(Saisine n° 10004020 et demande d'avis n° 1420925)
 La Commission nationale de l'informatique et des libertés,
 Saisie pour avis par le ministère du travail, des relations sociales, de la famille, de la solidarité et de la ville d'un projet de décret en Conseil d'Etat portant création d'un traitement de données à caractère personnel relatif au contrôle à titre expérimental des arrêts maladie des fonctionnaires et sur la mise en œuvre du dispositif,
 Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
 Vu le code de la sécurité sociale, et notamment ses articles L. 315-1 et suivants ;
 Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée en 2004, et notamment son article 27-I (1°) ;
 Vu la loi n° 84-16 du 11 janvier 1984 portant dispositions statutaires relatives à la fonction publique de l'Etat, et notamment son article 2 ;
 Vu la loi n° 2009-1646 du 24 décembre 2009 de financement de la sécurité sociale pour 2010, et notamment son article 91 ;
 Vu le décret n° 86-442 du 14 mars 1986 relatif à la désignation des médecins agréés, à l'organisation des comités médicaux et des commissions de réforme, aux conditions d'aptitude physique pour l'admission aux emplois publics et au régime de congés de maladie des fonctionnaires ;
 Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié en 2007 ;
 Sur le rapport de M. Jean Massot, commissaire, et les observations de Mme Elisabeth Rolin, commissaire du Gouvernement,
     Emet l'avis suivant :
 L'article 91 de la loi n° 2009-1646 du 24 décembre 2009 de financement de la sécurité sociale pour 2010 prévoit de confier à titre expérimental pendant deux ans le contrôle des arrêts maladie des fonctionnaires aux caisses primaires d'assurance maladie (CPAM) et aux services du contrôle médical placés près d'elles.
 La commission a été saisie par le ministère du travail, des relations sociales, de la famille, de la solidarité et de la ville d'un projet de décret en Conseil d'Etat portant création d'un traitement de données à caractère personnel relatif à ce contrôle et d'un dossier de formalités déposé par la Caisse nationale de l'assurance maladie des travailleurs salariés (CNAMTS) pour la mise en œuvre du traitement.
 Conformément à l'article 27-I (1°) de la loi du 6 janvier 1978 modifiée, la commission est saisie pour avis de ce projet de décret en Conseil d'Etat, dans la mesure où le traitement comporte le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (RNIPP) afin d'identifier les fonctionnaires concernés.
 Cette expérimentation s'applique aux agents relevant de la fonction publique d'Etat dans les services déconcentrés situés dans le ressort des CPAM de Clermont-Ferrand, Lyon, Nice, Rennes, Strasbourg/Sélestat/Haguenau. Dans le ressort de la CPAM de Paris, elle s'applique aux seuls agents des services centraux des ministères économiques et financiers.
 Pour les arrêts prescrits à ces agents pour une durée inférieure à six mois consécutifs et n'ouvrant pas droit au régime des congés de longue maladie ou de longue durée, et lorsque ces arrêts sont au nombre de plus de trois sur une période de douze mois ou de plus de quarante-cinq jours, elle porte sur le bien-fondé de ces arrêts. Toutefois, pour les agents des services situés dans le ressort de la CPAM de Lyon, elle s'applique également au contrôle de la présence au domicile pendant les heures de visite.
 Les modalités de mise en œuvre de l'expérimentation sont encadrées par une convention conclue entre le ministre chargé de la sécurité sociale, le ministre chargé de la fonction publique et le directeur général de la CNAMTS qui prévoit également les indicateurs de suivi de l'expérimentation.
 La mise en place de ce dispositif nécessite la création d'un outil dénommé « ADTF » mis à la disposition des caisses, des services du contrôle médical et des administrations concernés par l'expérimentation pour enregistrer et échanger les données nécessaires au suivi et au contrôle des arrêts maladie.
 Chaque fois que l'administration réceptionne un arrêt de travail, elle se connecte à l'outil partagé et saisit l'identité de la personne concernée et les caractéristiques de l'arrêt.
 La caisse et le service du contrôle médical du lieu d'activité du fonctionnaire sont informés du nouvel arrêt de travail. L'outil partagé calcule automatiquement le nombre d'arrêts sur les douze derniers mois, afin de générer un message d'information auprès de la CPAM et du service du contrôle médical concernés portant sur le nombre de jours d'arrêt cumulés des fonctionnaires qui arrivent à quarante-cinq jours consécutifs.
 Le service du contrôle médical organise le contrôle de ces agents et rend un avis (avis favorable, défavorable, « avis technique impossible pour absence à convocation »).
 S'agissant du contrôle de présence au domicile effectué par la CPAM de Lyon, l'avis rendu par le service du contrôle médical prend la forme suivante : présent au domicile, présent au domicile mais refuse le contrôle et la convocation, absent en dehors des horaires autorisés et convocation au service du contrôle médical.
 La date et la nature de la mesure prise par l'administration à la suite du contrôle sont renseignées dans l'outil : mise en demeure de reprendre les fonctions, interruption de la rémunération, retenue d'une partie de la rémunération, avertissement du fonctionnaire pour l'informer qu'il s'expose à un nouveau contrôle.
 Les contestations et recours éventuels sont mentionnés dans l'outil.
 Des statistiques agrégées sont réceptionnées par la CNAMTS puis transmises à la direction de la sécurité sociale et à la direction générale de l'administration et de la fonction publique responsables du suivi de l'expérimentation.
 Les catégories de données traitées sont relatives à l'identité du fonctionnaire, son adresse, son NIR, au régime de l'arrêt de travail, aux informations permettant le suivi et le contrôle des arrêts ainsi qu'à l'évaluation du dispositif, au service dans lequel est affecté l'agent, à la date et à la nature du contrôle opéré, au résultat du contrôle, à la date et à la mesure prise par l'administration à la suite du contrôle, de la contestation ou du recours.
 Les données sont conservées pendant toute la durée de l'expérimentation et l'année qui suit la fin de l'expérimentation. En cas de contentieux, les informations sont conservées jusqu'à une décision de justice devenue définitive.
 Les destinataires des données sont les agents individuellement habilités par les employeurs, par les caisses et les services du contrôle médical.
 Il conviendrait d'indiquer à l'article 3 du projet de décret que les agents habilités par les employeurs sont ceux chargés de la gestion des ressources humaines et pour les caisses et les services du contrôle médical les agents chargés du suivi des dossiers.
 S'agissant des mesures de sécurité mises en œuvre, la commission note que l'application est hébergée au Centre d'exploitation national de Valenciennes. L'accès à l'outil est tracé et s'effectue avec une carte à puce pour les agents de l'assurance maladie et avec un identifiant et un mot de passe d'au moins huit caractères pour les agents habilités par les employeurs.
 Au sein de l'assurance maladie, les agents se connectent à un réseau privé interne. Les échanges d'informations avec les organismes extérieurs sont chiffrés ainsi que les sauvegardes des données.
 L'information des personnes se fera par diffusion, à l'initiative des préfets des départements concernés, d'une note à l'ensemble des agents des services déconcentrés. Il conviendrait de prévoir une mesure analogue pour les agents des services centraux de Paris. La commission prend acte que lorsqu'un agent envoie à son employeur un troisième arrêt maladie en douze mois, l'administration lui envoie un courrier l'informant d'un contrôle dans l'hypothèse d'un quatrième arrêt de travail.
 Les droits d'accès et de rectification s'exercent auprès de l'administration employeur du fonctionnaire.