La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère du travail, des relations sociales, de la famille, de la solidarité et de la ville d'un projet de décret en Conseil d'Etat portant création d'un traitement de données à caractère personnel relatif au contrôle à titre expérimental des arrêts maladie des personnes relevant des fonctions publiques hospitalière et territoriale et sur la mise en œuvre du dispositif ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale, et notamment ses articles L. 315-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, et notamment son article 27-I (1°) ;
Vu la loi n° 84-16 du 11 janvier 1984 portant dispositions statutaires relatives à la fonction publique de l'Etat, et notamment son article 2 ;
Vu la loi n° 2009-1646 du 24 décembre 2009 de financement de la sécurité sociale pour 2010, et notamment son article 91 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Sur le rapport de M. Jean MASSOT, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement,
Emet l'avis suivant :
L'article 91 de la loi n° 2009-1646 du 24 décembre 2009 de financement de la sécurité sociale pour 2010 prévoit de confier, à titre expérimental pendant deux ans, le contrôle des congés de maladie des personnes relevant des fonctions publiques hospitalière et territoriale aux caisses primaires d'assurance maladie (CPAM) et aux services du contrôle médical placés près d'elles.
La commission a été saisie par le ministère du travail, de l'emploi et de la santé, le ministère du budget, des comptes publics et de la réforme de l'Etat et le ministère des solidarités et de la cohésion sociale d'un projet de décret en Conseil d'Etat portant création d'un traitement de données à caractère personnel relatif à ce contrôle et d'un dossier de formalités déposé par la Caisse nationale d'assurance maladie des travailleurs salariés (CNAMTS) pour la mise en œuvre du traitement.
Conformément à l'article 27-I (1°) de la loi du 6 janvier 1978 modifiée, la commission est saisie pour avis de ce projet de décret en Conseil d'Etat dans la mesure où le traitement comporte le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (RNIPP) afin d'identifier les fonctionnaires concernés.
Cette expérimentation s'applique aux personnes relevant des fonctions publiques hospitalière et territoriale résidant dans le ressort des CPAM et des échelons locaux du contrôle médical placés auprès de celles-ci du Puy-de-Dôme, des Alpes-Maritimes, d'Ille-et-Vilaine et du Bas-Rhin. Dans le ressort de la CPAM du Rhône et de son échelon local du contrôle médical, elle s'applique aux contrôles à domicile des heures de sorties autorisées pour les personnes relevant de la fonction publique territoriale.
La liste des établissements de santé et des collectivités territoriales volontaires et autorisés à participer à l'expérimentation est fixée par arrêté.
Pour les congés maladie prescrits à ces agents pour une durée inférieure à six mois consécutifs et n'ouvrant pas droit au régime des congés de longue maladie ou de longue durée et lorsque ces arrêts sont au nombre de plus de 3 sur une période de douze mois ou de plus de quarante-cinq jours, elle porte sur le bien-fondé de ces arrêts. Toutefois, pour les agents des services situés dans le ressort de la CPAM de Lyon, elle s'applique également au contrôle de la présence au domicile pendant les heures de visite. Les arrêts dus à une maladie professionnelle sont exclus du dispositif.
Les modalités de mise en œuvre de l'expérimentation sont encadrées par une convention conclue entre le ministre chargé de l'organisation des caisses de sécurité sociale, le ministre chargé de la fonction publique, le ministère chargé de la santé et le directeur général de la CNAMTS qui prévoit également les indicateurs de suivi de l'expérimentation.
Ce dispositif utilise l'outil dénommé  ADTF  mis à la disposition des caisses, des services du contrôle médical et des administrations concernés pour enregistrer et échanger les données nécessaires au suivi, au contrôle et à l'évaluation des congés maladie dans le cadre de l'expérimentation.
Chaque fois que l'administration réceptionne un arrêt de travail, elle se connecte à l'outil partagé et saisit l'identité de la personne concernée et les caractéristiques de l'arrêt.
La caisse et le service du contrôle médical du lieu d'activité du fonctionnaire sont informés du nouvel arrêt de travail. L'outil partagé calcule le nombre d'arrêts sur les douze derniers mois, afin de générer un message d'information auprès de la CPAM et du service du contrôle médical concernés portant sur le nombre de jours d'arrêt cumulés des fonctionnaires qui arrivent à quarante-cinq jours consécutifs.
Le service du contrôle médical organise le contrôle de ces agents et rend un avis (avis favorable, défavorable,  avis technique impossible pour absence à convocation ).
S'agissant du contrôle de présence au domicile effectué par la CPAM du Rhône, l'avis rendu par le service du contrôle médical prend la forme suivante :  présent au domicile ,  présent au domicile mais refuse le contrôle et la convocation ,  absent en dehors des horaires autorisés et convocation au service du contrôle médical .
La date et la nature de la mesure prise par l'administration à la suite du contrôle sont renseignées dans l'outil : mise en demeure de reprendre les fonctions, interruption de la rémunération, retenue d'une partie de la rémunération, avertissement du fonctionnaire pour l'informer qu'il s'expose à un nouveau contrôle.
Les contestations et recours éventuels sont mentionnés dans l'outil.
Des statistiques agrégées sont réceptionnées par la CNAMTS puis transmises à la direction de la sécurité sociale et à la direction générale de l'administration et des fonctions publiques responsables du suivi de l'expérimentation.
Les catégories de données traitées sont relatives à l'identité du fonctionnaire, son adresse, son NIR, au régime de l'arrêt de travail, au prescripteur de l'arrêt de travail, aux informations permettant le suivi et le contrôle des arrêts ainsi qu'à l'évaluation du dispositif, au service dans lequel est affecté l'agent, à la date et à la nature du contrôle opéré, au résultat du contrôle, à la date et à la mesure prise par l'administration à la suite du contrôle, de la contestation ou du recours.
Les données sont conservées pendant toute la durée de l'expérimentation et l'année qui suit la fin de l'expérimentation. En cas de contentieux, les informations sont conservées jusqu'à une décision de justice devenue définitive.
Les mises à jour et les consultations ainsi que les traces de ces opérations sont conservées pendant un an à compter de ces opérations.
Les destinataires des données sont les agents individuellement habilités par les autorités compétentes des collectivités territoriales et les établissements concernés, par les caisses et les services du contrôle médical.
Les agents habilités par les employeurs sont ceux chargés de la gestion des ressources humaines et pour les caisses et les services du contrôle médical les agents sont chargés du suivi des dossiers.
S'agissant des mesures de sécurité mises en œuvre, la commission note que l'application est hébergée au centre d'exploitation national de Valenciennes. L'accès à l'outil est tracé et s'effectue avec une carte à puce pour les agents de l'assurance maladie et avec un identifiant et un mot de passe d'au moins 8 caractères pour les agents habilités par les employeurs.
Au sein de l'assurance maladie, les agents se connectent à un réseau privé interne. Les échanges d'informations avec les organismes extérieurs sont chiffrés ainsi que les sauvegardes des données.
L'information des personnes se fera par diffusion, à l'initiative de l'employeur, d'une note à l'ensemble des agents titulaires et stagiaires. Lorsqu'un agent envoie à son employeur un troisième arrêt maladie en douze mois, l'administration lui envoie un courrier l'informant d'un contrôle dans l'hypothèse d'un quatrième arrêt de travail.
Les droits d'accès et de rectification s'exercent auprès du service gestionnaire du fonctionnaire.
Le président,