Délibération n°2010-375 du 21 octobre 2010 autorisant  la mise en œuvre par la Caisse Primaire d’Assurance Maladie de l’Eure et Loire d’un traitement de données à caractère personnel ayant pour finalité la mise en place d’un applicatif local mutualisé de lutte contre la fraude (Autorisation n°1343884)
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, et notamment ses articles 8-IV et 25-I,1°; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Philippe GOSSELIN, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la Caisse Primaire d’Assurance Maladie de l’Eure-et-Loir à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un applicatif local mutualisé de lutte contre la fraude, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
       Caisse Primaire d’Assurance Maladie de l’Eure-et-Loir (28) 
Finalités
Créer un applicatif local mutualisé ayant pour objectif de créer un portail d’accès à l’ensemble de l’information disponible dans l’organisme concernant les fraudes et abus.
Mettre en place un outil de gestion mutualisé permettant d’avoir une traçabilité des signalements de suspicion de fraudes, fautes et abus et une visibilité des actions faites pour répondre à ce type de comportement (application du plan de lutte contre les fraudes).
Créer un applicatif local mutualisé ayant pour objectif de créer un portail d’accès à l’ensemble de l’information disponible dans l’organisme concernant les fraudes et abus.
Mettre en place un outil de gestion mutualisé permettant d’avoir une traçabilité des signalements de suspicion de fraudes, fautes et abus et une visibilité des actions faites pour répondre à ce type de comportement (application du plan de lutte contre les fraudes).
Données traitées
L’identité de l’auteur du signalement, le motif, les circonstances de détection, le montant éventuel du préjudice.
L’identité de l’auteur présumé de la fraude : données relatives à l’identité de l’assuré, son n° de sécurité sociale, son numéro de pièce d’identité, son adresse.
Pour les professionnels de santé, établissements, fournisseurs et autres prestataires de service : numéro d’identification, catégorie, spécialité, raison sociale, adresse, numéro SIRET des employeurs.
Les données relatives au suivi des actions menées : notification d’indu, transaction, pénalités financières, condamnations ordinales, pénales ou civiles, mesures conventionnelles, signalement au Parquet, classement sans suite.
L’identité de l’auteur du signalement, le motif, les circonstances de détection, le montant éventuel du préjudice.
L’identité de l’auteur présumé de la fraude : données relatives à l’identité de l’assuré, son n° de sécurité sociale, son numéro de pièce d’identité, son adresse.
Pour les professionnels de santé, établissements, fournisseurs et autres prestataires de service : numéro d’identification, catégorie, spécialité, raison sociale, adresse, numéro SIRET des employeurs.
Les données relatives au suivi des actions menées : notification d’indu, transaction, pénalités financières, condamnations ordinales, pénales ou civiles, mesures conventionnelles, signalement au Parquet, classement sans suite.
L’identité de l’auteur du signalement, le motif, les circonstances de détection, le montant éventuel du préjudice.
L’identité de l’auteur présumé de la fraude : données relatives à l’identité de l’assuré, son n° de sécurité sociale, son numéro de pièce d’identité, son adresse.
Pour les professionnels de santé, établissements, fournisseurs et autres prestataires de service : numéro d’identification, catégorie, spécialité, raison sociale, adresse, numéro SIRET des employeurs.
Les données relatives au suivi des actions menées : notification d’indu, transaction, pénalités financières, condamnations ordinales, pénales ou civiles, mesures conventionnelles, signalement au Parquet, classement sans suite.
L’identité de l’auteur du signalement, le motif, les circonstances de détection, le montant éventuel du préjudice.
L’identité de l’auteur présumé de la fraude : données relatives à l’identité de l’assuré, son n° de sécurité sociale, son numéro de pièce d’identité, son adresse.
Pour les professionnels de santé, établissements, fournisseurs et autres prestataires de service : numéro d’identification, catégorie, spécialité, raison sociale, adresse, numéro SIRET des employeurs.
Les données relatives au suivi des actions menées : notification d’indu, transaction, pénalités financières, condamnations ordinales, pénales ou civiles, mesures conventionnelles, signalement au Parquet, classement sans suite.
Destinataires
L’alimentation de la base des signalements est ouverte à l’ensemble des services de la Caisse.
La consultation des données collectées en vue de leur gestion est limitée, en fonction de leurs attributions aux :
cadres des services qui ont effectué le signalement ; ils peuvent accéder aux dossiers qu’ils ont signalés 
personnels habilités des départements de lutte contre la fraude, juridique et contentieux, de la gestion du risque et de la direction.
L’alimentation de la base des signalements est ouverte à l’ensemble des services de la Caisse.
La consultation des données collectées en vue de leur gestion est limitée, en fonction de leurs attributions aux :
cadres des services qui ont effectué le signalement ; ils peuvent accéder aux dossiers qu’ils ont signalés 
personnels habilités des départements de lutte contre la fraude, juridique et contentieux, de la gestion du risque et de la direction.
L’alimentation de la base des signalements est ouverte à l’ensemble des services de la Caisse.
La consultation des données collectées en vue de leur gestion est limitée, en fonction de leurs attributions aux :
cadres des services qui ont effectué le signalement ; ils peuvent accéder aux dossiers qu’ils ont signalés 
personnels habilités des départements de lutte contre la fraude, juridique et contentieux, de la gestion du risque et de la direction.
Information et droit d’accès
Le droit d’accès défini au chapitre V de la loi du 6 janvier 1978 modifiée s’exercera auprès de la CPAM de l’Eure-et-Loir.
Les personnes seront informées de la mise en œuvre du traitement par voie d’affichage.
Le droit d’accès défini au chapitre V de la loi du 6 janvier 1978 modifiée s’exercera auprès de la CPAM de l’Eure-et-Loir.
Les personnes seront informées de la mise en œuvre du traitement par voie d’affichage.
Observations particulières 
Durée de conservation des données : 5 ans. A l’issue de cette période, les données devront être archivées conformément à la règlementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.
Les données concernant les dossiers de signalement pour lesquels l’instruction ne démontrerait pas de fraude doivent être immédiatement détruites.
Durée de conservation des données : 5 ans. A l’issue de cette période, les données devront être archivées conformément à la règlementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.
Les données concernant les dossiers de signalement pour lesquels l’instruction ne démontrerait pas de fraude doivent être immédiatement détruites.
Le Président
Alex TURK