LOI n° 2026-534 du 25 juin 2026 relative à la lutte contre les fraudes sociales et fiscales
Article 5:
« Les données à caractère personnel des traitements mis en œuvre en application de la présente section sont stockées exclusivement au sein de l’Espace économique européen, dans des conditions garantissant notamment la protection des données contre tout accès par des autorités publiques d'Etats tiers non autorisé par le droit de l'Union européenne ou d'un Etat membre.
« Seuls des professionnels de santé et les personnels placés sous leur autorité chargés du contrôle médical du dossier ont accès, dans le cadre de leur fonction et pour la durée de leur accomplissement, aux données à caractère personnel relatives à un membre participant, ou ayant droit couvert par un règlement ou un contrat mentionné à l’article L. 211-16 lorsqu'elles sont associées au numéro de code d'une pathologie diagnostiquée.
« Tout personnel des mutuelles ou unions est tenu au secret professionnel pour toutes les données concernant la santé des personnes concernées par les traitements mentionnés à l’article L. 211-16.
« Art. L. 211-19. – Par dérogation à l’article L. 1110-4 du code de la santé publique et pour les seuls besoins de la mise en œuvre du tiers payant, les professionnels de santé, organismes ou établissements dispensant des actes ou prestations remboursés dans le cadre des règlements et contrats mentionnés à l’article L. 211-16 à des assurés ou à leurs ayants droit couverts par ces contrats sont autorisés à communiquer aux mutuelles et unions les données mentionnées à l’article L. 161-29 du code de la sécurité sociale et toutes autres données strictement nécessaires à cette fin.
« Seuls des professionnels de santé et les personnels placés sous leur autorité chargés du contrôle médical du dossier ont accès, dans le cadre de leur fonction et pour la durée de leur accomplissement, aux données à caractère personnel relatives à un membre participant, ou ayant droit couvert par un règlement ou contrat mentionné à l’article L. 211-16, lorsqu'elles sont associées au numéro de code d'une pathologie diagnostiquée.
« Le personnel des mutuelles et unions est soumis au secret professionnel, dans les conditions et sous les peines prévues à l'article 226-13 du code pénal, pour toutes les informations communiquées en application du présent article.
« Art. L. 211-20. – Un décret en Conseil d’Etat, pris après avis de la Commission nationale de l’informatique et des libertés, précise les modalités d’application de la présente section, notamment :
« 1° Les catégories de données traitées, en particulier celles mentionnées à l’article L. 211-17 et pouvant être communiqués aux mutuelles et unions pour la mise en œuvre du tiers-payant ;
« 2° Les durées de conservation des données prévues au 1° du présent alinéa ;
« 3° Les modalités d’information des assurés et des professionnels de santé concernés, ainsi que d’exercice des droits qu’ils tiennent du règlement (UE) 2016/679 du 27 avril 2016. »
III. – Le code de la sécurité sociale est ainsi modifié :
1° Après l’article L. 114-9, il est inséré cinq nouveaux articles ainsi rédigés :
« Art. L. 114-9-1. – Lorsque les investigations menées en application de l’article L. 114-9 mettent en évidence des faits de nature à faire présumer l’un des cas de fraude en matière sociale mentionné au premier tiret de l’article L. 114-16-2 et que l’importance ou la nature de la fraude présumée le justifie, dans des conditions définies par décret en Conseil d’Etat, les agents chargés du contrôle mentionnés à l’article L. 114-10 du présent code ou à l’article L. 724-7 du code rural et de la pêche maritime communiquent aux organismes d’assurance maladie complémentaire les informations strictement nécessaires à l’identification de l’auteur de ces faits et des actes et prestations sur lesquels ils portent.
« Dans le cadre de cette communication, les données à caractère personnel concernant la santé sont strictement limitées à la nature des actes et prestations concernés. Les informations transmises ne peuvent être conservées par l’organisme d’assurance maladie complémentaire que pour la durée strictement nécessaire aux fins de contrôle et de vérification du respect des contrats conclus pour le remboursement et l’indemnisation des frais occasionnés par une maladie, une maternité ou un accident et des conventions souscrites avec les professionnels de santé, professionnels et organismes ou établissements de santé et, le cas échéant, de préparer, d’exercer et de suivre une action en justice.
« Lorsqu’une décision de déconventionnement est prononcée, les agents visés ci-dessus en informent les organismes d’assurance maladie complémentaire.
« Art. L. 114-9-2. – Lorsque l’organisme d’assurance maladie complémentaire de l’assuré a connaissance de faits pouvant être de nature à constituer une fraude et que l’importance ou la nature de la fraude le justifie, dans des conditions définies par décret en Conseil d’Etat, il communique aux agents chargés du contrôle mentionnés à l’article L. 114-10 du présent code ou à l’article L. 724-7 du code rural et de la pêche maritime de l’organisme compétent les informations strictement nécessaires à l’identification de l’auteur de ces faits et des actes et prestations sur lesquels ils portent.
« Les informations transmises ne peuvent être conservées par l’organisme d’assurance maladie obligatoire qu’aux fins de déclencher ou poursuivre la procédure de contrôle ou d’enquête mentionnée au premier alinéa de l’article L. 114-9, de préparer et, le cas échéant, d’exercer et de suivre une action en justice, de mettre en œuvre une procédure de sanction administrative prévue par l’article L. 114-17-1 ou l’une des procédures de déconventionnement définies aux articles L. 162-15-1 et L. 162-32-3 pour les organismes d’assurance maladie obligatoire.
« Art. L. 114-9-3. – Toute personne au sein des organismes d’assurance maladie complémentaire dont les interventions sont nécessaires aux finalités mentionnées aux articles L. 114-9-1 et L. 114-9-2 est tenue au secret professionnel.
« Les informations communiquées en application des articles L. 114-9-1 et L. 114-9-2 ne peuvent être utilisées à d’autres fins que celles prévues à ces articles, sous peine des sanctions prévues à l’article 226-21 du code pénal.
« Les organismes concernés s’assurent de la mise à jour des informations transmises et procèdent sans délai à la suppression des données enregistrées dès lors que la suspicion de fraude est écartée et que la personne physique ou morale concernée est mise hors de cause.
« Art. L. 114-9-4. – Les organismes d’assurance maladie complémentaire peuvent recourir à un intermédiaire présentant des garanties techniques et organisationnelles appropriées assurant un haut niveau de sécurité des données ainsi que des garanties d’indépendance et d’expertise nécessaires à la mise en œuvre des échanges prévus au présent article.
« Art. L. 114-9-5. – Un décret en Conseil d’Etat, pris après avis de la Commission nationale de l’informatique et des libertés, de l’Union nationale des caisses d’assurance maladie et de l’Union nationale des organismes d’assurance maladie complémentaire précise les conditions et modalités de mise en œuvre des échanges d’informations prévus aux articles L. 114-9-1 à L. 114-9-4, notamment les conditions d’habilitation des personnels de l’organisme d’assurance maladie complémentaire concerné ainsi que les modalités d’information des assurés et des professionnels concernés par ces échanges. Il définit le rôle et les attributions de l’intermédiaire mentionné à l’article L. 114-9-4. » ;
2° La section 1 du chapitre 1er du titre III du livre IX est complétée par cinq articles ainsi rédigées :