La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet pris pour son application ;
Vu l'article 378 du code pénal relatif au secret professionnel ;
Vu l'ordonnance n° 67-706 du 21 août 1967 relative à l'organisation administrative de la sécurité sociale et son décret d'application n° 67-1232 du 27 décembre 1967, modifié ;
Vu les dispositions des articles L. 611-3 et L. 611-4 du code de la sécurité sociale relatives à la Caisse Nationale d'Assurance Maladie des Professions Indépendantes, et aux Caisses Maladie Régionales ;
Vu le décret n° 85-420 du 3 avril 1985, relatif à l'utilisation du Répertoire National d'identification des personnes physiques par des organismes de sécurité sociale et de prévoyance ;
Vu le projet de décision présenté par le conseil d'administration de la Caisse Nationale d'Assurance Maladie des Professions Indépendantes ;
Considérant que la Caisse Nationale d'Assurance Maladie des Professions Indépendantes (CANAM) a saisi la Commission Nationale de l'Informatique et des Libertés d'une demande d'avis relative à la mise en oeuvre d'un traitement automatisé d'informations nominatives dénommé SAGA, pour Système Automatisé de Gestion des Assurés ;
Considérant que ce traitement prend en compte la totalité des opérations de gestion des bénéficiaires du régime d'assurance maladie, accident et maternité des professions indépendantes ;
Considérant que ce traitement permet également le transit des flux d'informations en provenance et à destination d'autres organismes de sécurité sociale ;
Considérant qu'il permet également l'élaboration de statistiques sur les effectifs, les revenus et les cotisations, qui sont nécessaires en particulier à la détermination des dotations de gestion et à la compensation inter-régimes ;
Considérant que le traitement SAGA implique l'utilisation de plusieurs fichiers, dont les deux plus importants concernent respectivement l'identification des bénéficiaires du régime et l'ensemble des opérations d'enregistrement des revenus et de calcul des cotisations ;
Considérant que les informations mémorisées, y compris le numéro national d'inscription au répertoire des personnes physiques, sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie ;
Considérant qu'elles sont conservées durant une période de trois ans après la radiation de l'assuré, que cette durée peut-être portée jusqu'à neuf ans en cas de litige ;
Considérant que le traitement est techniquement mis en oeuvre par les deux centres informatiques régionaux du régime ;
Considérant que les seuls utilisateurs de SAGA sont les caisses maladie régionales (CMR), qui n'ont accès qu'aux seules informations relatives aux bénéficiaires dont elles gèrent les droits ;
Considérant qu'il n'existe aucune autre procédure d'accès aux informations mémorisées, en particulier au niveau de chacun des deux centres informatiques ou au niveau de la CANAM ;
Considérant que l'INSEE et la CNAVTS sont destinataires d'informations relatives à l'identité des assurés à l'occasion des demandes d'immatriculation sollicitées par les CMR ;
Considérant que les organismes gestionnaires des autres régimes obligatoires d'assurance maladie sont destinataires des informations nécessaires à la prise en compte d'un changement de régime ou à la poursuite d'une double activité de l'assuré ;
Considérant que les organismes gestionnaires des droits à l'assurance vieillesse ainsi que les URSSAF sont destinataires, dans le cadre de la procédure de la déclaration commune de revenus, de renseignements relatifs à l'identité et aux revenus de la personne concernée ;
Considérant que les organismes conventionnés reçoivent du traitement SAGA, par bande magnétique ou par télétransmission, toutes les informations dont ils ont besoin pour servir les prestations dues aux bénéficiaires du régime et encaisser les cotisations de ceux-ci ;
Considérant qu'au nombre de ces informations figurent, d'une part la nationalité, d'autre part l'indication de la situation matrimoniale ;
Mais considérant, qu'au regard de la finalité des missions confiées aux organismes conventionnés, il serait excessif que leur soient transmis systématiquement ces deux types de renseignements, dans la seule perspective de leur éventuelle utilisation ;
Qu'ils n'auront donc à leur être communiqués que sur demande motivée de l'organisme gestionnaire, lequel pourra les enregistrer dans son propre traitement, mais ne les y conservera que pendant la durée strictement nécessaire à l'ouverture des droits ;
Considérant que le droit d'accès s'exerce auprès de la CMR de rattachement ;
Considérant que les mesures de consultation interne et de sécurité propres au traitement sont satisfaisantes ;
Considérant qu'il convient que chacun des deux centres informatiques régionaux dispose d'un système permettant, sur instruction du directeur de la CANAM, de rendre inutilisable le fichier et les sauvegardes en cours ;
Considérant que chaque caisse régionale mettant en oeuvre le traitement SAGA devra présenter à la Commission une déclaration simplifiée de référence accompagnée d'un engagement de conformité ;
Emet, sous les réserves ci-dessus mentionnées, un avis favorable à l'utilisation du traitement SAGA.
Le Président, Jacques FAUVET.