Les mutuelles et unions sont autorisées à traiter, en application du h du paragraphe 2 de l'article 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) et dans le respect de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, les données à caractère personnel relatives à la santé de leurs membres participants et ayants droit couverts par un contrat ou par un règlement conclu pour le remboursement et l'indemnisation des frais occasionnés par une maladie, une maternité ou un accident, notamment les numéros de code des actes effectués et des prestations servies.

Elles sont également autorisées à traiter les données d'identification et de facturation des professionnels et des organismes ou des établissements ayant prescrit ou dispensé ces actes ou ces prestations.

Peuvent faire l'objet du traitement prévu à l'article L. 211-16 les seules données strictement nécessaires :

1° Au remboursement et à l'indemnisation des frais occasionnés par une maladie, une maternité ou un accident dans le cadre d'un contrat ou de l'adhésion à un règlement mentionné au même article L. 211-16, y compris dans le cadre du tiers payant ;

2° Au contrôle et à la vérification du respect des contrats ou des règlements couvrant les membres participants et leurs ayants droit et des conventions souscrites avec les professionnels et les organismes ou les établissements de santé ;

3° A la constatation, à l'exercice ou à la défense de droits en justice.

Les mutuelles et unions mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau élevé de sécurité ainsi que la protection des droits des personnes concernées. Elles s'assurent que les données à caractère personnel ne sont conservées que pendant une durée n'excédant pas celle strictement nécessaire au regard des finalités mentionnées à l'article L. 211-17 et que le personnel, qui fait l'objet d'une habilitation spécifique, n'accède qu'aux données strictement nécessaires à ses missions.

Les données à caractère personnel qui font l'objet d'un traitement autorisé en application de la présente section sont stockées exclusivement dans l'Espace économique européen, dans des conditions garantissant la protection des données contre tout accès par des autorités publiques d'Etats tiers non autorisé par le droit de l'Union européenne ou par la législation d'un Etat membre.

Seuls des professionnels de santé et le personnel placé sous leur autorité chargé du contrôle médical ont accès, dans le cadre de leurs fonctions et pour la durée de celles-ci, aux données à caractère personnel relatives à la santé d'un membre participant ou d'un ayant droit couvert par un contrat ou par un règlement mentionné à l'article L. 211-16 lorsqu'elles sont associées au numéro de code d'une pathologie diagnostiquée.

Le personnel de la mutuelle ou de l'union est soumis au secret professionnel pour toutes les données à caractère personnel relatives à la santé ou pour toutes les données d'identification et de facturation mentionnées au même article L. 211-16.

Par dérogation à l'article L. 1110-4 du code de la santé publique et pour les seuls besoins de la mise en œuvre du tiers payant, les professionnels de santé, les organismes ou les établissements dispensant des actes ou des prestations remboursés dans le cadre des contrats et des règlements mentionnés à l'article L. 211-16 du présent code à des membres participants ou à leurs ayants droit couverts par ces contrats ou ces règlements sont autorisés à communiquer aux mutuelles et unions les données mentionnées à l'article L. 161-29 du code de la sécurité sociale et toute autre donnée strictement nécessaire à cette fin.

Seuls des professionnels de santé et le personnel placé sous leur autorité chargé du contrôle médical ont accès, dans le cadre de leurs fonctions et pour la durée de celles-ci, aux données à caractère personnel relatives à la santé d'un membre participant ou d'un ayant droit couvert par un contrat ou par un règlement mentionné à l'article L. 211-16 du présent code, lorsqu'elles sont associées au numéro de code d'une pathologie diagnostiquée.

Le personnel des mutuelles et de leurs unions est soumis au secret professionnel, dans les conditions prévues à l'article 226-13 du code pénal, pour toutes les informations communiquées en application du présent article.

Un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, précise les modalités d'application de la présente section, notamment :

1° Les catégories de données traitées, en particulier celles mentionnées à l'article L. 211-17 qui peuvent être communiquées aux mutuelles et unions pour la mise en œuvre du tiers payant ;

2° Les durées de conservation des données prévues au 1° du présent article ;

3° Les modalités d'information, dans les contrats, les règlements et les conventions, des membres participants, de leurs ayants droit et des professionnels de santé concernés ainsi que les modalités d'exercice des droits prévus par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).