La Commission Nationale de l'Informatique et des Libertés,    Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;    Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment ses articles 2, 3, 15, 19, 27, 34 et 40 ;    Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;    Vu l'article 378 du Code pénal ;    Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application des chapitres I à IV et VII de la loi du 6 janvier 1978 ;    Vu l'ordonnance n° 67-706 du 21 août 1967 relative à l'organisation de la sécurité sociale, ainsi que le décret d'application n° 67-1232 du 22 décembre 1967, modifié par le décret n° 69-14 du 6 janvier 1969 ;    Vu le décret n° 68-401 du 30 avril 1968 modifié par le décret n° 80-901 du 17 novembre 1980 ;    Vu le décret n° 84-1042 du 28 novembre 1984 ;    Vu le décret n° 85-420 du 3 avril 1985 relatif à l'utilisation du Répertoire National d'Identification des Personnes Physiques par des organismes de sécurité sociale et de prévoyance ;    Vu l'arrêté du 2 février 1978 modifiant certaines dispositions relatives au contrôle médical du régime général de la sécurité sociale ;    Vu la délibération n° 85-07 du 19 février 1985, portant recommandation sur les traitements automatisés d'informations médicales nominatives utilisées à des fins de recherche médicale ;    Vu la délibération n° 85-24 du 25 juin 1985 portant avis sur l'expérimentation du système MEDICIS ;    Vu le projet d'acte réglementaire présenté par le Directeur de la Caisse Nationale d'Assurance Maladie des Travailleurs Salariés ;    Après avoir entendu Monsieur Gérard JAQUET en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Sur les finalités du système :    Considérant que, par délibération n° 85-24 du 25 juin 1985, la Commission a émis un avis favorable sur l'expérimentation du système MEDICIS dans 4 services médicaux de caisses primaires d'assurance maladie ;    Considérant qu'il résulte du bilan de l'expérience communiquée à la CNIL, que ce système a consisté essentiellement à assurer l'informatisation des dossiers médicaux et n'a pas été utilisé pour produire des statistiques épidémiologiques et pour réaliser des contrôles sélectifs auprès des professionnels de santé ; que les mesures d'information individuelles des praticiens et assurés, prescrites par la CNIL ont été appliquées ;    Considérant que la CNIL est saisie par la Caisse Nationale d'Assurance Maladie d'une demande de généralisation du système MEDICIS mis en oeuvre auprès de l'ensemble des services médicaux des Caisses primaires d'assurance maladie ;    Considérant que ce système a pour finalité d'assurer la gestion des activités de contrôle des services médicaux, par la tenue en temps réel des dossiers médicaux des malades et l'édition des avis techniques destinés aux services administratifs des caisses ;    Considérant que l'exploitation statistique de ces dossiers médicaux et des données issues du fichier des assurés et des décomptes détenus par les caisses, doit permettre d'améliorer la connaissance du système de distribution de soins et de contribuer à une maîtrise plus complète des dépenses de santé ;    Considérant que ces statistiques, lorsqu'elles sont le résultat de contrôles sélectifs décidés selon des programmes établis ponctuellement par les services médicaux, en concertation avec les Directeurs des caisses, conduisent à déceler éventuellement le comportement inhabituel des assurés et des médecins dans leur activité de soins ;    Considérant que l'établissement de ces statistiques, lorsqu'elles sont nominatives, doit être conforme aux dispositions protectrices des libertés de la loi du 6 janvier 1978 ;    Considérant ainsi que ces contrôles sélectifs, lorsqu'ils portent sur un prescripteur ou un assuré, ne contreviennent pas aux dispositions de l'article 2 de la loi du 6 janvier 1978, dans la mesure où ils ne constituent qu'un élément parmi d'autres de la décision que la Caisse est éventuellement conduite à prendre à l'encontre de l'intéressé ;    Considérant cependant que, en application des dispositions de l'article 3 de la loi du 6 janvier 1978, les praticiens et assurés concernés ont le droit de connaître et de contester les informations et les raisonnements utilisés dans les procédures de contrôle sélectif dont les résultats leur sont opposés ;
Considérant, en outre, que les critères, programmes et résultats de contrôles sélectifs doivent être portés à la connaissance des comités médicaux paritaires locaux institués par la Convention Nationale organisant les rapports entre médecins et caisses de sécurité sociale ;    Considérant que toute autre forme d'études statistiques qui ne répondrait pas aux missions législatives et réglementaires de contrôle, imparties aux services médicaux des caisses ne peut être entreprise sans que les praticiens traitants et malades concernés en aient été informés individuellement et aient pu exprimer leur consentement ou sans envisager une dérogation au secret professionnel dès lors que le malade est tenu dans l'ignorance de son état, ceci conformément à la recommandation précitée du 19 février 1985 ;    Considérant qu'il en est ainsi notamment lorsque ces études consistent en l'exploitation à des fins épidémiologiques de données médicales qui, pour certaines, ne sont pas collectées dans le strict exercice de l'activité de contrôle médical ;    Considérant que ces traitements dès lors qu'ils portent sur des données nominatives, doivent être conformes aux dispositions protectrices des libertés de la loi du 6 janvier 1978 et en particulier à l'article 15 qui prescrit un contrôle préalable de la Commission ; qu'il devra en être fait mention à l'article 4 du projet d'acte réglementaire ;    Considérant, en outre, qu'il importe que les comités médicaux paritaires locaux aient connaissance des thèmes et résultats des études épidémiologiques ainsi entreprises ;    Considérant que l'accès des médecins conseils aux dossiers médicaux hospitaliers, prévu en application du décret du 28 novembre 1984, doit être réalisé en concertation avec le médecin chef de service, ne peut être que ponctuel et motivé, ne doit porter que sur des données individuelles et ne pas aboutir à la transmission de fichiers ou à l'organisation d'interconnexion ;
Sur la nature des informations enregistrées :    Considérant que l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques, conçu comme identifiant d'accès au dossier médical de l'assuré et comme moyen de correspondre avec les services administratifs de la Caisse, s'inscrit dans le cadre des missions pour lesquelles les organismes de sécurité sociale ont été autorisés par décret à faire usage du répertoire ;    Considérant cependant, que les statistiques anonymes qui seront produites ne devront en aucune façon faire mention du numéro d'inscription au répertoire ;    Considérant en outre, que les informations du praticien conseil ayant rendu l'avis, ne sont utilisées qu'en vue de gérer l'activité du service, faciliter la réception des assurés et à établir le rapport d'activité du service médical et ne doivent servir, en aucun cas, à des fins de contrôle individuel de leur activité ;
Sur la confidentialité des informations :    Considérant que ce traitement est mis en oeuvre sur des miniordinateurs reliés par lignes spécialisées et des terminaux accessibles qu'aux praticiens conseils et agents autorisés par ces derniers, titulaires à cet effet de cartes à mémoire ;    Considérant que les données transmises feront l'objet d'un cryptage ; que les liaisons instituées avec les services administratifs des caisses, via les centres informatiques s'effectueront à l'initiative des services médicaux et en utilisant des lignes spécialisées ;    Sur l'information préalable des intéressés :    Considérant que le droit d'accès constitue l'une des garanties essentielles de la protection des individus ; qu'en conséquence, l'existence et les modalités d'exercice de ce droit, telles que prévues aux articles 34 et 40 de la loi du 6 janvier 1978, doivent être portées expressément à la connaissance des assurés et praticiens concernés ;
EMET, sous les réserves précitées, un AVIS FAVORABLE à la généralisation du système MEDICIS ;    DEMANDE à être saisie :    . des mesures d'information des praticiens et assurés,    . d'un rapport sur les résultats globaux des contrôles sélectifs effectués.     Le Président, Jacques FAUVET