ECLI:BE:GBAPD:2025:AVIS.20250409.5

Avis n° 21/2025 du 9 avril 2025 Objet : un projet d’arrêté royal fixant les conditions et les modalités selon lesquelles l'assurance obligatoire soins de santé et indemnités accorde une intervention financière aux sages-femmes pour l'utilisation de la télématique et pour la gestion électronique des dossiers médicaux en 2024 (CO-A-2025-011) Mots-clés : assurance maladie - prime télématique - sages-femmes - portail ProSanté - prévisibilité - minimisation des données Traduction Introduction : L’avis concerne un projet d’arrêté royal qui doit exécuter l’article 36 sexies de la Loi assurance maladie qui charge le Roi de déterminer les conditions et les modalités selon lesquelles une sage-femme peut recevoir une intervention de l’INAMI dans les frais liés à l’utilisation de la télématique et à la gestion électronique des dossiers. L’Autorité ne formule pas d’objection fondamentale mais souligne toutefois l’importance de la prévisibilité des traitements de données allant de pair avec la demande et l’octroi de la prime télématique, notamment au niveau du délai de conservation. Elle rappelle également le principe de minimisation des données. Pour consulter la liste complète des remarques, se référer au dispositif. Le Service d’Autorisation et d’Avis de l’Autorité de protection des données (ci-après "l’Autorité") ; Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données , en particulier les articles 23 et 26 (ci-après "la LCA") ; Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données, ci-après le "RGPD") ; Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (ci-après "la LTD") ; Vu la demande d'avis de Monsieur Frank Vandenbroucke, Ministre des Affaires sociales et de la Santé publique (ci-après "le demandeur"), reçue le 18 février 2025 ; Vu les explications complémentaires concernant le contenu reçues les 28 février 2025 et 27 mars 2025 ; Émet, le 9 avril 2025, l'avis suivant : I. OBJET DE LA DEMANDE D'AVI 1. Le demandeur sollicite l’avis de l’Autorité concernant les articles 6, 2° et 8 d’un projet d’arrêté royal fixant les conditions et les modalités selon lesquelles l'assurance obligatoire soins de santé et indemnités accorde une intervention financière aux sages-femmes pour l'utilisation de la télématique et pour la gestion électronique des dossiers médicaux en 2024 (ci-après "le projet d’arrêté royal"). Contexte 2. L’article 36sexies de la loi relative à l'assurance obligatoire soins de santé et indemnités coordonnée le 14 juillet 1994 (ci-après la "Loi assurance maladie") prévoit notamment que "le Roi détermine les conditions et les modalités selon lesquelles l'assurance obligatoire soins de santé et indemnités accorde une intervention financière aux (dispensateurs de soins) pour l'utilisation de la télématique et pour la gestion électronique des dossiers médicaux. (…)” 3. Le projet d’arrêté royal doit exécuter cet article et détermine les conditions et les modalités selon lesquelles une sage-femme peut recevoir une intervention de l’INAMI dans les frais liés à l’utilisation de la télématique et à la gestion électronique des dossiers comme suit : - les conditions en matière d’activité effective de sage-femme1 à l’article 3 ; - les conditions en matière d'utilisation effective de la télématique et de la gestion électronique des dossiers de la bénéficiaire à l’article 4 ; - le montant de l’intervention à l’article 5 ; - les modalités d’octroi (parmi lesquelles la demande et les traitements de données y afférents) aux articles 6 e.s. 4. Dans la note au Conseil des ministres jointe à la demande d’avis, il est expliqué qu’une telle prime télématique est déjà octroyée aux sages-femmes depuis 2019. Les critères applicables en la matière sont définis annuellement au moyen d’un arrêté royal, après analyse de l’utilisation des services au cours de l’année précédente. La prime constitue un stimulant pour atteindre les objectifs de digitalisation dans différents secteurs 2. 5. Dans son avis 77.382/2 du 6 février 2025, le Conseil d’État fait notamment remarquer que le projet d’arrêté royal (ses articles 6, 2° et 8) concerne(nt) un traitement de données à caractère personnel, ce qui implique qu’en vertu de l’article 36, paragraphe 4 du RGPD, l’Autorité doit être consultée. 6. L'Autorité vérifiera ci-après si et dans quelle mesure le projet d'arrêté royal respecte les principes de protection des données tels qu'ils découlent du RGPD et de la LTD, en particulier. II. EXAMEN DE LA DEMANDE D'AVI 1. Remarque préalable générale concernant les principes de légalité et de prévisibilité 7. L’Autorité rappelle que chaque traitement de données à caractère personnel doit disposer d’une base de licéité, telle que définie à l’article 6, paragraphe 1 du RGPD. Les traitements de données qui sont instaurés par une mesure normative sont presque toujours basés sur l’article 6, paragraphe 1, point c) ou e) du RGPD3. 8. En vertu de l’article 22 de la Constitution4, de l'article 8 de la CEDH et de l’article 6, paragraphe 3 du RGPD, de tels traitements doivent être prévus par une réglementation claire et précise, dont l’application doit être prévisible pour les personnes concernées 5. En d’autres termes, la réglementation qui régit des traitements de données ou dont la mise en œuvre implique des traitements de données doit répondre aux exigences de prévisibilité et de précision, de telle sorte qu’à sa lecture, les personnes concernées puissent comprendre clairement les traitements qui seront faits à l'aide de leurs données et les circonstances dans lesquelles ces traitements sont autorisés. 9. Toutefois, cela ne signifie pas que chaque traitement de données doit être encadré par une norme/disposition spécifique régissant explicitement toutes les questions relatives à la protection des données dans le contexte en question. En effet, dans certains cas, la prévisibilité d’un traitement de données à caractère personnel qui est nécessaire à l’exécution d’une mission d’intérêt public pourra être garantie par la norme qui attribue cette mission au responsable du traitement (pour autant, cela va de soi, qu’elle soit définie et clairement délimitée) et le RGPD (le cas échéant lu en combinaison avec d’autres normes également d’application), en particulier lorsqu’il n’y a pas de risque spécifique pour les droits et libertés des personnes concernées6. 2. Traitements de données auxquels donne lieu la demande/l’obtention de la prime télématique 10. L’article 3 du projet d’arrêté royal précise les conditions en matière d’activité effective de sage-femme pour entrer en ligne de compte pour la prime télématique. Il s’agit en particulier d’ ‘adhérer individuellement à la convention nationale entre les sages-femmes et les organismes assureurs’ d’une part et d’ ‘avoir une activité minimum de prestations de soins remboursées par l’assurance maladie’ d’autre part. 11. L’article 4 du projet d’arrêté royal précise les conditions en matière d'utilisation effective de la télématique et de la gestion électronique des dossiers de la bénéficiaire. Il s’agit en particulier d’un ‘nombre minimal de consultations via MyCareNet 7 de l’assurabilité des patientes’ d’une part et d’un ‘pourcentage minimum de prestations facturées en tiers payant de manière électronique’ (également via MyCareNet) d’autre part. 12. L’article 6 du projet d’arrêté royal stipule que la demande pour l’obtention de l’intervention télématique doit être introduite auprès de l’INAMI et doit comporter les éléments suivants : ‘l’année de la prime’ pour laquelle l’intervention est demandée et ‘le numéro de compte’ sur lequel cette intervention doit être versée. 13. L’article 8 du projet d’arrêté royal ajoute à cela que ‘les données qui permettent de vérifier si la sage-femme atteint le seuil minimum visé à l'article 4, § 2’ seront fournies par le service mentionné dans cet article précité, à savoir MyCareNet. 14. L’Autorité fait tout d’abord remarquer que l’article 4 du projet d’arrêté royal n’a pas de § 2 ; la référence qui y est faite doit dès lors être supprimée. 15. L’Autorité constate ensuite que dans le formulaire de demande d’avis, il est question d’un traitement du numéro INAMI de la sage-femme concernée ; il n’en est toutefois pas fait mention à l’article 6 du projet d’arrêté royal, dont le contenu semble à première vue non pertinent à la lumière de l’appréciation de l’octroi ou non de la prime télématique. 16. Interrogé à ce sujet, le demandeur a notamment précisé ce qui suit : "La demande de prime est introduite via le portail ProSanté qui dispose déjà du numéro INAMI des sages-femmes. La seule ‘nouvelle’ donnée qui est demandée à la sage-femme est son numéro de compte bancaire, si elle ne l’a pas déjà communiqué précédemment à l’INAMI. (…) Une fois introduit, le numéro de compte reste associé au profil ProSanté. Si la sage-femme souhaite adapter ce numéro de compte, elle peut le faire sur la plateforme." [NdT : tous les passages du dossier cités dans le présent document ont été traduits librement par le Service traduction de l’Autorité de protection des données en l’absence de traduction officielle] 17. En ce qui concerne la vérification des conditions en matière d’activité effective de sage-femme (dont il est question à l’article 3 du projet d’arrêté royal), le demandeur précise : " Via les données émanant du profil (la sage-femme a certifié les prestations de l’article 9, a) de la nomenclature). L’INAMI reçoit des OA (organismes assureurs) des données relatives aux prestations enregistrées de tous les prestataires de soins. À partir de ces données, le service spécialisé de l’INAMI collecte les données nécessaires pour cette prime." 18. L’Autorité a également interrogé le demandeur concernant le portail et le profil ProSanté susmentionnés et leur encadrement (réglementaire). À cet égard, le demandeur a notamment répondu ce qui suit : " Pro Santé est donc la mise en place technique et permet aux dispensateurs d’effectuer les formalités liées à l’obtention de la prime. " En la matière, le demandeur renvoie également à la délibération n° 23/178 du Comité de sécurité de l’information8, en particulier à son point 4 qui stipule : " Le SPF Santé publique doit aussi pouvoir maintenir et mettre à jour ProSanté, la plateforme qui résulte de l’exécution de l’obligation des finalités élaborées aux points 2 (concernant le registre des pratiques)9et 3 (concernant la banque de données fédérale des professionnels des soins de santé) 10 et qui est contrôlée de manière conjointe par le SPF Santé publique et l’INAMI." 19. La portée exacte du portail et du profil ProSanté susmentionnés ainsi que leur rapport précis/chevauchement éventuel avec le registre des pratiques et la banque de données fédérale permanente des professionnels des soins de santé susmentionnés ne sont pas clairs, d’autant que ‘ProSanté’ semble manifestement ne pas disposer d’un cadre réglementaire propre et semble donc en tout cas être utilisé de manière facultative 11. 20. Vu ce qui précède (en particulier l’absence de cadre réglementaire) et vu que le projet d’arrêté royal n’en fait pas mention non plus, l’obtention d’une prime télématique ne peut en aucun cas être subordonnée à l’utilisation du portail ProSanté précité ou à l’enregistrement sur ce portail. 21. Indépendamment de ce qui précède et afin de favoriser la lisibilité et la compréhension du projet d’arrêté royal et ainsi la prévisibilité des traitements de données qui doivent être réalisés en conséquence, l’Autorité recommande toutefois : - de compléter l’article 6 du projet d’arrêté royal avec le numéro INAMI de la sage-femme concernée et - de préciser dans le projet d’arrêté royal - par analogie avec ce que précise l’article 8 en matière de vérification de l’utilisation effective de la télématique - que l’INAMI (ré)utilisera les informations dont il dispose concernant ‘l’activité effective de sage-femme’ pour la vérification des conditions applicables en la matière pour l’octroi ou non de la prime télématique. 22. En ce qui concerne les conditions en matière d’utilisation effective de la télématique et de la gestion électronique des dossiers des bénéficiaires, le demandeur explique : " Une fois par an, le Service des soins de santé reçoit des données de la plateforme MyCareNet, permettant de contrôler les seuils (dans ce cas l’assurabilité et la facturation électronique). Ces données sont couplées à l’utilisation effective de modules électroniques proposés par MyCareNet." 23. L’Autorité rappelle ici le principe de ‘minimisation des données’ (article 5.1.c) du RGPD) 12 et souligne que la communication par MyCareNet peut en principe se limiter à une mention ‘ok/go’ vis-à-vis de l’INAMI dès que les seuils prescrits à l’article 4 du projet d’arrêté royal en matière d’utilisation effective de la télématique et de la gestion électronique des dossiers (dont la facturation) sont atteints par la sage-femme en question. L’appréciation de l’octroi ou non de la prime télématique ne nécessite pas systématiquement tous les détails concernant la nature ou le moment de cette utilisation et certainement pas au sujet de la patiente bénéficiaire concernée. - Si vous ne disposez pas d’un numéro INAMI, vous pouvez gérer vos adresses de travail via un module dans lequel vos données sont en grande partie préremplies grâce au croisement de données issues d'autres bases de données (dans le cadre du registre des pratiques). - Si vous disposez d’un numéro INAMI, vous pouvez gérer vos adresses de travail (provisoirement sans données préremplies) et - selon votre profession - gérer également d’autres données (comme les données de conventionnement ou les données financières). Vous pouvez aussi télécharger des documents provenant de l’INAMI et vous avez accès à des services spécifiques (par ex. le service pour introduire les demandes de primes ou pour gérer votre statut social et votre dossier d’accréditation)." (voir : https://www.inami.fgov.be/fr/programmes-web/prosante). 24. L’Autorité constate enfin qu’on ne peut déduire du cadre réglementaire (ni du projet d’arrêté royal lui-même, ni de l’article 36sexies de la Loi assurance maladie que le projet d’arrêté royal doit exécuter) aucune indication claire concernant le délai maximal de conservation des données à caractère personnel qui seront traitées à la lumière de l’octroi de la prime télématique. 25. Le formulaire de demande d’avis précise en la matière que " Les données liées au compte bancaire et au numéro INAMI de la sage-femme restent liées à l’application web de l’INAMI mise à disposition. Les données liées aux seuils déterminés pour la prime sont conservées 60 jours (article 11)." Interrogé complémentairement à ce sujet, le demandeur apporte encore les explications suivantes : "Après contact avec nos services, il apparaît que les dispensateurs ont 60 jours pour contester la décision, mais s’ils contestent, il n’y a pas de délai pour le traitement de la contestation. S’ils ne contestent pas, les données sont conservées pendant plusieurs années. " 26. L’Autorité recommande de remédier à cette lacune et d’au moins indiquer les critères qui permettent de calculer le(s) délai(s) maximal (maximaux) de conservation, de manière à ce que cet élément aussi soit clair et prévisible pour les personnes concernées. PAR CES MOTIFS, l’Autorité, estime qu'au minimum les adaptations suivantes s'imposent en outre dans le projet d’arrêté royal : - à l’article 8, dans la référence à l’article 4, § 2, "§ 2" doit être supprimé (voir le point 14) ; - l’article 6 doit être complété par le numéro INAMI de la sage-femme concernée (voir le point 21) ; - préciser que l’INAMI (ré)utilisera les informations dont il dispose concernant ‘l’activité effective de sage-femme’ pour la vérification des conditions applicables en la matière pour l’octroi ou non de la prime télématique (voir le point 21) ; - indiquer un (des) délai(s) maximal (maximaux) de conservation des données à caractère personnel traitées ou au moins les critères permettant de calculer ce(s) délai(s) (voir le point 26) ; souligne l'importance des éléments suivants : - ne subordonner en aucun cas l’octroi de la prime télématique à l’utilisation du portail ProSanté ou à l’enregistrement sur ce portail (en particulier vu l’absence de cadre réglementaire clair de ce portail) (voir les points 19 et 20) ; - limiter la communication par MyCareNet à une mention ‘ok/go’ dès que les seuils prescrits en matière d’utilisation effective de la télématique et de la gestion électronique des dossiers ont été atteints, et ce en application du principe de minimisation des données (voir le point 23). Pour le Service d’Autorisation et d’Avis, (sé.) Cédrine Morlière, Directrice Document PDF ECLI:BE:GBAPD:2025:AVIS.20250409.5 Publication(s) liée(s) précédé par: ECLI:BE:GBAPD:2025:DEC.20250206.1