BGE-131-II-413 - 2005-05-09 - BGE - Verwaltungsrecht und internationales öffentliches Recht - Art. 17 DSG; Art. 57, 84 und 84a KVG; Weiterleitung des medizinischen Dossiers des Versicherten durch den Vertrauensarzt

Urteilskopf

131 II 413

30. Extrait de l'arrêt de la Ire Cour de droit public dans la cause X. contre Helsana Assurances SA ainsi que Commission fédérale de la protection des données (recours de droit administratif) 1A.190/2004 / 1A.191/2004 du 9 mai 2005

Regeste (de):

Art. 17 DSG; Art. 57, 84 und 84a KVG; Weiterleitung des medizinischen Dossiers des Versicherten durch den Vertrauensarzt des Versicherers an einen externen Spezialisten.

Eine derartige Weiterleitung ist nach Art. 84 KVG zulässig (E. 2.1). Von hier nicht zutreffenden Ausnahmen abgesehen, benötigt sie weder das Einverständnis des Versicherten noch dessen vorgängige Information (E. 2.4).

Regeste (fr):

Art. 17 LPD; art. 57 , 84 et 84a LAMal; transmission, par le médecin-conseil de l'assureur, du dossier médical de l'assuré à un médecin consultant spécialisé.

Une telle transmission est autorisée par l'art. 84 LAMal (consid. 2.1). Sauf exceptions non réalisées en l'espèce, elle ne nécessite ni le consentement de l'assuré, ni une information préalable (consid. 2.4).

Regesto (it):

Art. 17 LPD; art. 57 , 84 e 84a LAMal; trasmissione a uno specialista dell'incarto medico dell'assicurato da parte del medico di fiducia dell'assicuratore.

Una simile trasmissione è permessa dall'art. 84 LAMal (consid. 2.1). Salvo eccezioni non realizzate in concreto, essa non presuppone il consenso dell'assicurato né la sua preventiva informazione (consid. 2.4).

Sachverhalt ab Seite 414

BGE 131 II 413 S. 414

Le 29 mai 2001, Helsana Assurances SA (ci-après: Helsana) écrivit à son assuré X. qu'elle entendait désormais restreindre la prise en charge d'un traitement de psychothérapie à une séance par semaine, contre deux jusqu'alors. Cette décision a été contestée par l'assuré. Le 13 septembre 2001, le Dr A., médecin-conseil d'Helsana, s'est adressé au Dr B., médecin psychiatre et consultant externe, également médecin-conseil, en lui remettant le dossier de l'assuré afin d'obtenir son avis au sujet de l'indication, du nombre de séances et de la durée des traitements; des cas de ce genre étaient fréquents, et il convenait d'obtenir une ligne générale. Le dossier de l'assuré a été transmis une seconde fois, vraisemblablement le 15 octobre 2001, le médecin-conseil désirant savoir quelle serait l'issue possible en cas de recours. Le Dr B. a rendu deux rapports, les 27 septembre et 24 octobre 2001, estimant qu'il n'y avait pas de raison de dépasser le cadre des prestations prévues à l'art. 3 OPAS. Par acte du 17 mars 2003, X. a saisi la Commission fédérale de la protection des données (ci-après: la commission) en lui demandant notamment de constater le caractère illicite des transmissions de son dossier au Dr B. et d'ordonner la destruction de ses rapports. Par jugement du 3 juin, la commission a rejeté le recours: les transmissions de dossiers au Dr B. étaient licites, car ce dernier pouvait être assimilé à un auxiliaire du médecin-conseil, appelé à se prononcer non seulement sur des questions générales mais aussi sur le cas d'un assuré présentant des difficultés particulières. Exiger un tri préalable ou une anonymisation du dossier n'était pas possible. X. forme un recours de droit administratif contre ce jugement, en reprenant ses conclusions. Subsidiairement, il demande le renvoi de la cause à la commission afin qu'elle statue à nouveau dans le sens des considérants. Le Tribunal fédéral a rejeté le recours.
Erwägungen

Extrait des considérants:

2. Le recourant persiste à considérer comme illicites les transmissions de son dossier par le Dr A. au Dr B. Il relève qu'un médecin traitant n'aurait pas le droit de consulter de cette manière un confrère spécialisé à l'insu de son patient, et qu'il devrait en aller de même pour le médecin-conseil. Le recourant estime que le Dr A. n'aurait pas choisi en toute indépendance le consultant externe,
BGE 131 II 413 S. 415

puisque le Dr B. avait été mandaté par l'assureur pour donner des avis en matière de psychiatrie. Le système des art. 13 Cst. et 321 CP permettrait à toute personne de décider elle-même de l'accès aux données qui la concernent; le principe de transparence, ainsi que les art. 4 , 8 et 9 de la loi fédérale du 19 juin 1992 sur la protection des données (LPD; RS 235.1) supposeraient le consentement du patient, ou à tout le moins une information avant toute transmission de données. La solution consacrée par la commission serait ainsi arbitraire, et violerait les art. 13 Cst. et 8 CEDH. Le recourant se plaint de ce que la liste des médecins-conseils n'ait pas encore été publiée; il estime aussi qu'une liste de médecins consultants spécialisés et agréés devrait être établie.
2.1 Le recourant ne conteste plus que le médecin-conseil, dans le cadre de sa mission, peut requérir l'avis d'un autre médecin spécialisé, appelé à se prononcer sur une question nécessitant des connaissances particulières. En effet, le contrôle du caractère économique et de la qualité des prestations (art. 56 LAMal; RS 832.10) ne peut parfois se faire sans le recours à un spécialiste. Par ailleurs, les contestations des parties quant à la publication de la liste des médecins-conseils, et à la manière dont le choix du Dr B. s'est opéré, sont sans rapport direct avec la question de la protection des données, et n'ont pas à être examinées dans ce cadre. Le recourant admet implicitement que la remise de son dossier médical était bien nécessaire afin de permettre au consultant de donner son avis. La base légale formelle pour une telle transmission est l'art. 84 LAMal, qui prévoit expressément qu'un organe peut traiter ou "faire traiter" des données personnelles, y compris des données sensibles. Cette expression recouvre notamment la transmission de données personnelles dans le cadre d'une mission d'expertise (FF 2000 p. 227; EUGSTER/LUGINBÜHL, Datenschutz in der obligatorischen Krankenpflegeversicherung, in Datenschutz im Gesundheitswesen, Zurich 2001, p. 73-146, 81). En réplique, le recourant estime que les art. 42 al. 5 et 57 al. 7 LAMal empêcheraient toute transmission de données autres que celles qui y sont expressément mentionnées. Tel n'est pas le sens de ces dispositions: la première permet au fournisseur de prestations de ne donner des indications d'ordre médical qu'au médecin-conseil; elle constitue une exception au principe de l'obligation de renseigner de l'art. 42 al. 3 et 4 LAMal, et concerne les relations entre prestataires et assureurs. Quant à l'art. 57 al. 7 LAMal, il concerne la transmission de données à l'assureur. On ne
BGE 131 II 413 S. 416

saurait donc déduire de ces dispositions une interdiction faite au médecin-conseil de transmettre des données à un tiers. L'existence d'une base légale formelle dispense d'examiner si la commission pouvait, comme elle l'a fait également, fonder la transmission litigieuse sur la convention passée le 14 décembre 2001 entre Santésuisse et la Fédération des médecins suisses, relative aux médecins-conseils (laquelle prévoit notamment à son art. 6 le recours à des auxiliaires, tenus au secret professionnel du médecin), ou sur la directive en matière de protection des données édictée par Santésuisse.
2.2 Le recourant ne conteste pas non plus les considérations de la commission en rapport avec le principe de la proportionnalité. Selon le jugement attaqué, la transmission de l'intégralité du dossier était nécessaire afin de s'assurer que le spécialiste dispose des éléments nécessaires pour se prononcer valablement; on ne saurait exiger du non-spécialiste qu'il opère un tri préalable, au risque d'influencer l'avis du spécialiste. On ne pouvait non plus exiger un travail disproportionné d'anonymisation, lequel n'empêcherait au demeurant pas des recoupements d'informations. En définitive, la seule question encore litigieuse à ce stade est de savoir si la transmission du dossier devait être soumise au consentement préalable de l'assuré, ou devait à tout le moins faire l'objet d'une information à ce dernier.
2.3 L'assureur-maladie ayant la qualité d'organe fédéral au sens de l'art. 2 al. 1 let. a LPD, il en va de même du médecin-conseil. La transmission des données personnelles est régie à la fois par cette loi et par la LAMal; hormis l'obligation générale de garder le secret posée à son art. 33 , la loi fédérale du 6 octobre 2000 sur la partie générale du droit des assurances sociales (LPGA; RS 830.1) ne règle pas ce problème. Selon l'art. 3 let. e LPD, la communication de données personnelles, soit le fait de les rendre accessibles en les transmettant (let. f) constitue un traitement au sens des art. 16 ss LPD. Un tel traitement nécessite une base légale (art. 17 al. 1 LPD). Un dossier médical renfermant des informations sur la santé d'un patient contient en outre des données sensibles au sens de l'art. 3 let. c ch. 3 LPD, de sorte qu'une base légale formelle est nécessaire (art. 17 al. 2 LPD). S'agissant de communication, les exceptions à cette exigence sont
BGE 131 II 413 S. 417

mentionnées à l'art. 19 al. 1 let. a à d LPD. Il s'agit notamment du besoin absolu du destinataire pour accomplir la tâche (let. a), du consentement de la personne concernée (let. b), ou de l'opposition abusive de ce dernier (let. d). Les art. 84 et 84a LAMal, entrés en vigueur le 1er janvier 2001, constituent la base légale formelle exigée par l'art. 17 al. 2 LPD en matière de traitement et de communication des données. L'art. 84 LAMal prévoit que les organes chargés de l'application de la loi ou d'en surveiller l'exécution "sont habilités à traiter et à faire traiter les données personnelles, y compris les données sensibles et les profils de la personnalité, qui leur sont nécessaires pour accomplir les tâches que leur assigne cette loi, notamment pour: établir le droit aux prestations, les calculer, les allouer et les coordonner avec celles d'autres assurances sociales" (let. c). Intitulé "communication de données", l'art. 84a LAMal prévoit que, "dans la mesure où aucun intérêt prépondérant ne s'y oppose, les organes chargés d'appliquer la présente loi ou d'en contrôler l'application peuvent communiquer des données, en dérogation à l'art. 33 LPGA: à d'autres organes chargés d'appliquer la présente loi ou d'en contrôler l'exécution, lorsqu'elles sont nécessaires à l'accomplissement des tâches que leur assigne la présente loi" (let. a). Le statut des médecins-conseils est défini à l'art. 57 LAMal. Il s'agit de praticiens désignés par les assureurs ou leur fédération, chargés de donner leur avis à l'assureur sur des questions médicales ainsi que sur des questions relatives à la rémunération et à l'application des tarifs. Ils examinent en particulier si les conditions d'une prise en charge d'une prestation sont remplies (al. 4). Les médecins-conseils évaluent les cas en toute indépendance. Ni l'assureur, ni le fournisseur de prestations, ni leurs fédérations ne peuvent leur donner de directives (al. 5).

2.4 L'institution du médecin-conseil a pour but essentiel de garantir les droits de la personnalité des assurés à l'égard des assureurs (OFAS, Protection de la personnalité dans l'assurance-maladie et accidents sociale et privée, rapport d'une commission d'experts instituée par le DFI et le DFJP, mars 2001, p. 106). La loi réglemente ainsi de manière restrictive la transmission de données entre le médecin-conseil et l'assureur (art. 42 al. 5 et 57 al. 7 LAMal), le médecin-conseil ayant pour fonction de sélectionner les informations à destination de l'assureur (rapport OFAS, p. 93 ss). En
BGE 131 II 413 S. 418

revanche, la loi permet au médecin-conseil de transmettre des données à un médecin tiers; la protection des données est assurée dans ce cas, d'une part en raison du secret professionnel auquel est soumis le médecin tiers lui même, d'autre part en raison du fait que le médecin-conseil est responsable de la protection des données qu'il fait ainsi traiter (art. 16 al. 1 LPD, art. 22 OLPD [RS 235.11]). Selon l'art. 57 al. 5 LAMal, le médecin-conseil examine le cas en toute indépendance; la décision de recourir à l'avis d'un spécialise lui appartient, et il est libre dans le choix du consultant. Il doit pouvoir adresser à ce dernier toutes les données propres à la résolution de la question posée, sans que ni l'assureur, ni le fournisseur de prestation, ni même l'assuré n'aient à donner leur consentement à ce genre de démarches. En l'occurrence, le fait que le Dr A. se soit adressé à un praticien qui est lui-même médecin-conseil, constitue une garantie supplémentaire.
2.5 Dans la systématique de l'art. 17 LPD, le consentement de l'intéressé n'est pas nécessaire lorsqu'il existe une base légale formelle pour le traitement de données sensibles. Le médecin-conseil reste toutefois obligé, en vertu du principe de la proportionnalité, de s'en tenir aux données nécessaires au but poursuivi, dans le respect des droits de la personnalité de l'assuré (cf. art. 84a al. 6 LAMal et, par analogie, art. 57 al. 7 in fine LAMal).
A défaut d'un droit d'opposition de la part de l'assuré, un devoir d'information préalable relatif à la transmission des données ne s'impose pas non plus. A ce sujet, le droit d'accès consacré à l'art. 8 LPD constitue une garantie suffisante (ATF 125 II 321). En outre, dans la mesure où la consultation du médecin spécialisé a pour cadre une procédure à l'issue de laquelle une décision formelle devra être prise concernant la prise en charge ou non de certaines prestations, l'information aura lieu dans ce cadre où la consultation du dossier est également garantie; l'assuré pourra faire valoir tous ses griefs à l'encontre du médecin consulté, tant en ce qui concerne sa personne (dans l'optique d'une éventuelle récusation) que du contenu de son avis. Si celui-ci est fondé sur des données inexactes, l'intéressé peut aussi faire valoir, après-coup, son droit de rectification. Ces garanties apparaissent suffisantes dans la mesure où, compte tenu du statut du destinataire des données, il n'y a pas à craindre que celles-ci parviennent à d'autres personnes. C'est par conséquent à tort que le recourant entend faire valoir un droit systématique d'être préalablement renseigné sur la
BGE 131 II 413 S. 419

transmission, par le médecin-conseil, de son dossier à un médecin expert. Il peut certes arriver qu'en raison de circonstances particulières (données particulièrement sensibles, liens possibles entre l'assuré et l'expert), le médecin-conseil puisse être tenu de fournir une telle information, afin de permettre à l'intéressé de s'exprimer au sujet du choix de l'expert, ou des données à lui transmettre; en l'occurrence, le recourant ne démontre pas qu'il existerait des données nécessitant une protection particulière, ou que l'identité du destinataire appelait une information préalable.
2.6 Le recourant invoque en vain l'art. 9 Cst., ainsi que les dispositions constitutionnelles et conventionnelles relatives à la protection de la sphère privée; les garanties qui en découlent ne vont pas plus loin que les droits consacrés dans la législation spécifique. Il s'ensuit que le recours de droit administratif doit être rejeté, sous suite de frais et dépens.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 17 Ausnahmen - 1 Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
¹	Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
^a	Die betroffene Person hat ausdrücklich in die Bekanntgabe eingewilligt.
^b	Die Bekanntgabe steht in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags:
^b1	zwischen dem Verantwortlichen und der betroffenen Person; oder
^b2	zwischen dem Verantwortlichen und seiner Vertragspartnerin oder seinem Vertragspartner im Interesse der betroffenen Person.
^c	Die Bekanntgabe ist notwendig für:
^c1	die Wahrung eines überwiegenden öffentlichen Interesses; oder
^c2	die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor einem Gericht oder einer anderen zuständigen ausländischen Behörde.
^d	Die Bekanntgabe ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen, und es ist nicht möglich, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen.
^e	Die betroffene Person hat die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt.
^f	Die Daten stammen aus einem gesetzlich vorgesehenen Register, das öffentlich oder Personen mit einem schutzwürdigen Interesse zugänglich ist, soweit im Einzelfall die gesetzlichen Voraussetzungen der Einsichtnahme erfüllt sind.
²	Der Verantwortliche oder der Auftragsbearbeiter informiert den EDÖB auf Anfrage über die Bekanntgabe von Personendaten nach Absatz 1 Buchstaben b Ziffer 2, c und d.

SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG) KVG Art. 57 Vertrauensärzte und Vertrauensärztinnen - 1 Die Versicherer oder ihre Verbände bestellen nach Rücksprache mit den kantonalen Ärztegesellschaften Vertrauensärzte beziehungsweise Vertrauensärztinnen. Diese müssen die Zulassungsvoraussetzungen nach den Artikeln 36a und 37 Absatz 1 erfüllen und mindestens fünf Jahre in einer Arztpraxis oder in leitender spitalärztlicher Stellung tätig gewesen sein.191
¹	Die Versicherer oder ihre Verbände bestellen nach Rücksprache mit den kantonalen Ärztegesellschaften Vertrauensärzte beziehungsweise Vertrauensärztinnen. Diese müssen die Zulassungsvoraussetzungen nach den Artikeln 36a und 37 Absatz 1 erfüllen und mindestens fünf Jahre in einer Arztpraxis oder in leitender spitalärztlicher Stellung tätig gewesen sein.191
²	Vertrauensärzte und Vertrauensärztinnen, die in der ganzen Schweiz tätig sein sollen, müssen im Einvernehmen mit der Ärztegesellschaft des Kantons bestellt werden, in dem der Versicherer seinen Hauptsitz oder der Verband der Versicherer seinen Sitz hat.
³	Eine kantonale Ärztegesellschaft kann einen Vertrauensarzt oder eine Vertrauensärztin aus wichtigen Gründen ablehnen; in diesem Fall entscheidet das Schiedsgericht nach Artikel 89.
⁴	Vertrauensärzte und Vertrauensärztinnen beraten die Versicherer in medizinischen Fachfragen sowie in Fragen der Vergütung und der Tarifanwendung. Sie überprüfen insbesondere die Voraussetzungen der Leistungspflicht des Versicherers.
⁵	Sie sind in ihrem Urteil unabhängig. Weder Versicherer noch Leistungserbringer noch deren Verbände können ihnen Weisungen erteilen.
⁶	Die Leistungserbringer müssen den Vertrauensärzten und Vertrauensärztinnen die zur Erfüllung ihrer Aufgaben nach Absatz 4 notwendigen Angaben liefern. Ist es nicht möglich, diese Angaben anders zu erlangen, so können Vertrauensärzte und Vertrauensärztinnen Versicherte auch persönlich untersuchen; sie müssen den behandelnden Arzt oder die behandelnde Ärztin vorher benachrichtigen und nach der Untersuchung über das Ergebnis informieren. In begründeten Fällen können die Versicherten eine Untersuchung durch einen anderen Arzt oder eine andere Ärztin verlangen. Können sie sich mit ihrem Versicherer nicht einigen, so entscheidet in Abweichung von Artikel 58 Absatz 1 ATSG192 das Schiedsgericht nach Artikel 89.193
⁷	Die Vertrauensärzte und Vertrauensärztinnen geben den zuständigen Stellen der Versicherer nur diejenigen Angaben weiter, die notwendig sind, um über die Leistungspflicht zu entscheiden, die Vergütung festzusetzen, den Risikoausgleich zu berechnen oder eine Verfügung zu begründen. Dabei wahren sie die Persönlichkeitsrechte der Versicherten.194
⁸	Die eidgenössischen Dachverbände der Ärzte und Ärztinnen sowie der Versicherer regeln die Weitergabe der Angaben nach Absatz 7 sowie die Weiterbildung und die Stellung der Vertrauensärzte und Vertrauensärztinnen. Können sie sich nicht einigen, so erlässt der Bundesrat die nötigen Vorschriften.

SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG) KVG Art. 84 Bearbeiten von Personendaten - 1 Die mit der Durchführung oder mit der Kontrolle oder Beaufsichtigung der Durchführung dieses Gesetzes oder des KVAG288 betrauten Organe sind befugt, die Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz oder nach dem KVAG übertragenen Aufgaben zu erfüllen, namentlich um:289
¹	Die mit der Durchführung oder mit der Kontrolle oder Beaufsichtigung der Durchführung dieses Gesetzes oder des KVAG288 betrauten Organe sind befugt, die Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz oder nach dem KVAG übertragenen Aufgaben zu erfüllen, namentlich um:289
^a	für die Einhaltung der Versicherungspflicht zu sorgen;
^b	die Prämien zu berechnen und zu erheben;
^c	Leistungsansprüche zu beurteilen sowie Leistungen zu berechnen, zu gewähren und mit Leistungen anderer Sozialversicherungen zu koordinieren;
^d	den Anspruch auf Prämienverbilligungen nach Artikel 65290 zu beurteilen sowie die Verbilligungen zu berechnen und zu gewähren;
^e	ein Rückgriffsrecht gegenüber einem haftpflichtigen Dritten geltend zu machen;
^f	die Aufsicht über die Durchführung dieses Gesetzes auszuüben;
^g	Statistiken zu führen;
^h	die AHV-Nummer zuzuweisen oder zu verifizieren;
ⁱ	den Risikoausgleich zu berechnen.
²	Zur Erfüllung dieser Aufgaben sind sie darüber hinaus befugt, Personendaten, die namentlich die Beurteilung der Gesundheit, der Schwere des physischen oder psychischen Leidens, der Bedürfnisse und der wirtschaftlichen Situation der versicherten Person erlauben, zu bearbeiten oder bearbeiten zu lassen.293

SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG) KVG Art. 84^a Datenbekanntgabe - 1 Sofern kein überwiegendes Privatinteresse entgegensteht, dürfen Organe, die mit der Durchführung, der Kontrolle oder der Beaufsichtigung der Durchführung dieses Gesetzes oder des KVAG295 betraut sind, Daten in Abweichung von Artikel 33 ATSG296 bekannt geben:297
¹	Sofern kein überwiegendes Privatinteresse entgegensteht, dürfen Organe, die mit der Durchführung, der Kontrolle oder der Beaufsichtigung der Durchführung dieses Gesetzes oder des KVAG295 betraut sind, Daten in Abweichung von Artikel 33 ATSG296 bekannt geben:297
^a	anderen mit der Durchführung sowie der Kontrolle oder der Beaufsichtigung der Durchführung dieses Gesetzes oder des KVAG betrauten Organen, wenn die Daten für die Erfüllung der ihnen nach diesem Gesetz oder dem KVAG übertragenen Aufgaben erforderlich sind;
^b	Organen einer anderen Sozialversicherung, wenn sich in Abweichung von Artikel 32 Absatz 2 ATSG eine Pflicht zur Bekanntgabe aus einem Bundesgesetz ergibt;
^bbis	Organen einer anderen Sozialversicherung für die Zuweisung oder Verifizierung der AHV-Nummer;
^c	den für die Quellensteuer zuständigen Behörden, nach den Artikeln 88 und 100 des Bundesgesetzes vom 14. Dezember 1990300 über die direkte Bundessteuer sowie den entsprechenden kantonalen Bestimmungen;
^d	den Organen der Bundesstatistik, nach dem Bundesstatistikgesetz vom 9. Oktober 1992301;
^e	Stellen, die mit der Führung von Statistiken zur Durchführung dieses Gesetzes betraut sind, wenn die Daten für die Erfüllung dieser Aufgabe erforderlich sind und die Anonymität der Versicherten gewahrt bleibt;
^f	den zuständigen kantonalen Behörden, wenn es sich um Daten nach Artikel 22a handelt und diese für die Planung der Spitäler und Pflegeheime sowie für die Beurteilung der Tarife erforderlich sind;
^g	den Strafuntersuchungsbehörden, wenn die Anzeige oder die Abwendung eines Verbrechens die Datenbekanntgabe erfordert;
^gbis	dem Nachrichtendienst des Bundes (NDB) oder den Sicherheitsorganen der Kantone zuhanden des NDB, wenn eine konkrete Bedrohung der inneren oder äusseren Sicherheit nach Artikel 19 Absatz 2 des Nachrichtendienstgesetzes vom 25. September 2015304 gegeben ist;
^h	im Einzelfall und auf schriftlich begründetes Gesuch hin:
^h1	Sozialhilfebehörden, wenn die Daten für die Festsetzung, Änderung oder Rückforderung von Leistungen beziehungsweise für die Verhinderung ungerechtfertigter Bezüge erforderlich sind,
^h2	Zivilgerichten, wenn die Daten für die Beurteilung eines familien- oder erbrechtlichen Streitfalles erforderlich sind,
^h3	Strafgerichten und Strafuntersuchungsbehörden, wenn die Daten für die Abklärung eines Verbrechens oder eines Vergehens erforderlich sind,
^h4	Betreibungsämtern, nach den Artikeln 91, 163 und 222 des Bundesgesetzes vom 11. April 1889305 über Schuldbetreibung und Konkurs,
^h5	den Kindes- und Erwachsenenschutzbehörden nach Artikel 448 Absatz 4 ZGB307,
^h6	...309
²	...310
³	Daten, die von allgemeinem Interesse sind und sich auf die Anwendung dieses Gesetzes beziehen, dürfen in Abweichung von Artikel 33 ATSG veröffentlicht werden. Die Anonymität der Versicherten muss gewahrt bleiben.311
⁴	Die Versicherer sind in Abweichung von Artikel 33 ATSG befugt, den Sozialhilfebehörden oder anderen für Zahlungsausstände der Versicherten zuständigen kantonalen Stellen die erforderlichen Daten bekannt zu geben, wenn Versicherte fällige Prämien oder Kostenbeteiligungen nach erfolgloser Mahnung nicht bezahlen.312
⁵	In den übrigen Fällen dürfen Daten in Abweichung von Artikel 33 ATSG an Dritte wie folgt bekannt gegeben werden:313
^a	nicht personenbezogene Daten, sofern die Bekanntgabe einem überwiegenden Interesse entspricht;
^b	Personendaten, sofern die betroffene Person im Einzelfall schriftlich eingewilligt hat oder, wenn das Einholen der Einwilligung nicht möglich ist, diese nach den Umständen als im Interesse der versicherten Person vorausgesetzt werden darf.
⁶	Es dürfen nur die Daten bekannt gegeben werden, welche für den in Frage stehenden Zweck erforderlich sind.
⁷	Der Bundesrat regelt die Modalitäten der Bekanntgabe und die Information der betroffenen Person.
⁸	Die Daten werden in der Regel schriftlich und kostenlos bekannt gegeben. Der Bundesrat kann die Erhebung einer Gebühr vorsehen, wenn besonders aufwendige Arbeiten erforderlich sind.

SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG) KVG Art. 84 Bearbeiten von Personendaten - 1 Die mit der Durchführung oder mit der Kontrolle oder Beaufsichtigung der Durchführung dieses Gesetzes oder des KVAG288 betrauten Organe sind befugt, die Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz oder nach dem KVAG übertragenen Aufgaben zu erfüllen, namentlich um:289
¹	Die mit der Durchführung oder mit der Kontrolle oder Beaufsichtigung der Durchführung dieses Gesetzes oder des KVAG288 betrauten Organe sind befugt, die Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz oder nach dem KVAG übertragenen Aufgaben zu erfüllen, namentlich um:289
^a	für die Einhaltung der Versicherungspflicht zu sorgen;
^b	die Prämien zu berechnen und zu erheben;
^c	Leistungsansprüche zu beurteilen sowie Leistungen zu berechnen, zu gewähren und mit Leistungen anderer Sozialversicherungen zu koordinieren;
^d	den Anspruch auf Prämienverbilligungen nach Artikel 65290 zu beurteilen sowie die Verbilligungen zu berechnen und zu gewähren;
^e	ein Rückgriffsrecht gegenüber einem haftpflichtigen Dritten geltend zu machen;
^f	die Aufsicht über die Durchführung dieses Gesetzes auszuüben;
^g	Statistiken zu führen;
^h	die AHV-Nummer zuzuweisen oder zu verifizieren;
ⁱ	den Risikoausgleich zu berechnen.
²	Zur Erfüllung dieser Aufgaben sind sie darüber hinaus befugt, Personendaten, die namentlich die Beurteilung der Gesundheit, der Schwere des physischen oder psychischen Leidens, der Bedürfnisse und der wirtschaftlichen Situation der versicherten Person erlauben, zu bearbeiten oder bearbeiten zu lassen.293

SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999 BV Art. 13 Schutz der Privatsphäre - 1 Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs.
¹	Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs.
²	Jede Person hat Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 4 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter - 1 Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
¹	Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
²	Von der Aufsicht durch den EDÖB sind ausgenommen:
^a	die Bundesversammlung;
^b	der Bundesrat;
^c	die eidgenössischen Gerichte;
^d	die Bundesanwaltschaft: betreffend die Bearbeitung von Personendaten im Rahmen von Strafverfahren;
^e	Bundesbehörden: betreffend die Bearbeitung von Personendaten im Rahmen einer rechtsprechenden Tätigkeit oder von Verfahren der internationalen Rechtshilfe in Strafsachen.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 8 Datensicherheit - 1 Der Verantwortliche und der Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit.
¹	Der Verantwortliche und der Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit.
²	Die Massnahmen müssen es ermöglichen, Verletzungen der Datensicherheit zu vermeiden.
³	Der Bundesrat erlässt Bestimmungen über die Mindestanforderungen an die Datensicherheit.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 9 Bearbeitung durch Auftragsbearbeiter - 1 Die Bearbeitung von Personendaten kann vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter übertragen werden, wenn:
¹	Die Bearbeitung von Personendaten kann vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter übertragen werden, wenn:
^a	die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte; und
^b	keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet.
²	Der Verantwortliche muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten.
³	Der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen.
⁴	Er kann dieselben Rechtfertigungsgründe geltend machen wie der Verantwortliche.

SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG) KVG Art. 56 Wirtschaftlichkeit der Leistungen - 1 Der Leistungserbringer muss sich in seinen Leistungen auf das Mass beschränken, das im Interesse der Versicherten liegt und für den Behandlungszweck erforderlich ist.
¹	Der Leistungserbringer muss sich in seinen Leistungen auf das Mass beschränken, das im Interesse der Versicherten liegt und für den Behandlungszweck erforderlich ist.
²	Für Leistungen, die über dieses Mass hinausgehen, kann die Vergütung verweigert werden. Eine nach diesem Gesetz dem Leistungserbringer zu Unrecht bezahlte Vergütung kann zurückgefordert werden. Rückforderungsberechtigt ist:
^a	im System des Tiers garant (Art. 42 Abs. 1) die versicherte Person oder nach Artikel 89 Absatz 3 der Versicherer;
^b	im System des Tiers payant (Art. 42 Abs. 2) der Versicherer.
³	Der Leistungserbringer muss dem Schuldner der Vergütung die direkten oder indirekten Vergünstigungen weitergeben, die ihm:
^a	ein anderer in seinem Auftrag tätiger Leistungserbringer gewährt;
^b	Personen oder Einrichtungen gewähren, welche Arzneimittel oder der Untersuchung oder Behandlung dienende Mittel oder Gegenstände liefern.
^3bis	Versicherer und Leistungserbringer können vereinbaren, dass Vergünstigungen gemäss Absatz 3 Buchstabe b nicht vollumfänglich weitergegeben werden müssen. Diese Vereinbarung ist den zuständigen Behörden auf Verlangen offenzulegen. Sie hat sicherzustellen, dass Vergünstigungen mehrheitlich weitergegeben werden und dass nicht weitergegebene Vergünstigungen nachweislich zur Verbesserung der Qualität der Behandlung eingesetzt werden.189
⁴	Gibt der Leistungserbringer die Vergünstigung nicht weiter, so kann die versicherte Person oder der Versicherer deren Herausgabe verlangen.
⁵	Leistungserbringer und Versicherer sehen in den Tarifverträgen Massnahmen zur Sicherstellung der Wirtschaftlichkeit der Leistungen vor. Sie sorgen insbesondere dafür, dass diagnostische Massnahmen nicht unnötig wiederholt werden, wenn Versicherte mehrere Leistungserbringer konsultieren.
⁶	Leistungserbringer und Versicherer legen vertraglich eine Methode zur Kontrolle der Wirtschaftlichkeit fest.190

SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG) KVG Art. 42 - 1 Haben Versicherer und Leistungserbringer nichts anderes vereinbart, so schulden die Versicherten den Leistungserbringern die Vergütung der Leistung. Die Versicherten haben in diesem Fall gegenüber dem Versicherer einen Anspruch auf Rückerstattung (System des Tiers garant). In Abweichung von Artikel 22 Absatz 1 ATSG138 kann dieser Anspruch dem Leistungserbringer abgetreten werden.139
¹	Haben Versicherer und Leistungserbringer nichts anderes vereinbart, so schulden die Versicherten den Leistungserbringern die Vergütung der Leistung. Die Versicherten haben in diesem Fall gegenüber dem Versicherer einen Anspruch auf Rückerstattung (System des Tiers garant). In Abweichung von Artikel 22 Absatz 1 ATSG138 kann dieser Anspruch dem Leistungserbringer abgetreten werden.139
²	Versicherer und Leistungserbringer können vereinbaren, dass der Versicherer die Vergütung schuldet (System des Tiers payant). Im Falle der stationären Behandlung schuldet der Versicherer, in Abweichung von Absatz 1, den auf ihn entfallenden Anteil an der Vergütung.140
³	Der Leistungserbringer muss dem Schuldner eine detaillierte und verständliche Rechnung zustellen. Er muss ihm auch alle Angaben machen, die er benötigt, um die Berechnung der Vergütung und die Wirtschaftlichkeit der Leistung überprüfen zu können. Im System des Tiers payant muss der Leistungserbringer der versicherten Person unaufgefordert eine Kopie der Rechnung übermitteln, die an den Versicherer geht. Versicherer und Leistungserbringer können vereinbaren, dass der Versicherer die Rechnungskopie zustellt. Die Übermittlung der Rechnung an den Versicherten kann auch elektronisch erfolgen.141 Bei stationärer Behandlung weist das Spital die auf Kanton und Versicherer entfallenden Anteile je gesondert aus. Der Bundesrat regelt die Einzelheiten.142 143
^3bis	Die Leistungserbringer haben auf der Rechnung nach Absatz 3 die Diagnosen und Prozeduren nach den Klassifikationen in den jeweiligen vom zuständigen Departement herausgegebenen schweizerischen Fassungen codiert aufzuführen. Der Bundesrat erlässt ausführende Bestimmungen zur Erhebung, Bearbeitung und Weitergabe der Daten unter Wahrung des Verhältnismässigkeitsprinzips.144
⁴	Der Versicherer kann zusätzliche Auskünfte medizinischer Natur verlangen.145
⁵	Der Leistungserbringer ist in begründeten Fällen berechtigt und auf Verlangen der versicherten Person in jedem Fall verpflichtet, medizinische Angaben nur dem Vertrauensarzt oder der Vertrauensärztin des Versicherers nach Artikel 57 bekannt zu geben.
⁶	In Abweichung von Artikel 29 Absatz 2 ATSG ist für die Anmeldung von Leistungsansprüchen kein Formular nötig.146

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 2 Persönlicher und sachlicher Geltungsbereich - 1 Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
¹	Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
^a	private Personen;
^b	Bundesorgane.
²	Es ist nicht anwendbar auf:
^a	Personendaten, die von einer natürlichen Person ausschliesslich zum persönlichen Gebrauch bearbeitet werden;
^b	Personendaten, die von den eidgenössischen Räten und den parlamentarischen Kommissionen im Rahmen ihrer Beratungen bearbeitet werden;
^c	Personendaten, die bearbeitet werden durch institutionelle Begünstigte nach Artikel 2 Absatz 1 des Gaststaatgesetzes vom 22. Juni 20073, die in der Schweiz Immunität von der Gerichtsbarkeit geniessen.
³	Das anwendbare Verfahrensrecht regelt die Bearbeitung von Personendaten und die Rechte der betroffenen Personen in Gerichtsverfahren und in Verfahren nach bundesrechtlichen Verfahrensordnungen. Auf erstinstanzliche Verwaltungsverfahren sind die Bestimmungen dieses Gesetzes anwendbar.
⁴	Die öffentlichen Register des Privatrechtsverkehrs, insbesondere der Zugang zu diesen Registern und die Rechte der betroffenen Personen, werden durch die Spezialbestimmungen des anwendbaren Bundesrechts geregelt. Enthalten die Spezialbestimmungen keine Regelung, so ist dieses Gesetz anwendbar.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 3 Räumlicher Geltungsbereich - 1 Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
¹	Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
²	Für privatrechtliche Ansprüche gilt das Bundesgesetz vom 18. Dezember 19874 über das Internationale Privatrecht. Vorbehalten bleiben zudem die Bestimmungen zum räumlichen Geltungsbereich des Strafgesetzbuchs5.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 16 Grundsätze - 1 Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.
¹	Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.
²	Liegt kein Entscheid des Bundesrates nach Absatz 1 vor, so dürfen Personendaten ins Ausland bekanntgegeben werden, wenn ein geeigneter Datenschutz gewährleistet wird durch:
^a	einen völkerrechtlichen Vertrag;
^b	Datenschutzklauseln in einem Vertrag zwischen dem Verantwortlichen oder dem Auftragsbearbeiter und seiner Vertragspartnerin oder seinem Vertragspartner, die dem EDÖB vorgängig mitgeteilt wurden;
^c	spezifische Garantien, die das zuständige Bundesorgan erarbeitet und dem EDÖB vorgängig mitgeteilt hat;
^d	Standarddatenschutzklauseln, die der EDÖB vorgängig genehmigt, ausgestellt oder anerkannt hat; oder
^e	verbindliche unternehmensinterne Datenschutzvorschriften, die vorgängig vom EDÖB oder von einer für den Datenschutz zuständigen Behörde eines Staates, der einen angemessenen Schutz gewährleistet, genehmigt wurden.
³	Der Bundesrat kann andere geeignete Garantien im Sinne von Absatz 2 vorsehen.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz DSG Art. 19 Informationspflicht bei der Beschaffung von Personendaten - 1 Der Verantwortliche informiert die betroffene Person angemessen über die Beschaffung von Personendaten; diese Informationspflicht gilt auch, wenn die Daten nicht bei der betroffenen Person beschafft werden.
¹	Der Verantwortliche informiert die betroffene Person angemessen über die Beschaffung von Personendaten; diese Informationspflicht gilt auch, wenn die Daten nicht bei der betroffenen Person beschafft werden.
²	Er teilt der betroffenen Person bei der Beschaffung diejenigen Informationen mit, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist; er teilt ihr mindestens mit:
^a	die Identität und die Kontaktdaten des Verantwortlichen;
^b	den Bearbeitungszweck;
^c	gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden.
³	Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr zudem die Kategorien der bearbeiteten Personendaten mit.
⁴	Werden die Personendaten ins Ausland bekanntgegeben, so teilt er der betroffenen Person auch den Staat oder das internationale Organ und gegebenenfalls die Garantien nach Artikel 16 Absatz 2 oder die Anwendung einer Ausnahme nach Artikel 17 mit.
⁵	Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr die Informationen nach den Absätzen 2-4 spätestens einen Monat, nachdem er die Daten erhalten hat, mit. Gibt der Verantwortliche die Personendaten vor Ablauf dieser Frist bekannt, so informiert er die betroffene Person spätestens im Zeitpunkt der Bekanntgabe.