La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;
Vu le code de la sécurité sociale et en particulier les articles L. 721-1 et suivants et R. 721-1 et suivants ;
Vu la demande d'autorisation présentée par la caisse d'assurance vieillesse, invalidité et maladie des cultes (CAVIMAC) concernant la mise en oeuvre au sein du service de contrôle médical d'un traitement de gestion de l'activité du contrôle médical ;
Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire du Gouvernement adjoint, en ses observations.
Formule les observations suivantes :
La caisse d'assurance vieillesse, invalidité et maladie des cultes, CAVIMAC, a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel au sein du service de contrôle médical ayant pour finalité la gestion du contrôle médical.
Une demande d'avis similaire de la caisse nationale d'assurance maladie des travailleurs salariés a obtenu un avis réputé favorable de la CNIL le 18 décembre 2001 pour ses directions régionales et ses échelons locaux du service médical.
La Commission considère qu'il y a lieu de faire application des dispositions des articles 8-IV et 25 de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements de données de santé justifiés par l'intérêt public.
Ce système informatique dénommé Hippocrate permettra au service du contrôle médical de la CAVIMAC de constituer une base de données médico-adminstratives de ses ressortissants en vu de la gestion des avis individuels sur prestations qu'elle rend et leur suivi, de l'alimentation d'un entrepôt de données et de la réalisation d'études de santé publique.
Un serveur isolé et dédié à cette application sera situé au CETIF, Centre de traitement des caisses de l'est de l'Ile-de-France. L'accès au local dédié au service médical sera sécurisé et tracé. L'accès à l'application nécessitera l'utilisation d'une carte à puce personnelle associée à un code, les données lors des transferts via le réseau seront cryptées.  L'ensemble du système bénéficie de mesures de sécurité tant logiques que physiques satisfaisantes.
Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du service du contrôle médical de la caisse d'assurance vieillesse, invalidité et maladie des cultes.
Les catégories de données à caractère personnel traitées seront relatives à l'identité de l'assuré ou de l'ayant droit, au numéro de sécurité sociale, à la situation familiale de l'assuré, sa situation professionnelle, aux données relatives au rattachement de l'individu, aux données issues du codage des actes et prestations, au type de prise en charge, aux affections, aux avis et décisions du contrôle médical, aux exonérations du ticket modérateur, affections de longues durées, CIM10, maladies professionnelles, aux professionnels de santé intervenants.
Les destinataires des données seront, dans le cadre de leurs fonctions, le personnel du service du contrôle médical de la CAVIMAC sous la responsabilité du médecin conseil chef de service.
Autorise, dans ces conditions, la caisse d'assurance vieillesse, invalidité et maladie des cultes à mettre en oeuvre un traitement de données à caractère personnel au sein du service de contrôle médical ayant pour finalité la gestion du contrôle médical.
Le Président, Alex TURK.
