Délibération n°2012-119 du 19 avril 2012 autorisant l’extension du périmètre d’un traitement de données à caractère personnel  mis en œuvre par la Caisse nationale d’assurance maladie des travailleurs salariés ayant pour finalité la mise sous accord préalable (MSAP) de prestations d’hospitalisation liées ou non à des actes de chirurgie ambulatoire et pour des actes de la classification communes des actes médicaux (autorisation n°1300031v1)

Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie par la CNAMTS d'une demande d'extension du périmètre d'un traitement de données à caractère personnel  mis en œuvre par la Caisse nationale d'assurance maladie des travailleurs salariés ayant pour finalité la mise sous accord préalable (MSAP) de prestations d'hospitalisation liées ou non à des actes de chirurgie ambulatoire et pour des actes de la classification communes des actes médicaux ; 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale, et notamment son article L. 162-1-17 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, et notamment ses articles 8-IV et 25-I-1° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié;
Vu la délibération n°2008-202 du 17 juillet 2008 autorisant la mise en œuvre par la Caisse nationale d'assurance maladie des travailleurs salariés d'un traitement automatisé de données à caractère personnel ayant pour finalité la mise sous accord préalable (MSAP) de prestations d'hospitalisation pour des actes de chirurgie ambulatoire ;
Vu le dossier et ses compléments ; 
Sur le rapport de M. Jean MASSOT, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La Caisse nationale d'assurance maladie des travailleurs salariés (CNAMTS)
Sur les finalités 
La Commission, par la délibération n°2008-202 du 17 juillet 2008 a autorisé la CNAMTS à mettre en œuvre un traitement de données ayant pour finalité la mise sous accord préalable (MSAP) de prestations d'hospitalisation pour des actes de chirurgie ambulatoire. 
La demande présentée concerne l'extension du champ d'application de l'autorisation précitée à des actes hors chirurgie ambulatoire (comprenant d'autres prestations d'hospitalisation et d'autres actes relevant de la classification commune des actes médicaux, CCAM) et des actes de soins de suite et de réadaptation (SSR). 
La Commission considère qu'il y a lieu de faire application des articles 8-IV et 25-I, 1° de la loi n°78-17 du 6 janvier 1978 modifiée, qui soumettent à la procédure de l'autorisation les traitements de données de santé qui sont justifiés, comme en l'espèce, par un intérêt de santé publique. 
L'article L. 162-1-17 du code de la sécurité sociale prévoit que sur proposition du directeur de l'organisme local d'assurance maladie, la commission exécutive de l'agence régionale de santé (ARS) après mise en œuvre d'une procédure contradictoire, peut décider de subordonner à l'accord préalable du service du contrôle médical de l'organisme de sécurité sociale, pour une durée ne pouvant pas excéder six mois, la prise en charge par l'assurance maladie de prestations d'hospitalisation.
La MSAP concerne les prestations d'hospitalisation donnant lieu à une prise en charge par les régimes obligatoires de sécurité sociale et les actes relevant de la CCAM. 
Les nouvelles actions proposées par la CNAMTS porteront notamment sur les prestations suivantes, d'une part, les actes de chirurgie bariatrique, les actes de chirurgie réparatrice et reconstructive, et d'autre part, les hospitalisations de jour en médecine pour bilan diabétique et les actes ouvrant droit à un forfait Sécurité Environnement, réalisé en hospitalisation de jour. 
La procédure de MSAP est précédée d'une procédure contradictoire entre l'établissement et l'ARS puis elle associe l'établissement, la CPAM concernée, le service médical et l'assuré.
Les étapes de la procédure sont les suivantes :
- Prise en charge par la plate forme de services de la CPAM de l'appel du professionnel de santé de l'établissement mis sous accord préalable. La CPAM transfère l'appel vers le service médical.
- Le technicien du service médical déroule par téléphone un questionnaire médico-social pour accepter ou non l'hospitalisation.
- Si les conditions d'un refus sont réunies, le technicien transmet le questionnaire renseigné à un médecin conseil qui après étude contactera l'interlocuteur pour donner son avis.
- Le médecin conseil informe le service administratif (pôle gestion des droits de la CPAM) de son avis. Ce dernier confirme la décision à l'établissement et la notifie à l'assuré par courrier puis renseigne un tableau de suivi des demandes, partagé avec le service médical.
- Une visite de contrôle de l'établissement est effectuée par le médecin conseil qui remplit un tableau de contrôle sur site.
Les finalités de ce traitement de données à caractère personnel poursuivent un objectif de santé publique  et d'équilibre des finances publiques. 
Sur les données traitées
Les catégories de données provenant du questionnaire médico-social conservées par le service médical : nom de l'établissement, nom et téléphone du praticien et de l'anesthésiste, identité de l'assuré et du bénéficiaire des soins, date de naissance, NIR, acte chirurgical prévu, présence ou non d'une affection de longue durée, date d'intervention, critères sociaux renseignant sur les conditions de retour au domicile post opératoire du patient.
Les catégories de données renseignées dans le tableau de suivi partagé entre la CPAM et le service médical : NIR du bénéficiaire, identité, date de naissance, n° FINESS et nom de l'établissement, date de l'intervention, date et nature de la décision du service médical, présence ou non de contestation, révision de la décision suite à des complications.
Les catégories de données renseignées dans le tableau de contrôle du service médical transmis à la CPAM : identité de l'assuré et du bénéficiaire des soins, NIR, date de prise de décision de l'intervention, date d'intervention, date d'entrée, date de sortie, groupe homogène de sortie, avis du service du contrôle médical, avis suivi par l'établissement.
Les catégories de données utilisées pour le contrôle a posteriori : NIR de l'assuré et du bénéficiaire, montants des prestations remboursées, date d'entrée et de sortie, les références du paiement.
La Commission considère que les données sont adéquates, pertinentes et non excessives au regard des finalités du traitement.
Sur les destinataires
Les destinataires des informations résultant du traitement sont les médecins-conseils et les techniciens habilités du service médical et des CPAM, pôle gestion des droits et pôle établissement.
Sur l'information et le droit d'accès
L'information, le droit d'accès et les modalités d'exercice sont précisés sur le site internet de l'assurance maladie et par voie d'affichage dans les locaux. 
Le droit d'accès s'exerce auprès du directeur de la CPAM concernée et de l'échelon local du service médical.
L'établissement est informé par courriel de la décision.
Un courrier notifie à l'assuré la décision du service médical accompagné, en cas de refus d'hospitalisation complète, d'une brochure pédagogique sur la chirurgie ambulatoire.
La Commission prend acte de ce que la CNAMTS répond en cela aux exigences de l'article 32 de la loi n°78-17 du 6 janvier 1978 modifiée. 
Sur les mesures de sécurité
Un contrôle d'accès à l'application est mis en place, le réseau est protégé des intrusions extérieures et les données traitées font l'objet de protections particulières.
La Commission considère que les mesures de sécurité mises en place sont satisfaisantes. 
Sur les autres caractéristiques du traitement
Les données sont conservées pendant 3 ans à l'issue de la période de mise sous accord préalable, excepté les données issues des requêtes SIAM ERASME dont la conservation peut être prolongée jusqu'à l'expiration des délais de recours en cas de procédure contentieuse.
Cette durée de conservation des données traitées est proportionnée au regard des finalités poursuivies par le traitement, conformément aux dispositions de l'article 6-2° de la loi n°78-17 du 6 janvier 1978 modifiée. 
Autorise, conformément à la présente délibération, la Caisse nationale d'assurance maladie des travailleurs salariés à mettre en œuvre le traitement susmentionné. 
                                                                       La Présidente
                                                                       
Isabelle FALQUE PIERROTIN