Faits: A. Le 17 mars 2003, A._ a formé recours auprès de la Commission fédérale de la protection des données (ci-après: la commission); il demandait notamment à cette dernière de constater l'illicéité d'une transmission de données médicales entre le médecin-conseil local de son assureur-maladie Helsana Assurances SA (ci-après: Helsana ou la caisse) et le chef du service des médecins-conseils de la caisse à Zurich (ci-après: le service), le Dr C._. Par jugement du 3 juin 2004, la commission a admis le recours sur ce point: la transmission de données au Dr C._ équivalait à une transmission à l'assureur. Par arrêt du 9 mai 2005 (ATF 131 II 413), le Tribunal fédéral a admis le recours de droit administratif formé par Helsana et renvoyé la cause à la commission. Le Dr C._ avait reçu des informations de la part du médecin-conseil local, même si l'on en ignorait la teneur et les modalités. Il y avait lieu de déterminer la fonction et le rôle du Dr C._. Rien n'interdisait que les médecins-conseils de l'assureur soient constitués en service, dont le chef pouvait être appelé à conseiller les médecins-conseils régionaux, mais il y avait lieu de s'assurer que ce service soit doté des locaux et de l'infrastructure (téléphone, système informatique, archives) nécessaires pour assurer son indépendance par rapport à la caisse et prévenir tout flux incontrôlé de données à destination de celle-ci. B. La commission a procédé à des mesures d'instruction, en particulier à l'audition du Dr C._, le 26 septembre 2005; le 21 octobre 2005, Helsana a été invitée à produire des pièces; elle a recouru en vain contre cette ordonnance de production (arrêt 1A.292/2005). Certaines pièces ont été remises à A._ partiellement caviardées, d'autres ont été déclarées confidentielles. La cause a ensuite été transmise au Tribunal administratif fédéral (ci-après: le TAF) qui a procédé à l'audition de trois témoins. Au cours de l'audience du 28 novembre 2007, A._ a maintenu ses conclusions initiales et requis une administration complémentaire de preuves. C. Par arrêt du 7 décembre 2007, le TAF a rejeté le recours. L'instruction avait permis d'établir les faits suivants: les locaux du service médecins-conseils étaient totalement séparés de ceux des autres services d'Helsana; l'accès en était réservé aux collaborateurs du service; le courrier était remis non ouvert par l'assurance et les documents contenant des données personnelles sensibles ne quittaient en principe pas le service. Le service disposait d'un numéro de téléphone distinct; les dossiers médicaux étaient séparés des dossiers gérés par l'administration de la caisse. Les données informatiques se trouvaient sur un disque différent de celui de l'assurance. Les archives étaient également séparées. Le service médecins-conseils disposait d'un personnel indépendant de la caisse. Le Dr C._ ne recevait aucune instruction de la part du département de la clientèle privée auquel il était organiquement subordonné à l'époque de la transmission litigieuse. Il en résultait que l'indépendance du service apparaissait suffisante, du point de vue tant de l'organisation que du personnel, pour éviter tout flux incontrôlé de données; la transmission de données médicales au Dr C._ était donc admissible sous l'angle de la LPD et ne pouvait équivaloir à une transmission à l'assurance. Les offres de preuves complémentaires du recourant (inspection locale, explications détaillées sur le système informatique, production de pièces, auditions de témoins) ont été jugées superflues. D. A._ forme un recours en matière de droit public contre ce dernier arrêt. Il en demande l'annulation, ainsi que la constatation que la transmission du dossier au Dr C._, le 30 octobre 2001, est illicite; subsidiairement, il conclut au renvoi de la cause au TAF pour complément d'instruction. Le TAF renonce à prendre position sur le recours. Helsana Assurances SA conclut au rejet du recours dans la mesure où il est recevable.