ART. 5	N°923	
ASSEMBLÉE NATIONALE
20 Février 2026
___________________________________________________________________
PROJET DE LOI RELATIF À LA LUTTE CONTRE LES FRAUDES SOCIALES ET FISCALES - (N° 2250)
Adopté
AMENDEMENT N°923
présenté par
M. Hetzel
------------
ARTICLE 5
I. – A la fin del’alinéa 12, supprimer les mots :
« ou par tout autre acteurprivé ».
II. – En conséquence, àla fin de l’alinéa 36, supprimer les mots :
« ou par tout autre acteurprivé ».
III. – En conséquence àla fin de l’alinéa 67, supprimer les mots :
« ou par tout autre acteurprivé ».
EXPOSÉ SOMMAIRE
Le présent amendement vise àsupprimer un ajout adopté par la commission des affaires socialesconcernant l’obligation de stockage de l’hébergement des donnéestraitées par les organismes d’assurance complémentaire sein del’Union européenne.
Ce stockage doit être réalisé, àl’instar de ce qui a été prévu dans la loi dite SREN pour lesdonnées sensibles détenues par les administrations, dans desconditions garantissant notamment la protection des données contretout accès par des autorités publiques d’États tiers non autorisépar le droit de l’Union européenne ou d’un État membre.L’amendement adopté en commission ajoute que ce stockage doitégalement protéger contre tout accès « de tout autre acteurprivé ».
Cet objectif est cependant déjàsatisfait par d’autres dispositions du texte (aux projetsd’articles L. 135‑3 du code des assurances, L. 211‑18 ducode de la mutualité et L. 931‑3-11 du code de la sécuritésociale) qui prévoient, conformément à l’article 32 du RGPD,l’obligation de mettre en œuvre des mesures de sécurité adaptées aurisque, dont des mesures garantissant la confidentialité vis-à-visde tout tiers des données traitées par les organismescomplémentaires.
Il importe en revanche de maintenirdes dispositions spécifiques relatives à la protection contre lesaccès des autorités publiques d’États tiers, qui reprennent larédaction de l’article 48 du RGPD, tel qu’interprété par laCour de justice de l’Union européenne et des autorités européennesde protection des données. Il s’agit en effet de se prémunir deslégislations extra-territoriales d’États tiers, comme desÉtats-Unis, de la Russie ou de la Chine par exemple, qui peuventexiger des entreprises exerçant des activités en Union européennemais ayant leur siège dans leur propre ressort territorial, detransférer des données aux autorités publiques compétentes enmatière judiciaire ou de lutte anti-terroriste par exemple. Aucunelégislation d’un État tiers ne prévoit en revanche un tel accès aubénéfice d’acteurs privés.
Dans ce contexte, l’ajout d’accèspar des acteurs privés, déjà couvert par d’autres dispositions,rend la disposition relative à la localisation des données peuintelligible et étend de manière inutile son objet.