali: se, nel caso specifico, la persona interessata ha dato il suo consenso scritto o, qualora non sia possibile ottenerlo, le circostanze permettono di presumere che la comunicazione dei dati sia nell'interesse della persona assicurata.
⁶	Possono essere comunicati solo i dati necessari per l'obiettivo perseguito.
⁷	Il Consiglio federale disciplina le modalità di comunicazione e d'informazione della persona interessata.
⁸	I dati sono di norma comunicati per scritto e gratuitamente. Il Consiglio federale può prevedere la riscossione di un emolumento qualora sia necessario un particolare dispendio di lavoro.

SR 832.10 Legge federale del 18 marzo 1994 sull'assicurazione malattie (LAMal) LAMal Art. 84 Trattamento di dati personali - 1 Gli organi incaricati di eseguire, controllare o sorvegliare la presente legge o la LVAMal270 possono trattare o far trattare dati personali, compresi dati personali degni di particolare protezione, di cui necessitano per adempiere i compiti conferiti loro dalla presente legge o dalla LVAMal, segnatamente per:271
¹	Gli organi incaricati di eseguire, controllare o sorvegliare la presente legge o la LVAMal270 possono trattare o far trattare dati personali, compresi dati personali degni di particolare protezione, di cui necessitano per adempiere i compiti conferiti loro dalla presente legge o dalla LVAMal, segnatamente per:271
^a	sorvegliare l'osservanza dell'obbligo di assicurarsi;
^b	calcolare e riscuotere i premi;
^c	stabilire il diritto alle prestazioni, nonché calcolarle, versarle e coordinarle con quelle di altre assicurazioni sociali;
^d	stabilire il diritto a riduzioni dei premi conformemente all'articolo 65272, nonché calcolarle e concederle;
^e	far valere una pretesa di regresso nei confronti di terzi responsabili;
^f	sorvegliare l'esecuzione della presente legge;
^g	allestire statistiche;
^h	assegnare o verificare il numero AVS;
ⁱ	calcolare la compensazione dei rischi.
²	Per adempiere tali compiti, possono inoltre trattare o far trattare dati personali che permettono segnatamente di valutare la salute, la gravità dell'infermità fisica o psichica, i bisogni e la situazione economica dell'assicurato.275

SR 101 Costituzione federale della Confederazione Svizzera del 18 aprile 1999 Cost. Art. 13 Protezione della sfera privata - 1 Ognuno ha diritto al rispetto della sua vita privata e familiare, della sua abitazione, della sua corrispondenza epistolare nonché delle sue relazioni via posta e telecomunicazioni.
¹	Ognuno ha diritto al rispetto della sua vita privata e familiare, della sua abitazione, della sua corrispondenza epistolare nonché delle sue relazioni via posta e telecomunicazioni.
²	Ognuno ha diritto d'essere protetto da un impiego abusivo dei suoi dati personali.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 4 Incaricato federale della protezione dei dati e della trasparenza - 1 L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) vigila sull'applicazione delle disposizioni federali sulla protezione dei dati.
¹	L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) vigila sull'applicazione delle disposizioni federali sulla protezione dei dati.
²	Non sono sottoposti alla vigilanza dell'IFPDT:
^a	l'Assemblea federale;
^b	il Consiglio federale;
^c	i tribunali della Confederazione;
^d	il Ministero pubblico della Confederazione, per quanto riguarda il trattamento di dati personali nell'ambito di un procedimento penale;
^e	le autorità federali, per quanto riguarda il trattamento di dati personali nell'ambito della loro attività giurisdizionale o di procedure di assistenza giudiziaria internazionale in materia penale.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 8 Sicurezza dei dati - 1 Il titolare e il responsabile del trattamento garantiscono, mediante appropriati provvedimenti tecnici e organizzativi, che la sicurezza dei dati personali sia adeguata al rischio.
¹	Il titolare e il responsabile del trattamento garantiscono, mediante appropriati provvedimenti tecnici e organizzativi, che la sicurezza dei dati personali sia adeguata al rischio.
²	I provvedimenti devono permettere di evitare violazioni della sicurezza dei dati.
³	Il Consiglio federale emana disposizioni sui requisiti minimi in materia di sicurezza dei dati.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 9 Trattamento di dati personali da parte di un responsabile - 1 Il trattamento di dati personali può essere affidato a un responsabile del trattamento per contratto o per legge se:
¹	Il trattamento di dati personali può essere affidato a un responsabile del trattamento per contratto o per legge se:
^a	questi effettua soltanto i trattamenti che il titolare del trattamento avrebbe il diritto di effettuare; e
^b	nessun obbligo legale o contrattuale di serbare il segreto lo vieta.
²	Il titolare del trattamento deve in particolare assicurare che il responsabile del trattamento sia in grado di garantire la sicurezza dei dati.
³	Il responsabile del trattamento può affidare il trattamento a un terzo soltanto previa autorizzazione del titolare del trattamento.
⁴	Il responsabile del trattamento può far valere gli stessi motivi giustificativi del titolare del trattamento.

SR 832.10 Legge federale del 18 marzo 1994 sull'assicurazione malattie (LAMal) LAMal Art. 56 Economicità delle prestazioni - 1 Il fornitore di prestazioni deve limitare le prestazioni a quanto esige l'interesse dell'assicurato e lo scopo della cura.
¹	Il fornitore di prestazioni deve limitare le prestazioni a quanto esige l'interesse dell'assicurato e lo scopo della cura.
²	La rimunerazione può essere rifiutata per le prestazioni eccedenti questo limite. Al fornitore di prestazioni può essere richiesta la restituzione di rimunerazioni ai sensi della presente legge ottenute indebitamente. Possono chiedere la restituzione:
^a	nel sistema del terzo garante (art. 42 cpv. 1), l'assicurato oppure, giusta l'articolo 89 capoverso 3, l'assicuratore;
^b	nel sistema del terzo pagante (art. 42 cpv. 2), l'assicuratore.
³	Il fornitore di prestazioni deve fare usufruire il debitore della rimunerazione di sconti diretti o indiretti che ha ottenuti:
^a	da un altro fornitore di prestazioni cui ha conferito mandato;
^b	da persone o enti fornitori di medicamenti o di mezzi e apparecchi diagnostici o terapeutici.
^3bis	Gli assicuratori e i fornitori di prestazioni possono mediante convenzione derogare all'obbligo di far usufruire il debitore della rimunerazione integralmente degli sconti di cui al capoverso 3 lettera b. Tali convenzioni vanno rese note su richiesta all'autorità competente. Esse devono garantire che il debitore della rimunerazione usufruisca della massima parte degli sconti e che gli sconti di cui non usufruisce siano impiegati in modo comprovabile per migliorare la qualità dei trattamenti.173
⁴	Se il fornitore di prestazioni disattende questo obbligo, l'assicurato o l'assicuratore possono esigere la restituzione dello sconto.
⁵	I fornitori di prestazioni e gli assicuratori prevedono nelle convenzioni tariffali misure destinate a garantire l'economicità delle prestazioni. Essi vegliano in particolare affinché sia evitata una ripetizione inutile di atti diagnostici, quando l'assicurato consulta più fornitori di prestazioni.
⁶	I fornitori di prestazioni e gli assicuratori stabiliscono mediante contratto un metodo di controllo dell'economicità delle prestazioni.174

SR 832.10 Legge federale del 18 marzo 1994 sull'assicurazione malattie (LAMal) LAMal Art. 42 - 1 Se assicuratori e fornitori di prestazioni non hanno convenuto altrimenti, l'assicurato è debitore della rimunerazione nei confronti del fornitore di prestazioni. In questo caso l'assicurato ha diritto di essere rimborsato dal suo assicuratore (sistema del terzo garante). In deroga all'articolo 22 capoverso 1 LPGA124, tale diritto è cedibile al fornitore di prestazioni.125
¹	Se assicuratori e fornitori di prestazioni non hanno convenuto altrimenti, l'assicurato è debitore della rimunerazione nei confronti del fornitore di prestazioni. In questo caso l'assicurato ha diritto di essere rimborsato dal suo assicuratore (sistema del terzo garante). In deroga all'articolo 22 capoverso 1 LPGA124, tale diritto è cedibile al fornitore di prestazioni.125
²	Gli assicuratori e i fornitori di prestazioni possono convenire che l'assicuratore è il debitore della rimunerazione (sistema del terzo pagante). In deroga al capoverso 1, in caso di cura ospedaliera l'assicuratore è debitore della sua parte di remunerazione.126
³	Il fornitore di prestazioni deve consegnare al debitore della remunerazione una fattura dettagliata e comprensibile. Deve pure trasmettergli tutte le indicazioni necessarie per poter verificare il calcolo della remunerazione e l'economicità della prestazione. Nel sistema del terzo pagante il fornitore di prestazioni trasmette all'assicurato, senza che questi debba farne richiesta, una copia della fattura inviata all'assicuratore.127 Il fornitore di prestazioni e l'assicuratore possono convenire che tale trasmissione incomba all'assicuratore. La trasmissione può avvenire anche per via elettronica. In caso di cura ospedaliera, l'ospedale attesta separatamente la quotaparte del Cantone e quella dell'assicuratore. Il Consiglio federale disciplina i particolari.128 129
^3bis	I fornitori di prestazioni devono indicare nella fattura di cui al capoverso 3 le diagnosi e le procedure in forma codificata, conformemente alle classificazioni previste nella pertinente edizione svizzera pubblicata dal Dipartimento competente. Il Consiglio federale emana disposizioni d'esecuzione sulla rilevazione, il trattamento e la trasmissione dei dati, nel rispetto del principio di proporzionalità.130
⁴	L'assicuratore può esigere ragguagli supplementari di natura medica.131
⁵	Il fornitore di prestazioni è legittimato, se le circostanze lo esigono, oppure obbligato in ogni caso, su richiesta dell'assicurato, a fornire le indicazioni di natura medica soltanto al medico di fiducia secondo l'articolo 57.
⁶	In deroga all'articolo 29 capoverso 2 LPGA, per rivendicare il diritto alle prestazioni non è necessario alcun formulario.132

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 2 Campo d'applicazione personale e materiale - 1 La presente legge si applica al trattamento di dati personali concernenti persone fisiche da parte di:
¹	La presente legge si applica al trattamento di dati personali concernenti persone fisiche da parte di:
^a	privati;
^b	organi federali.
²	Non si applica al trattamento di dati personali da parte:
^a	di persone fisiche per uso esclusivamente personale;
^b	delle Camere federali e delle commissioni parlamentari nell'ambito delle loro deliberazioni;
^c	dei beneficiari istituzionali di cui all'articolo 2 capoverso 1 della legge del 22 giugno 20073 sullo Stato ospite che godono dell'immunità di giurisdizione in Svizzera.
³	Il trattamento di dati personali e i diritti delle persone interessate nei procedimenti giudiziari e nei procedimenti secondo gli ordinamenti procedurali federali sono retti dal diritto processuale applicabile. Le disposizioni della presente legge si applicano alle procedure amministrative di primo grado.
⁴	I registri pubblici relativi ai rapporti di diritto privato, in particolare l'accesso a tali registri e i diritti delle persone interessate, sono retti dalle disposizioni speciali del diritto federale applicabile. In assenza di disposizioni speciali si applica la presente legge.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 3 Campo d'applicazione territoriale - 1 La presente legge si applica alle fattispecie che generano effetti in Svizzera, anche se si verificano all'estero.
¹	La presente legge si applica alle fattispecie che generano effetti in Svizzera, anche se si verificano all'estero.
²	Alle pretese di diritto civile si applica la legge federale del 18 dicembre 19874 sul diritto internazionale privato. Sono fatte salve inoltre le disposizioni concernenti il campo d'applicazione territoriale del Codice penale5.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 16 Principi - 1 Dati personali possono essere comunicati all'estero soltanto se il Consiglio federale ha constatato che la legislazione dello Stato destinatario o l'organismo internazionale garantisce una protezione adeguata dei dati.
¹	Dati personali possono essere comunicati all'estero soltanto se il Consiglio federale ha constatato che la legislazione dello Stato destinatario o l'organismo internazionale garantisce una protezione adeguata dei dati.
²	In assenza di una decisione del Consiglio federale ai sensi del capoverso 1, dati personali possono essere comunicati all'estero soltanto se una protezione dei dati appropriata è garantita da:
^a	un trattato internazionale;
^b	clausole contrattuali di protezione dei dati tra il titolare o il responsabile del trattamento e l'altro contraente, previamente comunicate all'IFPDT;
^c	garanzie specifiche stabilite dall'organo federale competente, previamente comunicate all'IFPDT;
^d	clausole tipo di protezione dei dati previamente approvate, stabilite o riconosciute dall'IFPDT; o
^e	norme interne dell'impresa vincolanti sulla protezione dei dati, previamente approvate dall'IFPDT o da un'autorità incaricata della protezione dei dati appartenente a uno Stato che garantisce una protezione adeguata.
³	Il Consiglio federale può prevedere altre garanzie appropriate ai sensi del capoverso 2.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 19 Obbligo di informare sulla raccolta di dati personali - 1 Il titolare del trattamento informa in modo adeguato la persona interessata sulla raccolta di dati personali; tale obbligo sussiste anche se i dati non sono raccolti presso la persona interessata.
¹	Il titolare del trattamento informa in modo adeguato la persona interessata sulla raccolta di dati personali; tale obbligo sussiste anche se i dati non sono raccolti presso la persona interessata.
²	Al momento della raccolta, il titolare del trattamento fornisce alla persona interessata le informazioni necessarie affinché questa possa far valere i propri diritti secondo la presente legge e sia garantito un trattamento trasparente dei dati; fornisce almeno le informazioni seguenti:
^a	l'identità e i dati di contatto del titolare del trattamento;
^b	lo scopo del trattamento;
^c	se del caso, i destinatari o le categorie di destinatari cui sono comunicati dati personali.
³	Se i dati personali non sono raccolti presso la persona interessata, il titolare del trattamento la informa inoltre sulle categorie di dati personali trattati.
⁴	Se i dati personali sono comunicati all'estero, il titolare del trattamento informa la persona interessata sullo Stato o sull'organismo internazionale destinatario e, se del caso, sulle garanzie di cui all'articolo 16 capoverso 2, oppure sull'applicazione di un'eccezione secondo l'articolo 17.
⁵	Se i dati personali non sono raccolti presso la persona interessata, il titolare del trattamento le fornisce le informazioni di cui ai capoversi 2-4 entro un mese dalla ricezione dei dati. Se comunica questi dati personali prima della scadenza di detto termine, il titolare del trattamento fornisce alla persona interessata tali informazioni al più tardi al momento della comunicazione dei dati.