La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale et en particulier les articles L. 114-12, L. 162-1-14, L. 314-1, L. 377-1 et L. 380-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, et notamment son article 25-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Philippe GOSSELIN, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la Caisse nationale d’assurance maladie des travailleurs salariés, les caisses régionales, les caisses primaires et les caisses générales de sécurité sociale à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des fraudes et anomalies, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président
Alex TURK
Responsable du traitement
La Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS) et les services médicaux, les caisses régionales (CRAM), les caisses primaires (CPAM), et les caisses générales de sécurité sociale (CGSS)

Mettre en place un dispositif permettant de signaler les fraudes et anomalies des assurés, ayants droits, employeurs, professionnels de santé, fournisseurs et autres prestataires de services, afin de diligenter des contrôles et le cas échéant d’engager des actions contentieuses.
Création d’une base de données des signalements de suspicion de fraudes, et de suivi des fraudes et anomalies afin de coordonner le traitement et le suivi des actions et des décisions par les différents organismes d’assurance maladie. Regrouper l’ensemble des éléments nécessaires au suivi des fraudes présumés.
Constituer un historique des signalements et des actions engagées à la suite de ces signalements (investigations, actions contentieuses, classement).
Données traitées
L’identité de l’auteur du signalement, le motif, les circonstances de la détection, le montant éventuel du préjudice.
L’identité de l’auteur présumé, son numéro de sécurité sociale, son adresse, son numéro de pièce d’identité ou de sa carte de séjour.
Pour les professionnels de santé, établissements, fournisseurs et autres prestataires de service : numéro d’identification, catégorie, spécialité, raison sociale, adresse, numéro SIRET des employeurs.
Les données relatives au suivi des actions menées : notification d’indu, récupération d’indu, transaction, pénalités financières, condamnations ordinales, pénales ou civiles, mesures conventionnelles, signalement au Parquet, classement sans suite.
Destinataires
Les destinataires des données sont le directeur et les agents de direction des organismes ou des services médicaux, les agents des organismes ou services médicaux, soumis au secret professionnel, sous la responsabilité et en fonction des habilitations délivrées par la direction.
Ces informations peuvent être communiquées à la direction et au service compétent d’un autre organisme d’assurance maladie du régime général ou du service médical.
Des statistiques non identifiantes sont élaborées et transmises à la CNAMTS
Information et droit d’accès
Le droit d’accès s’exerce auprès du directeur de la CPAM, du service médical, de la CRAM ou CGSS de rattachement du bénéficiaire, de l’employeur, du professionnel, de l’établissement de santé, du fournisseur ou du prestataire de services concerné. Le droit d’opposition ne s’applique pas à ce traitement.
Caractéristiques particulières du traitement
Les personnes habilitées par la direction de l’organisme accèderont à l’application par un dispositif de carte à puce.
Observations
Les données seront conservées cinq ans après la clôture du dossier.
