9C_650/2021 - 2022-11-07 - Assicurazione contro le malattie

Bundesgericht
Tribunal fédéral
Tribunale federale
Tribunal federal

9C 650/2021

Arrêt du 7 novembre 2022

IIe Cour de droit social

Composition
MM. et Mmes les Juges fédéraux Parrino, Président, Maillard, Stadelmann, Heine et Moser-Szeless.
Greffier : M. Berthoud.

Participants à la procédure
Avenir Assurance Maladie SA,
rue des Cèdres 5, 1920 Martigny,
recourante,

contre

A.________,
représentée par Me Mathieu Jacquérioz, avocat,
intimée.

Objet
Assurance-maladie,

recours contre le jugement du Tribunal cantonal du Valais du 8 novembre 2021 (S2 20 26).

Faits :

A.

A.a. A.________ a travaillé comme infirmière à 80 % pour la Clinique B.________ à partir du 28 octobre 2012. A ce titre, elle était assurée auprès de Mutuel Assurances SA (ci-après: Mutuel Assurances) contre la perte de gain en cas de maladie.

Dans un rapport du 15 octobre 2017, le docteur C.________, spécialiste en médecine générale et médecin traitant, a indiqué à Mutuel Assurances que sa patiente était atteinte d'hydrocéphalie, ce diagnostic remontant à l'année 2014 environ; elle était limitée de manière intermittente par des céphalées et des vertiges devenant très gênants et présentait des phases d'incapacité entière de travail. Par la suite, il a mentionné que l'hydrocéphalie avait été diagnostiquée en mars 2017 (rapport du 2 avril 2019).

A.b. Entre-temps, A.________ a commencé une activité accessoire d'infirmière indépendante à 20 % depuis le début de l'année 2014. Afin de couvrir cette activité indépendante, elle a conclu une assurance individuelle facultative d'indemnités journalières selon la LAMal auprès d'Avenir Assurance Maladie SA (ci-après: Avenir Assurance), le 13 septembre 2017, portant sur une indemnité journalière en cas de maladie de 50 fr. par jour, assortie d'un délai d'attente de sept jours pour les risques maladie et accident. Dans le document "Questionnaire de santé", A.________ n'a pas indiqué de trouble de la santé. Entre autres réponses, elle a nié être alors ("actuellement") ou avoir été en traitement au cours des cinq dernières années auprès d'un médecin ainsi que présenter des séquelles d'une maladie.

Le 29 août 2019, Avenir Assurance a reçu une déclaration d'incapacité de travail de A.________, selon laquelle elle avait travaillé la dernière fois le 15 mars 2019 et était en incapacité de travail depuis le 16 mars 2019 en raison d'une hydrocéphalie. Après avoir obtenu l'autorisation de A.________, le 2 décembre 2019, pour traiter les données nécessaires à la détermination du droit aux prestations, notamment en requérant des informations auprès des autres assureurs sociaux ou privés, Avenir Assurance a obtenu le dossier médical de l'assurée de la part de Mutuel Assurances. Par décision du 9 janvier 2020, confirmée sur opposition le 6 mars suivant, Avenir Assurance a institué une réserve rétroactive dès le 13 septembre 2017 pour hydrocéphalie et ses complications, en raison d'une réticence, ce pour une durée de cinq ans; elle a par ailleurs refusé toute indemnité pour l'incapacité de travail annoncée dès le 16 mars 2019 et mis un terme au contrat d'assurance avec effet au 31 décembre 2019.

B.
Statuant le 8 novembre 2021 sur le recours de A.________, le Tribunal cantonal du Valais, Cour des assurances sociales, l'a admis; annulant la décision du 6 mars 2020, il a renvoyé le dossier à Avenir Assurance pour "examen des autres conditions du droit aux indemnités journalières requises".

C.
Agissant par la voie du recours en matière de droit public, Avenir Assurance demande au Tribunal fédéral d'annuler le jugement cantonal et de confirmer la décision sur opposition du 6 mars 2020.

A.________ conclut au rejet du recours, tandis que l'Office fédéral de la santé publique (OFSP) conclut à son admission.

Considérant en droit :

1.

1.1. L'arrêt entrepris, qui ne met pas fin à la procédure, constitue une décision incidente qui ne peut être déférée immédiatement au Tribunal fédéral que si la condition du préjudice irréparable prévue par l'art. 93 al. 1 let. a LTF est réalisée ou pour éviter une procédure probatoire longue et coûteuse au sens de l'art. 93 al. 1 let. b LTF. Selon la jurisprudence, une autorité qui devrait, à la suite d'une décision de renvoi, rendre une nouvelle décision qui, de son point de vue, serait contraire au droit sans pouvoir par la suite la remettre en cause devant l'instance supérieure, est réputée subir un préjudice irréparable au sens de l'art. 93 al. 1 let. a LTF (cf. ATF 144 V 280 consid. 1.2; 133 V 477 consid. 5.2).

Cette éventualité est réalisée en l'espèce. En effet, le Tribunal cantonal a admis qu'au moment du prononcé de la décision du 9 janvier 2020, le délai pour instituer une réserve pour motif de réticence était déjà échu, de sorte que la réserve instituée par la recourante devait être supprimée et celle-ci être invitée à verser des prestations à l'assurée pour l'incapacité de travail survenue à partir du 16 mars 2019, sous réserve de la réalisation des autres conditions légales qu'il lui appartenait encore d'examiner. Sur ce point, l'arrêt attaqué contient une instruction contraignante pour la recourante qui l'obligerait à rendre une décision contraire au droit, selon elle, sans qu'elle ne puisse la contester par la suite devant l'instance supérieure. L'arrêt entrepris peut donc être déféré immédiatement au Tribunal fédéral en ce qui concerne le droit de l'intimée à des indemnités journalières pour l'incapacité de travail survenue dès le 16 mars 2019. Il y a dès lors lieu d'entrer en matière sur le recours.

1.2. Le recours en matière de droit public est aussi conçu pour la protection des droits constitutionnels des citoyens (art. 95 let. a LTF), de sorte qu'il doit être formé par la personne titulaire du droit constitutionnel invoqué. Celui qui recourt ne peut par conséquent pas invoquer le droit constitutionnel d'autrui (ATF 125 I 161 consid. 2a; arrêts 8C 292/2011 du 8 décembre 2011 consid. 5.2; 2C 241/2008 du 27 mai 2008).

En tant que la recourante se prévaut d'une violation de l'art. 13 al. 2 Cst. (droit à la protection de la sphère privée) parce que le jugement entrepris porterait atteinte à la personnalité de l'assurée, elle invoque un droit constitutionnel dont elle n'est pas titulaire, comme le fait valoir à juste titre l'intimée. Le recours est dès lors irrecevable dans la mesure où la recourante invoque la violation précitée. La recourante dispose en revanche d'un intérêt digne de protection à l'annulation du jugement cantonal, en tant qu'elle fait valoir une violation de la loi fédérale du 19 juin 1992 sur la protection des données (LPD; RS 235.1) en ce qu'elle aurait été tenue, selon le raisonnement de la juridiction cantonale, de consulter les données médicales aux mains d'un autre assureur. Dans cette mesure, le recours est recevable.

2.
Le recours en matière de droit public (art. 82 ss LTF) peut être formé pour violation du droit au sens des art. 95 et 96 LTF. Le Tribunal fédéral applique le droit d'office (art. 106 al. 1 LTF), n'examine en principe que les griefs invoqués (art. 42 al. 2 LTF) et fonde son raisonnement sur les faits retenus par la juridiction de première instance (art. 105 al. 1 LTF), sauf s'ils ont été établis de façon manifestement inexacte ou en violation du droit au sens de l'art. 95 LTF auquel cas il peut les rectifier ou les compléter d'office (art. 105 al. 2 LTF).

3.

3.1. Compte tenu des motifs et conclusions du recours, le litige en instance fédérale ne porte que sur la validité de la réserve d'assurance formulée par la recourante avec effet au 13 septembre 2017, pour "hydrocéphalie et ses complications". La recourante ne conteste pas les considérations de la juridiction cantonale selon lesquelles l'exclusion de l'assurance prononcée avec effet au 31 décembre 2019 n'était pas valable de sorte que la résiliation du contrat au 31 décembre 2019 était "en toute hypothèse non opérant". Elle ne s'en prend donc pas à l'annulation, par les premiers juges, de la décision sur opposition sur ce point.

3.2. Le jugement entrepris expose de manière complète les règles légales et la jurisprudence relatives à l'instauration d'une clause de réserve par l'assureur-maladie (art. 69 LAMal; ATF 125 V 292 consid. 2 et les références). Il suffit d'y renvoyer.

4.

4.1. La juridiction cantonale a constaté qu'au moment de son adhésion à Avenir Assurance, l'intimée avait passé sous silence des faits importants pour l'évaluation de son risque par l'assurance et manifestement commis une réticence. L'assurée avait ainsi omis d'indiquer qu'elle souffrait d'une hydrocéphalie (expliquant en grande partie les multiples maux récurrents dont elle souffrait depuis 2014 déjà), alors qu'elle ne pouvait ignorer cette atteinte et les répercussions de celle-ci depuis une IRM effectuée le 15 mars 2017. Le fait qu'elle n'avait apparemment pas subi d'incapacité de travail durable avant mars 2019 en raison de cette maladie ne la dispensait pas de renseigner la recourante sur l'existence de ses problèmes de santé et les investigations prévues.

Quant au délai pour instituer une réserve - d'un an à compter du moment où l'assureur a eu ou aurait dû avoir connaissance de l'attitude répréhensible de l'assuré, mais au plus tard cinq ans depuis ledit comportement (ATF 110 V 308 consid. 2c) - la juridiction cantonale a retenu qu'il était échu au moment du prononcé de la décision du 9 janvier 2020. Selon elle, il convenait en application de l'arrêt 4A 294/2014 du 30 octobre 2014, de considérer que les rapports médicaux communiqués à Mutuel Assurances étaient réputés connus de la recourante dès leur réception par la prénommée (soit le 25 octobre 2017, date à laquelle le rapport du docteur C.________ du 15 octobre 2017 avait été transmis à Mutuel Assurances). En effet, les deux sociétés d'assurance avaient adopté une organisation et une administration communes et elles étaient donc autorisées à partager les données de leurs assurés communs. Les premiers juges ont conclu que la réserve devait être supprimée et Avenir Assurance être invitée à verser des prestations à l'intimée pour l'incapacité de travail survenue dès le 16 mars 2019, sous réserve de la réalisation des autres conditions légales.

4.2. Invoquant une violation de la LPD, la recourante reproche à la juridiction cantonale d'avoir retenu que deux assurances d'un même groupe pratiquant "toutes deux l'assurance-maladie sociale" sont autorisées à adopter une organisation unique et, partant, à partager les données de leurs assurés communs. Elle soutient qu'elle avait agi en tant qu'assureur perte de gain maladie selon la LAMal, tandis que Mutuel Assurances était intervenue en tant qu'assureur perte de gain maladie selon la LCA (RS 221.229.1). Dès lors que l'assureur LAMal devait être considéré comme un tiers par rapport à un assureur LCA (même dans l'éventualité où les deux domaines étaient exploités par la même personne morale), les données médicales ne pouvaient pas être transmises au premier assureur sans motifs justificatifs. Or Mutuel Assurances n'avait pas été autorisée à lui transmettre des données avant que l'intimée n'eût donné son accord pour ce faire, le 12 décembre 2019. Imposer à la recourante de consulter les données de l'assurée recueillies par Mutuel Assurances avant cette date reviendrait à une violation de la LPD.

5.

5.1. En tant que la juridiction cantonale a considéré que la recourante et Mutuel Assurances étaient toutes deux des assurances pratiquant l'assurance-maladie sociale selon la LAMal, elle a procédé à une constatation manifestement inexacte des faits, qu'il convient de rectifier (consid. 2 supra). Elle a apparemment confondu Mutuel Assurances SA (aujourd'hui radiée du registre du commerce), dont le but social était "l'exploitation des branches d'assurances non vie", et Mutuel Assurance Maladie SA, dont le but est de "pratiquer en tant que caisse-maladie au sens de l'art. 12 LAMal l'assurance-maladie obligatoire et l'assurance facultative d'indemnités journalières". Selon les constatations cantonales - non contestées par les parties en instance fédérale -, l'intimée était assurée auprès de Mutuel Assurances pour la perte de gain. Or cette assurance n'était pas une caisse-maladie au sens de l'art. 12 LAMal, qui aurait pratiqué l'assurance facultative d'indemnités journalières, mais elle était active dans le domaine des assurances (complémentaires) soumises à la LCA, dont l'assurance indemnité journalière, soit dans le domaine des assurances privées.

5.2. L'intimée soutient qu'elle avait, par sa signature de la proposition d'assurance du 13 septembre 2017, donné son accord au traitement de ses données personnelles et délié notamment tous les autres assureurs du Groupe Mutuel Holding SA (dont faisaient partie les deux assureurs en cause) de leur obligation de garder le secret, ce dans le cadre de vérifications nécessaires en cas de soupçons de réticence ou de fraude. Aussi, Mutuel Assurances était-elle autorisée à transmettre des données la concernant à la recourante, sans atteinte à sa personnalité, conformément à l'art. 12 al. 3 LPD, selon lequel il n'y a en règle générale pas atteinte à la personnalité lorsque la personne concernée a rendu les données accessibles à tout un chacun et ne s'est pas opposée formellement au traitement.

Quoi qu'en dise l'intimée, on ne saurait considérer que l'autorisation à laquelle elle se réfère justifiait que Mutuel Assurances transmît les rapports médicaux la concernant à la recourante à la date du 25 octobre 2017, considérée comme déterminante par la juridiction cantonale. Si l'intimée a bien accepté peu auparavant de lever l'obligation des "autres assureurs membres du Groupe Mutuel, Association d'assureurs" de garder le secret envers la recourante (cf. "Déclaration du proposant" signée par l'intimée le 13 septembre 2017), son accord porte sur des cas dans lesquels il existe des soupçons de réticence ou de fraude. Or elle n'allègue pas que la recourante aurait dû soupçonner une réticence ou une fraude au moment où Mutuel Assurances a reçu le rapport médical du 15 octobre 2017, dix-jours plus tard, ce qui aurait pu justifier que la recourante sollicitât des renseignements auprès de Mutuel Assurances. A cette date, en l'absence de tout soupçon, la recourante n'avait pas à vérifier l'éventualité d'une réticence ou d'une fraude, pas plus qu'elle n'avait non plus à faire spontanément des recherches auprès de l'assureur privé, "pour toutes les questions posées en rapport avec le questionnaire médical en vue de la conclusion du
contrat" (cf. déclaration précitée). La juridiction cantonale le reconnaît du reste lorsqu'elle retient qu'on ne peut exiger d'une caisse-maladie qu'elle procède sans autre indice spontanément, et dans chaque cas, à une enquête sur d'éventuelles maladies antérieures de l'intéressée ou sur les prestations d'assurance qui pourraient lui avoir été allouées précédemment. L'accord de l'intimée ne constituait dès lors pas une autorisation générale donnée à la recourante d'avoir accès à toutes les données recueillies à son sujet par Mutuel Assurances.

5.3.

5.3.1. Cela étant, la question qui se pose au regard des considérations de la juridiction cantonale est de savoir si la recourante doit se voir imputer la connaissance qu'avait Mutuel Assurances des faits concernant l'intimée. A cet égard, la juridiction cantonale a fondé l'imputation de la connaissance sur le critère de l'accessibilité, selon lequel la personne morale est censée connaître des faits ou disposer de renseignements dès que l'information correspondante est accessible au sein de son organisation (cf. arrêt 4A 294/2014 cité consid. 4 et les arrêts cités).

Selon la jurisprudence en effet, une personne morale dispose de la connaissance, déterminante sous l'angle juridique, d'un état de fait lorsque l'information correspondante est objectivement accessible au sein de son organisation (ATF 109 II 338 consid. 2b; arrêts 4A 614/2016 du 3 juillet 2017 consid. 6.3.1 et les arrêts cités; 9C 199/2008 du 19 novembre 2008 consid. 4.1 [SVR 2009 BVG n° 12 p. 37]; B 50/02 du 1er décembre 2003 consid. 3 [SVR 2004 BVG n° 15 p. 49]). A cet égard, ce sont les circonstances du cas concret qui permettent de décider si l'on peut imputer à l'ayant droit la connaissance de certains actes, dont certains de ses collaborateurs ont eu vent dans l'exercice de leurs fonctions (arrêt 4C.371/2005 du 2 mars 2006 consid. 3.1, in SJ 2007 I p. 7, avec la référence à l'ATF 109 II 338 consid. 2b-e). Ainsi, les faits dont la société mère a connaissance sont opposables à la société fille lorsque les deux entités juridiques disposent d'une banque de données électronique commune et emploient les mêmes collaborateurs (cf. arrêt 5C.104/2001 du 21 août 2001 consid. 4c/bb et les références).

5.3.2. En l'occurrence, le critère de l'accessibilité des données ne saurait être appliqué en faisant abstraction de la position particulière de la recourante en tant qu'assureur-maladie social. La caisse-maladie, en pratiquant l'assurance-maladie sociale (y compris l'assurance d'indemnités journalières au sens de l'art. 67 LAMal) remplit une tâche publique de la Confédération et est soumise à des règles plus strictes en matière de protection des données que les entreprises n'ayant pas une telle fonction (cf. Rapport du Conseil fédéral, du 18 décembre 2013, en réponse au postulat Heim [08.3493], Protection des données des patients et protection des assurés, p. 4; cf. aussi les critiques sur le critère de l'accessibilité en lien avec les obligations de secret de ANNICK FOURNIER, L'imputation de la connaissance, Genève/Zurich/Bâle 2021, n° 767 ss p. 250 ss et n° 800 p. 263). Nonobstant l'organisation commune de la recourante et de Mutuel Assurances, qui sont des personnes morales distinctes l'une de l'autre, la seconde est, à l'égard de la première, un tiers au sens de l'art. 84a al. 5 LAMal (arrêt A-3548/2018 du Tribunal administratif fédéral du 19 mars 2019 consid. 4.8.2; UELI KIESER, Kommentar ATSG, 4e éd. 2020, ad art. 33 n° 23
s.; ANNE-SYLVIE DUPONT, La protection des données confiées aux assureurs, in La protection des données dans les relations de travail, 2017, p. 212). Or dans les rapports avec des tiers, les aspects liés au transfert et au traitement des informations, voire d'éventuelles limites légales de la transmission des informations ont aussi leur importance (cf. arrêt 4C.44/1998 du 28 septembre 1999 consid. 2d/aa et les références, in sic! 5/2000 p. 407; cf. aussi arrêt 4C.335/1999 du 25 août 1999 consid. 5b, in SJ 2001 I p. 186). Lorsque, comme en l'espèce - et à la différence de la situation jugée par l'arrêt 4A 294/2014 cité, dans laquelle le Tribunal fédéral a retenu que l'assureur privé a concrètement eu connaissance des données en cause de l'assureur-maladie social (voir consid. 5.3.3 infra) -, est en cause le comportement d'un assureur-maladie social, il y a lieu de prendre en considération les caractéristiques de l'organisation des caisses-maladie qui se doit d'être conciliable avec le régime légal de la protection des données, auxquelles celles-ci sont soumises en tant qu'organe fédéral au sens de l'art. 3 let. h LPD (sur ce dernier point ATF 133 V 359 consid. 6.4 et les références; arrêt A-3548/2018 cité consid. 4.5.5 et les
références). Dans le cadre de son organisation, la caisse-maladie est tenue de respecter les règles légales et ne peut contraindre ses organes ou collaborateurs à violer la loi.

En matière de protection des données, l'assureur-maladie social n'est en droit de traiter de données sensibles - dont les données sur la santé (art. 3 let. c LPD) - que si une loi au sens formel le prévoit expressément (cf., de manière générale, l'art. 84 LAMal) ou si, exceptionnellement (et entre autres éventualités), la personne concernée y a consenti ou a rendu ses données accessibles à tout un chacun et ne s'est pas opposée formellement au traitement (art. 17 al. 2 let. c LPD). Il est tenu de prendre les mesures techniques et organisationnelles nécessaires pour garantir la protection des données (art. 84b LAMal; cf. aussi l'art. 7 al. 1 LPD). Dans ce cadre, il doit assurer que le traitement des données, y compris la collecte des données et leur exploitation (cf. art. 3 let. e LPD), soit effectué en conformité à la loi. Or, celle-ci interdit un échange d'informations général entre la caisse-maladie et une assurance complémentaire privée, même si elles appartiennent à un même groupe d'assureurs, que le transfert de données se fasse de l'assureur-maladie social à l'assureur privé ou dans l'autre sens (Message du Conseil fédéral, du 20 septembre 2013, concernant la modification de la loi fédérale sur l'assurance-maladie
[Compensation des risques. Séparation de l'assurance de base et des assurances complémentaires], FF 2013 7135 ss, ch. 2 p. 7148 ad art. 13 al. 2 let. g P-LAMal). Une communication de ces données personnelles ne peut être envisagée qu'avec le consentement de la personne concernée (cf. art. 13 al. 1 LPD sur le consentement de l'intéressé et art. 84a al. 5 LAMal sur le transfert des données par la caisse-maladie au tiers), qui n'a pas été donné en l'espèce (consid. 5.2 supra). La référence que fait la juridiction cantonale à l'art. 84a let. a et b LAMal (communication de données par l'assureur-maladie à d'autres organes d'application de la LAMal ou de la LSAMal [RS 832.12] et aux organes d'une autre assurance sociale) n'est pas pertinente, dès lors que le transfert de données ne concerne pas deux assureurs pratiquant tous deux l'assurance-maladie obligatoire (consid. 5.1 supra).

5.3.3. Par ailleurs, l'autorité de surveillance des assureurs-maladie sociaux exige de leur part de choisir et de mettre en place des voies de traitement des données séparées lorsque le recours aux mêmes flux de données personnelles pour l'assurance obligatoire des soins et pour les assurances régies par la LCA recèle un potentiel d'usage abusif (Circulaire n° 7.1 du 17 décembre 2015 de l'OFSP, Assureurs-maladie: organisation et processus conformes à la protection des données [aujourd'hui: Circulaire n° 7.1 du 20 décembre 2021, Surveillance par l'OFSP des domaines soumis aux dispositions de la LSAMal, de l'OSAMal, de la LAMal et de l'OAMal relatives à la protection des données], Annexe 2, p. 11 , [consulté le 31 octobre 2022]; cf. aussi sur la nécessité d'un "mur de protection" des données à l'intérieur d'un groupe d'assureurs, GEBHARD EUGSTER, Krankenversicherung [E], in: Schweizerisches Bundesverwaltungsrecht [SBVR], Soziale Sicherheit, 3e éd. 2016, p. 871 n° 1551; YVONNE PRIEUR, Unzureichender Schutz der Gesundheitsdaten bei den Krankenversicherern, Jusletter du 18 février 2008,
n° 4 ss).

A cet égard, la recourante fait valoir que les dossiers respectifs de l'intimée auprès d'elle et de Mutuel Assurances ont été enregistrés séparément sous des numéros différents et qu'ils sont traités par deux collaboratrices différentes qui n'ont pas un accès réciproque et systématique aux données de l'autre assureur, toute autre organisation violant les exigences de la LPD. Dans ces circonstances, rien n'indique que la collaboratrice chargée du traitement du dossier de l'intimée auprès de la recourante aurait, en violation des règles en la matière, accédé spontanément aux données recueillies par Mutuel Assurances pour en prendre connaissance ou que celle-ci les aurait transmises et rendues ainsi accessibles à la caisse-maladie. On ne saurait donc admettre que la recourante a eu accès à l'information déterminante faisant partie des données de l'assurance privée, malgré leur organisation commune (cf. aussi l'art. 9 al. 1 let. g [en relation avec l'art. 20 al. 1 OLPD; RS 235.11], selon lequel les personnes autorisées ont accès uniquement aux données personnelles dont elles ont besoin pour accomplir leurs tâches). Il convient, en l'occurrence, de prendre en considération le fait que la collaboratrice de la recourante chargée de la
gestion du dossier de l'intimée n'avait en tout état de cause pas le droit d'accéder spontanément aux données concernant celle-ci aux mains de Mutuel Assurances; une imputation de la connaissance de données en cas de transfert illégal de celles-ci dans le domaine de l'assurance-maladie obligatoire apparaît problématique sous l'angle des obligations en matière de protection des données incombant à l'assureur-maladie social (cf. dans ce sens, de manière générale, FOURNIER, op. cit., n° 768 p. 251 et n° 1283 p. 414; HANS CASPAR VON DER CRONE/PATRICIA REICHMUTH, Aktuelle Rechtsprechung zum Aktienrecht, RSDA 4/2018, p. 413).

5.3.4. Il suit de ce qui précède que la recourante n'a pas eu ou n'aurait pas dû avoir connaissance du rapport du docteur C.________ du 15 septembre 2017 au moment où il a été transmis à Mutuel Assurances le 25 octobre 2017. Ce n'est qu'après avoir reçu l'autorisation de l'intimée, en décembre 2019, de requérir des renseignements auprès de tiers (procuration signée le 2 décembre 2019), dans le cadre de l'annonce du 29 août 2019 d'un arrêt de travail survenu en mars 2019, que la recourante a eu accès aux données recueillies par l'assurance privée (cf. "Dossier médical de Mutuel Assurances SA" produit par la recourante en instance cantonale), et donc pu avoir connaissance des faits dont elle pouvait déduire une situation de réticence. En conséquence, en décidant le 9 janvier 2020 d'émettre une réserve rétroactive en relation avec l'hydrocéphalie et ses complications dès le 13 septembre 2017 pour une durée de cinq ans, la recourante a agi dans le délai d'un an prévu par la jurisprudence (ATF 110 V 308 consid. 1; arrêt 9C 28/2007 du 22 juin 2007 consid. 2.2).
Pour le reste, l'intimée, dont la réponse porte exclusivement sur la violation de la LPD invoquée par la recourante, ne remet pas en cause les constatations de la juridiction cantonale sur l'existence d'une réticence en lien avec l'hydrocéphalie ainsi que sur le fait que c'est bien cette atteinte qui a provoqué l'incapacité de travail survenue dès le 16 mars 2019. Compte tenu de ces constatations et de la validité de la réserve émise par la recourante, celle-ci n'a pas à allouer d'indemnités journalières en raison de cette incapacité de travail. Les conclusions de la recourante tendant à l'annulation de l'arrêt entrepris sur ce point (consid. 3.1 supra) sont bien fondées.

6.
Vu l'issue du litige, l'intimée supportera les frais de justice y afférents (art. 66 al. 1 LTF).

La cause est renvoyée à la juridiction cantonale pour nouvelle décision sur les dépens de la procédure antérieure (art. 67 et 68 al. 5 LTF).

Par ces motifs, le Tribunal fédéral prononce :

1.
Le recours est admis dans la mesure où il est recevable. Le jugement du Tribunal cantonal du canton du Valais, Cour des assurances sociales, du 8 novembre 2021 est annulé en tant qu'il porte sur l'obligation de la recourante de verser des prestations à l'intimée pour l'incapacité de travail survenue dès le 16 mars 2019; il est confirmé pour le surplus.

2.
Les frais judiciaires, arrêtés à 500 fr., sont mis à la charge de l'intimée.

3.
La cause est renvoyée au Tribunal cantonal du canton du Valais, Cour des assurances sociales, pour nouvelle décision sur les dépens de la procédure antérieure.

4.
Le présent arrêt est communiqué aux parties, au Tribunal cantonal du Valais, Cour des assurances sociales, et à l'Office fédéral de la santé publique.

Lucerne, le 7 novembre 2022

Au nom de la IIe Cour de droit social
du Tribunal fédéral suisse

Le Président : Parrino

Le Greffier : Berthoud

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 93 Altre decisioni pregiudiziali e incidentali - 1 Il ricorso è ammissibile contro altre decisioni pregiudiziali e incidentali notificate separatamente se:
¹	Il ricorso è ammissibile contro altre decisioni pregiudiziali e incidentali notificate separatamente se:
^a	esse possono causare un pregiudizio irreparabile; o
^b	l'accoglimento del ricorso comporterebbe immediatamente una decisione finale consentendo di evitare una procedura probatoria defatigante o dispendiosa.
²	Le decisioni pregiudiziali e incidentali nel campo dell'assistenza giudiziaria internazionale in materia penale e nel campo dell'asilo non sono impugnabili.86 Rimangono salvi i ricorsi contro le decisioni sulla carcerazione in vista d'estradizione come anche sul sequestro di beni e valori, sempreché siano adempiute le condizioni di cui al capoverso 1.
³	Se il ricorso in virtù dei capoversi 1 e 2 non è ammissibile o non è stato interposto, le decisioni pregiudiziali e incidentali possono essere impugnate mediante ricorso contro la decisione finale in quanto influiscano sul contenuto della stessa.

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 93 Altre decisioni pregiudiziali e incidentali - 1 Il ricorso è ammissibile contro altre decisioni pregiudiziali e incidentali notificate separatamente se:
¹	Il ricorso è ammissibile contro altre decisioni pregiudiziali e incidentali notificate separatamente se:
^a	esse possono causare un pregiudizio irreparabile; o
^b	l'accoglimento del ricorso comporterebbe immediatamente una decisione finale consentendo di evitare una procedura probatoria defatigante o dispendiosa.
²	Le decisioni pregiudiziali e incidentali nel campo dell'assistenza giudiziaria internazionale in materia penale e nel campo dell'asilo non sono impugnabili.86 Rimangono salvi i ricorsi contro le decisioni sulla carcerazione in vista d'estradizione come anche sul sequestro di beni e valori, sempreché siano adempiute le condizioni di cui al capoverso 1.
³	Se il ricorso in virtù dei capoversi 1 e 2 non è ammissibile o non è stato interposto, le decisioni pregiudiziali e incidentali possono essere impugnate mediante ricorso contro la decisione finale in quanto influiscano sul contenuto della stessa.

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 93 Altre decisioni pregiudiziali e incidentali - 1 Il ricorso è ammissibile contro altre decisioni pregiudiziali e incidentali notificate separatamente se:
¹	Il ricorso è ammissibile contro altre decisioni pregiudiziali e incidentali notificate separatamente se:
^a	esse possono causare un pregiudizio irreparabile; o
^b	l'accoglimento del ricorso comporterebbe immediatamente una decisione finale consentendo di evitare una procedura probatoria defatigante o dispendiosa.
²	Le decisioni pregiudiziali e incidentali nel campo dell'assistenza giudiziaria internazionale in materia penale e nel campo dell'asilo non sono impugnabili.86 Rimangono salvi i ricorsi contro le decisioni sulla carcerazione in vista d'estradizione come anche sul sequestro di beni e valori, sempreché siano adempiute le condizioni di cui al capoverso 1.
³	Se il ricorso in virtù dei capoversi 1 e 2 non è ammissibile o non è stato interposto, le decisioni pregiudiziali e incidentali possono essere impugnate mediante ricorso contro la decisione finale in quanto influiscano sul contenuto della stessa.

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 95 Diritto svizzero - Il ricorrente può far valere la violazione:
^a	del diritto federale;
^b	del diritto internazionale;
^c	dei diritti costituzionali cantonali;
^d	delle disposizioni cantonali in materia di diritto di voto dei cittadini e di elezioni e votazioni popolari;
^e	del diritto intercantonale.

SR 101 Costituzione federale della Confederazione Svizzera del 18 aprile 1999 Cost. Art. 13 Protezione della sfera privata - 1 Ognuno ha diritto al rispetto della sua vita privata e familiare, della sua abitazione, della sua corrispondenza epistolare nonché delle sue relazioni via posta e telecomunicazioni.
¹	Ognuno ha diritto al rispetto della sua vita privata e familiare, della sua abitazione, della sua corrispondenza epistolare nonché delle sue relazioni via posta e telecomunicazioni.
²	Ognuno ha diritto d'essere protetto da un impiego abusivo dei suoi dati personali.

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 82 Principio - Il Tribunale federale giudica i ricorsi:
^a	contro le decisioni pronunciate in cause di diritto pubblico;
^b	contro gli atti normativi cantonali;
^c	concernenti il diritto di voto dei cittadini nonché le elezioni e votazioni popolari.

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 96 Diritto estero - Il ricorrente può far valere che:
^a	non è stato applicato il diritto estero richiamato dal diritto internazionale privato svizzero;
^b	il diritto estero richiamato dal diritto internazionale privato svizzero non è stato applicato correttamente, sempreché la decisione non concerna una causa di natura pecuniaria.

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 106 Applicazione del diritto - 1 Il Tribunale federale applica d'ufficio il diritto.
¹	Il Tribunale federale applica d'ufficio il diritto.
²	Esamina la violazione di diritti fondamentali e di disposizioni di diritto cantonale e intercantonale soltanto se il ricorrente ha sollevato e motivato tale censura.

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 42 Atti scritti - 1 Gli atti scritti devono essere redatti in una lingua ufficiale, contenere le conclusioni, i motivi e l'indicazione dei mezzi di prova ed essere firmati.
¹	Gli atti scritti devono essere redatti in una lingua ufficiale, contenere le conclusioni, i motivi e l'indicazione dei mezzi di prova ed essere firmati.
²	Nei motivi occorre spiegare in modo conciso perché l'atto impugnato viola il diritto. Qualora il ricorso sia ammissibile soltanto se concerne una questione di diritto di importanza fondamentale o un caso particolarmente importante per altri motivi, occorre spiegare perché la causa adempie siffatta condizione.14 15
³	Se sono in possesso della parte, i documenti indicati come mezzi di prova devono essere allegati; se l'atto scritto è diretto contro una decisione, anche questa deve essere allegata.
⁴	In caso di trasmissione per via elettronica, la parte o il suo patrocinatore deve munire l'atto scritto di una firma elettronica qualificata secondo la legge del 18 marzo 201616 sulla firma elettronica. Il Tribunale federale determina mediante regolamento:
^a	il formato dell'atto scritto e dei relativi allegati;
^b	le modalità di trasmissione;
^c	le condizioni alle quali può essere richiesta la trasmissione successiva di documenti cartacei in caso di problemi tecnici.17
⁵	Se mancano la firma della parte o del suo patrocinatore, la procura dello stesso o gli allegati prescritti, o se il patrocinatore non è autorizzato in quanto tale, è fissato un congruo termine per sanare il vizio, con la comminatoria che altrimenti l'atto scritto non sarà preso in considerazione.
⁶	Gli atti illeggibili, sconvenienti, incomprensibili, prolissi o non redatti in una lingua ufficiale possono essere del pari rinviati al loro autore affinché li modifichi.
⁷	Gli atti scritti dovuti a condotta processuale da querulomane o altrimenti abusiva sono inammissibili.

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 105 Fatti determinanti - 1 Il Tribunale federale fonda la sua sentenza sui fatti accertati dall'autorità inferiore.
¹	Il Tribunale federale fonda la sua sentenza sui fatti accertati dall'autorità inferiore.
²	Può rettificare o completare d'ufficio l'accertamento dei fatti dell'autorità inferiore se è stato svolto in modo manifestamente inesatto o in violazione del diritto ai sensi dell'articolo 95.
³	Se il ricorso è diretto contro una decisione d'assegnazione o rifiuto di prestazioni pecuniarie dell'assicurazione militare o dell'assicurazione contro gli infortuni, il Tribunale federale non è vincolato dall'accertamento dei fatti operato dall'autorità inferiore.96

SR 832.10 Legge federale del 18 marzo 1994 sull'assicurazione malattie (LAMal) LAMal Art. 69 Riserve d'assicurazione - 1 Con l'applicazione di riserve, gli assicuratori possono escludere dall'assicurazione le malattie esistenti all'ammissione. Ciò vale parimenti per le malattie anteriori se, conformemente all'esperienza, è possibile una ricaduta.
¹	Con l'applicazione di riserve, gli assicuratori possono escludere dall'assicurazione le malattie esistenti all'ammissione. Ciò vale parimenti per le malattie anteriori se, conformemente all'esperienza, è possibile una ricaduta.
²	Le riserve decadono al più tardi dopo cinque anni. Prima di questo termine l'assicurato può fornire la prova che una riserva non è più giustificata.
³	La riserva è valida solo se comunicata per scritto all'assicurato e se la malattia posta sotto riserva, l'inizio e la fine della durata della stessa sono indicati con esattezza nella comunicazione.
⁴	I capoversi 1-3 sono applicabili per analogia in caso d'aumento dell'indennità giornaliera e di riduzione del termine d'attesa.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 12 Registro delle attività di trattamento - 1 I titolari e i responsabili del trattamento tengono ognuno un registro delle rispettive attività di trattamento.
¹	I titolari e i responsabili del trattamento tengono ognuno un registro delle rispettive attività di trattamento.
²	Il registro del titolare del trattamento contiene almeno:
^a	l'identità del titolare del trattamento;
^b	lo scopo del trattamento;
^c	una descrizione delle categorie di persone interessate e delle categorie di dati personali trattati;
^d	le categorie di destinatari;
^e	se possibile, la durata di conservazione dei dati personali o i criteri per determinare tale durata;
^f	se possibile, una descrizione generale dei provvedimenti tesi a garantire la sicurezza dei dati personali secondo l'articolo 8;
^g	se i dati personali sono comunicati all'estero, le indicazioni relative allo Stato destinatario e le garanzie di cui all'articolo 16 capoverso 2.
³	Il registro del responsabile del trattamento contiene indicazioni in merito alla sua identità e a quella del titolare del trattamento, alle categorie dei trattamenti eseguiti su incarico del titolare del trattamento, come pure le indicazioni di cui al capoverso 2 lettere f e g.
⁴	Gli organi federali notificano i loro registri all'IFPDT.
⁵	Il Consiglio federale prevede eccezioni per le imprese con meno di 250 collaboratori i cui trattamenti di dati personali comportano soltanto un rischio esiguo di violazione della personalità delle persone interessate.

SR 832.10 Legge federale del 18 marzo 1994 sull'assicurazione malattie (LAMal) LAMal Art. 67 Adesione - 1 Le persone domiciliate in Svizzera o che vi esercitano un'attività lucrativa e aventi compiuto i 15 anni ma non ancora i 65 anni possono stipulare un'assicurazione d'indennità giornaliera con un assicuratore ai sensi degli articoli 2 capoverso 1 o 3 LVAMal238.239
¹	Le persone domiciliate in Svizzera o che vi esercitano un'attività lucrativa e aventi compiuto i 15 anni ma non ancora i 65 anni possono stipulare un'assicurazione d'indennità giornaliera con un assicuratore ai sensi degli articoli 2 capoverso 1 o 3 LVAMal238.239
²	Esse possono scegliere un assicuratore diverso da quello scelto per l'assicurazione obbligatoria delle cure medico-sanitarie.
³	L'assicurazione d'indennità giornaliera può essere stipulata nella forma d'assicurazione collettiva. Le assicurazioni collettive possono essere stipulate da:
^a	datori di lavoro, per sé stessi e per i propri dipendenti;
^b	associazioni di datori di lavoro o associazioni professionali, per i propri membri e per i dipendenti dei loro membri;
^c	associazioni di dipendenti, per i propri membri.

SR 832.10 Legge federale del 18 marzo 1994 sull'assicurazione malattie (LAMal) LAMal Art. 84^a Comunicazione di dati - 1 Purché nessun interesse privato preponderante vi si opponga, gli organi incaricati di applicare la presente legge o di controllarne o sorvegliarne l'esecuzione possono comunicare i dati, in deroga all'articolo 33 LPGA277:278
¹	Purché nessun interesse privato preponderante vi si opponga, gli organi incaricati di applicare la presente legge o di controllarne o sorvegliarne l'esecuzione possono comunicare i dati, in deroga all'articolo 33 LPGA277:278
^a	ad altri organi incaricati di applicare la presente legge o la LVAMal, nonché di controllarne o sorvegliarne l'esecuzione, qualora ne necessitino per adempiere gli obblighi conferiti loro dalla presente legge o dalla LVAMal;
^b	agli organi di altre assicurazioni sociali, qualora, in deroga all'articolo 32 capoverso 2 LPGA, l'obbligo di comunicazione sia sancito da una legge federale;
^cbis	alle autorità competenti per l'imposta alla fonte, conformemente agli articoli 88 e 100 della legge federale del 14 dicembre 1990281 sull'imposta federale diretta (LIFD), nonché alle rispettive disposizioni cantonali;
^d	agli organi della statistica federale, conformemente alla legge federale del 9 ottobre 1992282 sulla statistica federale;
^e	agli organi incaricati di allestire statistiche per l'esecuzione della presente legge, qualora i dati siano necessari all'adempimento di tale obbligo e l'anonimato degli assicurati sia garantito;
^f	alle competenti autorità cantonali, qualora i dati rientrino nel campo d'applicazione dell'articolo 22a e siano necessari per la pianificazione degli ospedali e delle case di cura e per l'esame delle tariffe;
^g	alle autorità istruttorie penali, qualora ne necessitino per denunciare o impedire un crimine;
^gbis	al Servizio delle attività informative della Confederazione (SIC) o agli organi di sicurezza dei Cantoni a destinazione del SIC, qualora sussista una minaccia concreta per la sicurezza interna o esterna secondo l'articolo 19 capoverso 2 della legge federale del 25 settembre 2015285 sulle attività informative;
^h	in singoli casi e su richiesta scritta e motivata:
^h1	alle autorità d'assistenza sociale, qualora ne necessitino per determinare o modificare prestazioni, chiederne la restituzione o prevenire pagamenti indebiti,
^h2	ai tribunali civili, qualora ne necessitino per giudicare una controversia relativa al diritto di famiglia o successorio,
^h3	ai tribunali penali e alle autorità istruttorie penali, qualora ne necessitino per accertare un crimine o un delitto,
^h4	agli uffici d'esecuzione, conformemente agli articoli 91, 163 e 222 della legge federale dell'11 aprile 1889286 sulla esecuzione e sul fallimento,
^h5	alle autorità di protezione dei minori e degli adulti, conformemente all'articolo 448 capoverso 4 del Codice civile288,
^h6	... 290
²	...291
³	In deroga all'articolo 33 LPGA, i dati d'interesse generale in relazione all'applicazione della presente legge possono essere pubblicati. L'anonimato degli assicurati dev'essere garantito.292
⁴	In deroga all'articolo 33 LPGA, gli assicuratori sono autorizzati a comunicare i dati necessari alle autorità d'assistenza sociale o ad altre autorità cantonali competenti in caso di inadempienze nei pagamenti da parte dell'assicurato, se quest'ultimo, benché diffidato, non paga premi o partecipazioni ai costi, scaduti.293
⁵	Negli altri casi, in deroga all'articolo 33 LPGA, i dati possono essere comunicati a terzi alle condizioni seguenti:294
^a	per i dati non personali: se la comunicazione è giustificata da un interesse preponderante;
^b	per i dati personali: se, nel caso specifico, la persona interessata ha dato il suo consenso scritto o, qualora non sia possibile ottenerlo, le circostanze permettono di presumere che la comunicazione dei dati sia nell'interesse della persona assicurata.
⁶	Possono essere comunicati solo i dati necessari per l'obiettivo perseguito.
⁷	Il Consiglio federale disciplina le modalità di comunicazione e d'informazione della persona interessata.
⁸	I dati sono di norma comunicati per scritto e gratuitamente. Il Consiglio federale può prevedere la riscossione di un emolumento qualora sia necessario un particolare dispendio di lavoro.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 3 Campo d'applicazione territoriale - 1 La presente legge si applica alle fattispecie che generano effetti in Svizzera, anche se si verificano all'estero.
¹	La presente legge si applica alle fattispecie che generano effetti in Svizzera, anche se si verificano all'estero.
²	Alle pretese di diritto civile si applica la legge federale del 18 dicembre 19874 sul diritto internazionale privato. Sono fatte salve inoltre le disposizioni concernenti il campo d'applicazione territoriale del Codice penale5.

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 66 Onere e ripartizione delle spese giudiziarie - 1 Di regola, le spese giudiziarie sono addossate alla parte soccombente. Se le circostanze lo giustificano, il Tribunale federale può ripartirle in modo diverso o rinunciare ad addossarle alle parti.
¹	Di regola, le spese giudiziarie sono addossate alla parte soccombente. Se le circostanze lo giustificano, il Tribunale federale può ripartirle in modo diverso o rinunciare ad addossarle alle parti.
²	In caso di desistenza o di transazione, il Tribunale federale può rinunciare in tutto o in parte a riscuotere le spese giudiziarie.
³	Le spese inutili sono pagate da chi le causa.
⁴	Alla Confederazione, ai Cantoni, ai Comuni e alle organizzazioni incaricate di compiti di diritto pubblico non possono di regola essere addossate spese giudiziarie se, senza avere alcun interesse pecuniario, si rivolgono al Tribunale federale nell'esercizio delle loro attribuzioni ufficiali o se le loro decisioni in siffatte controversie sono impugnate mediante ricorso.
⁵	Salvo diversa disposizione, le spese giudiziarie addossate congiuntamente a più persone sono da queste sostenute in parti eguali e con responsabilità solidale.

SR 832.10 Legge federale del 18 marzo 1994 sull'assicurazione malattie (LAMal) LAMal Art. 84 Trattamento di dati personali - 1 Gli organi incaricati di eseguire, controllare o sorvegliare la presente legge o la LVAMal270 possono trattare o far trattare dati personali, compresi dati personali degni di particolare protezione, di cui necessitano per adempiere i compiti conferiti loro dalla presente legge o dalla LVAMal, segnatamente per:271
¹	Gli organi incaricati di eseguire, controllare o sorvegliare la presente legge o la LVAMal270 possono trattare o far trattare dati personali, compresi dati personali degni di particolare protezione, di cui necessitano per adempiere i compiti conferiti loro dalla presente legge o dalla LVAMal, segnatamente per:271
^a	sorvegliare l'osservanza dell'obbligo di assicurarsi;
^b	calcolare e riscuotere i premi;
^c	stabilire il diritto alle prestazioni, nonché calcolarle, versarle e coordinarle con quelle di altre assicurazioni sociali;
^d	stabilire il diritto a riduzioni dei premi conformemente all'articolo 65272, nonché calcolarle e concederle;
^e	far valere una pretesa di regresso nei confronti di terzi responsabili;
^f	sorvegliare l'esecuzione della presente legge;
^g	allestire statistiche;
^h	assegnare o verificare il numero AVS;
ⁱ	calcolare la compensazione dei rischi.
²	Per adempiere tali compiti, possono inoltre trattare o far trattare dati personali che permettono segnatamente di valutare la salute, la gravità dell'infermità fisica o psichica, i bisogni e la situazione economica dell'assicurato.275

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 17 Eccezioni - 1 In deroga all'articolo 16 capoversi 1 e 2, dati personali possono essere comunicati all'estero se:
¹	In deroga all'articolo 16 capoversi 1 e 2, dati personali possono essere comunicati all'estero se:
^a	la persona interessata ha dato il suo espresso consenso alla comunicazione;
^b	la comunicazione è in relazione diretta con la conclusione o l'esecuzione di un contratto:
^b1	tra il titolare del trattamento e la persona interessata, o
^b2	tra il titolare del trattamento e un altro contraente, nell'interesse della persona interessata;
^c	la comunicazione è necessaria per:
^c1	tutelare un interesse pubblico preponderante, o
^c2	accertare, esercitare o far valere un diritto dinanzi a un giudice o a un'altra autorità estera competente;
^d	la comunicazione è necessaria per proteggere la vita o l'integrità fisica della persona interessata o di un terzo e non è possibile ottenere il consenso della persona interessata entro un termine ragionevole;
^e	la persona interessata ha reso i dati personali accessibili a chiunque e non si è opposta espressamente al loro trattamento; o
^f	i dati provengono da un registro previsto dalla legge accessibile al pubblico o alle persone con un interesse degno di protezione, sempreché nel caso specifico siano adempiute le condizioni legali per la consultazione.
²	Il titolare o il responsabile del trattamento che comunica dati personali conformemente al capoverso 1 lettere b numero 2, c e d ne informa, su richiesta, l'IFPDT.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 7 Protezione dei dati personali sin dalla progettazione e per impostazione predefinita - 1 Il titolare del trattamento è tenuto ad adottare i provvedimenti tecnici e organizzativi necessari affinché il trattamento dei dati personali sia conforme alle disposizioni sulla protezione dei dati, in particolare ai principi di cui all'articolo 6. Li adotta sin dalla progettazione.
¹	Il titolare del trattamento è tenuto ad adottare i provvedimenti tecnici e organizzativi necessari affinché il trattamento dei dati personali sia conforme alle disposizioni sulla protezione dei dati, in particolare ai principi di cui all'articolo 6. Li adotta sin dalla progettazione.
²	I provvedimenti tecnici e organizzativi devono essere adeguati in particolare allo stato della tecnica, al tipo e all'entità del trattamento dei dati personali come pure ai rischi derivanti dal trattamento per la personalità o i diritti fondamentali delle persone interessate.
³	Il titolare del trattamento è tenuto a garantire, mediante appropriate impostazioni predefinite, che il trattamento di dati personali sia circoscritto al minimo indispensabile per lo scopo perseguito, salvo che la persona interessata disponga altrimenti.

SR 235.1 Legge federale del 25 settembre 2020 sulla protezione dei dati (LPD) LPD Art. 13 Certificazione - 1 I fornitori di programmi o sistemi di trattamento di dati personali come pure i titolari e i responsabili del trattamento possono sottoporre i loro sistemi, prodotti e servizi a una valutazione da parte di organismi di certificazione indipendenti riconosciuti.
¹	I fornitori di programmi o sistemi di trattamento di dati personali come pure i titolari e i responsabili del trattamento possono sottoporre i loro sistemi, prodotti e servizi a una valutazione da parte di organismi di certificazione indipendenti riconosciuti.
²	Il Consiglio federale emana disposizioni sul riconoscimento delle procedure di certificazione e sull'introduzione di un marchio di qualità inerente alla protezione dei dati. Tiene conto del diritto internazionale e delle norme tecniche riconosciute a livello internazionale.

SR 235.11 Ordinanza del 31 agosto 2022 sulla protezione dei dati (OPDa) OPDa Art. 9 Clausole contrattuali di protezione dei dati e garanzie specifiche - 1 Le clausole contrattuali di protezione dei dati di un contratto secondo l'articolo 16 capoverso 2 lettera b LPD e le garanzie specifiche secondo l'articolo 16 capoverso 2 lettera c LPD contengono almeno i seguenti punti:
¹	Le clausole contrattuali di protezione dei dati di un contratto secondo l'articolo 16 capoverso 2 lettera b LPD e le garanzie specifiche secondo l'articolo 16 capoverso 2 lettera c LPD contengono almeno i seguenti punti:
^a	l'applicazione dei principi della liceità, della buona fede, della proporzionalità, della trasparenza, della finalità e dell'esattezza;
^b	le categorie dei dati personali comunicati e delle persone interessate;
^c	il tipo e lo scopo della comunicazione dei dati personali;
^d	all'occorrenza, il nome degli Stati o degli organismi internazionali cui sono comunicati dati personali nonché i requisiti della comunicazione;
^e	i requisiti della conservazione, della cancellazione e della distruzione di dati personali;
^f	i destinatari o le categorie dei destinatari;
^g	i provvedimenti per garantire la sicurezza dei dati;
^h	l'obbligo di comunicare le violazioni della sicurezza dei dati;
ⁱ	se i destinatari sono titolari del trattamento, l'obbligo di informare le persone interessate dal trattamento;
^j	i diritti della persona interessata, segnatamente:
^j1	il diritto d'accesso e il diritto alla consegna o alla trasmissione dei dati,
^j2	il diritto di opporsi alla comunicazione dei dati,
^j3	il diritto di chiedere la rettifica, la cancellazione o la distruzione dei dati che la concernono,
^j4	il diritto di chiedere tutela giurisdizionale a un'autorità indipendente.
²	Il titolare del trattamento e, nel caso di clausole contrattuali sulla protezione dei dati, il responsabile del trattamento prendono misure adeguate per garantire che il destinatario rispetti dette clausole o le garanzie specifiche.
³	Se l'IFPDT è stato informato sulle clausole contrattuali di protezione dei dati o sulle garanzie specifiche, l'obbligo di informare è considerato adempiuto per tutte le ulteriori comunicazioni che:
^a	si basano sulle medesime clausole contrattuali o garanzie, sempre che le categorie dei destinatari, la finalità del trattamento o le categorie di dati rimangano sostanzialmente immutate; o
^b	sono effettuate in seno alla medesima persona giuridica o società o tra imprese che appartengono allo stesso gruppo.

SR 235.11 Ordinanza del 31 agosto 2022 sulla protezione dei dati (OPDa) OPDa Art. 20 Portata del diritto - 1 Per dati personali che la persona interessata ha comunicato al titolare del trattamento si intendono:
¹	Per dati personali che la persona interessata ha comunicato al titolare del trattamento si intendono:
^a	i dati che la persona ha messo a disposizione del titolare del trattamento consapevolmente e volutamente;
^b	i dati che il titolare del trattamento ha rilevato sulla persona interessata e sul suo comportamento nel quadro dell'utilizzo di un servizio o di un apparecchio.
²	I dati personali che il titolare del trattamento ha prodotto in un'analisi separata dei dati personali messi a disposizione o osservati non sono considerati dati personali che la persona interessata ha comunicato al titolare del trattamento.

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 68 Spese ripetibili - 1 Nella sentenza il Tribunale federale determina se e in che misura le spese della parte vincente debbano essere sostenute da quella soccombente.
¹	Nella sentenza il Tribunale federale determina se e in che misura le spese della parte vincente debbano essere sostenute da quella soccombente.
²	La parte soccombente è di regola tenuta a risarcire alla parte vincente, secondo la tariffa del Tribunale federale, tutte le spese necessarie causate dalla controversia.
³	Alla Confederazione, ai Cantoni, ai Comuni e alle organizzazioni incaricate di compiti di diritto pubblico non sono di regola accordate spese ripetibili se vincono una causa nell'esercizio delle loro attribuzioni ufficiali.
⁴	Si applica per analogia l'articolo 66 capoversi 3 e 5.
⁵	Il Tribunale federale conferma, annulla o modifica, a seconda dell'esito del procedimento, la decisione sulle spese ripetibili pronunciata dall'autorità inferiore. Può stabilire esso stesso l'importo di tali spese secondo la tariffa federale o cantonale applicabile o incaricarne l'autorità inferiore.