La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'Informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet pris pour son application ;
Vu l'article 378 du code pénal relatif au secret professionnel ;
Vu l'ordonnance n° 67-706 du 21 août 1967 relative à l'organisation administrative de la sécurité sociale et son décret d'application n° 67-1232 du 27 décembre 1967, modifié ;
Vu les dispositions de l'article L. 611-4 du code de la sécurité sociale relatives à la Caisse Nationale d'Assurance Maladie des Professions Indépendantes ;
Vu le décret n° 85-420 du 3 avril 1985, relatif à l'utilisation du Répertoire national d'identification des personnes physiques par des organismes de sécurité sociale et de prévoyance ;
Vu la délibération n° 93-096 du 19 octobre 1993 relative à la mise en oeuvre du traitement SAGA ;
Vu le projet de décision présenté par le Conseil d'Administration de la Caisse Nationale d'Assurance Maladie des Professions Indépendantes (CANAM) ;
Après avoir entendu Monsieur André PERDRIAU en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que la Caisse Nationale d'Assurance Maladie des Professions Indépendantes (CANAM) a saisi la Commission Nationale de l'Informatique et des Libertés d'une demande d'avis relative à la mise en place d'un traitement automatisé d'informations nominatives dénommé IRIS ;
Considérant que ce traitement a pour finalité les échanges d'informations relatifs à la facturation des prestations entre les organismes conventionnés et les partenaires de santé, qu'il s'agisse de praticiens ou d'établissements de soins ;
Considérant qu'il prend en compte à la fois les informations envoyées par le partenaire de santé à l'organisme conventionné et celles que celui-ci transmet en retour au même partenaire de santé ;
Que dans ces conditions le traitement IRIS permet de réceptionner les informations inscrites sur la facture papier en provenance des partenaires de santé, d'effectuer la tarification, l'ordonnancement et les contrôles comptables, d'alimenter le système de liquidation des prestations afin d'assurer la mise en paiement des factures, et enfin de retourner à l'émetteur les renseignements concernant le paiement de ses frais ;
Considérant qu'à terme le système IRIS a vocation à s'appliquer systématiquement, qu'une dispense d'avance des frais soit consentie ou non à l'assuré ;
Considérant que les informations échangées, y compris le numéro d'inscription au répertoire des personnes physiques, sont adéquates, pertinentes et non excessives par rapport à la finalité poursuivie, en ce qu'elles sont identiques à celles inscrites sur les feuilles de soins ou sur les autres pièces réglementaires habituellement transmises aux organismes conventionnés ;
Considérant que les normes de transmission utilisées pour mener à bien ces échanges sont d'ores et déjà adaptées au codage des actes en nature et à l'enregistrement de l'identification des médicaments, mais qu'en l'état actuel des textes applicables l'utilisation de ces codes ne saurait être autorisée dans le cadre d'IRIS ;
Considérant que les sécurités applicables aux transmissionsD d'informations sont satisfaisantes, en ce que celles-ci sont d'une part normalisées et d'autre part identifiées quant à leur émetteur et à leur contenu ;
Considérant que les renseignements transmis par le partenaire de santé à l'organisme conventionné peuvent transiter par un organisme tiers ayant la qualité technique de "concentrateur" ;
Que dans ce cas ce dernier organisme a pour mission de centraliser les envois en provenance des professionnels ou établissements de santé et d'effectuer le routage des différents flux vers les destinataires finaux, c'est-à-dire les organismes conventionnés et de procéder pareillement dans le sens retour ;
Qu'il apparaît indispensable, eu égard au caractère sensible des informations manipulées, que ces organismes n'assurent aucun traitement particulier pour leur propre compte, n'effectuent ni enrichissement, ni consultation, hormis celle rendue nécessaire par la maintenance des matériels utilisés, ni cession des Informations reçues des partenaires de santé ;
Qu'il apparaît également indispensable que toute trace de ces informations disparaisse dès que leur envoi à l'organisme conventionné gestionnaire est opéré ;
Considérant que le droit d'accès aux informations nominatives les concernant pourra être exercé par les assurés ainsi que par les partenaires de santé auprès du directeur de l'organisme conventionné gestionnaire de leurs dossiers et de leurs droits ;
Considérant que les organismes conventionnés qui désireraient mettre en oeuvre ces échanges devront au préalable adresser à la Commission une déclaration simplifiée de référence à ce modèle accompagnée d'un engagement de conformité à celui-ci ;
Emet un avis favorable à la mise en oeuvre, par les organismes conventionnés qui assurent la gestion du régime d'assurance maladie des professions Indépendantes du traitement "IRIS".
Le Président, Jacques FAUVET.