La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet pris pour son application ;
Vu l'article 378 du code pénal relatif au secret professionnel ;
Vu l'ordonnance n° 67-706 du 21 août 1967 relative à l'organisation administrative de la sécurité sociale et son décret d'application n° 67-1232 du 27 décembre 1967, modifié ;
Vu la loi n° 93-8 du 4 janvier 1993, en ce qu'elle modifie l'article L. 161-28 du code de la sécurité sociale ;
Vu le décret n° 85-420 du 3 avril 1985, relatif à l'utilisation du Répertoire national d'identification des personnes physiques par des organismes de sécurité sociale et de prévoyance ;
Vu le projet d'acte réglementaire présenté par le Conseil d'Administration de la Caisse Nationale d'Assurance Maladie des Travailleurs Salariés (CNAMTS) ;
Après avoir entendu Monsieur André PERDRIAU en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que la Caisse Nationale d'Assurance Maladie des Travailleurs Salariés (CNAMTS) a saisi la Commission Nationale de l'Informatique et des Libertés d'une demande d'avis relative à la mise en place d'un traitement automatisé d'informations nominatives dénommé IRIS ;
Considérant que ce traitement a pour finalité les échanges d'informations relatifs à la facturation des prestations entre les caisses primaires d'assurance maladie et caisses générales de sécurité sociale et les partenaires de santé, qu'il s'agisse de praticiens ou d'établissements de soins ;
Considérant qu'il prend en compte à la fois les informations envoyées par le partenaire de santé à la caisse et celles que celle-ci transmet en retour au même partenaire de santé ;
Que dans ces conditions le traitement IRIS permet de réceptionner les informations inscrites sur la facture papier en provenance des partenaires de santé, d'effectuer la tarification, l'ordonnancement et les contrôles comptables, d'alimenter le système de liquidation des prestations afin d'assurer la mise en paiement des factures, et enfin de retourner à l'émetteur les renseignements concernant le paiement de ses frais ;
Considérant qu'à terme le système IRIS a vocation à s'appliquer systématiquement, qu'une dispense d'avance des frais soit consentie ou non à l'assuré ;
Considérant que les informations échangées, y compris le numéro d'inscription au répertoire des personnes physiques, sont adéquates, pertinentes et non excessives par rapport à la finalité poursuivie, en ce qu'elles sont identiques à celles inscrites sur les feuilles de soins ou sur les autres pièces réglementaires habituellement transmises aux caisses ;
Considérant que les normes de transmission utilisées pour mener à bien ces échanges sont d'ores et déjà adaptées au codage des actes en nature et à l'enregistrement de l'identification des médicaments, mais qu'en l'état actuel des textes applicables l'utilisation de ces codes ne saurait être autorisée dans le cadre d'IRIS ;
Considérant que le système IRIS, compte tenu du fait qu'il permet également des liaisons avec les organismes complémentaires qui assurent le paiement d'une partie des prestations versées aux partenaires de santé ou aux assurés devra faire l'objet de demandes d'avis propres à cette autre finalité ;
Considérant que les sécurités applicables aux transmissions d'informations sont satisfaisantes, en ce que celles-ci sont d'une part normalisées et d'autre part identifiées quant à leur émetteur et à leur contenu ;
Considérant que parfois les renseignements transmis par le partenaire de santé à la caisse peuvent transiter par un organisme tiers ayant la qualité technique de concentrateur ;
Que dans ce cas cet organisme a pour mission de centraliser les envois en provenance des professionnels ou établissements de santé et d'effectuer le routage des différents flux vers les destinataires finaux, c'est-à-dire les caisses de sécurité sociale et de procéder à l'identique dans le sens retour ;
Qu'il apparaît indispensable, eu égard au caractère sensible des informations manipulées, que ces organismes n'assurent aucun traitement particulier pour leur propre compte, n'effectuent ni enrichissement, ni consultation, hormis celle rendue nécessaire par la maintenance des matériels utilisés, ni cession des informations reçues des partenaires de santé ;
Qu'il apparaît également indispensable que toute trace de ces informations disparaisse dès que leur envoi à la caisse gestionnaire est opéré ;
Considérant que le droit d'accès aux informations nominatives les concernant pourra être exercé par les assurés ainsi que par les partenaires de santé auprès du directeur de la caisse gestionnaire de leurs dossiers et de leurs droits ;
Considérant que les caisses primaires et les caisses générales de sécurité sociale qui désireraient mettre en oeuvre ces échanges devront au préalable adresser à la Commission une déclaration simplifiée de référence à ce modèle accompagnée d'un engagement de conformité à celui-ci ;
Considérant enfin que bien qu'il s'agisse d'un système commun à l'ensemble des régimes obligatoires d'assurance maladie, chacun des organismes nationaux en charge de l'un de ces régimes, y compris les régimes spéciaux, aura, comme l'a fait la CNAMTS, à saisir la Commission d'une demande d'avis préalablement à sa mise en oeuvre ;
Demande que l'acte réglementaire de la CNAMTS soit complété par l'indication que les organismes tiers auxquels les partenaires de santé pourraient avoir recours pour assurer la transmission des informations en cause seront assujettis aux obligations définies ci-dessus ;
Emet, sous cette réserve, un avis favorable à la mise en oeuvre, par les caisses primaires d'assurance maladie et par les caisses centrales de sécurité sociale du traitement "IRIS".
LE PRESIDENT Jacques FAUVET