La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet pris pour son application ;
Vu l'article 226-13 du nouveau code pénal relatif à l'atteinte au secret professionnel ;
Vu l'article L. 1002-4 du code rural ;
Vu le décret n° 85-420 du 3 avril 1985, relatif à l'utilisation du Répertoire national d'identification des personnes physiques par des organismes de sécurité sociale et de prévoyance ;
Vu la délibération n° 93-053 du 15 juin 1993, relative au traitement IRIS, mis en oeuvre par la Caisse Nationale d'Assurance Maladie des Travailleurs Salariés ;
Vu le projet d'acte réglementaire présenté par la Caisse Centrale de la Mutualité Sociale Agricole ;
Après avoir entendu Monsieur Maurice VIENNOIS en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant que la Caisse Centrale de la Mutualité Sociale Agricole (CCMSA) a saisi la Commission Nationale de l'Informatique et des Libertés d'une demande d'avis relative à la mise en place d'un traitement automatisé d'informations nominatives dénommé "IRIS" ;
Considérant que ce traitement a pour finalité les échanges d'informations relatifs à la facturation des prestations entre les caisses départementales et pluridépartementales de mutualité sociale agricole et les partenaires de santé, qu'il s'agisse de praticiens ou d'établissements de soins ;
Considérant qu'il prend en compte à la fois les informations envoyées par le partenaire de santé à la caisse et celles que celle-ci transmet en retour au même partenaire de santé ;
Que dans ces conditions le traitement IRIS permet de recevoir les informations inscrites sur la facture papier en provenance des partenaires de santé, d'effectuer la tarification, l'ordonnancement et les contrôles comptables, d'alimenter le système de liquidation des prestations afin d'assurer la mise en paiement des factures, et enfin de retourner à l'émetteur les renseignements concernant le paiement de ses honoraires et frais ;
Considérant qu'à terme le système IRIS a vocation à s'appliquer systématiquement, qu'une dispense d'avance des frais soit consentie ou non à l'assuré ;
Considérant que les informations échangées, y compris le numéro d'inscription au répertoire des personnes physiques, sont adéquates, pertinentes et non excessives par rapport à la finalité poursuivie, en ce qu'elles sont identiques à celles inscrites sur les feuilles de soins ou sur les autres pièces réglementaires habituellement transmises aux caisses ;
Considérant que les normes de transmission utilisées pour mener à bien ces échanges sont d'ores et déjà adaptées au codage des actes en nature et à l'enregistrement de l'identification des médicaments, mais qu'en l'absence actuelle de textes autorisant la mise en oeuvre de ces codes, l'utilisation de ceux-ci ne saurait être envisagée dans le cadre d'IRIS ;
Considérant que le système IRIS, compte tenu du fait qu'il permet également des liaisons avec les organismes complémentaires qui assurent le paiement d'une partie des prestations versées aux partenaires de santé ou aux assurés devra faire l'objet d'une demande d'avis propre à cette autre finalité ;
Considérant que les sécurités applicables aux transmissions d'informations sont satisfaisantes, en ce que celles-ci sont d'une part normalisées et d'autre part identifiées quant à leur émetteur et à leur contenu ;
Considérant que parfois les renseignements transmis par le partenaire de santé à la caisse peuvent transiter par un organisme ayant la qualité technique de "concentrateur" ;
Que, dans ce cas, cet organisme a pour mission de centraliser les envois en provenance des professionnels ou établissements de santé et d'effectuer le routage des différents flux vers les destinataires finaux, c'est-à-dire les caisses de sécurité sociale et de procéder à l'identique dans le sens retour ;
Que dès lors il apparaît indispensable, eu égard au caractère sensible des informations manipulées, que ces organismes n'assurent aucun traitement particulier pour leur propre compte, n'effectuent ni enrichissement, ni consultation, hormis celle rendue nécessaire par la maintenance des matériels utilisés, ni cession des informations reçues des partenaires de santé ou des caisses de sécurité sociale ;
Qu'il apparaît également indispensable que toute trace de ces informations disparaisse dès que leur envoi à la caisse gestionnaire est opéré, que dès lors il est nécessaire que l'acte réglementaire le mentionne ;
Considérant que le droit d'accès aux informations nominatives les concernant pourra être exercé par les assurés ainsi que par les partenaires de santé auprès du directeur de la caisse gestionnaire de leurs dossiers et de leurs droits ;
Considérant que les caisses départementales de mutualité sociale agricole qui désireraient mettre en oeuvre ces échanges devront au préalable adresser à la Commission une déclaration simplifiée de référence à ce modèle accompagnée d'un engagement de conformité à celui-ci ;
Emet un avis favorable à la mise en oeuvre, par les caisses départementales et pluridépartementales de mutualité sociale agricole du traitement "IRIS", sous réserve que l'organisme "concentrateur" fasse disparaître toute trace des informations dont il a eu connaissance dès que leur envoi au destinataire final a été opéré.
LE PRESIDENT, JACQUES FAUVET