La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I,5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée ;
Après avoir entendu Mme Anne DEBET, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L'Institut de recherche et de documentation en économie de la santé (IRDES) a saisi la Commission nationale de l'informatique et des libertés d'un dossier relatif à la création d'une base de données permettant de développer une meilleure connaissance statistique des facteurs conjoncturels et structurels associés aux indemnités journalières et aux consommations de soins en lien avec les arrêts de travail.
Au terme d'un appel d'offre, l'IRDES a été retenu par la Direction de la Recherche, des Etudes, de l'Evaluation et des Statistiques du ministère de la santé et de la protection sociale (DRESS) pour réaliser une étude portant sur l'analyse des arrêts de travail des salariés du secteur privé, en lien avec la nature et la spécificité des entreprises concernées.  Une attention particulière sera portée sur les salariés de plus de 50 ans, les accidents de travail et les maladies professionnelles comme composants des indemnités journalières.
L'échantillon nécessaire à l'étude comprendra 600 000 assurés sociaux qui sont, ou ont été, salariés du secteur privé, que ces personnes aient ou non été en arrêt de travail durant la période considérée.
La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-1, 5° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés ayant pour objet l'interconnexion de fichiers relevant d'une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents.
En effet, la base de données sera constituée par le croisement des données issues de deux systèmes d'informations existants, le système national de gestion des carrières (SNGC) géré par la CNAVTS et le système d'information inter-régimes de l'assurance maladie (SNIIRAM) géré par la CNAMTS.
La CNAVTS constituera l'échantillon issu du système national de gestion des carrières et transmettra à l'IRDES les données relatives aux caractéristiques de la carrière du salarié (durée de la carrière, salaire, conditions d'emploi (temps complet, temps partiel)...) et de l'établissement employeur (n° SIRET, code NAF de l'établissement correspondant au type d'activité, masse salariale, taille).  Elle transmettra également à la CNAMTS, les données relatives à l'identité des salariés sélectionnés (NIR, date de naissance, sexe) préalablement transcodées à l'aide d'un algorithme de hachage ne permettant pas de retrouver l'identité des personnes, ainsi que le numéro SIRET des entreprises employeurs.  La CNAMTS effectuera sur ces données l'appariement du fichier de la CNAVTS avec le SNIRAM.
Seront ainsi étudiées, à partir du SNIRAM, pour chaque personne désignée, quatre catégories d'informations pour les années 2004 et 2005 :
-les prestations en espèce,
- les caractéristiques générales du bénéficiaire (âge, sexe, département de naissance, régime d'assurance maladie dont l'existence de droits particuliers),
- la consommation de soins sous forme de données agrégées,
- les informations relatives aux établissements (taux de cotisation au titre des accidents du travail et maladies professionnelles et du nombre d'indemnités journalières pour arrêts de travail et maladies professionnelles).
Le responsable de l'étude à l'IRDES appliquera dès réception des fichiers communiqués par la CNAVTS et par la CNAMTS un second niveau de transcodage. L'IRDES ne disposera plus que de l'âge, du sexe et du département d'origine des 600 000 salariés concernés.
Dans la mesure où les données feront l'objet, dés le début du traitement, d'une procédure de transcodage ne permettant plus de les associer à l'identité d'un individu, elles seront "conservées sous une forme excluant manifestement tout risque d'atteinte à la vie privée des personnes concernées et pendant une durée n'excédant pas celle nécessaire aux seules finalités d'établissement des statistiques...". Dès lors, la Commission considère qu'il peut être dérogé à l'exercice du droit d'accès, conformément aux dispositions de l'article 39, II, dernier alinéa de la loi du 6 janvier 1978 modifiée.
Les mesures de sécurité adoptées pendant la phase de création de la base pour assurer la confidentialité des données et leur transmission aux seuls destinataires habilités, conçues par la CNAMTS, sont satisfaisantes.  Le transcodage des données, en particulier, est garanti par un double algorithme de hachage irréversible, déjà connu de la CNIL et validé par elle.
Dans ces conditions, la Commission autorise l'IRDES à créer une base de données permettant de développer une meilleure connaissance statistique des facteurs conjoncturels et structurels associés aux indemnités journalières et aux consommations de soins associées aux arrêts de travail.
Le Président, Alex TURK.