La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'Informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet pris pour son application ;
Vu l'article 378 du code pénal relatif au secret professionnel ;
Vu l'ordonnance n° 67-706 du 21 août 1967 relative à l'organisation administrative de la sécurité sociale et son décret d'application n° 67-1232 du 27 décembre 1967, modifié ;
Vu l'article L. 161-28 du code de la sécurité sociale ;
Vu le décret n° 85-420 du 3 avril 1985, relatif à l'utilisation du Répertoire national d'identification des personnes physiques par des organismes de sécurité sociale et de prévoyance ;
Vu la délibération n° 93-053 du 15 juin 1993, relative au traitement IRIS ;
Vu les deux projets d'acte réglementaire présentés par le Conseil d'Administration de la Caisse Nationale d'Assurance Maladie des Travailleurs Salariés ;
Après avoir entendu Monsieur André PERDRIAU en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que la Caisse Nationale d'Assurance Maladie des Travailleurs Salariés (CNAMTS) a saisi la Commission Nationale de l'Informatique et des Libertés d'une demande d'avis relative à la mise en place du deuxième volet du traitement automatisé d'informations nominatives dénommé IRIS ;
Considérant que ce traitement a pour finalité les échanges d'informations entre les organismes complémentaires et les caisses primaires d'assurance maladie et caisses générales de sécurité sociale ;
Considérant que ces échanges s'inscrivent dans le cadre de deux options différentes ;
Considérant que l'option n° 1 consiste en la transmission par la caisse de sécurité sociale de l'image du décompte des prestations à l'organisme complémentaire auprès de qui l'assuré social concerné a souscrit une assurance maladie complémentaire ;
Considérant que l'option n° 2 concerne les cas dans lesquels la caisse de sécurité sociale calcule les remboursements complémentaires, et règle éventuellement les prestations correspondantes, dans le cadre d'une convention de gestion signée à cet effet avec l'organisme complémentaire concerné ;
Considérant que le traitement IRIS prend en compte à la fois les informations envoyées par l'organisme complémentaire à la caisse et celles que celle-ci transmet en retour au même organisme complémentaire ;
Considérant que les informations échangées, y compris le numéro d'inscription au répertoire des personnes physiques, sont adéquates, pertinentes et non excessives par rapport à la finalité poursuivie ;
Considérant que les informations relatives aux caractéristiques du contrat complémentaire, et notamment les différents taux de remboursement applicables, ne sont communiquées à la caisse de sécurité sociale que dans le seul cas où les deux partenaires ont convenu d'appliquer l'option n° 2 ;
Considérant que les sécurités applicables aux transmissions d'informations sont satisfaisantes, en ce que celles-ci sont d'une part normalisées et d'autre part Identifiées quant à leur émetteur et à leur contenu ;
Considérant que les renseignements transmis par l'organisme complémentaire à la caisse peuvent transiter par un organisme tiers ayant la qualité technique de "concentrateur" ;
Que, dans ce cas, ce dernier organisme a pour mission de centraliser les envois en provenance des organismes complémentaires et d'effectuer le routage des différents flux vers les destinataires finaux c'est-à-dire les caisses de sécurité sociale et de procéder pareillement dans le sens retour ;
Qu'il apparaît indispensable, eu égard au caractère sensible des informations en cause, que ces organismes n'assurent aucun traitement particulier pour leur propre compte, n'effectuent ni enrichissement, ni consultation, hormis celle rendue nécessaire par la maintenance des matériels utilisés, ni cession des informations reçues des partenaires de santé ;
Considérant que tout organisme complémentaire peut adhérer au système proposé ;
Considérant que tout assuré peut s'opposer à tout moment et de façon explicite à la mise en oeuvre d'échanges d'informations le concernant, et qu'à cette fin les caisses de sécurité sociale imprimeront, au minimum deux fois par an, un message sur les documents qu'elles éditent ;
Demande aux caisses de sécurité sociale qui auraient connaissance de l'adhésion, pour une même période, d'un assuré à deux organismes complémentaires différents de se rapprocher de l'assuré préalablement à toute transmission d'Informations le concernant, et cela dans le cadre de l'une ou l'autre des deux options ;
Considérant qu'en application des dispositions des articles 37 et 38 de la loi du 6 janvier 1978, les partenaires doivent se tenir mutuellement informés des modifications apportées aux renseignements dont ils disposent à propos d'un assuré social, en particulier sa volonté de ne plus bénéficier des procédures mises en oeuvre ;
Considérant que l'exercice du droit d'opposition ne saurait faire naître des sujétions particulières pour son bénéficiaire, notamment au regard des délais de règlement des prestations obligatoires et complémentaires qui lui sont versées ;
Recommande que toute convention passée entre une caisse de sécurité sociale et un organisme complémentaire vise la présente délibération et mentionne l'obligation pour chaque signataire d'obtenir l'accord de la CNIL préalablement à la mise en oeuvre effective des échanges d'informations ;
Considérant que les caisses primaires et les caisses générales de sécurité sociale qui désireraient mettre en oeuvre ces échanges devront au préalable adresser à la Commission une déclaration simplifiée de référence à ce modèle, précisant l'option retenue, accompagnée d'un engagement de conformité à ce modèle ;
Considérant enfin que bien qu'il s'agisse d'un système commun à l'ensemble des régimes obligatoires d'assurance maladie, chacun des organismes nationaux en charge de l'un de ces régimes, y compris les régimes spéciaux, aura, comme l'a fait la CNAMTS, à saisir la Commission d'une demande d'avis préalablement à sa mise en oeuvre ;
Demande que les actes réglementaires de la CNAMTS soient complétés par l'indication que les organismes tiers auxquels les organismes complémentaires pourraient avoir recours pour assurer la transmission des informations en cause seront assujettis aux obligations définies ci-dessus ;
Emet, sous cette réserve, un avis favorable à la mise en oeuvre, du deuxième volet du traitement "IRIS".
Jacques FAUVET.
