La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ensemble le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application des dispositions de la loi précitée ;
Vu le code de la sécurité sociale et, notamment, ses articles L. 161-32 et R. 115-1 et suivants :
Vu l'ordonnance n° 96-345 du 24 avril 1996 relative à la maîtrise médicalisée des dépenses de soins ;
Vu le décret n° 82-103 du 22 janvier 1982 relatif au répertoire national d'identification des personnes physiques ;
Vu la délibération de la CNIL n° 96-061 du 9 juillet 1996 ;
Vu le projet d'arrêté présenté par le ministère du travail et des affaires sociales ;
Après avoir entendu Monsieur Maurice VIENNOIS en son rapport et madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que le ministère du travail et des affaires sociales a saisi la CNIL d'un projet d'arrêté accompagné d'une demande d'avis fixant les modalités de gestion et d'utilisation du répertoire national inter-régimes des bénéficiaires de l'assurance maladie (RNIAM) prévu par l'article L. 161-32 nouveau du code de la sécurité sociale issu de l'article 8 de l'ordonnance du 24 avril 1996 relative à la maîtrise médicalisée des dépenses de soins ;
Considérant que la Commission a émis un avis favorable par délibération n° 96-061 du 9 juillet 1996, sur un projet de décret relatif notamment à l'institution d'un répertoire national inter-régimes des bénéficiaires de l'assurance maladie prévu par l'article L. 161-32 précité ;
Considérant que le projet d'arrêté présenté par le ministère tient lieu d'acte réglementaire pour chacun des organismes concernés mettant en oeuvre les traitements couverts par la mise en place du Répertoire et que ces organismes sont, en conséquence, dispensés d'accomplir des formalités préalables auprès de la CNIL ;
Considérant que ce répertoire a pour finalités de garantir la fiabilité des identifiants des bénéficiaires de l'assurance maladie, d'identifier avec certitude l'organisme qui leur sert les prestations d'assurance maladie, de contribuer aux procédures de délivrance et de mise à jour des nouvelles cartes électroniques de santé, de connaître, le cas échéant, l'organisme d'assurance maladie complémentaire que le bénéficiaire ou son représentant légal désire voir figurer sur sa carte électronique individuelle et de produire des statistiques anonymes à des fins de contrôle ou de dénombrements de bénéficiaires ;
Considérant que la gestion technique a été confiée à la Caisse nationale d'assurance vieillesse des travailleurs salariés (CNAVTS) ;
Considérant que la constitution du RNIAM nécessite le transfert d'informations en provenance respectivement du RNIPP (Répertoire national d'identification des personnes physiques) tenu par l'INSEE et des organismes gérant les régimes de base ; que la CNAVTS procédera à une confrontation de ces informations afin de pouvoir transmettre en retour aux organismes de base les informations certifiées de leurs bénéficiaires accompagnées, le cas échéant, de l'indication d'un autre organisme de rattachement ;
Considérant que dans son fonctionnement habituel, le RNIAM sera interrogé par les organismes de base en cas de demande d'immatriculation d'une personne, en cas de changement d'adresse et/ou de caisse de rattachement, dans le cadre de l'aide médicale afin de préciser l'organisme de rattachement , en cas de connaissance par la caisse du décès de la personne ou de l'information selon laquelle elle n'est plus bénéficiaire de l'assurance maladie ;
Considérant que le RNIAM est, quant à lui, tenu d'informer les organismes de base du décès de l'assuré ou de toute modification de l'état civil des assurés, informations qui lui auront été signalées par l'INSEE ;
Considérant que les organismes d'assurance maladie complémentaires, qui ont la possibilité de demander au Répertoire la certification des éléments d'identification du bénéficiaire en cas de changement d'organisme complémentaire ou de nouvelle adhésion de celui-ci, ne sont pas informés de l'identité des organismes complémentaires preneur ou cédant ;
Considérant que l'arrêté prévoit que les destinataires des informations contenues dans le Répertoire sont les organismes gérant les régimes de base d'assurance maladie même si la demande ne concerne pas un de leurs bénéficiaires, les organismes d'assurance maladie complémentaire dans les conditions précitées et les établissements de santé, par l'intermédiaire d'un organisme de base, afin de faciliter la prise en charge financière du malade qui ignorerait l'organisme dont il relève ou ne serait pas en état de le faire connaître ;
Considérant toutefois que les établissements de santé, qui n'ont pas été mentionnés au titre des destinataires des informations du RNIAM par le projet de décret précédemment soumis à la Commission, ne peuvent être considérés comme autorisés à interroger le Répertoire, fût-ce indirectement, sauf à modifier ledit décret ; qu'en conséquence, le deuxième alinéa de l'article 6 du projet d'arrêté doit être supprimé ;
Considérant que les organismes utilisateurs ne disposent pas d'accès direct en mode transactionnel au RNIAM ce qui constitue une garantie supplémentaire contre les risques de détournement de finalité de ce fichier ;
Considérant que les informations d'identification contenues dans le RNIAM sont supprimées du Répertoire national dans la deuxième année à compter de la date du décès ou de la fin des droits de la personne concernée, ces informations étant transmises au RNIAM par l'INSEE et/ou la caisse de sécurité sociale ;
Considérant que l'étendue de la population couverte par le RNIAM et la nature des informations qui y figurent confèrent à ce traitement, à l'instar du RNIPP, le caractère d'un fichier national d'identification et justifient dès lors que des mesures de sécurité physiques et logiques appropriées soient prises afin de garantir la confidentialité des données et éviter tout risque autorisation détournée ;
Considérant que conformément à l'article 21 3° de la loi du 6 janvier 1978, la CNAVTS organisme gestionnaire du RNIAM, a prévu qu'en cas de circonstances exceptionnelles, des mesures de sécurité appropriés soient prises pouvant aller jusqu'à la destruction des informations du Répertoire ;
Considérant que les assurés sociaux figurant dans le RNIAM peuvent exercer leur droit d'accès et de rectification par l'intermédiaire du directeur de l'organisme leur servant les prestations de base d'assurance maladie ;
Considérant que le droit d'accès et de rectification concernant l'information relative à l'organisme servant les prestations complémentaires s'exerce auprès du directeur de l'organisme d'assurance maladie complémentaire que l'intéressé a choisi de faire figurer sur sa carte électronique individuelle ;
Considérant que le droit de rectification concernant les données d'identification des personnes s'exerce auprès de l'INSEE par l'intermédiaire de l'organisme servant les prestations de base de l'assurance maladie ;
Considérant qu'une information générale sur le RNIAM sera réalisée à l'initiative du ministère du travail et des affaires sociales au moyen d'une campagne de communication nationale prévue pour la mise en oeuvre des différentes mesures prévues au titre de l'ordonnance sur la maîtrise médicalisée des dépenses de soins ;
Considérant que des mesures spécifiques seront mises en oeuvre par les organismes servant les prestations de base de l'assurance maladie obligatoire par l'intermédiaire de différents supports (minitel, dépliants, publications locales...) afin d'informer les personnes concernées de l'existence du RNIAM ;
Considérant que la CNIL devra être destinataire des propositions de messages susceptibles d'être diffusés auprès de leurs assurés ;
Emet un avis favorable au projet d'arrêté et à la demande d'avis présentés par le ministère du travail et des affaires sociales sous réserve que l'article 6 alinéa 2 du projet d'arrêté soit supprimé.
Le Vice-Président Délégué, Louise CADOUX.