La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 et notamment ses articles 8-IV et 25 ;
Vu le code de la sécurité sociale et en particulier les articles L. 315-2, L. 315-2-1 et L. 324-1 ;
Vu la demande d'autorisation présentée par la CANAM tendant à mettre en oeuvre un traitement de contrôle des prescriptions et des délivrances atypiques de médicaments de substitution aux opiacés dans les services médicaux de chaque caisse mutuelle régionale ;
Après avoir entendu Monsieur Jean-Pierre de Longevialle, commissaire, en son rapport et Mme Charlotte Marie-Pitrat, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
La Caisse nationale d'assurance maladie des travailleurs non salariés des professions non agricoles a saisi la CNIL d'un dossier de formalités préalables relatif à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité de contrôler les prescriptions et les délivrances atypiques de médicaments de substitution aux opiacés dans les services médicaux de chaque caisse mutuelle régionale (CMR).
La Commission considère qu'il y a lieu de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier des articles 8-IV et 25 de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l'intérêt public.
Ce traitement a pour finalité de limiter les usages détournés et trafics des traitements de substitution aux opiacés. La Caisse nationale d'assurance maladie des travailleurs salariés et la Caisse centrale de la mutualité sociale agricole ont d'ores et déjà mis en oeuvre des traitements similaires après avoir reçu l'avis favorable de la CNIL.
En application des articles L. 315-2, L. 315-2-1 et L. 324-1 du code de la sécurité sociale, si, au vu des dépenses présentées au remboursement ou de la fréquence des arrêts de travail, le service médical estime nécessaire de procéder à l'évaluation de l'intérêt thérapeutique des soins dispensés à un assuré, il peut le convoquer et établir conjointement avec le médecin choisi par l'assuré un protocole de soins.
En cas d'inobservation du protocole ou si le service du contrôle médical estime qu'une prestation n'est pas médicalement justifiée, la caisse peut suspendre ou réduire le service des prestations.
Ce traitement tend à détecter l'existence d'un détournement d'usage des traitements de substitution aux opiacés : prescripteurs multiples, quantités excédant manifestement un usage thérapeutique, associations médicamenteuses dangereuses.
Des requêtes seront réalisées avec le système OCAPI qui a reçu un avis favorable de la Commission le 13 décembre 1994 afin de sélectionner les assurés et professionnels de santé concernés.
La Commission prend acte que le traitement sera réalisé sur un système informatique dédié au service du contrôle médical et isolé des autres services. Les utilisateurs de l'application devront s'authentifier par un identifiant alphanumérique et un mot de passe. Les mesures de sécurité logiques et physiques sont satisfaisantes.
Le droit d'accès et de rectification défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du médecin conseil régional du service médical de la Caisse mutuelle régionale dont dépend l'assuré ou le bénéficiaire. Les personnes concernées seront informées des modalités de prise en charge médicale et, en particulier de leurs droits par les convocations, courriers et avis qui leur seront adressés.
Les catégories de données à caractère personnel traitées seront relatives, en ce qui concerne l'assuré ou l'ayant droit, à l'identité, au numéro de sécurité sociale, à l'adresse, à l'âge, aux codes des médicaments délivrés et aux actes médicaux exécutés. S'agissant des médecins prescripteurs, les catégories de données traitées seront l'identité, l'adresse et le numéro d'identification et pour les pharmacies, l'identification de la structure, l'adresse, le numéro de facture et la date de délivrance des produits. Ces données sont adéquates, pertinentes et non excessives par rapport à la finalité poursuivie par le traitement. Elles seront conservées trois ans.
Les destinataires des données seront, dans le cadre de leurs fonctions les médecins et sous leur responsabilité les personnels des services médicaux de chaque Caisse mutuelle régionale pour ce qui concerne leurs ressortissants.
Les données seront agrégées au niveau local avant d'être transmises sous forme anonyme aux directions régionales et nationales des services médicaux.
Autorise, dans ces conditions, chaque caisse mutuelle régionale à mettre en oeuvre un traitement de contrôle des prescriptions et des délivrances atypiques de médicaments de substitution aux opiacés.
Le Président, Alex TURK.