(Demande d’autorisation n° 1572658)
La Commission nationale de l’informatique et des libertés,
Saisie par la Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l'extension aux sections locales mutualistes du dispositif de gestion des recours contre tiers.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale, notamment ses articles L. 376-1 et L. 454-1;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1°  ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2011-134 du 12 mai 2011 autorisant la mise en œuvre par la Caisse nationale d’assurance maladie des travailleurs salariés, CNAMTS, d’un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des recours contre tiers – GRECOT ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS).
Sur la finalité
La Commission a autorisé la CNAMTS, dans une délibération n° 2011-134 du 12 mai 2011, à mettre en œuvre un traitement ayant pour finalité la gestion des recours contre tiers (GRECOT).
La finalité du présent traitement est d’étendre ce dispositif de gestion des recours contre tiers aux bénéficiaires du régime général gérés par les sections locales mutualistes (mutuelles de fonctionnaires, d’étudiants et agréées par les caisses primaires d’assurance maladie).
La Commission considère la finalité poursuivie comme déterminée, légitime et explicite.
Dans ce contexte, la Commission considère qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les données collectées sont relatives :
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
A l’identification de la victime (nom, prénom, date, lieu et rang de naissance, adresse, numéros de téléphone et de fax) ;
Aux informations d’ordre économique et financières (données financières sur les prestations reçues, les frais futurs, la créance, le recouvrement) ;
Aux données de connexion (information d’horodatage) ;
Au numéro de sécurité sociale ;
Aux données de santé (données relatives au sinistre et aux soins, code et libellé du médicament, type et code acte).
Sur les destinataires
Les destinataires des données sont les agents dûment habilités chargés de la gestion des recours contre tiers (Caisse Primaire d’Assurance Maladie, Caisse Générale de Sécurité Sociale, service médical).
Le comptable est uniquement destinataire des données de recouvrement.
Le personnel administratif des caisses n’a accès qu’aux codes actes nécessaires à la gestion de la créance.
En outre, les caisses sont appelées à échanger des informations avec des tiers autorisés (hôpitaux, police, préfectures, témoins, assurances, victimes, juridictions, experts médicaux, avocats, huissiers, tiers responsables). Seules les données strictement nécessaires à la gestion du recours sont transmises.
Le responsable national accède uniquement à des données agrégées.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par voie d’affichage et via le site internet ameli.fr.
Les droits d’accès et de rectification s’exercent auprès des caisses et sections locales mutualistes de rattachement.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Création d’une base de données nationale (MySQL).
Les échanges internes sont réalisés via un réseau privé (RAMAGE).
L’accès à l’application est tracé et s’effectue avec une carte à puce.
Les mesures de sécurité mises en place n’appellent pas d’observation de la part de la Commission.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant 10 ans puis sont archivées pendant 40 ans à des fins de gestion des cas particuliers (exemple : aggravations).
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN