La Commission nationale de l'informatique et des libertés,
Saisie le 7 décembre 2006, d'un traitement ayant pour finalité la gestion des activités contentieuses et le traitement des litiges ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Après avoir entendu M. Jean-Pierre de LONGEVIALLE, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du gouvernement, en ses observations.
Formule les observations suivantes :
La caisse primaire d'assurance maladie Pau-Pyrénées a saisi la Commission nationale de l'informatique et des libertés d'un dossier relatif à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la gestion des activités contentieuses et le traitement des litiges.
La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en oeuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées.
Ce traitement permettra l'instruction et la gestion des dossiers contentieux, le suivi de la procédure et des litiges, la rédaction de mémoires, l'information des parties, l'édition de courriers, l'exécution des décisions, la clôture et l'archivage des dossiers et le suivi de l'activité.
Des statistiques pourront être effectuées à partir de données préalablement anonymisées.
Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du service chargé du contentieux.
Les catégories de données à caractère personnel traitées seront l'identité des assurés et leur numéro de sécurité sociale, l'identité des professionnels de santé et de toutes autres personnes concernées par l'action contentieuse, les mémoires présentés, les infractions et condamnations prononcées, le tableau de bord d'activité du service.
Elles seront conservées jusqu'à épuisement des voies de recours ou deux ans après l'exécution de la sanction.  Elles seront ensuite anonymisées à des fins de statistiques internes.  Une liste récapitulative des évènements du dossier rappelant les principales étapes de la procédure sera conservée pendant 5 ans.
Les destinataires des informations seront les personnes habilitées du service chargé du contentieux et de l'exécution des décisions au sein de la CPAM dont l'accès sera subordonné à l'utilisation d'une carte à puce et d'un code personnel permettant leur identification et leur authentification.
Dans ces conditions, la Commission autorise la caisse primaire d'assurance maladie Pau-Pyrénées à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la gestion des activités contentieuses et le traitement des litiges.
Le Président, Alex TURK.