Le projet de loi relatif à la lutte contre les fraudes sociales et fiscales, définitivement adopté par le Parlement le 11 mai 2026, marque une étape importante pour les organismes de complémentaire santé. Son article 5 crée en effet une base légale aux échanges de données entre l’Assurance maladie obligatoire (AMO) et les complémentaires santé (AMC), jusqu’alors sans cadre juridique clair et sécurisant dès lors des flux essentiels liés au fonctionnement du tiers payant et/ou à la gestion des prestations.
Au-delà de la sécurisation des pratiques existantes, le texte autorise ainsi des échanges d’informations dans les deux sens, ouvrant de nouvelles perspectives en matière de détection des fraudes et des doubles remboursements. Cette évolution répond également aux attentes de la CNIL, qui demandait depuis plusieurs années un cadre juridique adapté pour les traitements de données de santé réalisés par les organismes complémentaires.
Toutefois, la promulgation de la loi reste à ce jour suspendue à la décision du Conseil constitutionnel, saisi les 18 et 19 mai 2026, pour opérer son contrôle de constitutionnalité. Parmi les dispositions contestées figurent notamment l’accès aux données de santé par les organismes complémentaires et les plateformes de tiers payant à des fins de remboursement, de contrôle et de lutte contre la fraude.
Deux textes publiés au Journal Officiel du 27 mai 2026 organisent la prise en charge par l’Assurance maladie d’un nouvel accessoire destiné aux personnes souffrant d’alopécie liée à une pathologie ou à son traitement et qui font le choix de ne pas porter une perruque traditionnelle tout en recherchant un rendu esthétique personnalisé.
Pour mémoire, selon les modalités définies dans la LPP, la prise en charge d’une prothèse capillaire s’accompagne de la prise en charge indissociable d’un accessoire textile de type turban, foulard, bonnet ou autre tissu hypoallergénique, non toxique, non inflammable, permettant de recouvrir la tête nue. Cependant, lorsque l’assuré ne souhaite pas porter de prothèse capillaire, il peut alors bénéficier de la prise en charge de 3 accessoires alternatifs, limitativement énumérés, dont au moins un sera de type textile.
Dans ce cadre, un arrêté du 21 mai 2026 porte ainsi inscription du dispositif « MON BANDÔ », composé d’une couronne capillaire associée à un élément textile amovible de type turban, disponible sous 9 références fonction de la zone couverte (totale, nuque ou frange) et le type de cheveux utilisés.
La Commission des sanctions de l’ACPR a infligé à la Société Générale (SG), prise en sa qualité d’intermédiaire d’assurance, un blâme assorti d’une sanction pécuniaire de 20 millions d’euros, pour des manquements à ses obligations de distributeur dans le cadre de la commercialisation d’une offre groupée de services bancaires « Sobrio » comportant une assurance dommages (usage frauduleux de la carte bancaire, vol d’espèces, perte de clés…).
Sur les griefs retenus :
Sur la discussion :
Pour échapper à la sanction, la banque a tenté de soutenir que la garantie d’assurance est :
Comme chaque année, la CNIL a publié, le 18 mai 2026, son bilan annuel d’activités mettant en lumière plusieurs évolutions marquantes ayant caractérisé l’année 2025 par rapport à 2024.
Après une hausse marquante du nombre de décisions en 2024, l’année 2025 est surtout marquée par une augmentation importante des notifications de violations de données personnelles.
Les structures ont en effet aujourd’hui conscience des effets d’une violation de données personnelles que ce soit à l’égard des personnes concernées par la violation de leurs données ou bien les conséquences financières et d’image que ces violations sont susceptibles de générer. Elles sont aussi plus sensibles aux obligations en matière de données personnelles.
Publié en mai 2026, le rapport d’activité 2025 de l’ANSSI dresse un bilan complet de l’action de l’agence et de l’état de la menace cyber en France. Pour les organismes d’assurance soumis à DORA, plusieurs signaux méritent une attention particulière.
L’ANSSI a traité 1 366 incidents confirmés en 2025, un niveau quasi identique à 2024. Les environnements cloud sont explicitement désignés comme cibles prioritaires, avec des attaques menées à des fins d’espionnage, d’extorsion et de déstabilisation. Pour les organismes ayant externalisé tout ou partie de leur SI, cette tendance renforce les exigences de surveillance des tiers portées par DORA, notamment la cartographie des prestataires TIC les plus critiques et les clauses contractuelles de notification d’incident TIC (illustrées par l’exemple récent de la cyberattaque Almerys).
Dans le cadre de la mise en place de l’Autorité européenne de lutte contre le blanchiment (« AMLA » pour « Anti-Money Laundering Authority »), l’ACPR a ouvert le 29 mai 2026 une collecte de reporting visant à identifier les organismes opérant dans au moins 6 États membres de l’Union européenne. Ce reporting, dit « C6P », doit être déposé sur la plateforme ONEGATE au plus tard le 30 juin 2026.
L’enjeu est double : de première part, tous les établissements et groupes actifs dans au moins 6 États membres seront redevables de redevances annuelles de surveillance perçues par l’AMLA ; de seconde part, 40 d’entre eux présentant un profil de risque élevé seront placés sous supervision directe de l’AMLA à compter de 2028. Les données attendues sont arrêtées au 31 décembre 2025.
Pour la grande majorité des organismes d’assurance de petite et moyenne taille, dont l’activité est concentrée sur le territoire national, ce reporting n’est pas applicable. Il peut en revanche concerner les groupes et organismes disposant de filiales, succursales ou passeports en libre prestation de service (LPS) dans au moins 5 autres États membres. Ces entités sont par conséquent invitées à consulter la note interprétative publiée par l’AMLA et à utiliser le fichier de reporting mis à disposition sur son site.
Consultez ici l’intégralité du document : Actualité Lutte anti-blanchiment « Reporting obligatoire dans le cadre de la mise en place de l’Autorité européenne de LCB-FT (Anti-Money Laundering Authority, AMLA) : Collecte en vue de l’éligibilité (« C6P ») » (ACPR, 29 mai 2026)
Trois décrets publiés au Journal Officiel du 31 mai 2026 viennent préciser les modalités d’application du nouveau congé supplémentaire de naissance instauré par la LFSS pour 2026 (article 99).
Pour mémoire, ce nouveau dispositif ouvre aux parents (salariés du régime général, travailleurs indépendants et professions libérales, non-salariés agricoles et travailleurs handicapés en ESAT) un droit supplémentaire à interruption d’activité, d’une durée d’1 ou 2 mois, fractionnable, après la naissance ou l’arrivée d’un enfant au foyer en cas d’adoption, qui leur permet de continuer à être indemnisés à l’issue de l’épuisement de leurs droits à congé de maternité, paternité ou d’adoption.
Aussi, si cette réforme relève avant tout de la sphère de la sécurité sociale, elle appelle néanmoins une attention particulière des organismes assureurs de prévoyance collective en raison de ses interactions possibles avec les garanties conventionnelles « incapacité temporaire de travail (ITT) » et certains mécanismes de maintien de salaire.
S’inscrivant dans le prolongement de l’arrêté du 12 décembre 2025 pris en application de l’article D.361-43-8 du Code rural et de la pêche maritime, un nouvel arrêté du 26 mai 2026 complète le cahier des charges applicable aux entreprises d’assurance intervenant dans le dispositif d’assurance récolte et d’indemnisation des pertes de récolte fondée sur la solidarité nationale pour la campagne 2026.
Ce texte ajoute en effet un nouveau chapitre II au cahier des charges 2026, consacré à la gestion de l’indemnisation fondée sur la solidarité nationale (ISN) par le réseau des interlocuteurs agréés, dispositif central de la réforme de l’assurance récolte entrée en vigueur depuis 2023.
Le décret n° 2026-341 du 30 avril 2026, publié au Journal Officiel du 5 mai, vient renforcer et clarifier le cadre applicable aux investissements en unités de comptes accessibles au sein des contrats d’assurance vie et des plans d’épargne retraite (PER). Son objectif est clair : renforcer la protection des épargnants face aux risques de liquidité, de valorisation et de gouvernance associés à certains actifs non cotés ou alternatifs.
Sont ainsi concernés par cette évolution :
Parmi les évolutions notables qui sont apportées :
La loi du 6 novembre 2025 visant à renforcer la lutte contre la fraude bancaire a créé le Fichier National des Comptes signalés pour Risque de Fraude (FNC-RF), géré par la Banque de France. Les arrêtés du 24 avril 2026 en précisent les modalités techniques de fonctionnement et la tarification, tandis que la CNIL a rendu un avis circonstancié sur le dispositif.
Le FNC-RF a vocation à centraliser les signalements effectués par les Prestataires de Services de Paiement (PSP : établissements de crédit, établissements de paiement, établissements de monnaie électronique) qui y inscrivent les comptes de paiement et de dépôt qu’ils estiment susceptibles d’être frauduleux. Si les organismes d’assurance ne sont pas directement visés par ce dispositif et n’ont pas accès au fichier, ils pourraient néanmoins en subir les effets indirects : le compte bancaire d’un assuré signalé à tort pourrait se voir refuser des opérations de paiement, avec des conséquences sur les remboursements ou virements effectués par l’organisme.
La CNIL souligne à cet égard les risques importants liés à l’inexactitude des données (un compte ne pouvant être signalé que sur la base d’une suspicion non-caractérisée) et critique l’architecture technique retenue, reposant sur un partage de copies intégrales des données en clair avec plusieurs centaines d’organismes, accroissant significativement la surface d’exposition en cas de fuite.
Côté organismes d’assurance, il convient néanmoins de suivre l’évolution du dispositif, la CNIL relevant en effet dans sa délibération que la Banque de France envisage à terme un élargissement des catégories de données partagées ainsi qu’une intégration dans un dispositif européen de partage de données de fraude, ce qui pourrait étendre le périmètre des acteurs concernés ou des obligations associées.
Consultez ici l’intégralité des documents : Arrêté du 24 avril 2026 définissant les modalités techniques de fonctionnement du fichier mentionné à l’article L. 521-6-1 du Code monétaire et financier (JO, 28 avr. 2026, texte n° 6) ; Arrêté du 24 avril 2026 relatif aux tarifs du fichier mentionné à l’article L. 521-6-1 du Code Monétaire et Financier (JO, 28 avr. 2026, texte n° 7) ; Délibération CNIL n° 2026-044 (Légifrance, 29 avr. 2026)
