ECLI:BE:GBAPD:2025:AVIS.20250409.4

Avis n° 22/2025 du 9 avril 2025 Objet : un projet d'arrêté royal fixant les conditions et les modalités selon lesquelles l'assurance obligatoire soins de santé et indemnités accorde une intervention financière aux praticiens de l’art dentaire pour l'utilisation de la télématique et pour la gestion électronique des dossiers médicaux en 2024 (CO-A-2025-012) Mots-clés : assurance maladie – prime télématique – praticiens de l’art dentaire – portail ProSanté – prévisibilité – minimisation des données Traduction Introduction : L'avis porte sur un projet d'arrêté royal qui doit exécuter l'article 36 sexies de la Loi assurance maladie qui charge le Roi de déterminer les conditions et les modalités selon lesquelles un (candidat) praticien de l’art dentaire peut obtenir une intervention de l'INAMI dans le coût afférent à l'utilisation de la télématique et à la gestion électronique des dossiers. L'Autorité ne formule pas d'objection fondamentale mais souligne toutefois l'importance de la prévisibilité des traitements de données allant de pair avec la demande et l'octroi de la prime télématique, notamment au niveau du délai de conservation. Elle rappelle également le principe de minimisation des données. Pour consulter la liste complète des commentaires, se référer au dispositif. Le Service d’Autorisation et d’Avis de l’Autorité de protection des données (ci-après "l’Autorité") ; Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données , en particulier les articles 23 et 26 (ci-après la "LCA") ; Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après le "RGPD") ; Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (ci-après la "LTD") ; Vu la demande d'avis de Monsieur Frank Vandenbroucke, Ministre des Affaires sociales et de la Santé publique (ci-après "le demandeur"), reçue le 18 février 2025 ; Vu les explications complémentaires quant au contenu, reçues le 11 mars 2025, le 27 mars 2025 et le 31 mars 2025 ; Émet, le 9 avril 2025, l'avis suivant : I. OBJET DE LA DEMANDE D'AVI 1. Le demandeur sollicite l'avis de l'Autorité concernant les articles 6, 2°, 7, § 2 et 8 d'un projet d'arrêté royal fixant les conditions et les modalités selon lesquelles l'assurance obligatoire soins de santé et indemnités accorde une intervention financière aux praticiens de l’art dentaire pour l'utilisation de la télématique et pour la gestion électronique des dossiers médicaux en 2024 (ci-après "le projet d'arrêté royal"). Contexte 2. L'article 36sexies de loi relative à l'assurance obligatoire soins de santé et indemnités, coordonnée le 14 juillet 1994 (ci-après la "Loi assurance maladie") prévoit notamment que "le Roi détermine les conditions et les modalités selon lesquelles l'assurance obligatoire soins de santé et indemnités accorde une intervention financière aux dispensateurs de soins pour l'utilisation de la télématique et pour la gestion électronique des dossiers médicaux. (…)" 3. Le projet d'arrêté royal doit exécuter cette mesure et fixe les conditions et modalités selon lesquelles un (candidat) praticien de l’art dentaire peut obtenir une intervention de l'INAMI dans le coût afférent à l'utilisation de la télématique et à la gestion électronique des dossiers comme suit : - les conditions en matière d'activité effective de (candidat) praticien de l’art dentaire 1 à l'article 3 ; - les conditions en matière d'utilisation effective de la télématique et de gestion électronique de dossiers médicaux à l'article 4 ; - le montant de l'intervention à l'article 5 ; - les modalités d'octroi (dont la demande et les traitements de données y afférents) aux articles 6 e.s. 4. La note au Conseil des ministres jointe à la demande d'avis explique que depuis 2016, une prime télématique est octroyée aux praticiens de l’art dentaire. Les critères applicables en la matière sont définis annuellement via un arrêté royal, après analyse de l'utilisation des services au cours de l'année précédente. La prime est un stimulant pour atteindre les objectifs de digitalisation dans différents secteurs.2 5. Dans son avis 77.380/2 du 6 février 2025, le Conseil d'État fait notamment remarquer que le projet d'arrêté royal (ses articles 6, 2°, 7, § 2 et 8) concerne(nt) un traitement de données à caractère personnel pour lequel l'Autorité doit être consultée, en vertu de l'article 36, paragraphe 4 du RGPD. 6. L'Autorité vérifiera ci-après si et dans quelle mesure le projet d'arrêté royal respecte les principes de protection des données tels qu'ils découlent du RGPD et de la LTD, en particulier. II. EXAMEN DE LA DEMANDE D'AVI 1. Remarque préalable générale concernant les principes de légalité et de prévisibilité 7. L’Autorité rappelle que chaque traitement de données à caractère personnel doit disposer d’une base de licéité figurant à l’article 6, paragraphe 1 du RGPD. Les traitements de données qui sont instaurés par une mesure normative sont presque toujours basés sur l’article 6, paragraphe 1, point c) ou e) du RGPD3. L'article 2, 2° du projet d'arrêté royal définit le ‘candidat praticien de l’art dentaire’ comme suit : "le praticien de l’art dentaire qui est autorisé à pratiquer l’art dentaire en Belgique et dispose d'un plan de stage approuvé par le Ministre compétent et d'un numéro INAMI réservé au candidat praticiens de l’art dentaire durant tout ou partie de l’année de la prime". 8. En vertu de l’article 22 de la Constitution4, de l'article 8 de la CEDH et de l’article 6, paragraphe 3 du RGPD, de tels traitements doivent être prévus par une réglementation claire et précise, dont l’application doit être prévisible pour les personnes concernées5. En d’autres termes, la réglementation qui régit des traitements de données ou dont la mise en œuvre implique des traitements de données doit répondre aux exigences de prévisibilité et de précision, de telle sorte qu’à sa lecture, les personnes concernées puissent comprendre clairement les traitements qui seront faits à l'aide de leurs données et les circonstances dans lesquelles ces traitements sont autorisés. 9. Toutefois, cela ne signifie pas que chaque traitement de données doit être encadré par une norme/disposition spécifique régissant explicitement toutes les questions relatives à la protection des données dans le contexte en question. Dans certains cas, la prévisibilité d'un traitement de données à caractère personnel nécessaire à l'accomplissement d'une mission d'intérêt public peut en effet être garantie par la norme qui confie cette mission au responsable du traitement (pour autant qu'elle soit bien entendu définie et clairement délimitée), et par le RGPD (le cas échéant lu en combinaison avec d'autres normes qui sont également d'application), en particulier lorsqu'il n'y a pas de risque spécifique pour les droits et libertés des personnes concernées. 6 2. Traitements de données auxquels donne lieu la demande/l'obtention de la prime télématique 10. L'article 3 du projet d'arrêté royal précise les conditions en matière d'activité effective de (candidat) praticien de l’art dentaire pour entrer en considération pour la prime télématique. Il s'agit en particulier d'une part du fait que le (candidat) praticien de l’art dentaire ‘exerce effectivement une activité dans le cadre de la Loi assurance maladie’, et d'autre part d'un nombre minimum de prestations de soins dentaires avec remboursement par l'assurance maladie. 11. L'article 4 du projet d'arrêté royal précise les conditions en matière d'utilisation effective de la télématique et de gestion électronique de dossiers médicaux. Il s'agit en particulier de l'utilisation de MyCareNet7 tant pour un ‘nombre minimum de consultations de l'assurabilité/des tarifs/du droit DMG de patients’, que pour un ‘pourcentage minimum de prestations facturées électroniquement’, d'une part, et un nombre minimum de téléchargements via l'eHealthBox8, d'autre part. 12. L'article 6 du projet d'arrêté royal précise que la demande d'obtention de l'intervention télématique doit être introduite auprès de l'INAMI et doit contenir les éléments suivants : ‘l'année de la prime’ pour laquelle l'intervention est demandée et ‘le numéro de compte’ sur lequel cette intervention doit être versée. 13. L'article 7, § 2 du projet d'arrêté royal prévoit également que l'INAMI peut (automatiquement) considérer la demande remplie lorsque, au 15 juin de l'année suivant l'année de prime, il dispose des données indiquant que le (candidat) praticien de l’art dentaire concerné a droit à la prime télématique ainsi que du numéro de compte. 14. L'article 8 du projet d'arrêté royal ajoute que ‘les données qui permettent de vérifier si le (candidat) praticien de l’art dentaire atteint les seuils minimums visés à l'article 4’ (NdT : et 5 dans le texte en néerlandais du projet d'arrêté royal) seront fournies par les services mentionnés dans ces articles, dont un seul, à savoir MyCareNet, est cité nommément. 15. Dans la mesure où les informations relatives aux téléchargements via l'eHealthBox ne seront pas fournies par MyCareNet, mais par la plateforme eHealth 9, ce service devrait également être mentionné expressément (à l'article 4 du) projet d'arrêté royal. 16. L'Autorité remarque par ailleurs que l'article 5 du projet d'arrêté royal fixe uniquement le montant de l'intervention et ne détermine aucun seuil minimum en matière d'utilisation de la télématique ; le renvoi à cet aspect doit donc être supprimé.10 aux organismes assureurs, de données du dispensateur de soins, nécessaires à cet effet (dont l'attestation de soins donnés sur laquelle les prestations effectuées sont mentionnées). L'article 5 de l'arrêté royal précité du 18 septembre 2025 dispose notamment ce qui suit : “La délivrance de la preuve électronique de l'utilisation d'un réseau électronique, conformément à une méthodologie établie par le comité de gestion de la plate-forme eHealth, et l'application du régime du tiers payant dans le cadre d'une facturation électronique, tel que visée à l'article 53, § 1er, alinéa 2 de la (Loi assurance maladie), conformément aux données d'assurabilité et, en ce qui concerne le médecin généraliste, conformément aux tarifs, obtenus par la consultation du réseau susvisé, vaut comme obligation de paiement par l'organisme assureur de la partie qui n'est pas à charge de l'assuré social.(…)” 17. L'Autorité a également constaté que le formulaire de demande d'avis mentionne également le numéro INAMI du (candidat) praticien de l’art dentaire concerné ; il n’en est toutefois pas fait mention à l’article 6 du projet d’arrêté royal, dont le contenu semble à première vue non pertinent à la lumière de l’appréciation de l’octroi ou non de la prime télématique. 18. Interrogé à ce sujet, le demandeur a notamment précisé ce qui suit : "Les dentistes introduisent leur demande de prime électroniquement via le portail ProSanté. Ce portail dispose déjà du numéro INAMI du dentiste. La seule "nouvelle" donnée qui est demandée au dentiste est le numéro de compte sur lequel l'intervention doit être versée si celui-ci n'a pas encore été communiqué à l'INAMI.11 À terme, il sera possible que la prime soit versée automatiquement, donc sans effectuer de demande, si le numéro de compte et le titulaire sont déjà connus, sur la base de l'article 7, § 2." (NdT : traduction libre réalisée par le Service traduction de l'Autorité de protection des données, en l’absence de traduction officielle) 19. En ce qui concerne la vérification des conditions en matière d’activité effective de (candidat) praticien de l’art dentaire (dont il est question à l’article 3 du projet d’arrêté royal), le demandeur précise : "L’INAMI reçoit des OA (organismes assureurs) des données relatives aux prestations enregistrées de tous les prestataires de soins. À partir de ces données, le service spécialisé de l’INAMI collecte les données nécessaires pour vérifier les conditions en matière d'activité effective du praticien de l’art dentaire." 20. L’Autorité a également interrogé le demandeur concernant le portail et le profil ProSanté susmentionnés et leur encadrement (réglementaire). À cet égard, le demandeur a notamment répondu ce qui suit : "Pro Santé est donc la mise en place technique et permet aux dispensateurs d’effectuer les formalités liées à l’obtention de la prime." En la matière, le demandeur renvoie également à la délibération n° 23/178 du Comité de sécurité de l’information12, en particulier à son point 4 qui dispose : "Le SPF Santé publique doit aussi pouvoir maintenir et mettre à jour ProSanté, la plateforme qui résulte de l’exécution de l’obligation des finalités élaborées aux points 2 (concernant le registre des pratiques)13 et 3 (concernant la banque de données fédérale des professionnels des soins de santé) 14 et qui est contrôlée de manière conjointe par le SPF Santé publique et l’INAMI." 21. La portée exacte du portail et du profil ProSanté susmentionnés ainsi que leur rapport précis/chevauchement éventuel avec le registre des pratiques et la banque de données fédérale permanente des professionnels des soins de santé susmentionnés ne sont pas clairs, d’autant que ‘ProSanté’ semble manifestement ne pas disposer d’un cadre réglementaire propre et semble donc en tout cas être utilisé de manière facultative. 15 22. Vu ce qui précède (en particulier l’absence de cadre réglementaire) et vu que le projet d’arrêté royal n’en fait pas mention non plus, l’obtention d’une prime télématique ne peut en aucun cas être subordonnée à l’utilisation du portail ProSanté précité ou à l’enregistrement sur ce portail. 23. Indépendamment de ce qui précède et afin de favoriser la lisibilité et la compréhension du projet d’arrêté royal et ainsi la prévisibilité des traitements de données qui doivent être réalisés en conséquence, l’Autorité recommande toutefois : - de compléter l’article 6 du projet d’arrêté royal avec le numéro INAMI du (candidat) praticien de l’art dentaire concerné et - de préciser dans le projet d’arrêté royal - par analogie avec ce que précise l’article 8 en matière de vérification de l’utilisation effective de la télématique - que l’INAMI (ré)utilisera le informations dont il dispose concernant ‘l’activité effective de (candidat) praticien de l’art dentaire’ pour la vérification des conditions applicables en la matière pour l’octroi ou non de la prime télématique. 24. En ce qui concerne les conditions en matière d’utilisation effective de la télématique et de la gestion électronique de dossiers, le demandeur explique : "Une fois par an, le Service des soins de santé reçoit des données de la plateforme MyCareNet. Celles-ci permettent de vérifier les différents seuils d'utilisation (à savoir : consultation de l'assurabilité, consultation des tarifs, facturation électronique, consultation du droit DMG). Ces données sont liées à l'utilisation concrète des modules électroniques proposés par MyCareNet. Concernant l'eHealthBox, nous recevons mensuellement les données d'utilisation (en principe chaque fois au cours du mois suivant)." 25. L’Autorité rappelle ici le principe de ‘minimisation des données’ (article 5.1.c) du RGPD) 16 et souligne que la communication par MyCareNet peut en principe se limiter à une mention ‘ok/go’ vis-à-vis de l’INAMI dès que les seuils prescrits à l’article 4 du projet d’arrêté royal en matière d’utilisation effective de la télématique et de la gestion électronique des dossiers (dont la facturation) sont atteints par le (candidat) praticien de l’art dentaire en question. L’appréciation de l’octroi ou non de la prime télématique ne nécessite pas systématiquement tous les détails concernant la nature ou le moment de cette utilisation et certainement pas au sujet du patient bénéficiaire concerné. 26. L’Autorité constate enfin qu’on ne peut déduire du cadre réglementaire (ni du projet d’arrêté royal lui-même, ni de l’article 36sexies de la Loi assurance maladie que le projet d’arrêté royal doit exécuter) aucune indication claire concernant le délai maximal de conservation des données à caractère personnel qui seront traitées à la lumière de l’octroi de la prime télématique. 27. Le formulaire de demande d’avis précise en la matière que "Les données liées au compte bancaire et au numéro INAMI du dentiste restent liées à l’application web de l’INAMI mise à disposition. Les données liées aux seuils doivent être conservées pour une éventuelle contestation (article 10) et il n’y a pas de délai légal précis vu que ces contestations peuvent être également judiciaires.“ Interrogé complémentairement à ce sujet, le demandeur apporte encore les explications suivantes : "Après contact avec nos services, il apparaît que les dispensateurs ont 60 jours pour contester la décision, mais s’ils contestent, il n’y a pas de délai pour le traitement de la contestation. S’ils ne contestent pas, les données sont conservées pendant plusieurs années." 28. L’Autorité recommande de remédier à cette lacune et d’au moins indiquer les critères qui permettent de calculer le(s) délai(s) maximal (maximaux) de conservation, de manière à ce que cet élément aussi soit clair et prévisible pour les personnes concernées. PAR CES MOTIFS, l’Autorité, estime qu'au minimum les adaptations suivantes s'imposent en outre dans le projet d’arrêté royal : - à l'article 4, il convient de mentionner également le service, la plateforme eHealth, qui fournira les informations en matière de téléchargements via l'eHealthBox (voir le point 15) ; - à l’article 8, la référence à l’article 5 doit être supprimée (attention, uniquement valable pour la version en néerlandais, dont le texte ne correspond pas à la version en français) (voir le point 16) ; - l’article 6 doit être complété par le numéro INAMI du (candidat) praticien de l’art dentaire (voir le point 23) ; - préciser que l’INAMI (ré)utilisera les informations dont il dispose concernant ‘l’activité effective de (candidat) praticien de l’art dentaire’ pour la vérification des conditions applicables en la matière pour l’octroi ou non de la prime télématique (voir le point 23) ; - indiquer un (des) délai(s) maximal (maximaux) de conservation des données à caractère personnel traitées ou au moins les critères permettant de calculer ce(s) délai(s) (voir le point 28) ; souligne l'importance des éléments suivants : - ne subordonner en aucun cas l’octroi de la prime télématique à l’utilisation du portail ProSanté ou à l’enregistrement sur ce portail (en particulier vu l’absence de cadre réglementaire clair de ce portail) (voir les points 21 et 22) ; - limiter la communication par MyCareNet à une mention ‘ok/go’ dès que les seuils prescrits en matière d’utilisation effective de la télématique et de la gestion électronique des dossiers ont été atteints, et ce en application du principe de minimisation des données (voir le point 25). Pour le Service d’Autorisation et d’Avis, (sé.) Cédrine Morlière, Directrice Document PDF ECLI:BE:GBAPD:2025:AVIS.20250409.4