La Commission nationale de l'informatique et des libertés,
Saisie de deux demandes d'autorisation déposées conjointement par EDF et par la Caisse nationale d'assurance maladie des travailleurs salariés concernant la mise en oeuvre d'un traitement automatisé de données à caractère personnel dans le cadre de la mise en oeuvre du dispositif de tarification spéciale de l'électricité comme produit de première nécessité.
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;
Vu la loi n° 2000-18 du 10 février 2000 relative à la modernisation et au développement du service public de l'électricité ;
Vu le décret n° 2004-325 du 8 avril 2004 relatif à la tarification spéciale de l'électricité comme produit de première nécessité;
Après avoir entendu Melle Anne Debet, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement en ses observations,
Sur le dispositif présenté :
La CNIL est saisie de deux demandes d'autorisation respectivement déposées par EDF et par la Caisse nationale d'assurance maladie (CNAMTS) relatives à la mise en oeuvre d'un traitement de données à caractère personnel en vue de permettre l'application du tarif social de l'électricité comme produit de première nécessité prévu par la loi n° 2000-108 du 10 février 2000 et dont les modalités d'application sont précisées par le décret n° 2004-325 du 8 avril 2004.
Le bénéfice d'une tarification réduite de l'électricité est ainsi ouvert aux personnes physiques en ayant fait la demande et dont les ressources annuelles du foyer sont inférieures à un plafond de ressources, le montant de la réduction applicable étant déterminé en fonction du nombre de personnes composant le foyer.
Le traitement présenté repose sur la transmission sur une base mensuelle par les organismes d'assurance maladie d'informations relatives aux personnes répondant aux critères fixés (noms, prénoms, date de naissance, adresse et nombre de personnes du foyer) aux distributeurs d'électricité ou à un organisme agissant pour leur compte.
Ces informations seraient, après un tri opéré sur la base du critère de condition de ressources posé par le décret, extraites par les organismes d'assurance maladie des fichiers de gestion des bénéficiaires de la couverture maladie universelle complémentaire (CMU-C).
Serait transmise dans un premier temps une liste comportant tous les bénéficiaires éligibles et, par la suite mensuellement un fichier comportant les coordonnées des personnes ayant bénéficié au cours du mois d'une décision d'ouverture de droit à la CMU-C, qu'il s'agisse d'une première demande ou d'une décision de renouvellement.
Le ou les prestataires retenus seraient ainsi chargés d'assurer notamment la réception des données transmises par les organismes d'assurance maladie, ainsi que l'édition et l'envoi à ces personnes d'une attestation devant être complétée des références de leur contrat de fourniture d'électricité puis renvoyée par elles à leur distributeur d'électricité.
L'information préalable des personnes concernées serait assurée d'une part, par la CNAMTS au moyen de l'actualisation des dépliants d'information destinés aux bénéficiaires de la CMU-C, de l'affichage de la décision créant le traitement dans les locaux des organismes d'assurance maladie accessibles au public et de l'insertion d'une rubrique informative dans les documents accompagnant les notifications de droits à la CMU-C. D'autre part, une mention informative sera également insérée dans les attestations adressées par le prestataire retenu.
Un centre d'appel unique prendrait par ailleurs en charge l'information générale des bénéficiaires sur le dispositif en offrant notamment une aide au remplissage de l'attestation, via un numéro vert spécifique.
Les données seraient conservées pendant une durée égale à douze mois à compter de la date de réception par le prestataire des données transmises par les organismes d'assurance maladie. Elles seraient en outre conservées pendant treize mois à compter de la réception par le prestataire de l'attestation complétée par le bénéficiaire.
Le droit d'accès aux données à caractère personnel, tel que défini au chapitre VII de la loi, s'exercerait respectivement soit auprès de l'agence locale de distribution d'électricité, soit auprès du directeur de la caisse primaire d'assurance maladie ou de la Caisse générale de sécurité sociale.
L'examen des mesures techniques de sécurité prises, dans le cadre du dispositif présenté, par le prestataire ainsi que par la CNAMTS n'appelle pas d'observations particulières.
Formule les observations suivantes :
La Commission estime que les modalités d'organisation du dispositif devraient être améliorées afin de satisfaire pleinement les dispositions de la loi du 6 janvier 1978 modifiée. En effet, la transmission à un prestataire privé par l'ensemble des organismes d'assurance maladie de données issues de leurs fichiers de gestion de la CMU-C a pour effet de créer, en l'absence de justifications considérées comme suffisantes, un fichier national de bénéficiaires de la couverture maladie universelle complémentaire.
La Commission relève également que les données relatives aux bénéficiaires potentiels seraient conservées dans le fichier pendant une durée minimum d'un an, et ce y compris dans le cas où la personne concernée ne souhaite pas bénéficier du dispositif ; que ces données seraient en outre conservées dans le fichier tant que le bénéficiaire procède au renouvellement de ses droits à bénéficier du tarif spécial, conférant ainsi au fichier créé un caractère pérenne.
Dès lors, la création d'un tel fichier national permanent des bénéficiaires de la couverture maladie universelle complémentaire apparaît excessive au regard des finalités poursuivies et ne saurait être admise qu'à titre provisoire et compte tenu de l'intérêt général que présente la mise en oeuvre de ce dispositif d'aide.
La Commission considère à cet égard que doit être examinée une solution alternative assurant l'envoi direct par les organismes de protection sociale des attestations aux bénéficiaires et permettant de satisfaire de façon simple et efficace aux objectifs poursuivis par le législateur tout en garantissant le respect des règles de protection des données.
Autorise à titre provisoire et pour une durée de six mois, compte tenu de l'intérêt général poursuivi par le dispositif, la mise en oeuvre de façon conjointe par EDF et par la Caisse nationale d'assurance maladie des travailleurs salariés de transmissions de données à caractère personnel dans le cadre du dispositif de tarification sociale de l'électricité.
Tout organisme d'assurance maladie ou de distribution d'électricité mettant en oeuvre un traitement de données à caractère personnel à des fins identiques pour permettre le bénéfice de la tarification spéciale de l'électricité comme produit de première nécessité devra faire l'objet, conformément aux dispositions de l'article 25 II de la loi du 6 janvier 1978 modifiée, d'un engagement de conformité à la présente autorisation.

- qu'une solution alternative reposant sur la transmission directe par les organismes d'assurance maladie d'attestations soit examinée ;
- que lui soit présenté, au terme d'un délai de six mois à compter de la présente autorisation un bilan du dispositif mis en oeuvre à titre provisoire et des résultats de l'examen d'une solution alternative ;
- à être saisie à nouveau du dispositif retenu au terme de ce délai.
Le Président, Alex TURK.
Vice-Président Délégué, Guy ROSIER.