Catégorie : News

Covid-19

Covid-19 | Conseils juridiques droit et nouvelles technologies pour entreprises

Le monde est en crise et l’économie en pâtit.

La propagation du nouveau coronavirus connu sous le nom de “Covid-19“, de la Chine (province de Wuhan) à l’Europe, puis dans le monde entier, a donné lieu à des mesures sans précédent dans différents pays, dont la Suisse. Les enjeux de santé publique mêlent droit de la santé, protection des données personnelles et nouvelles technologies. Avec le télétravail et l’utilisation d’outils de conférence en ligne, nous saisissons l’occasion pour publier une mini-série juridique, des conseils et des documents à télécharger. Nous souhaitons apporter des informations et solutions simples et pratiques pour mieux comprendre les enjeux juridiques et les répercutions économiques.

L’impact est massif pour les organisations publiques et privées et le but de cette mini-série est d’examiner et de publier tous les lundis, un sujet en lien avec le Covid-19.

_______________________________

NOTRE MINI SERIE JURIDIQUE

Nous nous mobilisons pour fournir des conseils juridiques de base aux individus et entreprises en lien avec le Covid-19.  Comme à l’accoutumée, cette série est bilingue, FR/EN avec même certains épisodes en italien!!  Le premier épisode renseigne sur l’application de la loi sur les épidémies et de son ordonnance fédérale.

Voici la liste de nos épisodes que vous pouvez retrouvez sur notre page dédiée au Covid-19 sur notre plateforme datalex:

Episode 1: Ce qu’il faut savoir sur la loi fédérale sur les épidémies

Episode 2: Télémédecine et droit: recommendations et bonnes pratiques

Episode 3: Sanctions pénales: que risque-t-on ?

Episode 4: Directives médico-éthiques: règles de triage aux soins intensifs

_______________________________

POINT DE VUE SUR LA PROTECTION DES DONNEES EN SUISSE / ALLEMAGNE / BELGIQUE

Pour fournir de plus amples informations en matière de technologies et protection des données, nous participons régulièrement à des wébinaires  sur la protection des données personnelles avec des études d’avocats partout dans le monde faisant partie du réseau PrivacyRules. Voici les quatre parties de notre collaboration avec des experts allemand et belges et des réflexions en matière de protection des données comparées dans ces trois pays.

Les épisodes sont en anglais:

Partie 1:  Position des autorités de protection des données

Partie 2:  Enjeux et solutions possibles

Partie 3:  Conseils pour les entreprises

Partie 4:  Prochaines étapes post-covid-19

_______________________________

IMPACT SUR L’ECONOMIE

Si la décision historique de la suisse de limiter les manifestations à maximum 1000 personnes vise à réduire le risque de propagation du virus, elle a un impact majeur sur les organisateurs d’événements, ainsi que sur d’autres secteurs de l’industrie. Les employeurs doivent faire face à des solutions de travail à distance et mettre en place des politiques sanitaires ainsi que des restrictions de voyage. Ils doivent également veiller à ne pas interrompre la chaîne d’approvisionnement des marchandises, faire face à la résiliation de contrats et leur inexécution.

Les répercussions économiques en Suisse comme partout dans le monde sont énormes. Le salon horloger Watches and Wonders a été annulé le 27 février 2020, suivi du salon de l’automobile à Genève (GIMS), annulé le 28 février 2020. Puis ce fut le Cully Jazz Festival annulé le 10 mars 2020. Les organisateurs ont annoncé ne pas exclure une fermeture définitive, vu les pertes considérables mettant en péril de futures éditions.

Alors que l’Italie vient de décider le 9 mars 2020 de mettre le pays en quarantaine, la France a aussi décidé de limiter les manifestations à un maximum de 1000 personnes. En Espagne, le Salon mondial du mobile de Barcelone a été annulé et devait représenter plus de 110’000 visiteurs et générer 492 millions d’euros de retombées économiques locales, ainsi que plus de 14’000 emplois. Même topo pour le Grand Prix de Chine de Formule 1 prévu le 19 avril à Shanghai qui a été reporté.

Dans cette mini-série dédiée au Covid-19, nous discuterons de sujets clés et fournirons des conseils pratiques. Le premier épisode donne des éclairages sur la loi fédérale sur les épidémies (LEp) ainsi que sur la manière dont les autorités fédérales et cantonales peuvent imposer des mesures en Suisse.

La liste de tous les épisodes de cette série est accessible sur la page des publications de ce blog.

_______________________________

COMPÉTENCES FÉDÉRALES vs CANTONALES

Le 28 février 2020, le Conseil fédéral a décidé, par voie d’ordonnance fédérale, d’interdire les rassemblements publics de plus de 1000 personnes. Cette décision résulte de la flambée du coronavirus “Covid-19”. Il s’agit d’une mesure qui, normalement, incombe aux cantons. Néanmoins, dans des situations d’urgence particulière qui requièrent la protection de la population contre des maladies transmissibles, la Confédération peut édicter des mesures par voie d’ordonnance fédérale. Elle a usé de ce pouvoir pour limiter les rassemblements de personnes. Par ailleurs, l’Office fédéral de la santé publique (‘OFSP‘) a expliqué, dans un communiqué du 28 février 2020, quelles étaient les différentes situations dans lesquelles on peut se trouver lorsqu’il faut faire face à une maladie contagieuse qui met en danger la santé publique.

(1) En situation normale, les cantons sont compétents pour mettre en place les mesures nécessaires pour protéger la population. Il s’agit des mesures de quarantaine et les mesures d’isolement.

(2) En situation particulière,  le Conseil fédéral peut empiéter sur l’autonomie des cantons. Tel est le cas si : (a) les cantons ne peuvent plus exercer leurs prérogatives ou prendre les mesures appropriées s’il existe un risque élevé d’infection et de propagation pour la population, un risque pour la santé publique ou pour l’économie. Cela peut aussi être le cas si: (b) l’OMS décrète une urgence sanitaire sur le plan international menaçant la Suisse.

(3) Enfin, les situations extraordinaires surviennent en cas de “menace extraordinaire pour la santé publique“. Dans de telles circonstances, le Conseil fédéral peut édicter une ordonnance fédérale sans base légale pour intervenir de manière rapide et ciblée.

—

Par Gabriel Avigdor | NTIC.ch

Data Privacy Day: Journée internationale de la protection des données

C’est aujourd’hui, 28 janvier 2020, la journée internationale de la protection des données !

Il est intéressant de se souvenir que la protection des données, en tout cas en Europe, est issu des droits fondamentaux et du droit au respect de la sphère privée, qui inclut la protection des données personnelles par extension.

_______________________________

LES FONDEMENTS VIENNENT DES ETATS-UNIS

Les principes de protection des données ont évolué depuis “the right to be let alone” introduit en 1890 par Louis Brandeis & Samuel Warren aux USA, puis avec les droits de l’Homme en Europe, puis le RGPD et les lois nationales qui émergent dans tous les pays du globe. Aujourd’hui 130 pays autour du monde sont dotés d’une loi sur la protection des données pour mieux encadrer ce domaine devenu indispensable.

Data Privacy Day 2020 - datalex

_______________________________

QUELQUES CONSEILS DU JOUR (non-exhaustifs) :

1. AVOIR UN BUT : Avoir un but clair pour traiter les données (but) et ne pas collecter plus que nécessaire (proportionnalité et minimisation);

2. INFORMER Informer clairement les individus sur vos pratiques et ce que vous faites des données personnelles (principe de transparence)

3. DONNER LE CONTRÔLE aux individus sur leurs données, utiliser une base légale adéquate et établir un lien de confiance

4. SUPPRIMER les données dès qu’elles ne sont plus nécessaires ou dès que le but est atteint

5. PROTÉGER les données de manière adéquate selon le degré de risque 6. Respecter le droits des personnes concernées

6. ÊTRE RESPONSABLE des données traitées et se conformer aux exigences des lois applicables, en particulier la LPD, le RGPD et les lois sur la protection des données de chaque pays selon les activités de chaque entreprise.

** * *

Happy data privacy day!

dataprivacyday GDPR privacybydesign privacylawyers

Formation en télémédecine | Médecins & professionnels de santé | Janvier 2020

La Suisse romande bouge en santé connectée avec la mise sur pied d’une formation complète en télémédecine à Lausanne dès janvier / février 2020 pour les médecins et professionnels de la santé. Cette toute première édition est organisée par le Dr Jean-Gabriel Jeannot, médecin spécialiste en médecine interne et actif depuis nombreuses années dans des projets liés à la cyber-santé.

_______________________________

MODALITES  ET CONTENU DE CETTE FORMATION 

Globalement, les participants à cette formation de 8 heures (deux fois 4 heures), qui sera suivie d’un examen, auront l’occasion d’appréhender tous les contours de la télémédecine en combinant théorie et exercices pratiques, notamment avec des cas de simulation.

L’objectif est de maîtriser la particularité de la médecine à distance pour pratiquer de manière sûre et efficace.

Dans ce programme prévus sur deux demi-journées de formation les jeudis 23 janvier et 6 février 2020, j’aurais le grand plaisir d’intervenir au cours d’une session de 2 heures sur les aspects juridiques de la médecine à distance et sur les notions de facturation. Il sera question des différentes formes de télémédecine, notamment de la téléconsultation, et de leurs impacts sur la relation avec le patient.

Nous aborderons entre autres :

  • les différentes formes de télémédecine et la relation contractuelle avec le patient et les tiers ;
  • la responsabilité du médecin (et autres professionnels de la santé) ;
  • le devoir d’information et le recueil du consentement ;
  • l’utilisation des différents moyens de communication modernes (e-mail, Skype, WhatsApp et réseaux sociaux) ;
  • les bonnes pratiques en matière de protection des données et de sécurité au cabinet, en hôpital ou en entreprise ; et
  • comment facturer des prestations en vue de leur remboursement par les caisses maladies.

_______________________________

QUEL EST LE PUBLIC CIBLE ?

Une formation en télémédecine vise plus particulièrement la médecine dite de “premier recours”, médecins généralistes, pédiatres, permanences et services d’urgence, les professionnels de santé et leurs collaborateurs qui pratiquent fréquemment la médecine en répondant de plus en plus par e-mail, par téléphone, voire par d’autres moyens de communication électronique.

Une telle formation reste précieuse également pour les autres médecins, professionnels de la santé, assurances, cadres dirigeants d’entreprises actives dans les technologies de l’information qui souhaiteraient offrir des produits ou des services de la société de l’information avec la gestion de données médicales.

Le programme complet est accessible ici en pdf.

_______________________________

POURQUOI UNE FORMATION EN TÉLÉMÉDECINE ?

La télémédecine est l’exercice de la médecine à distance, notamment par des moyens de communication qu’il soient ordinaires ou via des technologies par Internet. Tout médecin ou professionnel de santé est amené durant l’exercice de sa profession à devoir répondre, par téléphone ou par d’autres moyens, à des demandes de patients, dont les requêtes et préoccupations sont de diverses natures. Ces demandes peuvent émaner de patients connus ou non, peuvent être ou ne pas être urgentes, sont de nature physique ou psychologique, peuvent concerner le patient lui-même ou un tiers (enfant, proche parent, conjoint ou personne incapable de discernement) et peuvent nécessiter un examen physique ou une redirection vers un spécialiste ou confrère.

A l’heure où les coûts de la santé sont lourds pour la plupart des patients, où les technologies sont aisément accessibles, il devient nécessaire pour les praticiens de maîtriser les enjeux des technologies et d’assurer la poursuivre des consultations médicales en connaissance de cause.

_______________________________

LA TÉLÉMÉDECINE , UNE DISCIPLINE AUTONOME ? 

Oui et non.

Bien que tous les médecins fassent déjà de la télémédecine sans le savoir, la télémédecine n’est pas une médecine autonome qui viserait à remplacer la médecine traditionnelle. L’exercice de la médecine à distance est un outil complémentaire indispensable aux professionnels de la santé qui doivent faire face aux différents besoins.

Il peut s’agir d’atteindre une population dans des zones moins desservies, pallier les longues listes d’attente, une potentielle pénurie de certains médecins (généralistes, pédiatres, etc.), une envie des patients d’obtenir des réponses de qualité sans devoir attendre 3 mois avant un premier rendez-vous, les contraintes du marché du travail avec deux parents qui travaillent et qui ne peuvent pas toujours quitter leur travail pour aller chez le médecin pour eux ou leurs enfants, voire diversifier les services médicaux dans des modèles économiques de structures médicales en plein changement (cabinet de groupe, travail à temps partiel, travail à domicile).

Il subsiste que tout praticien peut ne pas être à même à, ou à l’aise de, pratiquer la médecine sans voir, ausculter, examiner ou poser des questions au patient entre présents. Pratiquer la télémédecine implique dès lors des compétences spécifiques nécessaires pour tenir compte de l’absence du patient et d’autres paramètres tels que ceux liés au déplacement du patient jusqu’au cabinet, son comportement, son aspect physique, etc.

_____

Il reste encore des places disponibles pour cette formation, à laquelle vous pouvez vous inscrire en suivant ce lien. Au plaisir de vous voir nombreux !

Pour les inscriptions ou pour toutes questions, écrivez à Jean Gabriel Jeannot : jeannot@medplus.ch

RGPD: British Airways écoperait de £183 mio d’amende pour vol de données de cartes de crédit de 500’000 clients

Il ne fait pas bon être en violation du RGPD en Angleterre.

Le 8 juillet 2019, l’autorité de protection des données anglaise (Information Commissioner’s Office, ‘ICO’) vient d’adresser une note d’intention (‘notice of intent‘) pour sanctionner la compagnie d’aviation British Airways d’une amende – aujourd’hui record – de 183,39 millions de livres sterling (EUR 213,69 mio, CHF 232.68 mio ou USD 238.57 mio). Cette amende, si elle est confirmée, fait suite à une longue investigation en matière de protection des données liée à un vol de données de 500’000 de ses clients relatif aux données de compte, de réservations de voyages et des données de cartes de crédit. Cet incident a été notifié à l’autorité anglaise de protection des données (APD) en septembre 2018, soit sous l’égide du nouveau Règlement Général sur la Protection des Données (‘RGPD’).

Cet incident a fait couler beaucoup d’encre et fait l’objet de nombreux articles de presse pour conseiller et orienter les clients vers les bonnes pratiques à entreprendre pour limiter les risques liés à ce vol.

Edit. Le jour suivant, 9 juillet 2019, l’ICO UK a également adressé une note d’intention similaire pour sanctionner Marriott International avec une amende de £99,2 mio pour un incident compromettant des données personnelles liées à  339 millions de comptes clients dans 31 pays différents.  Après l’acquisition du Starwood hotels group en 2016, Marriott aurait découvert une faille de sécurité compromettant les données personnelles. Le problème est que la faille de sécurité datait de 2014, ce qui implique que Marriott a mis plus de 4 ans avant de s’en rendre compte. L’autorité anglaise a insisté sur la nécessité de considérer la conformité en matière de protection des données lors de fusions & acquisitions. Se posent de nombreuses questions, en particulier au niveau de la due diligence, des clauses de garanties (comment garantir une conformité alors qu’aucune  certification complète n’existe à ce jour) et du prix de vente. Nous reviendrons sur ce sujet essentiel dans un prochain post de blog.

________________________________

RAPPEL DE L’INCIDENT ET DONNÉES CONCERNÉES

En septembre 2018, la presse relatait l’inquiétante fuite de données liées à un vol effectué par détournement des utilisateurs de British Airways vers un site de phishing (faux site aux apparences identiques à un site officiel mis en place dans le but de voler des données personnelles ou importantes et permettant de commettre des infractions). La manœuvre opérée lors de ce cyber-incident  a consisté à détourner le site officiel de British Airways vers une fausse adresse Internet permettant aux hackers de collecter des identifiants de compte de clients pour ainsi dérober des données de cartes de crédit.

Le vol de données s’était produit pendant une période relativement longue, soit entre le 21 août et le 5 septembre 2018 concernant  380’000 transactions. Le patron de la compagnie d’aviation s’était même excusé publiquement de cet incident. Une des problématiques de cet incident est la tardiveté de l’annonce par British Airways ainsi que la (relative) longue durée au cours de laquelle la fuite s’est déroulée, soit pendant près de 2 semaines (16 jours).

Sur son site internet, British Airways avait annoncé la faille aux autorités, mais également à tous ses clients, pour permettre aux clients de savoir quelles démarches entreprendre pour limiter les risques pour ceux dont les données ont été compromises. Ces actions correspondent aux obligations d’une part, d’informer l’autorité de contrôle dans les 72 heures suivant la connaissance de l’incident (art. 33 al. 1 RGPD), d’autre part, d’informer les personnes concernées sans délai lorsque “la violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique” (art. 34 al. 1 RGPD).

Au cours de son investigation, l’autorité anglaise a conclu au vol de données clients suivantes:

  • coordonnées clients, dont les noms et prénoms et identifiants pour se connecter à leurs compte
  • informations de cartes de paiements, dont le numéro de carte (crédit) incluant le code de contrôle CVV à 3 chiffres
  • informations sur les réservations faites par les utilisateurs

et que ce vol avait été le résultat de l’utilisation, par British Airways, de lacunes et mauvaises pratiques en matière de sécurité mises en place pour protéger les données d’utilisateurs via son site internet et son App mobile.

________________________________

COMMUNIQUÉ DE LA COMMISSAIRE A LA PROTECTION DES DONNÉES

Dans son communiqué de ce jour, Elizabeth Denham, la Commissaire à la protection des données en Angleterre, a clairement prévenu les responsables du traitement :

“Les données personnelles des individus ont cette caractéristique – elles sont personnelles. Lorsqu’une organisation manque de les protéger contre une perte, un dommage ou un vol, ce n’est pas uniquement gênant. C’est pourquoi la loi est claire – lorsque l’on vous confie des données personnelles, vous devez les traiter avec soins. Ceux qui ne le font pas, feront l’objet d’un examen approfondi de mon cabinet pour s’assurer que toutes les mesures appropriées ont été entreprises pour protéger les droits fondamentaux au respect de la vie privée.”

Cette communication est claire sur la manière d’appréhender les pratiques en matière de sécurité des données, obligation qui peut faire l’objet d’une amende allant jusqu’à 2% du chiffre d’affaire annuel pour violation de l’article 32 RGPD. De plus, il est possible que cette amende soit combinée avec la violation du principe fondamental de sécurité, dont la sanction financière peut se monter à 4% du CA annuel (art. 5 lit. f RGPD). Une combinaison de la violation de ces principes est possible pour calculer le montant de l’amende, tout comme la manière de collaborer, les mesures mises en place par le responsable du traitement des données parmi d’autres paramètres. Avec cet incident, British Airways a probablement également violé d’autres dispositions du RGPD, ce qui sera intéressant de lire lors de la décision finale de l’autorité de contrôle anglaise, notamment pour le calcul de l’amende.

________________________________

UNE NOTE D’INTENTION A CONFIRMER ET ELEMENTS DE PROCEDURE

S’il ne s’agit encore que d’une proposition de sanction, qui à ce jour n’est pas encore entrée en force. Toutefois, l’intention de la Commissaire est plutôt ferme et sera très vraisemblablement confirmée prochainement lorsque British Airways aura eu l’occasion de fournir ses contre-arguments et d’indiquer sa position sur ce dossier.

Selon la politique de l’ICO (voir p. 23), l’autorité adresse d’abord une note d’intention (Notice of Intent – ‘NOI’) avant d’émettre sa sanction finale sujette à appel. Dans un délai d’un minimum 21 jours, des auditions, explications et preuves de conformité ainsi que des contre-arguments pourrait être soumis à l’autorité avant que le montant final soit décidé. Cette procédure peut durant encore plusieurs mois avant que tombe la décision finale. L’ICO adressera alors sa “monetary penalty notice” (MPN) ouvrant alors le droit au responsable du traitement de déposer sous 28 jours un appel devant le tribunal de première instance anglais.

Cette proposition d’amende est le résultat d’une concertation entre plusieurs autorités européenne de protection des données, l’ICO agissant comme autorité de contrôle “chef de file” (mieux nommée “lead supervisory authority” en anglais) selon l’article 56 RGPD et selon le mécanisme de “One-Stop-Shop” qui consiste à ce qu’une seule autorité puisse traiter du dossier même lorsque d’autres peuvent être compétentes. Ce mécanisme trouve son utilité lorsque des individus sont affectés dans plusieurs pays donnant à plusieurs autorités la compétence de se saisir de l’affaire et s’applique uniquement en cas de traitement transfrontalier de données personnelles (art. 56 al. 1 RGPD). Cette décision n’interviendra qu’après avoir entendu les arguments de BA et consulté les autres autorités de protection des données compétentes selon le lieu de résidence des personnes affectées par l’incident.

________________________________

SANCTION PROCHE DU MAXIMUM ET CRITÈRES UTILISÉS

Avec cette sanction financière, l’ICO UK est la première autorité de contrôle à infliger une amende sous le RGPD pour violation du principe de sécurité des données, sanction qui est tombée malgré la notification de cette incident à l’autorité de contrôle et l’information aux personnes concernées. A noter l’absence de preuve d’infractions ou crimes commis avec les données volées. Ceci démontre que la sanction peut survenir même en l’absence de résultat concret pour les individus (similaire à une responsabilité causale, sauf qu’il s’agit d’une sanction administrative).

Si l’on considère que l’amende équivaut à 1,5% du chiffre d’affaire annuel de groupe British Airways, le maximum étant 2% selon l’article 83 al. 4 let. a RGPD, l’autorité de contrôle s’est rapprochée du montant maximal possible selon le RGPD pour ce type de violation, soit 75% du maximum. En cas de combinaison avec d’autres violation, l’ICO pourrait appliquer conjointement des critères selon la violation des principes fondamentaux (art. 83 al. 5 RGPD) selon le maximum de 4% du CA annuel du groupe.

Selon l’article 83 al. 2 let. (a) à (k), pour décider d’infliger une sanction (pécuniaire ou une autre mesure coercitive), une APD se fonde notamment sur (a) la nature, la gravité et la durée des manquements; (b) les catégories de données en cause; et (c) le caractère effectif, proportionné et dissuasif de la sanction.

La décision finale apportera plus de précision sur l’étendue de la sanction et le mode de calcul. British Airways dispose d’un délai de 28 jours pour faire appel contre cette note d’intention, ce que la compagnie a déjà annoncé vouloir faire pour se défendre cette décision considérée comme décevante vu les “efforts” consentis pour limiter les risques et les techniques “complexes” utilisées par les hackers.

________________________________

A QUAND UNE PRISE DE CONSCIENCE AU NIVEAU SUISSE ?

J’en parlais dans mon article sur les données de 800’000 clients de Swisscom volées. En droit Suisse, il n’existe à ce jour aucune disposition dans la loi fédérale sur la protection des données permettant au Préposé fédéral à la Protection des Données et à la Transparence de sanctionner directement un responsable de traitement. Seules des recommandations non-contraignantes sont possibles. La seule manière est d’utiliser la voie pénale qui prévoit une sanction maximale de CHF 10’000.- maximum (art. 34 et 35 LPD). Ces dispositions sont extrêmement limitées, car essentiellement liées à la violation du principe de transparence et n’incite aucun individu à ouvrir en procès pénal.

De plus, l’état actuel du texte révisé de la LPD (P-LPD, à lire dès la page 6815), prévoit certes une obligation d’informer le Préposé en cas d’incident dans les meilleurs délais (art. 22 P-LPD), mais sans qu’aucune sanction ne puisse être infligée au responsable du traitement en cas de violation de l’obligation d’annoncer une telle violation des données (art. 54 ss a contrario). Rappelons que le projet révisé ne prévoit qu’une sanction pénale au maximum de CHF 250’000.-, en cas d’intention ou d’omission, qui rendrait une personne physique pénalement responsable à la place de l’organisation responsable du traitement.

Vu les progrès effectués au niveau européen, mais également dans le monde (Brésil, Thaïlande, Corée du Sud, CCPA, etc.) pour permettre un meilleur contrôle des individus sur leurs données, l’approche et le timide positionnement suisse est totalement incompréhensible et absurde d’un point de vue économique. Au contraire, l’absence de (1) pouvoirs coercitifs du Préposé, (2) sanction administrative (sanctions pénales uniquement) et (3) sanction en cas de violation de notification des incidents, ne démontre pas un soucis de protéger de manière adéquate les citoyens suisses contre la mauvaise utilisation de leurs données personnelles, même avec un texte déjà très proche du RGPD (il faut tout de même le relever).

La Suisse semble se tromper de cible en voulant pénaliser l’individu et en même temps les personnes dont les données sont traitées si les règles ne sont pas assez protectrices. Il paraît grand temps que la Suisse, et ses politiques, prenne au sérieux les enjeux de la protection des données en s’alignant de manière plus complète sur les règles européennes sans pénaliser les personnes physiques.

Si la Suisse doit perdre sa décision d’adéquation, et devenir un pays tiers à l’Europe, comme pays n’ayant plus un niveau de protection adéquat pour le traitement des données personnelles, l’économie suisse devra en payer le prix fort.

A vos plumes et votre courage parlementaires !

________________________________

CONCLUSION ET RECOMMANDATIONS

Il paraît important de considérer au moins quelques points essentiels suite à cette décision, lorsque votre organisation est soumise au RGPD :

  1. Notifier ne suffit pas. Respecter la notification d’un incident en matière de protection des données, soit d’informer l’autorité dans les 72 heures, ne vous exempte pas de responsabilité. De plus, une amende peut être infligée même en l’absence de dommage concret pour les personnes concernées.
  2. Mesures de sécurité selon le risque. Il est essentiel de mettre en place des mesures de sécurité appropriées et robustes, considérant au cas par cas, le niveau de risque lié aux données personnelles traitées par votre organisation en qualité de responsable du traitement, le cas échéant par vos sous-traitants.
  3.  Contrats béton avec vos fournisseurs. Assurez-vous de choisir avec diligence vos partenaires contractuels et d’avoir les bons contrats en place avec vos fournisseurs, incluant notamment les exigences du RGPD et des exigences en matière de sécurité selon les standards pratiqués dans l’industrie.
  4.  Pratiquez des audits. Si vous n’êtes pas sûrs de vos pratiques en matière de sécurité, ou de celles de vos sous-traitants, pratiquez des audits ou demandez à vos sous-traitants des certificats d’audit, requerrez des preuves de conformité selon vos exigences en qualité de responsables de traitement.
  5.  Former vos employés. Vos employés, collaborateurs, éventuellement vos fournisseurs, doivent être formés à vos pratiques en matière de sécurité.
  6.  Se préparer aux incidents. Il est primordial de se préparer à des incidents en matière de protection des données. Préparez les ressources nécessaires et désignez les personnes responsables à l’interne ou à l’externe pour gérer un incident (compliance, légal, relations publiques, équipes sécurité, etc.). Munissez-vous d’une stratégie et d’un plan de réponse en cas d’incident pour limiter les risques. Vous pouvez effectuer des fausses alertes incidents et devez former vos employés.
  7. Limiter les dommages. Prenez toutes les mesures pour garantir un retour à la normale en modifiant vos pratiques de sécurité. En cas d’incident, le plus gros dommage ne sera probablement pas l’amende, mais les efforts, coûts, ressources et investissements requis pour faire face à l’incident, procéder aux diagnostics, mettre en place les correctifs pour que l’incident de se répète pas. Eventuellement, les pertes de clients.
  8. Suisse + pas de RGPD = pas de sanction. Pour les organisations suisses non-soumises au RGPD, une affaire de ce type n’aurait abouti à … rien!

A méditer !

—

Gabriel Avigdor, avocat, CIPP/E

www.ntic.ch | datalex.ch | penalex.ch

RGPD: un hôpital portugais écope de €400’000 d’amende

Le Portugal inaugure les amendes sous le RGPD par une sanction de €400’000 contre un hôpital pour trois infractions au RGPD. Cet article est l’occasion de rappeler quelques affaires récentes en matière de protection des données datant d’avant le 25 mai 2018 , ainsi que la situation des hôpitaux en Suisse.

_____________________

MAUVAISE GESTION DES ACCÈS AUX BASES DE DONNÉES PATIENTS

Selon le site CIO-online, l’établissement hospitalier “Hospitalar Barreiro-Montijo” au Portugal écope de 3 amendes pour violation du RGPD:

  1. Violation des principes d’intégrité et de confidentialité des données : € 150 000.- ;
  2. Violation du principe de limitation d’accès aux données : € 150 000.- ; et
  3. Incapacité pour le responsable du traitement des données à garantir l’intégrité des données. € 100’000.-

L’autorité de contrôle de protection des données portugaise, la CNPD (Commission nationale pour la protection des données) a constaté que plusieurs membres du personnel administratif de l’hôpital avaient des accès réservés aux médecins au travers de faux profils! En parallèle, 985 médecins avaient des habilitations pour accéder au dossier médical des patients, alors que l’établissement ne comprend que 296 médecins. De plus, du personnel non-médecin avait accès aux dossiers patients.

Cette affaire fait suite à enquête menée par la CNPD sur dénonciation d’une association de médecins au mois de juin 2018. Référence de cette décision dans un article local et ici (en portugais).

_____________________

RAPPEL : LES DECISIONS RENDUES APRÈS LE 25 MAI 2018, NE SONT PAS TOUTES ANALYSÉES SELON LE RGPD

Alors que plusieurs décisions sont tombées en Europe depuis  le 25 mai 2018, elles concernaient, pour la grande majorité des cas, des faits antérieurs à l’application du Règlement (UE) 2016/679 (RGPD).

Le Règlement Général sur la Protection des Données (en anglais “GDPR“) s’applique partout dans le monde. En particulier, il s’applique aux traitements de données opérés sur les données de personnes situées dans l’UE. La citoyenneté n’a, à cet égard, aucune pertinence pour connaître du champs d’application territorial du Règlement, c’est-à-dire où il s’applique.

Le RGPD n’étant applicable que depuis le 25 mai 2018, le principe de non rétroactivité implique que toutes les enquêtes ou faits antérieurs sont réglés selon l’ancien droit. Il n’est donc pas possible d’infliger des amendes calculées les fameux 2% -€10M / 4% – €20M, mais uniquement selon les législations nationales des 28 pays de l’UE. Dans ce cas, ce sera la Directive UE 95/46/CE sur le traitement des données personnelles qui s’appliquera, tout comme les lois nationales de chaque pays de l’UE. La portée extra-territoriale du RGPD n’était, avant mai 2018, pas encore applicable.

Attention. On lit de nombreux articles sur Internet mentionnant des amendes infligées en 2018, et faussement rendues “sous le RGPD”. Vérifiez bien que les faits soient postérieurs au 25 mai 2018 avant de parler de sanctions sous le RGPD !

_____________________

DEUX DECISIONS IMPORTANTES RENDUES APRÈS LE 25 MAI, MAIS PAS SOUS LE RGPD

A titre d’exemples, voici deux décisions importantes rendues après le 25 mai 2018 sous la Directive 95/46/CE auxquelles je compare le montant des amendes sous l’ancien et le nouveau droit. Il ne s’agit ici que d’une estimation fondée sur deux législations différentes et dont le montant est extrapolé. Ces chiffres ne sont fournis qu’à titre indicatif.

Affaire Equifax

Le 20 septembre 2018, c’est le scandale des données de cartes de crédit volées à Equifax Inc. lors d’une cyber attaque. L’attaque visait les USA, mais près de 15 millions de données de citoyens britanniques furent volées. Le Bureau du Commissaire pour l’Information au Royaume-Uni (Information Commission Office “ICO”) a rendu une décision sanctionnant Equifax Ltd à l’amende la plus lourde, soit £500’000.-, selon la loi britannique sur la protection des données. Cette décision intervenue en septembre 2018, concernait des faits datant de 2017.

Dans cette affaire, il était question des manquements d’Equifax à ses obligations de mettre en place des mesures organisationnelles et techniques pour empêcher les accès indus (équivalent de l’art. 32 RGPD) aux données de ses clients, en particulier vu le caractère sensible des données de cartes de crédit. De plus, l’ICO a considéré que la durée de conservation (principe fondamental de la protection des données) des données de ses clients avait dépassé ce qui était nécessaire, ce qui a contribué à exposer plus de données à la cyberattaque.

Sous le RGPD, une infraction à l’article 32 (obligation de mettre en place des mesures organisationnelles et techniques appropriées pour protéger les données) peut conduire à une amende allant jusqu’à une amende de 2% du chiffre annuel mondial du groupe (art. 83 al. 4 let. a RGPD). Il en va de même pour le montant de l’amende en cas de non-respect de l’obligation de traiter les données selon le principe de protection des données dès la conception (Privacy-by-Design) et par défaut (Privacy-by-default). Ce dernier principe, inclut la notion de durée de conservation, soit l’obligation de ne conserver que les données personnelles “qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées” (art. 25 al. 2 RGPD). Ainsi, et pour autant que l’ICO eût utilisé les mêmes critères et arrivé à la même évaluation sous la Directive 95/46 que sous le RGPD, l’amende aurait pu avoisiner les quelques £20.87 millions, contre  £500,000 sous l’ancien droit.

Affaire Cambridge Analytica

Le 24 octobre 2018, Facebook Ireland Ltd a aussi été condamnée à la plus lourde amende possible selon le droit anglais par l’ICO britannique. Cette décision bien qu’intervenue en octobre 2018, concernait des faits antérieurs au 25 mai 2018.

Dans cette décision, Facebook a reçu une amende de £500’000.- pour avoir négligé la sécurité des données de ses utilisateurs. Dans ce scandale, l’entreprise Cambridge Analytica avait trompé les utilisateurs de Facebook en collectant des données de sondage pour analyser le comportement d’utilisateurs et influencer leurs intentions de vote pour les élections aux Etats-Unis lors de la campagne de Donald Trump. Il est par ailleurs probable que de pareilles méthodes aient été utilisées lors de précédentes campagnes aux USA, y compris pour l’élection de Barack Obama.

Facebook avait ainsi omis de protéger ses utilisateurs en ne mettant pas en place les mesures de sécurité appropriées. Cambridge Analitica, par ses sondages, avait pu obtenir un accès au profil des utilisateurs, mais également aux profils des “amis Facebook” des personnes participant au sondage, alors que ces personnes ne le savaient pas et n’avaient pas pu consentir ni être informées de cela.

Si la sanction avait été rendue sous le RGPD, et pour autant que les mêmes critères d’application eussent été utilisés, l’amende maximale de 4% aurait été d’une autre envergure. En effet, si l’on prend le chiffre d’affaire annuel net du groupe Facebook en 2017 (2018 pas encore connu), soit hors impôts, et en comparant le taux de change au 31 décembre 2017 entre EUR et GBP, l’amende aurait pu se monter à quelques £471,64 millions. Cela constituerait une hausse de +943% par rapport à l’amende rendue par l’ICO au Royaume-Uni.

_____________________

LA PREMIERE DECISION SOUS LE RGPD ?

Le 29 mai 2018, une décision importante allemande ICANN vs EPAG, traitait du cas des “données Whois”, soit les données personnelles des détenteurs de noms de domaines, données collectées et rendues publiquement accessibles. La société “Registrar EPAG Domainservices GmbH”, une société allemande accreditée par l’ICANN pour les enregistrements des noms de domaine (Registrars) était en litige contre l’ICANN. Dans cette affaire, il était question de savoir si les données de contact lors de l’enregistrement des noms de domaines (Admin-C et Technical-C) devaient être nécessairement collectées.

Au regard de l’art 5 (1) let. c) RGPD, la court allemande a considéré qu’il n’était pas obligatoire de collecter ces données. L’EPAG n’avait donc aucune obligation de collecter ces données et que personne ne pouvait le lui imposer.

La conséquence de cette décision est assez importante. De nombreux fournisseurs en ligne ont offert pendant des années de payer pour ne pas apparaître comme détenteur du site web, et ce afin de rester anonyme (service “whoisguard” par exemple). Vu qu’il n’y a aucune obligation de collecter ces données, les services payants n’auraient aujourd’hui plus de raison d’être, rendant ce service désuet, voir illégal. On voit maintenant des agences offrir “gratuitement” le service d’anonymisation des données de contact du détenteur d’un site à leurs clients. Certaines agences en font même un argument marketing, alors que les données n’ont plus à être publiées.

_____________________

QU’EN EST-IL DES HÔPITAUX SUISSES ?

La très vaste majorité des hôpitaux publics et cliniques privées suisses ne sont pas soumis au RGPD. Pourquoi ?

Pour la simple et bonne raison que ces établissements ne sont pas situés dans l’Union européenne. A cela s’ajoute qu’ils  n’offrent pas de biens et de services à des personnes situées dans l’UE. Ils ne surveillent pas non plus le comportement de personnes situées dans l’UE.

Mais attention, ce n’est pas parce que les amendes européennes ne peuvent pas toucher les établissements hospitaliers suisses que les risques n’existent pas. Au contraire.

Comme je l’écrivais dans mon article sur les données de 800’000 clients volées à Swisscom, l’absence de législation sérieuse sur la protection des données (avec des sanctions ayant un effet préventif et dissuasif) n’encourage pas les responsables de traitement à protéger les données des citoyens et des patients suisses. De nombreux cas récents ont démontrés que les hôpitaux sont devenus une cible de choix pour les cyber attaques, notamment pour la valeur des données de santé et par le fait que les mesures de sécurité adéquates coûtent chers et prennent du temps à mettre en place.

On peut voir dans ce rapport en anglais que les données médicales permettent d’accéder à de nombreuses informations pour des utilisations frauduleuses diverses:

  • Document de l’American Hospital Association sur les attaques des hôpitaux
  • Anthem – record historique de vol de données concernant plus de 80 millions de patients et employés

Les demandes de ranson (ransomware) sont devenues monnaie courante, et les erreurs humaines sont la plus grande cause des failles de sécurité. Dans un environnement avec tant de passages, de changement de personnel, avec des activités 24h/24h, les accès aux données patients et données confidentielles requièrent un contrôle strict au niveau des accès et des formations constantes des collaborateurs à tous les niveaux hiérarchiques. Il n’est d’ailleurs pas étonnant que de nombreux hôpitaux fassent l’objet d’enquêtes et de sanctions par les autorités de protection des données.

Et le droit suisse dans tout cela ?

Le projet de révision de la LPD, qui reste toujours en suspens au Parlement fédéral, sera tôt ou tard finalisé et entrera en vigueur avec un très large alignement au RGPD. Les amendes seront plus lourdes qu’aujourd’hui, même si elles resteront modérées (CHF 250’000 demain VS CHF 10’000 aujourd’hui), les incidents devront être notifiés, des études d’impact devront être menées pour les traitements à risque, les traitements devront être documentés de manière précises, les exigences relatives au consentement seront ré-haussées, etc.

Il reste donc essentiel pour les hôpitaux suisses, comme pour toutes les entreprises suisses, de se préparer à la révision de la LPD en tirant enseignement de ce qu’il se passe en Europe.

—

Par Gabriel Avigdor | NTIC.ch

Nous conseillons les entreprises en protection des données (RGPD et droit suisse), en matière de technologies et santé connectée en Suisse et sur le plan international. Pour plus d’informations, contactez-moi ou visitez datalex.ch.

Conférence sur la télémédecine

Le 4 octobre 2018, j’ai eu l’immense plaisir d’être invité par Planète santé pour intervenir aux assises de la médecine romande sur le thème de la télémédecine. Ma conférence traitait en particulier du thème suivant :

Télémédecine : quel cadre juridique pour le médecin ?

Le forum Planète Santé 2018, regroupait de nombreuses conférences, dont une partie destinée uniquement aux professionnels de la santé. La conférence s’inscrivait dans le thème de colloques pratiques, dont l’un consacré à la ‘digitalisation de la profession médicale‘ avec d’autres présentations de professionnels de la santé et d’experts sur la thématique du numérique dans la santé.

Ainsi, j’ai eu le plaisir d’intervenir aux côtés du Dr Jean-Gabriel Jeannot, médecin spécialiste en médecine interne. Le Dr Jeannot est le créateur de nombreux sites en lien avec la santé numérique, comme ses plates-formes Medicalinfo, Medplus.ch, cabinetmedical.ch. Il est aussi connus pour les articles de son blog sur Le Temps en ligne. Son intervention traitait des aspects pratiques de la télémédecine pour les médecins, alors que j’abordais les enjeux juridiques en deuxième partie.

Son article sur la télémédecine regroupe d’ailleurs de nombreuses informations et lien avec ce sujet.

L’objet de mon intervention était de sensibiliser les professionnels de la santé aux enjeux juridiques, parfois méconnus, de la télémédecine, tout en offrant quelques recommandations pratiques.

_____________________

QUESTIONS QUE POSENT LA TÉLÉMÉDECINE

La télémédecine est vaste sujet.

Des lignes directrices sur les aspects médicaux, juridiques et éthiques ont été émises par diverses organisations de professionnels, comme aux Etat-Unis avec l’ATA (American Telemedicine Association) et en Europe avec le CPME (Comité Permanent des Médecins Européens) et permettent un premier regard par les professionnels de la santé sur les bonnes pratiques. Mais ces lignes directrices ne sont que le premier pas tout projet de médecine à distance, projet qui peut s’avérer très simple (consultation par téléphone) ou extrêmement complexe. Le domaine de la santé est particulièrement réglementé, et les aspects transnationaux, contractuels, de protection des données de santé et de responsabilité du médecin peuvent s’y ajouter.

Lors de mon intervention, j’ai abordé plusieurs points que l’on peut résumer comme suit :

(1) Actes de télémédecine

Le premier volet a été de présenter les divers actes de télémédecine pratiqués aujourd’hui par les professionnels de la santé et de déterminer quels contrats, enjeux et risques l’on peut identifier pour chacun des différents cas. On distingue quelques principaux actes de télémédecine :

  • téléconsultations, pour les consultations à distance ;
  • téléexpertise, quand il s’avère nécessaire de requérir l’avis d’un médecin expert à distance ;
  • téléassistance, pour les cas où un médecin ne peut pas être sur le lieu de l’examen clinique (pour des questions de distance ou d’urgence) et qu’un tiers non médecin assiste le patient sur place; et de
  • télésurveillance, par exemple dans les cas de biomonitoring des fonctions vitales lorsque le suivi ne requiert pas qu’un médecin ou un professionnel de la santé ne se rende sur place.

(2) Cadre juridique pour le médecin

Le deuxième volet de ma présentation consistait à traiter des divers enjeux juridiques en Suisse pour les médecins et les professionnels de la santé et dans le but de répondre aux questions suivantes :

  • un régime juridique particulier s’applique-t-il ?
  • qui peut pratiquer la télémédecine ?
  • comment gérer la protection des données médicales ?
  • télémédecine et responsabilité : quelle étendue et réduire les risques ?
  • comment les prestations de télémédecine sont-elles remboursées par les caisses maladie ?

(3) Recommandations

En troisième volet, j’ai dressé quelques recommandations pratiques destinées principalement aux professionnels de la santé, mais applicables aux assureurs et aux acteurs de l’innovation (start-ups et hôpitaux).

_____________________

LA MÉDECINE A DISTANCE N’EST PAS NOUVELLE. ELLE EST D’AILLEURS EN CROISSANCE

La télémédecine est pratiquée depuis de nombreuses années par les médecins, même s’ils l’on ne s’en rend pas toujours compte. Le système des centrales téléphoniques et des médecins de garde en est l’exemple.

Les premiers actes de télémédecine remontent même au début du XXe siècle avec des essais de consultations à distance par téléphone, plus tard des vidéo-consultations dans le domaine de la psychiatrie. Enfin, 4 jours avant le 11 septembre 2001, c’est l’opération chirurgicale à distance “Lindberg” qui est une réussite, démontrant que la technologie peut apporter des solutions concluantes à distance dans un domaine aussi pointu.

Aujourd’hui, des centres de télémédecine ont vu le jour en Suisse depuis un peu plus de 15 ans, basé sur un modèle d’assureurs pour des solutions comme Medgate et Medi24, principalement pour des actes de téléconsultations. Si d’autres assureurs sont aussi entrés dans la course pour proposer une forme de médecine à distance, on voit d’autres initiatives d’assureurs comme le logiciel myguide de la compagnie d’assurance CSS, service uniquement destiné aux assurés de cette compagnie, mais également des initiatives privées comme “Soignez-moi“. Cette plate-forme de téléconsultations selon un modèle ‘asynchrone‘ proposera de la téléconsultation avec diagnostic et ordonnance à la clef pour CHF 39.-, dans un délai de 60 minutes. En cas de délai plus long, la consultation est gratuite. Une garantie dans l’ère du temps qui incite les médecins de la plate-forme à une certaine performance pour que le modèle économique soit viable.

Du côté des cliniques privées, le Groupe Aevis Victoria est aujourd’hui en forte croissance et s’implique dans la télémédecine avec l’obtention de 40% des participations de MedGate, une augmentation de ses participations dans LifeWatch AG avec une offre publique d’acquisition (OPA) en 2017, spécialiste des outils la médecine à distance et ainsi que l’augmentation de ses participations dans d’autres institutions ou projets dans ce domaine.

_____________________

CONCLUSION

On voit bien que si de pareils investissements sont effectués, c’est que la télémédecine peut devenir un réel complément aux examens cliniques effectués sur place traditionnellement par les médecins et qu’il y a de l’argent à faire. Les médecins restent encore timides pour utiliser la télémédecine, probablement pour des raisons de responsabilité ou de méconnaissance des possibilités de remboursement par les caisses maladies, ainsi que par manque de temps.

Vu les initiatives en cours, mais aussi les contraintes réglementaires, politiques et les réticences de certains professionnels de la santé, ce marché reste plein de potentiel. Il va à mon sens croître lentement ces prochaines années, avant de se démocratiser réellement et occuper une place complémentaire à la pratique de la médecine au cabinet du médecin.

Les patients utilisent les moyens de communications électroniques. Ils n’ont que peu de temps ou le prennent pas pour prendre congé pour un rendez-vous médical et préfèrent se soigner seuls. Pour les familles dont les deux parents travaillent. Pour des patients qui changent fréquemment de médecin ou qui n’en ont pas : la télémédecine a tout pour correspondre à une réelle demande. Encore faut-il que le modèle fasse ses preuves, d’un point de vue de la qualité des soins, économique et de coûts de la santé.

Mais peut-être les cabinets médicaux virtuels ne sont-ils pas si loin d’exister…?

—

Pour aller plus loin :

___________________________________________

Vous entreprenez des projets de télémédecine ? Vous avez des questions juridiques à ce sujet ou souhaitez me rencontrer, vous pouvez prendre rendez-vous directement sur la page santé connectée de notre plate-forme de conseils juridiques datalex.ch.

___________________________________________

Helsana+ et rabais de primes : traitement illégal des données

Dans l’affaire des rabais de primes proposés par Helsana grâce à son App “Helsana+“, le Préposé a émis une recommandation le 27 avril 2018 (text d’origine en allemand) enjoignant l’assurance complémentaire de cesser tout traitement de données permettant aux assurés de base d’obtenir des rabais de primes en adoptant un style de vie sain et sportif. Le Préposé accorde un délai de 30 jours à la société d’assurance complémentaire pour cesser “tout traitement de données visant à calculer et à effectuer des remboursements sous forme pécuniaire pour les clients qui ne disposent que de l’assurance de base auprès d’Helsana“. Les recommandations du Préposé ont une portée limitée puisqu’elle n’ont pas d’effet contraignant. Toutefois, si la recommandation n’est pas suivie dans le délai imparti, l’affaire peut être portée devant le Tribunal administratif fédéral pour obtenir une décision judiciaire, définitive et exécutoire (art. 29 al. 3 et 4 LPD). Helsana a apparemment indiqué vouloir suivre la recommandation du Préposé et cesser le traiter de ces données.

__________________

De quoi parle-t-on exactement avec cette application mobile ?

Lorsqu’on se connecte à Helsana+, l’application demande à l’utilisateur s’il est aussi client de l’assurance de base. Par conséquent, il peut bénéficier jusqu’à CHF 75.- de rabais par année qu’il soit assuré à titre complémentaire ou non. Or selon le Préposé, il n’existe pas de base légale pour traiter ces données liées à l’assurance de base, et le traitement opéré par Helsana Assurances complémentaires SA est illicite. De plus, la loi fédérale sur l’assurance maladie (LAMal) interdit d’accorder des rabais aux assurés de base, ce qui serait contraire au principe d’une assurance sociale ayant pour but de rembourser les assurés sans discrimination, dans notre cas, sans distinguer les bons (personnes en bonne santé) des mauvais risques (personnes malades, avec antécédents ou avec des risques plus élevés que la moyenne, notamment par le style de vie).

Dans son communiqué, le Préposé a précisé ce qui suit:

en s’enregistrant sur l’application Helsana+, les assurés d’Helsana Assurances complémentaires SA donnent leur accord à ce qu’on vérifie qu’ils sont assurés auprès du groupe Helsana pour l’assurance de base. Faute de base légale, la récolte de ces données relatives à l’assurance de base par l’assurance complémentaire et leur traitement subséquent par l’assurance complémentaire sont illégaux du point de vue de la protection des données et le consentement recueilli par l’application n’a aucun effet juridique. Le PFPDT recommande donc à Helsana Assurances complémentaires SA de mettre un terme à ce traitement de données de l’assurance de base. 

Pas de rabais pour les assurés de base grâce à Helsana+. En fin d’année 2017, le Préposé avait mené une enquête suite à la mise sur le marché de l’application mobile d’Helsana qui pousse les assurés à opter pour une meilleur style de vie, sain et sportif. Le système de bonus ou de points “Plus” peuvent être récolté si l’utilisateur renseigne l’assurance d’une activité physique, de mesures de prévention, d’une fidélité ou de son adhésion à un centre de fitness. Ces activités encourageant une meilleure santé, et par conséquent de plus faibles risques de tomber malade, sont ensuite converties en points, que l’assuré peut encaisser en liquide ou auprès de partenaires d’Helsana, soit en avantage pécuniaire.

__________________

 Enjeux juridiques, économiques et sociaux

Les enjeux concernent:

  • d’une part l’interaction entre l’assurance de base et l’assurance complémentaire et la manière avec laquelle une assurance complémentaire peut traiter des données de l’assurance de base ; et
  • d’autre part, l’un des thèmes souvent décrié dans la presse concerne la “sélection des risques“, le fait de privilégier ou récompenser financièrement les personnes qui ont un train, mode et style de vie favorisant une meilleure santé des autres  personnes qui sont ont été, sont ou ont un plus grand risque de tomber malades.

L’assurance-maladie de base (LAMal) est une assurance sociale qui doit rembourser un catalogue de prestations listées par le Conseil fédéral (OPAS) sans distinction entre les individus, toute personne étant égale face à la maladie indépendamment de son mode de vie ou de ses revenus.

L’article 84a LAMal traite du transfert de données dans le cadre de l’assurance-maladie, mais ne prévoit pas la communication de données de l’assurance de base à l’assurance complémentaire, cela même si ces données traitées au sein du même groupe. En l’absence de base légale permettant ce transfert, le consentement recueilli par les utilisateurs pour le traitement de leur données n’est pas valable et le traitement devient par conséquent illicite.

—

Par Gabriel Avigdor | NTIC.ch