La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée ;
Vu la loi n° 2001-1128 du 30 novembre 2001 portant amélioration de la couverture des non-salariés agricoles contre les accidents du travail et les maladies professionnelles et ses décrets d'application ;
Vu les articles L. 752-16 et L. 752-29 du code rural ;
Vu les articles R. 115-1 et R. 115-2 du code de la sécurité sociale ;
Vu la demande d'autorisation présentée par la Caisse centrale de la mutualité sociale agricole pour la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de la couverture des non-salariés agricoles contre les accidents du travail et les maladies professionnelles.
Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du gouvernement, en ses observations.
Formule les observations suivantes :
La Caisse centrale de la mutualité sociale agricole a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre par les organismes de la mutualité sociale agricole d'un traitement de données à caractère personnel ayant pour finalité la gestion de la couverture des non-salariés agricoles contre les accidents du travail et les maladies professionnelles.
Les caisses départementales ou pluri-départementales de la mutualité sociale agricole couvrent les risques maladie, invalidité, accidents du travail, les maladies professionnelles, l'assurance famille et vieillesse de ses ressortissants.  Elles appellent les cotisations dues au titre de la couverture de ces risques et assurent l'action sanitaire et sociale.
Ce traitement servira, au niveau local, à appeler les cotisations, conformément à la déclaration déjà enregistrée à la CNIL sous le numéro 34646 ainsi qu'à la gestion des prestations accident du travail et des rentes, déclaration enregistrée sous le numéro 38008.
Au niveau national, le traitement permettra d'une part d'établir les tarifs de cotisations dues au titre de l'assurance contre les accidents du travail et les maladies professionnelles des non-salariés agricoles par les différentes catégories d'entreprises ou d'exploitations relevant du régime agricole et d'autre part de définir la politique et les actions de prévention en la matière.
Ainsi, chaque caisse de la mutualité sociale agricole transmettra annuellement à la Caisse centrale de la Mutualité sociale agricole des données anonymisées par le logiciel FOIN, fonction d'occultation des informations nominatives.  Ce procédé d'anonymisation à double niveau produit, pour chaque assuré, un identifiant unique, invariable et qui ne permet plus de l'identifier.
Une licence d'utilisation de FOIN a été concédée par la Caisse nationale d'assurance maladie des travailleurs salariés à la Caisse centrale de la mutualité sociale agricole.
La Commission considère qu'il y a lieu de faire application des dispositions des articles 8-IV et 25 de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements de données de santé justifiés par l'intérêt public.
Les mesures de sécurité tant physiques que logiques mise en oeuvre pour assurer la sécurité des données comportant notamment une procédure d'habilitation des agents, un accès comportant un identifiant et un mot de passe, une traçabilité des connexions, un réseau privé sécurisé, sont satisfaisantes.
Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès de chaque caisse de rattachement pour les informations identifiantes.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité de l'assuré, du bénéficiaire, de la victime, à l'affiliation et au classement dans une catégorie de risque, aux prestations versées et notamment le numéro de rente accident du travail et à la déclaration effectuée.  Les données seront conservées 10 ans.
Les destinataires des informations seront les personnels spécialement habilités au sein de la caisse centrale de la mutualité sociale agricole.
Autorise, dans ces conditions, chaque organisme de la mutualité sociale agricole à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la gestion de la couverture des non-salariés agricoles contre les accidents du travail et les maladies professionnelles.
Le Président, Alex TURK.