Le bureau de la Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Vu le code de la sécurité sociale et en particulier les articles L. 162-1-14, L. 314-1, L. 377-1 et L. 380-1 ;
Vu la demande d'autorisation présentée par la Caisse primaire d'assurance maladie de la Seine-Saint-Denis tendant à mettre en oeuvre un tableau de suivi des fraudes et anomalies ;
Après avoir entendu Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Caisse primaire d'assurance maladie de la Seine-Saint-Denis a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la création d'un tableau de suivi des fraudes et anomalies.
La Commission considère qu'il y a lieu de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier de l'article 25 de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de santé justifiés par l'intérêt public ainsi que ceux portant sur des données relatives aux infractions et condamnations.
Afin de lutter contre les phénomènes de fraudes qui peuvent venir, soit des assurés sociaux, soit des professionnels de santé, la caisse primaire d'assurance maladie de Seine-Saint-Denis souhaite mettre en place un dispositif lui permettant de détecter les fraudes, de diligenter des contrôles individuels et le cas échéant, d'entreprendre des actions contentieuses.
En application de l'article L. 314-1 du code de la sécurité sociale, lorsque les caisses reçoivent les documents établis pour l'ouverture des prestations, elles vérifient avec l'appui des services médicaux que l'ensemble des conditions auxquelles est subordonnée la prise en charge est rempli, que les actes pratiqués ou les traitements prescrits n'excèdent pas les limites et indications prévus par les textes et respectent les recommandations de bonne pratique cliniques et les références professionnelles et enfin que les dépenses présentées au remboursement ne méconnaissent pas les engagements conventionnels.
Lorsqu'une anomalie est constatée par la caisse ou le service médical, une appréciation des responsabilités respectives de l'assuré ou du professionnel de santé dans l'inobservation des règles est établie. Diverses procédures, prévues dans le code de la sécurité sociale, sont applicables en fonction des irrégularités relevées.
La caisse de Seine-Saint-Denis souhaite pouvoir élaborer un tableau recensant les anomalies concernant les assurés, professionnels de santé et employés du département ayant fait l'objet d'un signalement du Comité d'action contre les fraudes et anomalies (CAFA). Ce Comité, présidé par le directeur adjoint de la caisse, est chargé de détecter les fraudes et les irrégularités graves, de faire diligenter des contrôles individuels et de décider d'actions contentieuses (conventionnelles, ordinales ou pénales).
L'accès, par les personnes habilitées dans le cadre de leurs fonctions et sous l'autorité du directeur de la caisse, au tableau s'effectuera en se connectant sur l'intranet de la caisse puis en s'authentifiant avec une carte à puce agent et un mot de passe.
Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du directeur de la régulation et de l'accès aux soins de la caisse.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité et l'adresse de l'assuré et du professionnel de santé, au numéro de sécurité sociale de l'assuré, le cas échéant son numéro de titre de séjour, au numéro d'identification du professionnel de santé, à l'identification de l'employeur, au motif du signalement et au suivi des actions menées par la caisse. Les données seront conservées trois ans au plus.
Les destinataires des informations seront le directeur général, le directeur général adjoint, les agents de direction, les responsables d'unités de production et de coordination de contrôle, les responsables de pôles d'activité au sein des unités de production de contrôle, le secrétariat du CAFA, le responsable du service contentieux et les agents chargés de l'instruction des dossiers.
Autorise, dans ces conditions, la caisse primaire d'assurance maladie de la Seine-Saint-Denis à mettre en ceuvre un traitement de données à caractère personnel ayant pour finalité la création d'un tableau de suivi des fraudes et anomalies.
Le président, Alex TURK.
