Protection des données à la caisse-maladie

Qu’est-ce que la protection des données à la caisse-maladie ?

La protection des données à la caisse-maladie englobe toutes les règles qui déterminent quelles données une caisse peut collecter sur toi, à quelles fins elle peut les utiliser et à qui elle peut les transmettre. Les caisses traitent des informations particulièrement délicates : diagnostics, traitements, médicaments, séjours hospitaliers, mais aussi revenus en lien avec la réduction des primes. Selon la loi sur la protection des données, les données sur la santé sont des données personnelles sensibles.

La distinction entre assurance de base et assurance complémentaire est déterminante :

• Assurance de base (LAMal) : la caisse accomplit une tâche publique de la Confédération. Elle est soumise aux règles de protection des données de la LAMal, à l’obligation de garder le secret du droit des assurances sociales et à la loi sur la protection des données applicable aux organes fédéraux. Elle ne peut traiter que ce dont elle a besoin pour les tâches prévues par la LAMal.
• Assurance complémentaire (LCA) : ici, la caisse agit en tant qu’assureur privé. La loi sur le contrat d’assurance et la loi sur la protection des données applicable aux personnes privées s’appliquent. Avant la conclusion du contrat, la caisse peut poser des questions sur la santé et utiliser tes réponses pour décider de ton admission.

Même si les deux assurances sont gérées par le même groupe de caisses, il s’agit juridiquement de domaines séparés. Les données de l’assurance de base ne peuvent pas simplement passer dans l’assurance complémentaire.

Il ne faut pas confondre la protection des données de la caisse avec le dossier électronique du patient (DEP). Le DEP est un recueil de tes documents de santé. Tu y accordes des droits d’accès aux professionnels de la santé, c’est-à-dire aux médecins, aux hôpitaux ou aux pharmacies (art. 9 LDEP), et non à ta caisse.

Comment ça fonctionne

Quelles données la caisse peut traiter : la LAMal énumère les buts de manière exhaustive, entre autres : contrôler l’obligation de s’assurer, calculer et percevoir les primes, évaluer le droit aux prestations et calculer les prestations, mettre en œuvre la réduction des primes, exercer un droit de recours contre un tiers responsable, établir des statistiques, appliquer la compensation des risques et t’informer de manière ciblée sur des prestations, des modèles d’assurance et des mesures de prévention plus avantageux.

Ce qui figure sur la facture : les médecins, les hôpitaux et les thérapeutes doivent indiquer sur la facture les diagnostics et les procédures sous forme codée. La caisse peut exiger des renseignements médicaux supplémentaires. Tu peux toutefois exiger que les indications médicales ne soient transmises qu’au médecin-conseil de la caisse. Le médecin-conseil est indépendant dans son jugement et ne transmet à l’administration que les indications nécessaires pour décider de la prestation, de la rémunération, de la compensation des risques ou d’une décision formelle.

Qui reçoit encore les données : les collaborateurs de la caisse sont soumis à l’obligation de garder le secret. La LAMal n’autorise la communication qu’à certains services, par exemple à d’autres assurances sociales tenues par la loi, à des services statistiques sous forme anonymisée, aux autorités pénales en cas de crime ou, sur demande écrite et motivée dans le cas d’espèce, aux autorités d’aide sociale, aux tribunaux ou aux offices des poursuites. En cas de primes impayées, la caisse peut informer les autorités d’aide sociale ou les services cantonaux compétents après une sommation restée sans effet.

Tous les autres tiers : les données personnelles ne sont communiquées à d’autres que si tu y as consenti par écrit dans le cas d’espèce ou, si ce n’est pas possible, si la communication peut être présumée dans ton intérêt. Cela vaut aussi pour l’assurance complémentaire du même groupe de caisses.

Sécurité technique : les caisses doivent prendre des mesures de protection techniques et organisationnelles et établir des règlements de traitement. Elles les soumettent au Préposé fédéral à la protection des données et à la transparence (PFPDT), et ces règlements sont accessibles au public.

Base légale

La protection des données dans l’assurance de base repose sur plusieurs lois :

• Art. 84 LAMal : les organes de l’assurance-maladie peuvent traiter des données personnelles, y compris des données sensibles, dans la mesure où ils en ont besoin pour accomplir leurs tâches selon la LAMal ou la LSAMal. Les buts sont énumérés à l’al. 1 let. a à j.
• Art. 84a LAMal : règles exhaustives sur la communication de données aux autorités et à d’autres services. Selon l’al. 5 let. b, des données personnelles ne peuvent être communiquées à d’autres tiers que si la personne concernée y a consenti par écrit dans le cas d’espèce ou si son consentement ne peut être obtenu et que la communication peut être présumée dans son intérêt. Al. 6 : seules les données nécessaires au but en question peuvent être communiquées.
• Art. 84b LAMal : obligation de prendre des mesures techniques et organisationnelles et d’établir des règlements de traitement, soumis au PFPDT et accessibles au public.
• Art. 42 al. 3bis, 4 et 5 LAMal : diagnostics codés sur la facture, renseignements supplémentaires d’ordre médical et droit de la personne assurée de ne faire parvenir les indications médicales qu’au médecin-conseil.
• Art. 57 al. 5 et 7 LAMal : indépendance du médecin-conseil ; transmission à l’administration uniquement dans la mesure nécessaire pour décider de la prestation, de la rémunération, de la compensation des risques ou d’une décision formelle.
• Art. 33 LPGA : obligation de garder le secret pour toutes les personnes qui participent à l’application des assurances sociales.

De la loi sur la protection des données (LPD) s’appliquent en particulier : l’art. 5 let. c ch. 2 LPD (les données sur la santé sont sensibles), l’art. 6 LPD (licéité, proportionnalité, limitation de la finalité, destruction lorsque le but n’existe plus) et l’art. 25 LPD (droit d’accès, gratuit). Selon l’art. 18 OPDo, les renseignements doivent être fournis dans les 30 jours. Dans l’assurance de base, les caisses sont considérées comme des organes fédéraux au sens de l’art. 5 let. i LPD, parce qu’elles sont chargées d’une tâche publique de la Confédération.

Exemple : qui peut savoir quoi ?

Mira, 38 ans, est assurée auprès d’une caisse pour l’assurance de base et l’assurance complémentaire. En 2026, elle suit un traitement ambulatoire, demande une assurance complémentaire d’hospitalisation plus étendue et veut savoir quelles données la caisse détient sur elle.

Qu’est-ce que cela signifie pour toi ?

• Demander des renseignements : envoie à la caisse une demande d’accès écrite. Elle doit répondre dans les 30 jours, gratuitement.
• Exiger le médecin-conseil : pour des diagnostics délicats, tu peux dire à ta médecin que les indications médicales ne doivent être transmises qu’au médecin-conseil.
• Vérifier les consentements : pour les offres et les propositions, ne signe pas de consentement global dont tu ne comprends pas la portée. Tu obtiens l’assurance de base même sans consentement ; la caisse doit t’accepter selon la LAMal.
• Comparer sans divulguer de données : tu compares les primes dans le calculateur de primes sans nom, e-mail ni numéro de téléphone. Notre façon de traiter les données figure dans notre déclaration de protection des données, notre modèle d’affaires sous Transparence.
• Connaître les caisses : tu trouves les chiffres clés des caisses sous Caisses-maladie.

Erreurs fréquentes

• Croire que l’assurance de base et l’assurance complémentaire partagent automatiquement toutes les données. Juridiquement, ce sont des domaines séparés. La communication exige une base légale ou ton consentement.
• Signer des consentements sans les lire. Qui donne un consentement global lors d’une proposition autorise parfois des flux de données étendus.
• Renoncer à une demande d’accès parce qu’elle coûterait. Les renseignements sont en principe gratuits.
• Répondre de manière incomplète aux questions sur la santé. Ce n’est pas de la protection des données, mais une réticence. L’assurance peut alors résilier le contrat.

Nous préparons des informations indépendantes sur les caisses et les primes sans données personnelles ; pour en savoir plus, voir Notre méthode de calcul.