LOI n° 2026-534 du 25 juin 2026 relative à la lutte contre les fraudes sociales et fiscales
Article 5:
« Art. L. 931-3-9. – Les institutions de prévoyance et leurs unions sont autorisées à traiter, en application du h du paragraphe 2 de l’article 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, et dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, les données à caractère personnel relatives à la santé de leurs membres participants et ayants droit dans le cadre des adhésions aux règlements ou des contrats conclus pour le remboursement et l'indemnisation des frais occasionnés par une maladie, une maternité ou un accident, notamment les numéros de codes des actes effectués et des prestations servies.
« Elles sont également autorisées à traiter les données d’identification et de facturation des professionnels et organismes ou établissements ayant prescrit ou dispensé ces actes ou prestations.
« Art. L. 931-3-10. – Peuvent faire l’objet du traitement prévu au premier alinéa du présent article les seules données strictement nécessaires :
« 1° Au remboursement et à l'indemnisation des frais occasionnés par une maladie, une maternité ou un accident dans le cadre des contrats mentionnés à l’article L. 931-3-9, y compris dans le cadre du tiers-payant ;
« 2° Au contrôle et aux vérifications du respect des contrats couvrant les assurés et des conventions souscrites avec les professionnels et organismes ou établissements de santé ;
« 3° A la constatation, à l'exercice ou à la défense de droits en justice.
« Art. L. 931-3-11. – Les institutions de prévoyance et leurs unions mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau élevé de sécurité ainsi que la protection des droits des personnes concernées. Elles s’assurent que les données à caractère personnel ne sont conservées que pendant une durée n’excédant pas celle strictement nécessaire au regard des finalités mentionnés à l’article L. 931-3-10 et que leurs personnels, qui font l’objet d’une habilitation spécifique, n’accèdent qu’aux données strictement nécessaires à leurs missions.
« Les données à caractère personnel des traitements mis en œuvre en application de la présente section sont stockées exclusivement au sein de l’Espace économique européen, dans des conditions garantissant notamment la protection des données contre tout accès par des autorités publiques d’Etats tiers non autorisé par le droit de l’Union européenne ou d’un Etat membre.
« Seuls des professionnels de santé et les personnels placés sous leur autorité chargés du contrôle médical du dossier ont accès, dans le cadre de leur fonction et pour la durée de leur accomplissement, aux données à caractère personnel relatives à un membre participant, ou ayant droit couvert par un règlement ou un contrat mentionné à l’article L. 913-3-9 lorsqu’elles sont associées au numéro de code d’une pathologie diagnostiquée.
« Tout personnel de l’institution de prévoyance ou union est tenu au secret professionnel pour toutes les données concernant la santé des personnes concernées par les traitements mentionnés à l’article L. 931-3-9.
« Art. L. 931-3-12. – Par dérogation à l’article L. 1110-4 du code de la santé publique et pour les seuls besoins de la mise en œuvre du tiers payant, les professionnels de santé, organismes ou établissements dispensant des actes ou prestations remboursés dans le cadre des règlements ou contrats mentionnés à l’article L. 931-3-9 à des assurés ou à leurs ayants droit couverts par ces contrats ou règlements sont autorisés à communiquer aux institutions de prévoyance et à leurs unions les données mentionnées à l’article L. 161-29 du code de la sécurité sociale et toutes autres données strictement nécessaires à cette fin.
« Seuls des professionnels de santé et les personnels placés sous leur autorité chargés du contrôle médical du dossier ont accès, dans le cadre de leur fonction et pour la durée de leur accomplissement, aux données à caractère personnel relatives à un membre participant ou ayant droit couvert par un contrat ou un règlement mentionné à l’article L. 931-3-9 lorsqu’elles sont associées au numéro de code d’une pathologie diagnostiquée.
« Le personnel des institutions de prévoyance et de leurs unions est soumis au secret professionnel, dans les conditions et sous les peines prévues à l’article 226-13 du code pénal, pour toutes les informations communiquées en application du présent article.
« Art. L. 931-3-13. – Un décret en Conseil d’Etat, pris après avis de la Commission nationale de l’informatique et des libertés, précise les modalités d’application des articles L. 931-3-9, L. 931-3-10, L. 931-3-11 et L. 931-3-12, notamment :
« 1° Les catégories de données traitées, en particulier celles mentionnées à l’article L. 931-3-10 et pouvant être communiqués aux institutions de prévoyance et à leurs unions pour la mise en œuvre du tiers-payant ;
« 2° Les durées de conservation des données prévues au 1° du présent article ;
« 3° Les modalités d’information des assurés et des professionnels de santé concernés, ainsi que d’exercice des droits qu’ils tiennent du règlement (UE) 2016/679 du 27 avril 2016 précité. »
IV. – Au 3° de l’article 65 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, les mots : « ainsi que la prise en charge des prestations par les organismes d’assurance maladie complémentaire » sont remplacés par les mots : « ainsi que les traitements mis en œuvre pour les finalités mentionnées à l’article L. 931-3-10 du code de la sécurité sociale, à l’article L. 135-2 du code des assurances et à l’article L. 211-17 du code de la mutualité par les organismes d’assurance maladie complémentaire ».