Le bureau de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004, et notamment ses articles 8-IV, 16 et 25 ;
Vu les dispositions des articles L. 611-4 et R. 611-1 du code de la sécurité sociale relatives à la Caisse nationale d'assurance maladie des travailleurs non salariés des professions non agricoles et celles des articles L. 615-13 et R. 615-55 à R. 615-64 du code précité, relatives au contrôle médical ;
Vu les articles L. 161-29 et R. 115-1 et suivants du code de la sécurité sociale ,
Vu le décret n° 77-347 du 28 mars 1977 modifié par le décret n° 2000-619 du 6 juillet 2000, fixant le statut des praticiens conseils chargés du contrôle médical du régime d'assurance maladie et maternité des travailleurs non salariés des professions non agricoles ;
Vu le décret 80-989 du 8 décembre 1980 relatif au contrôle médical du régime d'assurance maladie des travailleurs non salariés des professions non agricoles modifié ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
Vu la demande d'autorisation d'un traitement présentée par la CANAM, de gestion des fiches médicales et de constitution de statistiques dénommé ARCHIMED dans les services médicaux de chaque caisse mutuelle régionale (CMR) ;
Formule les observations suivantes :
La Commission est saisie par la CANAM d'une application, dénommée ARCHIMED mise en oeuvre par les services médicaux des caisses mutuelles régionales afin de leur permettre d'accomplir leurs missions et en particulier la gestion des fiches médicales des assurés et ayants droit.
Le contrôle médical que les Caisses mutuelles régionales doivent assurer porte sur tous les éléments d'ordre médical qui commandent l'attribution et le service des prestations et notamment sur l'appréciation faite par le médecin traitant de l'état de santé des bénéficiaires du régime, sur les moyens thérapeutiques et les appareillages mis en oeuvre et sur les abus en matière de soins et de tarification. L'application informatique ARCHIMED de gestion des fiches médicales remplacera le traitement INFORMED ayant fait l'objet d'un avis favorable de la CNIL le 6 octobre 1992.
La fiche médicale relative aux assurés et aux bénéficiaires comportera une partie administrative relative à l'identité et une partie médicale contenant les relations de l'assuré avec le contrôle médical, les décisions et les informations médicales utiles à l'exercice du contrôle médical.
La Commission prend acte que le système informatique sera isolé des autres bases de données et que les accès aux données contenues dans ARCHIMED seront tracés. Les mesures de sécurité logiques et physiques sont satisfaisantes.
Le droit d'accès et de rectification défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du service du contrôle médical de la Caisse mutuelle régionale dont dépend l'assuré ou le bénéficiaire.
Les catégories de données à caractère personnel traitées seront relatives à l'identité de l'assuré ou de l'ayant droit, au numéro de sécurité sociale, à la situation familiale de l'assuré, sa situation professionnelle, aux données relatives au rattachement de l'individu, aux données issues du codage des actes et prestations, aux affections, aux avis et décisions du contrôle médical, aux exonérations du ticket modérateur, aux expertises, aux données relatives à l'invalidité, à la gestion des recours, à la caisse vieillesse de rattachement. Elles sont adéquates, pertinentes et non excessives par rapport à la finalité poursuivie par le traitement.
Les destinataires des données seront, dans le cadre de leurs fonctions, les personnels des services médicaux de chaque Caisse mutuelle régionale pour ce qui concerne leurs ressortissants.
Autorise, dans ces conditions, chaque caisse mutuelle régionale à mettre en oeuvre un traitement de gestion des fiches médicales et de constitution de statistiques dénommé ARCHIMED.
Le président, Alex TURK.