La Commission nationale de l'informatique et des libertés,
Saisie le 17 janvier 2007, d'un dossier relatif à un traitement ayant pour finalité le suivi des signalements dans le cadre de la lutte anti-fraude ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Après avoir entendu M. Jean-Pierre de LONGEVIALLE, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du gouvernement, en ses observations.
Formule les observations suivantes
La Caisse primaire d'assurance maladie de Sélestat a saisi la CNIL d'un dossier relatif à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la gestion du suivi des signalements concernant les assurés, employeurs ou professionnels de santé dans le cadre du suivi des fraudes et anomalies.
La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Ce traitement permettra à la Caisse primaire de mettre en place un dispositif de suivi individuel des signalements concernant les assurés, employeurs ou professionnels de santé, de détecter les fraudes, de diligenter des contrôles individuels, le cas échéant, de suivre les actions contentieuses, les remboursements et les échéances.
En application de l'article L. 314-1 du code de la sécurité sociale, lorsque les caisses reçoivent les documents établis pour l'ouverture des prestations, elles vérifient avec l'appui des services médicaux que l'ensemble des conditions auxquelles est subordonnée la prise en charge est rempli, que les actes pratiqués ou les traitements prescrits n'excèdent pas les limites et indications prévues par les textes et respectent les recommandations de bonne pratique cliniques et les références professionnelles et enfin que les dépenses présentées au remboursement ne méconnaissent pas les engagements conventionnels.
Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès de la directrice de la Caisse primaire d'assurance maladie de Sélestat.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité de la personne signalée, à son numéro de sécurité sociale, au motif du signalement, à l'évaluation du préjudice, aux informations nécessaires au suivi du dossier par le contrôle interne, aux audiences, à la nature de la condamnation, aux remboursements et à l'échéancier.
Les destinataires des informations seront, en fonction de leurs missions, les agents du service du contrôle interne et la direction.
Dans ces conditions, la Commission autorise la mise en oeuvre par la caisse primaire d'assurance maladie de Sélestat d'un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des signalements concernant les assurés, employeurs ou professionnels de santé dans le cadre du suivi des fraudes et anomalies.
Le Président, Alex TURK.