Loi du 6 février 2025 portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des assurances en vue d’insérer un chapitre 2ter relatif au traitement de données concernant la santé.

Loi du 6 février 2025 portant modification de la loi modifiée du 7 décembre 2015 sur le secteur des

assurances en vue d’insérer un chapitre 2ter relatif au traitement de données concernant la santé.

Nous Henri, Grand-Duc de Luxembourg, Duc de Nassau,

Le Conseil d’État entendu ;

Vu l’adoption par la Chambre des Députés ;

Vu la décision de la Chambre des Députés du 22 janvier 2025 et celle du Conseil d’État du 4 février 2025

portant qu’il n’y a pas lieu à second vote ;

Avons ordonné et ordonnons

À la partie 2, titre II, sous-titre II, de la loi modifiée du 7 décembre 2015 sur le secteur des assurances, il est

inséré après l’article 181-2, un chapitre 2ter nouveau intitulé « Traitement de données concernant la santé »,

libellé comme suit

« Chapitre 2ter - Traitement de données concernant la santé

L’annexe III, rubrique « Règlements », de la même loi, est complétée par l’alinéa suivant

« « Règlement (UE) 2016/679 » : Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27

avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère

personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général

sur la protection des données) ».

Mandons et ordonnons que la présente loi soit insérée au Journal officiel du Grand-Duché de Luxembourg

pour être exécutée et observée par tous ceux que la chose concerne.

Le Ministre des Finances,

Gilles Roth

Fait le 6 février 2025.

Pour le Grand-Duc,

Son Lieutenant-Représentant,

Guillaume,

Grand-Duc Héritier

Doc. parl. 7511 ; sess. ord. 2019-2020 et législature 2023-2028.

JOURNAL OFFICIEL du Grand-Duché de Luxembourg

MÉMORIAL A - 37 du 10 février 2025

Traitement de données concernant la santé

Conformément à l’article 9, paragraphe 2, lettre g), du règlement (UE) 2016/679, et au regard des motifs

d’intérêt public importants, inhérents aux contrats d’assurance et de réassurance pour lesquels la santé de

la personne concernée constitue un élément déterminant, le traitement de données concernant la santé, à

l’exception de données génétiques, est licite lorsqu’il est nécessaire à l’exécution de mesures

précontractuelles en matière d’assurance ou de réassurance ou à l’exécution d’un contrat d’assurance ou

de réassurance sous réserve

1. du respect des dispositions en matière de secret professionnel énoncées à l’article 300 ;

2. de la mise en œuvre des mesures appropriées suivantes compte tenu de l’état des connaissances, des

coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que

des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes

concernées

a) la désignation d’un délégué à la protection des données ;

b) la réalisation d’analyses d’impact conformément à l’article 35 du règlement (UE) 2016/679 ;

c) l’anonymisation ou la pseudonymisation des données concernant la santé ou d’autres mesures de

séparation fonctionnelle pour certaines opérations de traitement de données concernant la santé ;

d) le chiffrement des données concernant la santé en transit, ainsi qu’une gestion des clés conformes

à l’état de l’art ;

e) la mise en place de restrictions d’accès aux données concernant la santé ;

f) la mise en place de fichiers de journalisation qui permettent d’établir le motif, la date et l’heure de la

consultation et l’identification de la personne qui a collecté, modifié ou supprimé les données

concernant la santé ;

g) la sensibilisation du personnel à la protection des données concernant la santé et au secret

professionnel ;

N° 37 du 10 février 2025

h) l’évaluation régulière de l’efficacité des mesures techniques et organisationnelles mises en place à

travers un audit indépendant ;

i) l’adoption de codes de conduite sectoriels tels que prévus à l’article 40 du règlement (UE) 2016/679 ;

j) la mise en place d’une politique interne prévoyant notamment comment sont respectés les principes

prévus à l’article 5 du règlement (UE) 2016/679.

Chaque responsable de traitement et, le cas échéant, chaque sous-traitant, doit documenter et justifier en

interne l’exclusion, le cas échéant, d’une ou plusieurs des mesures énumérées à l’alinéa 1er, point 2, lettres

a), b), c), h) et i). Cette documentation est tenue à la disposition de la Commission nationale pour la

protection des données. En aucun cas, il ne peut être dérogé aux mesures énumérées à l’alinéa 1er, point

2, lettres d), e), f), g) et j). »