1A.190/2004

Tribunale federale
Tribunal federal

{T 0/2}
1A.190/2004
1A.191/2004 /fzc

Arrêt du 9 mai 2005
Ire Cour de droit public

Composition
MM. les Juges Féraud, Président,
Aeschlimann, Reeb, Fonjallaz et Eusebio.
Greffier: M. Kurz.

Parties
X.________,
recourant et intimé, représenté par Me Mauro Poggia, avocat,

contre

Helsana Assurances SA,
intimée et recourante, représentée par Me Isabelle Häner, avocate,

Commission fédérale de la protection des données, Case postale 333, 3000 Berne 7.

Objet
Protection des données; transmissions du dossier médical par le médecin-conseil,

recours de droit administratif contre le jugement de la Commission fédérale de la protection des données du 3 juin 2004.

Faits:

A.
Le 29 mai 2001, Helsana Assurances SA (ci-après: Helsana) écrivit à son assuré X.________ qu'elle entendait désormais restreindre la prise en charge d'un traitement de psychothérapie à une séance par semaine, contre deux jusqu'alors. Cette décision a été contestée par l'assuré.

Le 13 septembre 2001, le Dr A.________, médecin-conseil d'Helsana, s'est adressé au Dr B._______, médecin psychiatre et consultant externe, également médecin-conseil, en lui remettant le dossier de l'assuré afin d'obtenir son avis au sujet de l'indication, du nombre de séances et de la durée des traitements; des cas de ce genre étaient fréquents à Genève, et il convenait d'obtenir une ligne générale. Le dossier de l'assuré a été transmis une seconde fois, vraisemblablement le 15 octobre 2001, le médecin-conseil désirant savoir quelle serait l'issue possible en cas de recours. Le Dr B._______ a rendu deux rapports, les 27 septembre et 24 octobre 2001, estimant qu'il n'y avait pas de raison de dépasser le cadre des prestations prévues à l'art. 3
SR 832.112.31 Verordnung des EDI vom 29. September 1995 über Leistungen in der obligatorischen Krankenpflegeversicherung (Krankenpflege-Leistungsverordnung, KLV) - Krankenpflege-Leistungsverordnung
KLV Art. 3 Kostenübernahme - Die Versicherung übernimmt die Kosten für höchstens 40 Abklärungs- und Therapiesitzungen. Artikel 3b bleibt vorbehalten.
OPAS; l'avis d'un psychiatre francophone devait toutefois être requis.

Le 30 octobre 2001, le Dr A.________ a également transmis - dans une mesure contestée - des données concernant l'assuré au Dr C.________, chef du Service des médecins-conseils d'Helsana.

Le 14 janvier 2003, X.________ demanda à Helsana de constater l'illicéité des transmissions de son dossier au Dr B._______, et de détruire les rapports rendus par celui-ci. L'assureur s'y opposa formellement le 14 février 2003.

B.
Par acte du 17 mars 2003, X.________, a saisi la Commission fédérale de la protection des données (ci-après: la commission) en lui demandant de constater le caractère illicite des transmissions de son dossier aux Dr B._______ et C.________, et d'ordonner la destruction des rapports du Dr B._______. Selon lui, seul un médecin-conseil pouvait avoir accès à son dossier.

Par jugement du 3 juin, la commission a partiellement admis le recours: la transmission du dossier au Dr C.________ était illicite (ch. 1 du dispositif), car elle équivalait à une transmission à l'assureur, ce que la loi n'autorisait pas; cela pourrait remettre en cause l'indépendance des médecins-conseils envers l'assureur. Les échanges entre médecins-conseils et le chef de leur service devaient rester à un niveau de généralité, sans que cela n'exige la divulgation du dossier médical de certains assurés. Le recours a été rejeté pour le surplus (ch. 2): la transmission du dossier au Dr B._______ était licite, car ce dernier pouvait être assimilé à un auxiliaire du médecin-conseil, appelé à se prononcer non seulement sur des questions générales mais aussi sur le cas d'un assuré présentant des difficultés particulières. Exiger un tri préalable ou une anonymisation du dossier n'était pas possible. Les frais ont été mis pour les deux tiers - soit 1300 fr. - à la charge du recourant (ch. 3), et une indemnité de dépens réduite de 700 fr. lui a été allouée (ch. 4).

C.
X.________ forme un recours de droit administratif contre ce jugement; il reprend ses conclusions en constatation du caractère illicite des transmissions de dossier au Dr B._______; il demande la destruction de ses deux rapports. Subsidiairement, il demande le renvoi de la cause à la commission afin qu'elle statue à nouveau dans le sens des considérants.

Helsana forme elle aussi un recours de droit administratif; elle demande l'annulation du ch. 1 du dispositif du jugement attaqué (illicéité de la transmission du dossier au Dr B._______), et des ch. 3 et 4, en ce sens que les frais de jugement sont mis entièrement à la charge du recourant et qu'une indemnité de dépens est allouée à Helsana.

La commission renonce à prendre position sur chacun des recours, et se réfère aux considérants de son jugement. Chaque partie conclut au rejet du recours de sa partie adverse. Après un second échange d'écritures, les parties ont maintenu leurs conclusions.

Le Tribunal fédéral considère en droit:

1.
Les recours sont formés contre un même jugement. Bien que les questions posées soient différentes, le cadre juridique est identique puisqu'il s'agit chaque fois de juger de l'admissibilité de la transmission de données personnelles du recourant, dans le premier cas à un médecin expert, dans le second au chef du service des médecins-conseils de l'assureur. Les recours peuvent par conséquent être joints afin qu'à l'instar du jugement de première instance, il soit statué par un même arrêt.

1.1 Selon l'art. 97
SR 832.112.31 Verordnung des EDI vom 29. September 1995 über Leistungen in der obligatorischen Krankenpflegeversicherung (Krankenpflege-Leistungsverordnung, KLV) - Krankenpflege-Leistungsverordnung
KLV Art. 3 Kostenübernahme - Die Versicherung übernimmt die Kosten für höchstens 40 Abklärungs- und Therapiesitzungen. Artikel 3b bleibt vorbehalten.
OJ en relation avec l'art. 5
SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz
VwVG Art. 5 - 1 Als Verfügungen gelten Anordnungen der Behörden im Einzelfall, die sich auf öffentliches Recht des Bundes stützen und zum Gegenstand haben:
1    Als Verfügungen gelten Anordnungen der Behörden im Einzelfall, die sich auf öffentliches Recht des Bundes stützen und zum Gegenstand haben:
a  Begründung, Änderung oder Aufhebung von Rechten oder Pflichten;
b  Feststellung des Bestehens, Nichtbestehens oder Umfanges von Rechten oder Pflichten;
c  Abweisung von Begehren auf Begründung, Änderung, Aufhebung oder Feststellung von Rechten oder Pflichten oder Nichteintreten auf solche Begehren.
2    Als Verfügungen gelten auch Vollstreckungsverfügungen (Art. 41 Abs. 1 Bst. a und b), Zwischenverfügungen (Art. 45 und 46), Einspracheentscheide (Art. 30 Abs. 2 Bst. b und 74), Beschwerdeentscheide (Art. 61), Entscheide im Rahmen einer Revision (Art. 68) und die Erläuterung (Art. 69).25
3    Erklärungen von Behörden über Ablehnung oder Erhebung von Ansprüchen, die auf dem Klageweg zu verfolgen sind, gelten nicht als Verfügungen.
PA, la voie du recours de droit administratif est ouverte contre les décisions fondées sur le droit public fédéral - ou qui auraient dû l'être - à condition qu'elles émanent des autorités énumérées à l'art. 98
SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz
VwVG Art. 5 - 1 Als Verfügungen gelten Anordnungen der Behörden im Einzelfall, die sich auf öffentliches Recht des Bundes stützen und zum Gegenstand haben:
1    Als Verfügungen gelten Anordnungen der Behörden im Einzelfall, die sich auf öffentliches Recht des Bundes stützen und zum Gegenstand haben:
a  Begründung, Änderung oder Aufhebung von Rechten oder Pflichten;
b  Feststellung des Bestehens, Nichtbestehens oder Umfanges von Rechten oder Pflichten;
c  Abweisung von Begehren auf Begründung, Änderung, Aufhebung oder Feststellung von Rechten oder Pflichten oder Nichteintreten auf solche Begehren.
2    Als Verfügungen gelten auch Vollstreckungsverfügungen (Art. 41 Abs. 1 Bst. a und b), Zwischenverfügungen (Art. 45 und 46), Einspracheentscheide (Art. 30 Abs. 2 Bst. b und 74), Beschwerdeentscheide (Art. 61), Entscheide im Rahmen einer Revision (Art. 68) und die Erläuterung (Art. 69).25
3    Erklärungen von Behörden über Ablehnung oder Erhebung von Ansprüchen, die auf dem Klageweg zu verfolgen sind, gelten nicht als Verfügungen.
OJ et pour autant qu'aucune des exceptions prévues aux art. 99
SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz
VwVG Art. 5 - 1 Als Verfügungen gelten Anordnungen der Behörden im Einzelfall, die sich auf öffentliches Recht des Bundes stützen und zum Gegenstand haben:
1    Als Verfügungen gelten Anordnungen der Behörden im Einzelfall, die sich auf öffentliches Recht des Bundes stützen und zum Gegenstand haben:
a  Begründung, Änderung oder Aufhebung von Rechten oder Pflichten;
b  Feststellung des Bestehens, Nichtbestehens oder Umfanges von Rechten oder Pflichten;
c  Abweisung von Begehren auf Begründung, Änderung, Aufhebung oder Feststellung von Rechten oder Pflichten oder Nichteintreten auf solche Begehren.
2    Als Verfügungen gelten auch Vollstreckungsverfügungen (Art. 41 Abs. 1 Bst. a und b), Zwischenverfügungen (Art. 45 und 46), Einspracheentscheide (Art. 30 Abs. 2 Bst. b und 74), Beschwerdeentscheide (Art. 61), Entscheide im Rahmen einer Revision (Art. 68) und die Erläuterung (Art. 69).25
3    Erklärungen von Behörden über Ablehnung oder Erhebung von Ansprüchen, die auf dem Klageweg zu verfolgen sind, gelten nicht als Verfügungen.
à 102
SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz
VwVG Art. 5 - 1 Als Verfügungen gelten Anordnungen der Behörden im Einzelfall, die sich auf öffentliches Recht des Bundes stützen und zum Gegenstand haben:
1    Als Verfügungen gelten Anordnungen der Behörden im Einzelfall, die sich auf öffentliches Recht des Bundes stützen und zum Gegenstand haben:
a  Begründung, Änderung oder Aufhebung von Rechten oder Pflichten;
b  Feststellung des Bestehens, Nichtbestehens oder Umfanges von Rechten oder Pflichten;
c  Abweisung von Begehren auf Begründung, Änderung, Aufhebung oder Feststellung von Rechten oder Pflichten oder Nichteintreten auf solche Begehren.
2    Als Verfügungen gelten auch Vollstreckungsverfügungen (Art. 41 Abs. 1 Bst. a und b), Zwischenverfügungen (Art. 45 und 46), Einspracheentscheide (Art. 30 Abs. 2 Bst. b und 74), Beschwerdeentscheide (Art. 61), Entscheide im Rahmen einer Revision (Art. 68) und die Erläuterung (Art. 69).25
3    Erklärungen von Behörden über Ablehnung oder Erhebung von Ansprüchen, die auf dem Klageweg zu verfolgen sind, gelten nicht als Verfügungen.
OJ ou dans la législation spéciale ne soit réalisée (ATF 127 II 1 consid. 2b/aa p. 3/4; 126 I 50 consid. 1 p. 52; 126 II 171 consid. 1a p. 173).

1.2 Conformément à l'art. 98 let. e
SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz
VwVG Art. 5 - 1 Als Verfügungen gelten Anordnungen der Behörden im Einzelfall, die sich auf öffentliches Recht des Bundes stützen und zum Gegenstand haben:
1    Als Verfügungen gelten Anordnungen der Behörden im Einzelfall, die sich auf öffentliches Recht des Bundes stützen und zum Gegenstand haben:
a  Begründung, Änderung oder Aufhebung von Rechten oder Pflichten;
b  Feststellung des Bestehens, Nichtbestehens oder Umfanges von Rechten oder Pflichten;
c  Abweisung von Begehren auf Begründung, Änderung, Aufhebung oder Feststellung von Rechten oder Pflichten oder Nichteintreten auf solche Begehren.
2    Als Verfügungen gelten auch Vollstreckungsverfügungen (Art. 41 Abs. 1 Bst. a und b), Zwischenverfügungen (Art. 45 und 46), Einspracheentscheide (Art. 30 Abs. 2 Bst. b und 74), Beschwerdeentscheide (Art. 61), Entscheide im Rahmen einer Revision (Art. 68) und die Erläuterung (Art. 69).25
3    Erklärungen von Behörden über Ablehnung oder Erhebung von Ansprüchen, die auf dem Klageweg zu verfolgen sind, gelten nicht als Verfügungen.
OJ, le recours de droit administratif est ouvert contre les décisions rendues par la Commission fédérale de la protection des données en application de l'art. 33 al. 1 let. d
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 33 Kontrolle und Verantwortung bei gemeinsamer Bearbeitung von Personendaten - Der Bundesrat regelt die Kontrollverfahren und die Verantwortung für den Datenschutz, wenn ein Bundesorgan Personendaten zusammen mit anderen Bundesorganen, mit kantonalen Organen oder mit privaten Personen bearbeitet.
LPD. Le recourant X.________ a la qualité de personne concernée (art. 3 let. b
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 3 Räumlicher Geltungsbereich - 1 Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
LPD), et son assureur celle d'organe fédéral responsable (art. 3 let. h
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 3 Räumlicher Geltungsbereich - 1 Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
LPD; ATF 123 II 534 consid. 1a p. 536 et 3c p. 540). L'un et l'autre ont qualité, au sens de l'art. 103 let. a
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 3 Räumlicher Geltungsbereich - 1 Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
OJ, pour recourir contre le jugement attaqué.

1.3 Les conclusions de nature constatatoire, prévues à l'art. 25
SR 172.021 Bundesgesetz vom 20. Dezember 1968 über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz, VwVG) - Verwaltungsverfahrensgesetz
VwVG Art. 25 - 1 Die in der Sache zuständige Behörde kann über den Bestand, den Nichtbestand oder den Umfang öffentlichrechtlicher Rechte oder Pflichten von Amtes wegen oder auf Begehren eine Feststellungsverfügung treffen.
1    Die in der Sache zuständige Behörde kann über den Bestand, den Nichtbestand oder den Umfang öffentlichrechtlicher Rechte oder Pflichten von Amtes wegen oder auf Begehren eine Feststellungsverfügung treffen.
2    Dem Begehren um eine Feststellungsverfügung ist zu entsprechen, wenn der Gesuchsteller ein schutzwürdiges Interesse nachweist.
3    Keiner Partei dürfen daraus Nachteile erwachsen, dass sie im berechtigten Vertrauen auf eine Feststellungsverfügung gehandelt hat.
PA, sont admissibles dans le cadre du recours de droit administratif pour autant qu'elles répondent à un intérêt légitime et ne se limitent pas à des questions théoriques; il faut en outre que l'intéressé ne puisse pas obtenir satisfaction par le biais de conclusions en annulation (ATF 126 II 300 consid. 2c p. 303 et les arrêts cités).

La LPD permet à toute personne disposant d'un intérêt légitime d'exiger de l'organe fédéral qu'il constate le caractère illicite du traitement (art. 25 al. 1 let. c). La commission a ainsi admis la recevabilité des conclusions en constatation du caractère illicite des transmissions du dossier médical. Rien ne s'oppose dès lors à ce que le recourant reprenne ses conclusions dans son recours de droit administratif.

Le recourant conclut aussi à la destruction des rapports du Dr B._______. Cette conclusion est uniquement motivée par le fait que ce spécialiste se serait vu illégalement remettre le dossier médical. Il n'est pas prétendu qu'il contiendrait des erreurs matérielles qui nécessiteraient une rectification fondée sur l'art. 25 al. 3
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
LPD, ou que la rédaction des rapports litigieux serait assimilable aux "effets d'un traitement illicite" au sens de l'art. 25 al. 1
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 25 Auskunftsrecht - 1 Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.
let b LPD. La recevabilité de cette conclusion peut demeurer indécise car, comme on le verra, elle repose sur une prémisse - l'illicéité de la transmission de données - qui apparaît erronée.

1.4 Lorsque les questions de protection des données se posent dans les rapports d'un assuré avec sa caisse-maladie, indépendamment de toute prétention découlant du droit des assurances sociales, la cause est du ressort du Tribunal fédéral, et non du Tribunal fédéral des assurances (ATF 127 V 219 consid. 1a p. 222; 123 II 534 consid. 1b p. 536 et les arrêts cités). En l'occurrence, il existe une procédure sur le fond, relative à une prise en charge par l'assureur des frais de psychothérapie. Toutefois, les questions posées par les deux recours sont limitées à la transmission du dossier médical, et peuvent être résolues indépendamment du fond.
Recours de X.________

2.
Le recourant persiste à considérer comme illicites les transmissions de son dossier par le Dr A.________ au Dr B._______. Il relève qu'un médecin traitant n'aurait pas le droit de consulter de cette manière un confrère spécialisé à l'insu de son patient, et qu'il devrait en aller de même pour le médecin-conseil. Le recourant estime que le Dr A.________ n'aurait pas choisi en toute indépendance le consultant externe, puisque le Dr B._______ avait été mandaté par l'assureur pour donner des avis en matière de psychiatrie. Le système des art. 13
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999
BV Art. 13 Schutz der Privatsphäre - 1 Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs.
Cst. et 321 CP permettrait à toute personne de décider elle-même de l'accès aux données qui la concernent; le principe de transparence, ainsi que les art. 4
SR 161.1 Bundesgesetz vom 17. Dezember 1976 über die politischen Rechte (BPR)
BPR Art. 4 Stimmregister - 1 Die Stimmberechtigten sind am politischen Wohnsitz in das Stimmregister einzutragen. Eintragungen und Streichungen sind von Amtes wegen vorzunehmen.
1    Die Stimmberechtigten sind am politischen Wohnsitz in das Stimmregister einzutragen. Eintragungen und Streichungen sind von Amtes wegen vorzunehmen.
2    Vor einer Wahl oder Abstimmung sind Eintragungen bis zum fünften Vortag des Wahl- oder Abstimmungstages vorzunehmen, wenn feststeht, dass die Voraussetzungen zur Teilnahme am Abstimmungstag erfüllt sind.
3    Das Stimmregister steht den Stimmberechtigten zur Einsicht offen.
, 8
SR 161.1 Bundesgesetz vom 17. Dezember 1976 über die politischen Rechte (BPR)
BPR Art. 8 Briefliche Stimmabgabe - 1 Die Kantone sorgen für ein einfaches Verfahren der brieflichen Stimmabgabe. Sie erlassen insbesondere Bestimmungen, um die Kontrolle der Stimmberechtigung, das Stimmgeheimnis und die Erfassung aller Stimmen zu gewährleisten und Missbräuche zu verhindern.
1    Die Kantone sorgen für ein einfaches Verfahren der brieflichen Stimmabgabe. Sie erlassen insbesondere Bestimmungen, um die Kontrolle der Stimmberechtigung, das Stimmgeheimnis und die Erfassung aller Stimmen zu gewährleisten und Missbräuche zu verhindern.
2    Die briefliche Stimmabgabe ist zulässig ab Erhalt der nach kantonalem Recht zur gültigen Stimmabgabe nötigen Unterlagen.13
et 9
SR 161.1 Bundesgesetz vom 17. Dezember 1976 über die politischen Rechte (BPR)
BPR Art. 9
LDP supposeraient le consentement du patient, ou à tout le moins une information avant toute transmission de données. La solution consacrée par la commission serait ainsi arbitraire, et violerait les art. 13
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999
BV Art. 13 Schutz der Privatsphäre - 1 Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs.
Cst. et 8 CEDH. Le recourant se plaint de ce que la liste des médecins-conseils n'ait pas encore été publiée; il estime aussi qu'une liste de médecins consultants spécialisés et agréés devrait être établie.

2.1 Le recourant ne conteste plus que le médecin-conseil, dans le cadre de sa mission, peut requérir l'avis d'un autre médecin spécialisé, appelé à se prononcer sur une question nécessitant des connaissances particulières. En effet, le contrôle du caractère économique et de la qualité des prestations (art. 56
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 56 Wirtschaftlichkeit der Leistungen - 1 Der Leistungserbringer muss sich in seinen Leistungen auf das Mass beschränken, das im Interesse der Versicherten liegt und für den Behandlungszweck erforderlich ist.
LAMal) ne peut parfois se faire sans le recours à un spécialiste. Par ailleurs, les contestations des parties quant à la publication de la liste des médecins-conseils, et à la manière dont le choix du Dr B._______ s'est opéré, sont sans rapport direct avec la question de la protection des données, et n'ont pas à être examinées dans ce cadre. Le recourant admet implicitement que la remise de son dossier médical était bien nécessaire afin de permettre au consultant de donner son avis. La base légale formelle pour une telle transmission est l'art. 84
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 84 Bearbeiten von Personendaten - 1 Die mit der Durchführung oder mit der Kontrolle oder Beaufsichtigung der Durchführung dieses Gesetzes oder des KVAG290 betrauten Organe sind befugt, die Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz oder nach dem KVAG übertragenen Aufgaben zu erfüllen, namentlich um:291
LAMal, qui prévoit expressément qu'un organe peut traiter ou "faire traiter" des données personnelles, y compris des données sensibles. Cette expression recouvre notamment la transmission de données personnelles dans le cadre d'une mission d'expertise (FF 2000 p. 227; Eugster/Luginbühl, Datenschutz in der obligatorischen Krankenpflegeversicherung, in: Datenschutz im
Gesundheitswesen, Zurich 2001 p. 73-146, 81). En réplique, le recourant estime que les art. 42 al. 5
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 42 - 1 Haben Versicherer und Leistungserbringer nichts anderes vereinbart, so schulden die Versicherten den Leistungserbringern die Vergütung der Leistung. Die Versicherten haben in diesem Fall gegenüber dem Versicherer einen Anspruch auf Rückerstattung (System des Tiers garant). In Abweichung von Artikel 22 Absatz 1 ATSG138 kann dieser Anspruch dem Leistungserbringer abgetreten werden.139
et 57 al. 7
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 57 Vertrauensärzte und Vertrauensärztinnen - 1 Die Versicherer oder ihre Verbände bestellen nach Rücksprache mit den kantonalen Ärztegesellschaften Vertrauensärzte beziehungsweise Vertrauensärztinnen. Diese müssen die Zulassungsvoraussetzungen nach den Artikeln 36a und 37 Absatz 1 erfüllen und mindestens fünf Jahre in einer Arztpraxis oder in leitender spitalärztlicher Stellung tätig gewesen sein.191
LAMal empêcheraient toute transmission de données autres que celles qui y sont expressément mentionnées. Tel n'est pas le sens de ces dispositions: la première permet au fournisseur de prestations de ne donner des indications d'ordre médical qu'au médecin-conseil; elle constitue une exception au principe de l'obligation de renseigner de l'art. 42 al. 3
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 42 - 1 Haben Versicherer und Leistungserbringer nichts anderes vereinbart, so schulden die Versicherten den Leistungserbringern die Vergütung der Leistung. Die Versicherten haben in diesem Fall gegenüber dem Versicherer einen Anspruch auf Rückerstattung (System des Tiers garant). In Abweichung von Artikel 22 Absatz 1 ATSG138 kann dieser Anspruch dem Leistungserbringer abgetreten werden.139
et 4
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 42 - 1 Haben Versicherer und Leistungserbringer nichts anderes vereinbart, so schulden die Versicherten den Leistungserbringern die Vergütung der Leistung. Die Versicherten haben in diesem Fall gegenüber dem Versicherer einen Anspruch auf Rückerstattung (System des Tiers garant). In Abweichung von Artikel 22 Absatz 1 ATSG138 kann dieser Anspruch dem Leistungserbringer abgetreten werden.139
LAMal, et concernent les relations entre prestataires et assureurs. Quant à l'art. 57 al. 7
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 57 Vertrauensärzte und Vertrauensärztinnen - 1 Die Versicherer oder ihre Verbände bestellen nach Rücksprache mit den kantonalen Ärztegesellschaften Vertrauensärzte beziehungsweise Vertrauensärztinnen. Diese müssen die Zulassungsvoraussetzungen nach den Artikeln 36a und 37 Absatz 1 erfüllen und mindestens fünf Jahre in einer Arztpraxis oder in leitender spitalärztlicher Stellung tätig gewesen sein.191
LAMal, il concerne la transmission de données à l'assureur. On ne saurait donc déduire de ces dispositions une interdiction faite au médecin-conseil de transmettre des données à un tiers.

L'existence d'une base légale formelle dispense d'examiner si la commission pouvait, comme elle l'a fait également, fonder la transmission litigieuse sur la convention passée le 14 décembre 2001 entre Santésuisse et la Fédération des médecins suisses, relative aux médecins-conseils (laquelle prévoit notamment à son art. 6 le recours à des auxiliaires, tenus au secret professionnel du médecin), ou sur la directive en matière de protection des données édictée par Santésuisse.

2.2 Le recourant ne conteste pas non plus les considérations de la commission en rapport avec le principe de la proportionnalité. Selon le jugement attaqué, la transmission de l'intégralité du dossier était nécessaire afin de s'assurer que le spécialiste dispose des éléments nécessaires pour se prononcer valablement; on ne saurait exiger du non-spécialiste qu'il opère un tri préalable, au risque d'influencer l'avis du spécialiste. On ne pouvait non plus exiger un travail disproportionné d'anonymisation, lequel n'empêcherait au demeurant pas des recoupements d'informations.

En définitive, la seule question encore litigieuse à ce stade est de savoir si la transmission du dossier devait être soumise au consentement préalable de l'assuré, ou devait à tout le moins faire l'objet d'une information à ce dernier.

2.3 L'assureur-maladie ayant la qualité d'organe fédéral au sens de l'art. 2 al. 1 let. a
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 2 Persönlicher und sachlicher Geltungsbereich - 1 Dieses Gesetz gilt für die Bearbeitung von Personendaten natürlicher Personen durch:
LPD, il en va de même du médecin-conseil. La transmission des données personnelles est régie à la fois par cette loi et par la LAMal; hormis l'obligation générale de garder le secret posée à son art. 33
SR 830.1 Bundesgesetz vom 6. Oktober 2000 über den Allgemeinen Teil des Sozialversicherungsrechts (ATSG)
ATSG Art. 33 Schweigepflicht - Personen, die an der Durchführung sowie der Kontrolle oder der Beaufsichtigung der Durchführung der Sozialversicherungsgesetze beteiligt sind, haben gegenüber Dritten Verschwiegenheit zu bewahren.
, la loi fédérale du 6 octobre 2000 sur la partie générale du droit des assurances sociales (LPGA; RS 830.1) ne règle pas ce problème.
Selon l'art. 3 let. e
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 3 Räumlicher Geltungsbereich - 1 Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
LPD, la communication de données personnelles, soit le fait de les rendre accessibles en les transmettant (let. f) constitue un traitement au sens des art. 16 ss
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 16 Grundsätze - 1 Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.
LPD. Un tel traitement nécessite une base légale (art. 17 al. 1
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 17 Ausnahmen - 1 Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
LPD). Un dossier médical renfermant des informations sur la santé d'un patient contient en outre des données sensibles au sens de l'art. 3 let. c ch. 3
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 3 Räumlicher Geltungsbereich - 1 Dieses Gesetz gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden.
LPD, de sorte qu'une base légale formelle est nécessaire (art. 17 al. 2
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 17 Ausnahmen - 1 Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
LPD). S'agissant de communication, les exceptions à cette exigence sont mentionnées à l'art. 19 al. 1 let. a à d. Il s'agit notamment du besoin absolu du destinataire pour accomplir la tâche (let. a), du consentement de la personne concernée (let. b), ou de l'opposition abusive de ce dernier (let. d).

Les art. 84
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 84 Bearbeiten von Personendaten - 1 Die mit der Durchführung oder mit der Kontrolle oder Beaufsichtigung der Durchführung dieses Gesetzes oder des KVAG290 betrauten Organe sind befugt, die Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz oder nach dem KVAG übertragenen Aufgaben zu erfüllen, namentlich um:291
et 84a
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 84a Datenbekanntgabe - 1 Sofern kein überwiegendes Privatinteresse entgegensteht, dürfen Organe, die mit der Durchführung, der Kontrolle oder der Beaufsichtigung der Durchführung dieses Gesetzes oder des KVAG297 betraut sind, Daten in Abweichung von Artikel 33 ATSG298 bekannt geben:299
LAMal, entrés en vigueur le 1er janvier 2001, constituent la base légale formelle exigée par l'art. 17 al. 2
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 17 Ausnahmen - 1 Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
LPD en matière de traitement et de communication des données. L'art. 84
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 84 Bearbeiten von Personendaten - 1 Die mit der Durchführung oder mit der Kontrolle oder Beaufsichtigung der Durchführung dieses Gesetzes oder des KVAG290 betrauten Organe sind befugt, die Personendaten, einschliesslich besonders schützenswerter Personendaten, zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz oder nach dem KVAG übertragenen Aufgaben zu erfüllen, namentlich um:291
LAMal prévoit que les organes chargés de l'application de la loi ou d'en surveiller l'exécution "sont habilités à traiter et à faire traiter les données personnelles, y compris les données sensibles et les profils de la personnalité, qui leur sont nécessaires pour accomplir les tâches que leur assigne cette loi, notamment pour: établir le droit aux prestations, les calculer, les allouer et les coordonner avec celles d'autres assurances sociales [let. c]". Intitulé "communication de données", l'art. 84a
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 84a Datenbekanntgabe - 1 Sofern kein überwiegendes Privatinteresse entgegensteht, dürfen Organe, die mit der Durchführung, der Kontrolle oder der Beaufsichtigung der Durchführung dieses Gesetzes oder des KVAG297 betraut sind, Daten in Abweichung von Artikel 33 ATSG298 bekannt geben:299
LAMal prévoit que, "dans la mesure où aucun intérêt prépondérant ne s'y oppose, les organes chargés d'appliquer la présente loi ou d'en contrôler l'application peuvent communiquer des données, en dérogation à l'art. 33
SR 830.1 Bundesgesetz vom 6. Oktober 2000 über den Allgemeinen Teil des Sozialversicherungsrechts (ATSG)
ATSG Art. 33 Schweigepflicht - Personen, die an der Durchführung sowie der Kontrolle oder der Beaufsichtigung der Durchführung der Sozialversicherungsgesetze beteiligt sind, haben gegenüber Dritten Verschwiegenheit zu bewahren.
LPGA: à d'autres organes chargés d'appliquer la présente loi ou d'en contrôler l'exécution, lorsqu'elles sont nécessaires à l'accomplissement des tâches que leur assigne la présente loi" (let. a).
Le statut des médecins-conseils est défini à l'art. 57
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 57 Vertrauensärzte und Vertrauensärztinnen - 1 Die Versicherer oder ihre Verbände bestellen nach Rücksprache mit den kantonalen Ärztegesellschaften Vertrauensärzte beziehungsweise Vertrauensärztinnen. Diese müssen die Zulassungsvoraussetzungen nach den Artikeln 36a und 37 Absatz 1 erfüllen und mindestens fünf Jahre in einer Arztpraxis oder in leitender spitalärztlicher Stellung tätig gewesen sein.191
LAMal. Il s'agit de praticiens désignés par les assureurs ou leur fédération, chargés de donner leur avis à l'assureur sur des questions médicales ainsi que sur des questions relatives à la rémunération et à l'application des tarifs. Ils examinent en particulier si les conditions d'une prise en charge d'une prestation sont remplies (al. 4). Les médecins-conseils évaluent les cas en toute indépendance. Ni l'assureur, ni le fournisseur de prestations, ni leurs fédérations ne peuvent leur donner de directives (al. 5).

2.4 L'institution du médecin-conseil a pour but essentiel de garantir les droits de la personnalité des assurés à l'égard des assureurs (OFAS, Protection de la personnalité dans l'assurance-maladie et accidents sociale et privée, rapport d'une commission d'experts instituée par le DFI et le DFJP, mars 2001 p.106). La loi réglemente ainsi de manière restrictive la transmission de données entre le médecin-conseil et l'assureur (art. 42 al. 5
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 42 - 1 Haben Versicherer und Leistungserbringer nichts anderes vereinbart, so schulden die Versicherten den Leistungserbringern die Vergütung der Leistung. Die Versicherten haben in diesem Fall gegenüber dem Versicherer einen Anspruch auf Rückerstattung (System des Tiers garant). In Abweichung von Artikel 22 Absatz 1 ATSG138 kann dieser Anspruch dem Leistungserbringer abgetreten werden.139
et 57 al. 7
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 57 Vertrauensärzte und Vertrauensärztinnen - 1 Die Versicherer oder ihre Verbände bestellen nach Rücksprache mit den kantonalen Ärztegesellschaften Vertrauensärzte beziehungsweise Vertrauensärztinnen. Diese müssen die Zulassungsvoraussetzungen nach den Artikeln 36a und 37 Absatz 1 erfüllen und mindestens fünf Jahre in einer Arztpraxis oder in leitender spitalärztlicher Stellung tätig gewesen sein.191
LAMal), le médecin conseil ayant pour fonction de sélectionner les informations à destination de l'assureur (rapport OFAS, p. 93 ss). En revanche, la loi permet au médecin-conseil de transmettre des données à un médecin tiers; la protection des données est assurée dans ce cas, d'une part en raison du secret professionnel auquel est soumis le médecin tiers lui même, d'autre part en raison du fait que le médecin-conseil est responsable de la protection des données qu'il fait ainsi traiter (art. 16 al. 1
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 16 Grundsätze - 1 Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.
LPD, art. 22
SR 235.11 Verordnung vom 31. August 2022 über den Datenschutz (Datenschutzverordnung, DSV) - Datenschutzverordnung
DSV Art. 22 Frist, Modalitäten und Zuständigkeit - Die Artikel 16 Absätze 1 und 5 sowie 17-19 gelten sinngemäss für das Recht auf Datenherausgabe oder -übertragung.
OLPD). Selon l'art. 57 al. 5
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 57 Vertrauensärzte und Vertrauensärztinnen - 1 Die Versicherer oder ihre Verbände bestellen nach Rücksprache mit den kantonalen Ärztegesellschaften Vertrauensärzte beziehungsweise Vertrauensärztinnen. Diese müssen die Zulassungsvoraussetzungen nach den Artikeln 36a und 37 Absatz 1 erfüllen und mindestens fünf Jahre in einer Arztpraxis oder in leitender spitalärztlicher Stellung tätig gewesen sein.191
LAMal, le médecin- conseil examine le cas en toute indépendance; la décision de recourir à l'avis d'un spécialise lui appartient, et il est libre dans le choix du consultant. Il doit pouvoir adresser à ce dernier toutes les données propres à la
résolution de la question posée, sans que ni l'assureur, ni le fournisseur de prestation, ni même l'assuré n'aient à donner leur consentement à ce genre de démarches. En l'occurrence, le fait que le Dr A.________ se soit adressé à un praticien qui est lui-même médecin-conseil, constitue une garantie supplémentaire.

2.5 Dans la systématique de l'art. 17
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 17 Ausnahmen - 1 Abweichend von Artikel 16 Absätze 1 und 2 dürfen in den folgenden Fällen Personendaten ins Ausland bekanntgegeben werden:
LPD, le consentement de l'intéressé n'est pas nécessaire lorsqu'il existe une base légale formelle pour le traitement de données sensibles. Le médecin-conseil reste toutefois obligé, en vertu du principe de la proportionnalité, de s'en tenir aux données nécessaires au but poursuivi, dans le respect des droits de la personnalité de l'assuré (cf. art. 84a al. 6
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 84a Datenbekanntgabe - 1 Sofern kein überwiegendes Privatinteresse entgegensteht, dürfen Organe, die mit der Durchführung, der Kontrolle oder der Beaufsichtigung der Durchführung dieses Gesetzes oder des KVAG297 betraut sind, Daten in Abweichung von Artikel 33 ATSG298 bekannt geben:299
LAMal et, par analogie, art. 57 al. 7
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 57 Vertrauensärzte und Vertrauensärztinnen - 1 Die Versicherer oder ihre Verbände bestellen nach Rücksprache mit den kantonalen Ärztegesellschaften Vertrauensärzte beziehungsweise Vertrauensärztinnen. Diese müssen die Zulassungsvoraussetzungen nach den Artikeln 36a und 37 Absatz 1 erfüllen und mindestens fünf Jahre in einer Arztpraxis oder in leitender spitalärztlicher Stellung tätig gewesen sein.191
in fine LAMal).

A défaut d'un droit d'opposition de la part de l'assuré, un devoir d'information préalable relatif à la transmission des données ne s'impose pas non plus. A ce sujet, le droit d'accès consacré à l'art. 8
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 8 Datensicherheit - 1 Der Verantwortliche und der Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit.
LPD constitue une garantie suffisante (ATF 125 II 321). En outre, dans la mesure où la consultation du médecin spécialisé a pour cadre une procédure à l'issue de laquelle une décision formelle devra être prise concernant la prise en charge ou non de certaines prestations, l'information aura lieu dans ce cadre où la consultation du dossier est également garantie; l'assuré pourra faire valoir tous ses griefs à l'encontre du médecin consulté, tant en ce qui concerne sa personne (dans l'optique d'une éventuelle récusation) que du contenu de son avis. Si celui-ci est fondé sur des données inexactes, l'intéressé peut aussi faire valoir, après-coup, son droit de rectification. Ces garanties apparaissent suffisantes dans la mesure où, compte tenu du statut du destinataire des données, il n'y a pas à craindre que celles-ci parviennent à d'autres personnes.
C'est par conséquent à tort que le recourant entend faire valoir un droit systématique d'être préalablement renseigné sur la transmission, par le médecin-conseil, de son dossier à un médecin expert. Il peut certes arriver qu'en raison de circonstances particulières (données particulièrement sensibles, liens possibles entre l'assuré et l'expert), le médecin-conseil puisse être tenu de fournir une telle information, afin de permettre à l'intéressé de s'exprimer au sujet du choix de l'expert, ou des données à lui transmettre; en l'occurrence, le recourant ne démontre pas qu'il existerait des données nécessitant une protection particulière, ou que l'identité du destinataire appelait une information préalable.

2.6 Le recourant invoque en vain l'art. 9
SR 101 Bundesverfassung der Schweizerischen Eidgenossenschaft vom 18. April 1999
BV Art. 9 Schutz vor Willkür und Wahrung von Treu und Glauben - Jede Person hat Anspruch darauf, von den staatlichen Organen ohne Willkür und nach Treu und Glauben behandelt zu werden.
Cst., ainsi que les dispositions constitutionnelles et conventionnelles relatives à la protection de la sphère privée; les garanties qui en découlent ne vont pas plus loin que les droits consacrés dans la législation spécifique.

Il s'ensuit que le recours de droit administratif doit être rejeté, sous suite de frais et dépens.
Recours d'Helsana Assurances SA

3.
La commission a estimé que le Dr C.________ n'était pas lui-même médecin-conseil. Responsable du service des médecins-conseils de l'assureur, il était un organe de ce dernier. La remise du dossier équivalait à une remise à l'assureur, ce pour quoi il n'existait aucune base légale. L'indépendance du médecin-conseil pouvait d'ailleurs s'en trouver mise en cause. Le dialogue médical entre médecin-conseil et responsable du service devait donc rester au niveau des généralités, sans échange de données au sujet des assurés.

3.1 Selon la recourante, il n'y aurait pas eu de transmission de données concernant le recourant, mais seulement des entretiens oraux, en particulier téléphoniques où le cas du recourant aurait été évoqué, avec d'autres. Le dossier médical n'aurait jamais été transmis, exception faite d'un "mémo" du 30 octobre 2001 sur lequel ne figure aucune information d'ordre médical. Le Dr C.________ serait lui-même médecin-conseil, depuis 1995 auprès de la recourante. Ces deux éléments de fait, méconnus par la commission, ressortaient d'une prise de position du Dr C.________, produite le 11 juin 2003 en annexe aux déterminations de la recourante. En cas de doute sur la qualité de médecin-conseil du Dr C.________, il suffisait de l'interroger personnellement. La recourante propose, à titre de moyen de preuve, l'audition des Dr A.________ et C.________. Elle explique ensuite le fonctionnement des services régionaux de médecin-conseil, soumis au service central dirigé par le Dr C.________. Ce service central, astreint au devoir de garder le secret conformément à l'art. 57
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 57 Vertrauensärzte und Vertrauensärztinnen - 1 Die Versicherer oder ihre Verbände bestellen nach Rücksprache mit den kantonalen Ärztegesellschaften Vertrauensärzte beziehungsweise Vertrauensärztinnen. Diese müssen die Zulassungsvoraussetzungen nach den Artikeln 36a und 37 Absatz 1 erfüllen und mindestens fünf Jahre in einer Arztpraxis oder in leitender spitalärztlicher Stellung tätig gewesen sein.191
LAMal, serait indépendant: il serait séparé géographiquement et structurellement des locaux de l'assureur; toute rémunération à la prestation serait exclue. Le chef du service
des médecins-conseils aurait la faculté d'émettre des recommandations dans des cas complexes, mais celles-ci ne seraient pas contraignantes. En définitive, le chef du service des médecins-conseils serait lui-même garant de la confidentialité instaurée à l'art. 57 al. 7
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 57 Vertrauensärzte und Vertrauensärztinnen - 1 Die Versicherer oder ihre Verbände bestellen nach Rücksprache mit den kantonalen Ärztegesellschaften Vertrauensärzte beziehungsweise Vertrauensärztinnen. Diese müssen die Zulassungsvoraussetzungen nach den Artikeln 36a und 37 Absatz 1 erfüllen und mindestens fünf Jahre in einer Arztpraxis oder in leitender spitalärztlicher Stellung tätig gewesen sein.191
LAMal. Enfin, la recourante estime que la commission aurait omis de rechercher si les informations par hypothèse transmises au Dr C.________, pouvaient être nécessaires au sens de cette disposition.

3.2 L'intimé conteste les affirmations de la recourante quant aux documents qui auraient été échangés entre les Dr A.________ et C.________: la transmission de documents aurait été admise devant l'instance précédente; un échange verbal constituerait de toute façon déjà une transmission de données. L'intimé relève également que le représentant d'Helsana aurait affirmé, devant la commission, que le Dr C.________ n'était pas médecin-conseil. La commission n'aurait donc pas arbitrairement établi les faits sur ces points, et l'intimé propose, en cas d'administration de preuves devant le Tribunal fédéral, l'audition du responsable du service juridique entendu devant la commission. Les pièces produites par le recourant confirmeraient la position dirigeante du Dr C.________ au sein de l'assurance. Le recourant met aussi en doute la possibilité d'organiser le médecin-conseil sous la forme d'un service.

4.
Selon l'art. 105 al. 2
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 57 Vertrauensärzte und Vertrauensärztinnen - 1 Die Versicherer oder ihre Verbände bestellen nach Rücksprache mit den kantonalen Ärztegesellschaften Vertrauensärzte beziehungsweise Vertrauensärztinnen. Diese müssen die Zulassungsvoraussetzungen nach den Artikeln 36a und 37 Absatz 1 erfüllen und mindestens fünf Jahre in einer Arztpraxis oder in leitender spitalärztlicher Stellung tätig gewesen sein.191
OJ, lorsque le recours de droit administratif est dirigé contre la décision d'une autorité judiciaire, le Tribunal fédéral est lié par les faits constatés, à moins qu'ils ne soient manifestement inexacts ou incomplets, ou qu'ils aient été établis au mépris d'une règle essentielle de procédure. Selon l'art. 33 al. 1
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 33 Kontrolle und Verantwortung bei gemeinsamer Bearbeitung von Personendaten - Der Bundesrat regelt die Kontrollverfahren und die Verantwortung für den Datenschutz, wenn ein Bundesorgan Personendaten zusammen mit anderen Bundesorganen, mit kantonalen Organen oder mit privaten Personen bearbeitet.
LPD, l'autorité intimée est une commission au sens des art. 71a
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 33 Kontrolle und Verantwortung bei gemeinsamer Bearbeitung von Personendaten - Der Bundesrat regelt die Kontrollverfahren und die Verantwortung für den Datenschutz, wenn ein Bundesorgan Personendaten zusammen mit anderen Bundesorganen, mit kantonalen Organen oder mit privaten Personen bearbeitet.
à 71c
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 33 Kontrolle und Verantwortung bei gemeinsamer Bearbeitung von Personendaten - Der Bundesrat regelt die Kontrollverfahren und die Verantwortung für den Datenschutz, wenn ein Bundesorgan Personendaten zusammen mit anderen Bundesorganen, mit kantonalen Organen oder mit privaten Personen bearbeitet.
PA. Or, les commissions de recours et d'arbitrage instituées par ces dispositions sont des autorités judiciaires: bien que nommés par le Conseil fédéral (art. 71b al. 3
SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (Datenschutzgesetz, DSG) - Datenschutzgesetz
DSG Art. 33 Kontrolle und Verantwortung bei gemeinsamer Bearbeitung von Personendaten - Der Bundesrat regelt die Kontrollverfahren und die Verantwortung für den Datenschutz, wenn ein Bundesorgan Personendaten zusammen mit anderen Bundesorganen, mit kantonalen Organen oder mit privaten Personen bearbeitet.
PA), les juges de ces autorités sont indépendants et ne sont soumis qu'à la loi; ils ne peuvent faire partie de l'administration fédérale (ATF 128 III 454 consid. 1; 122 II 471 consid. 2a p. 475; 121 II 359 consid. 2b p. 363). Par conséquent, devant le Tribunal fédéral, les faits ne peuvent être revus qu'aux conditions de l'art. 105 al. 2
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 57 Vertrauensärzte und Vertrauensärztinnen - 1 Die Versicherer oder ihre Verbände bestellen nach Rücksprache mit den kantonalen Ärztegesellschaften Vertrauensärzte beziehungsweise Vertrauensärztinnen. Diese müssen die Zulassungsvoraussetzungen nach den Artikeln 36a und 37 Absatz 1 erfüllen und mindestens fünf Jahre in einer Arztpraxis oder in leitender spitalärztlicher Stellung tätig gewesen sein.191
OJ. Par ailleurs il n'est en principe pas possible de faire valoir des constatations de fait ou des moyens de preuve nouveaux. Seules sont admissibles dans ce cas les preuves que l'instance inférieure aurait dû retenir d'office et dont le défaut d'administration constitue une violation des règles essentielles de procédure (ATF
128 III 454).

4.1 Le jugement attaqué retient, dans sa partie en fait, que le Dr A.________ aurait "également soumis le dossier du recourant au Dr C.________ le 30 octobre 2001", et que ce dernier n'aurait pas le statut de médecin-conseil, étant encore précisé que ces faits n'étaient pas contestés. A l'audience du 11 mars 2004, Helsana avait déclaré que le Dr C.________ était salarié et que sa fonction était de former, de soutenir et de "coacher" les médecins-conseils ou encore de coordonner leurs activités. En droit, la commission a encore considéré que le Dr C.________ était un organe de l'assureur.

4.2 Dans sa détermination du 11 juin 2003, Helsana relevait que le Dr C.________ avait été "mis au courant du dossier"; elle n'a pas contesté que des données avaient été effectivement transmises à ce médecin, sans que l'on sache exactement de quelles données il s'agissait. Un représentant de la recourante a été entendu au cours de l'audience du 11 mars 2004; le procès-verbal de cette audience ne contient malheureusement pas les déclarations des parties. Toutefois, faute pour la recourante d'avoir contesté les affirmations de l'assuré quant à la transmission de son dossier médical, on ne saurait reprocher à la commission d'avoir établi les faits de manière manifestement inexacte en tenant pour établie une telle transmission, quand bien même sa teneur et ses modalités n'ont pas pu être précisément définies. Les arguments avancés dans le recours de droit administratif ne permettent pas non plus d'arriver à une telle conclusion.

4.3 En revanche, les questions relatives à la fonction et au rôle du Dr C.________ n'ont à l'évidence pas été élucidées de manière satisfaisante par l'autorité intimée.
En effet, même si cela ne ressort pas clairement du dossier de première instance - ni des explications fournies dans ce cadre par le Dr C.________ lui-même -, la recourante soutient que le Dr C.________ est bien médecin-conseil auprès d'elle depuis 1995, et chef du service des médecins-conseils depuis le 1er avril 1998. Les pièces produites à l'appui de ces affirmations permettent de penser que la décision attaquée repose sur une donnée de fait manifestement erronée.

4.4 La commission a par ailleurs considéré que le service des médecins-conseils était rattaché à l'administration de la caisse; le Dr C.________ devrait être considéré comme le chef d'un service de l'assureur. A ce sujet, la recourante produit une prise de position du Dr C.________, datée du 1er septembre 2004 et accompagnée de son contrat d'engagement auprès d'Helsana, d'une description de sa fonction, d'un organigramme du service des médecins-conseils d'Helsana ainsi que d'une définition des relations entre médecins-conseils central et régionaux. Il en résulte que le service du médecin-conseil est directement soumis à la direction/clientèle privée de la caisse, au même titre que les services de développement des produits, du contrôle de qualité et du service juridique. Il ne dépend pas, en particulier, des services marketing ou des prestations, situés hiérarchiquement à un niveau inférieur. Le service du médecin-conseil est lui aussi constitué de manière hiérarchique, avec à sa tête le Dr C.________, auquel sont adjoints deux médecins-conseils au siège principal; lui sont soumis les différents médecins-conseils locaux. Selon les explications du Dr C.________, les médecins-conseils sont indépendants dans leurs jugements et ne
reçoivent de directive ni de l'assureur, ni des fournisseurs de prestations. Le chef du service met à disposition des directives sur la base desquelles les médecins-conseils locaux se prononcent dans les cas particuliers. Le chef du service est chargé de l'engagement et de la formation des médecins-conseils; il forme les assistants dans la tenue des archives au sens de l'art. 57
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 57 Vertrauensärzte und Vertrauensärztinnen - 1 Die Versicherer oder ihre Verbände bestellen nach Rücksprache mit den kantonalen Ärztegesellschaften Vertrauensärzte beziehungsweise Vertrauensärztinnen. Diese müssen die Zulassungsvoraussetzungen nach den Artikeln 36a und 37 Absatz 1 erfüllen und mindestens fünf Jahre in einer Arztpraxis oder in leitender spitalärztlicher Stellung tätig gewesen sein.191
LAMal, et assure la coordination entre les médecins-conseils locaux. La protection des données figure également dans son cahier des charges.

4.5 Contrairement à ce que soutient l'intimé, s'agissant d'une caisse travaillant sur l'ensemble du territoire suisse, rien n'interdit par principe que les médecins-conseils de l'assureur soient constitués en un service, pour autant que ce dernier satisfasse lui-même aux exigences légales. En particulier, ce service doit être doté des locaux et de l'infrastructure nécessaires pour garantir son indépendance à l'égard de l'assureur; l'organisation doit être conçue de telle manière que les données du service en question puissent demeurer confidentielles à l'égard du reste de l'entreprise et des tiers; cela suppose un raccordement téléphonique distinct, ainsi qu'un système informatique séparé de celui de la caisse, ou tout au moins sécurisé à l'égard de celle-ci (OFAS, op. cit. p. 96); tout accès aux archives, sous forme de papier ou de données informatiques, doit être impossible pour l'administration de l'assurance (op. cit. p. 99), de telle manière que le service du médecin-conseil demeure maître de toute transmission (cf. également la Convention relative aux médecins-conseils conclue entre Santésuisse et la Fédération des médecins suisses). Du point de vue organisationnel, le service du médecin-conseil ne doit pas être soumis à un
service chargé de décider des prestations, ou chargé du marketing (op. cit. p. 107).
4.5.1 Sur le vu des indications fournies par la recourante, le service du médecin-conseil ne peut pas sans autre être assimilé à un organe ordinaire de l'assureur: l'ensemble du service peut être intégré à l'entreprise, mais d'une manière qui doit garantir son indépendance, au regard de l'art. 57
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 57 Vertrauensärzte und Vertrauensärztinnen - 1 Die Versicherer oder ihre Verbände bestellen nach Rücksprache mit den kantonalen Ärztegesellschaften Vertrauensärzte beziehungsweise Vertrauensärztinnen. Diese müssen die Zulassungsvoraussetzungen nach den Artikeln 36a und 37 Absatz 1 erfüllen und mindestens fünf Jahre in einer Arztpraxis oder in leitender spitalärztlicher Stellung tätig gewesen sein.191
LAMal, en particulier son al. 7 qui fixe l'étendue des transmissions de données à l'assureur. Il convient donc de s'assurer qu'il existe entre le service du médecin-conseil et l'administration de la caisse un cloisonnement suffisant, selon les principes rappelés ci-dessus. Si tel devait être le cas, on ne saurait prétendre qu'une donnée communiquée au chef du service des médecins-conseils équivaudrait à une transmission à l'assureur. Le chef des médecins-conseils peut être appelé à conseiller l'un d'entre eux, à sa demande, par exemple dans des cas complexes ou lorsqu'il s'agit d'instaurer une pratique uniforme. Cela peut avoir lieu dans le cadre d'entretiens informels, sans remise de pièces, et il serait vain de vouloir soumettre de tels échanges à des règles trop strictes de confidentialité. L'essentiel est, comme on l'a vu, que les renseignements auxquels le chef des médecins-conseils peut avoir accès, doivent rester dans le cadre du
service.

Force est d'admettre qu'aucune administration des preuves n'a eu lieu sur ce point en instance inférieure. Le Tribunal fédéral ne saurait pour sa part statuer sur la base des seules indications fournies par l'assureur, sans violer le droit d'être entendu de l'intimé.

4.6 Le recours d'Helsana doit par conséquent être admis pour ce motif, et la cause renvoyée à la commission pour nouvelle décision sur ce point, après une instruction complète. Il appartiendra à la commission de tenir compte du statut du Dr C.________, et d'établir en premier lieu si la structure du service du médecin-conseil de l'intimée permet de prévenir tout flux incontrôlé de données à destination de l'assureur. Les éventuelles dépositions de témoins devront faire l'objet d'un procès-verbal détaillé.

5.
Sur le vu de ce qui précède, le recours formé par X.________ est rejeté. Celui d'Helsana SA est admis; le ch. 1 du dispositif du jugement attaqué est annulé, de même que les ch. 3 et 4. Il appartiendra, le cas échéant, à la commission de statuer à nouveau sur les frais et dépens, suivant l'issue de la cause.

Conformément à l'art. 156 al. 1
SR 832.10 Bundesgesetz vom 18. März 1994 über die Krankenversicherung (KVG)
KVG Art. 57 Vertrauensärzte und Vertrauensärztinnen - 1 Die Versicherer oder ihre Verbände bestellen nach Rücksprache mit den kantonalen Ärztegesellschaften Vertrauensärzte beziehungsweise Vertrauensärztinnen. Diese müssen die Zulassungsvoraussetzungen nach den Artikeln 36a und 37 Absatz 1 erfüllen und mindestens fünf Jahre in einer Arztpraxis oder in leitender spitalärztlicher Stellung tätig gewesen sein.191
OJ, un émolument judiciaire global est mis à la charge du recourant, respectivement de l'intimé X.________ pour les deux affaires. Helsana SA, qui obtient gain de cause dans les deux procédures, a droit à des dépens, à la charge de sa partie adverse. L'indemnité, fixée elle aussi globalement pour les deux procédures, doit être réduite car le jugement attaqué aurait dans doute été différent si Helsana SA s'était d'emblée expliquée de manière claire et complète sur l'organisation de ses propres services.

Par ces motifs, le Tribunal fédéral prononce:

1.
Le recours de X.________ est rejeté.

2.
Le recours d'Helsana Assurances SA est admis; les ch. 1, 3 et 4 du jugement attaqué sont annulés et la cause est renvoyée à la commission pour nouvelle décision.

3.
Un émolument judiciaire global de 3000 fr. est mis à la charge de X.________.

4.
Une indemnité globale de dépens de 2000 fr. est allouée à Helsana SA, à la charge de X.________.

5.
Le présent arrêt est communiqué en copie aux parties et à la Commission fédérale de la protection des données.
Lausanne, le 9 mai 2005
Au nom de la Ire Cour de droit public
du Tribunal fédéral suisse
Le président: Le greffier: