Faits: A. Le 29 mai 2001, Helsana Assurances SA (ci-après: Helsana) écrivit à son assuré X._ qu'elle entendait désormais restreindre la prise en charge d'un traitement de psychothérapie à une séance par semaine, contre deux jusqu'alors. Cette décision a été contestée par l'assuré. Le 13 septembre 2001, le Dr A._, médecin-conseil d'Helsana, s'est adressé au Dr B._, médecin psychiatre et consultant externe, également médecin-conseil, en lui remettant le dossier de l'assuré afin d'obtenir son avis au sujet de l'indication, du nombre de séances et de la durée des traitements; des cas de ce genre étaient fréquents à Genève, et il convenait d'obtenir une ligne générale. Le dossier de l'assuré a été transmis une seconde fois, vraisemblablement le 15 octobre 2001, le médecin-conseil désirant savoir quelle serait l'issue possible en cas de recours. Le Dr B._ a rendu deux rapports, les 27 septembre et 24 octobre 2001, estimant qu'il n'y avait pas de raison de dépasser le cadre des prestations prévues à l'art. 3 OPAS; l'avis d'un psychiatre francophone devait toutefois être requis. Le 30 octobre 2001, le Dr A._ a également transmis - dans une mesure contestée - des données concernant l'assuré au Dr C._, chef du Service des médecins-conseils d'Helsana. Le 14 janvier 2003, X._ demanda à Helsana de constater l'illicéité des transmissions de son dossier au Dr B._, et de détruire les rapports rendus par celui-ci. L'assureur s'y opposa formellement le 14 février 2003. B. Par acte du 17 mars 2003, X._, a saisi la Commission fédérale de la protection des données (ci-après: la commission) en lui demandant de constater le caractère illicite des transmissions de son dossier aux Dr B._ et C._, et d'ordonner la destruction des rapports du Dr B._. Selon lui, seul un médecin-conseil pouvait avoir accès à son dossier. Par jugement du 3 juin, la commission a partiellement admis le recours: la transmission du dossier au Dr C._ était illicite (ch. 1 du dispositif), car elle équivalait à une transmission à l'assureur, ce que la loi n'autorisait pas; cela pourrait remettre en cause l'indépendance des médecins-conseils envers l'assureur. Les échanges entre médecins-conseils et le chef de leur service devaient rester à un niveau de généralité, sans que cela n'exige la divulgation du dossier médical de certains assurés. Le recours a été rejeté pour le surplus (ch. 2): la transmission du dossier au Dr B._ était licite, car ce dernier pouvait être assimilé à un auxiliaire du médecin-conseil, appelé à se prononcer non seulement sur des questions générales mais aussi sur le cas d'un assuré présentant des difficultés particulières. Exiger un tri préalable ou une anonymisation du dossier n'était pas possible. Les frais ont été mis pour les deux tiers - soit 1300 fr. - à la charge du recourant (ch. 3), et une indemnité de dépens réduite de 700 fr. lui a été allouée (ch. 4). C. X._ forme un recours de droit administratif contre ce jugement; il reprend ses conclusions en constatation du caractère illicite des transmissions de dossier au Dr B._; il demande la destruction de ses deux rapports. Subsidiairement, il demande le renvoi de la cause à la commission afin qu'elle statue à nouveau dans le sens des considérants. Helsana forme elle aussi un recours de droit administratif; elle demande l'annulation du ch. 1 du dispositif du jugement attaqué (illicéité de la transmission du dossier au Dr B._), et des ch. 3 et 4, en ce sens que les frais de jugement sont mis entièrement à la charge du recourant et qu'une indemnité de dépens est allouée à Helsana. La commission renonce à prendre position sur chacun des recours, et se réfère aux considérants de son jugement. Chaque partie conclut au rejet du recours de sa partie adverse. Après un second échange d'écritures, les parties ont maintenu leurs conclusions.