Délibération n° 2017-161 du 18 mai 2017 autorisant la mise en œuvre par la caisse de prévoyance et de retraite du personnel de la SNCF d’un traitement automatisé de données à caractère personnel ayant pour finalité de permettre aux médecins d’accéder à l’historique des remboursements de leurs adhérents (Demande d’autorisation n° 1534927)
Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie par la caisse de prévoyance et de retraite du personnel de la SNCF d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de permettre aux médecins d’accéder à l’historique des remboursements de leurs adhérents ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale, notamment son article L. 162-4-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n°2006-143 du 9 février 2006 relatif aux modalités d’accès des médecins aux données relatives aux prestations servies aux bénéficiaires de l’assurance maladie et modifiant le code de la sécurité sociale ;
Vu la délibération n°2005-046 de la Commission nationale de l'informatique et des libertés du 15 mars 2005 portant avis sur un projet de décret en Conseil d’État fixant les modalités selon lesquelles les médecins ont accès aux données relatives aux prestations servies aux bénéficiaires de l’assurance maladie modifiant le code de la sécurité sociale ;
Vu la délibération n° 2007-194 de la Commission nationale de l'informatique et des libertés du 10 juillet 2007 autorisant la mise en place généralisée par la Caisse nationale d’assurance maladie des travailleurs salariés d’un traitement permettant aux médecins d’accéder aux données relatives aux prestations servies aux bénéficiaires de l’assurance maladie ; 
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La caisse de prévoyance et de retraite du personnel de la SNCF (CPRPSNCF) à Marseille.
Sur la finalité
Le traitement a pour finalité de permettre aux médecins, en application de l’article L. 162-4-3 du code de la sécurité sociale, à l’occasion des soins qu’ils délivrent, de consulter l’historique des remboursements effectués par la CPRPSNCF.
La Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS) est chargée du développement technique du dispositif et de la mise en œuvre d’un portail inter-régime sécurisé permettant un accès aux serveurs des organismes des différents régimes d’assurance maladie obligatoire (délibération de la CNIL n° 2007-194 du 10 juillet 2007).
Le dispositif assure un accès au relevé des remboursements et prises en charge de chaque bénéficiaire de façon individualisée dans les conditions définies par la délibération précitée.
L’historique des remboursements porte sur la période de douze mois précédant la consultation conformément à l’article R. 162-1-11 du code de la sécurité sociale.
Sur les données traitées
Les données traitées sont conformes à celles définies par l’article R. 162-1-11 du code de la sécurité sociale : données relatives au bénéficiaire de l'assurance maladie, aux soins et prestations donnant lieu à remboursement, aux médicaments remboursés, aux dispositifs médicaux et produits remboursés, aux frais de transports, aux indemnités, allocations journalières et prestations supplémentaires versées et aux affections de longue durée.
La dématérialisation du protocole de soins fera l’objet d’une autorisation distincte soumise à la Commission.
Sur les destinataires
Les médecins, à l’occasion des soins qu’ils délivrent à leurs patients et en présence de ces derniers.
Sur l’information et le droit d’accès
La CPRPSNCF informera ses assurés par :
l’insertion d’une mention d’information sur le décompte de remboursements ;
la diffusion d’information sur son site web.
Les médecins informeront leurs patients au moyen d’un support (affichette) visible dans leur cabinet.
Cette information devra clairement indiquer que, conformément aux dispositions de l’article R. 162-1-12 du code de la sécurité sociale, l’accord se matérialise par la remise de la carte Vitale, les catégories de données de données consultables et l’absence de conséquences financières en cas de refus d’utilisation du dispositif.
Sur les mesures de sécurité
Les liaisons entre le portail et le serveur de la CPRPSNCF reposent sur l’utilisation de réseaux de communications sécurisés au moyen d’une solution d’authentification reposant sur un mécanisme de jeton sécurisé pour assurer le transport des données.
Un dispositif de journalisation des connexions est mis en œuvre.
Autorise, conformément à la présente délibération, la caisse de prévoyance et de retraite du personnel de la SNCF à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS