CNIL, 4 juin 1996, 96-051

La Commission Nationale de l'Informatique et des libertés,

Vu

la loi n° 78-17 du 6 janvier 1978 relative à l'Informatique, aux fichiers et aux libertés ; Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi susvisée ; Vu le code de la sécurité sociale ; Vu la délibération n° 86-25 du 25 février 1986 portant avis sur un projet de décision présenté par la Caisse centrale de mutualité sociale agricole et relatif à l'informatisation des services du contrôle médical et dentaire des caisses de mutualité sociale agricole ; Vu le projet d'acte réglementaire présenté par la Caisse Centrale de Mutualité Sociale Agricole; Après avoir entendu Monsieur Maurice VIENNOIS, en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du gouvernement, en ses observations ; Considérant que la Caisse centrale de mutualité sociale agricole met à la disposition des Caisses locales, un modèle type de traitement automatisé dont la finalité principale est de gérer l'activité des services du contrôle médical et dentaire ; Considérant que ce traitement est destiné à remplacer une application ayant fait l'objet d'un avis favorable de la CNlL par délibération n° 86-25 du 25 février 1986 et qui avait pour finalité principale de gérer les dossiers médicaux des assurés établis dans le cadre des missions légales et réglementaires de contrôle imparties aux services médicaux et dentaires et ainsi de fournir les avis techniques indispensables aux services de prestations ; Considérant que le nouveau traitement soumis à la Commission présente des finalités identiques mais comporte également une fonction d'interrogation des fichiers qui doit permettre aux services du contrôle médical et dentaire de procéder à l'analyse médicale des comportements des bénéficiaires et des professionnels de santé et de rendre les contrôles plus pertinents, dans la perspective d'une meilleure gestion du risque et de la maîtrise médicalisée des dépenses de santé ; Considérant qu'il est ainsi procédé à la collecte d'informations sur la situation médico-sociale de l'assuré ainsi que de renseignements médicaux ; que ces informations sont adéquates, pertinentes et non excessives au regard de la finalité du traitement ; Considérant qu'une rubrique "commentaires" dont le contenu est laissé à la libre appréciation des médecins, doit leur permettre d'enregistrer les motifs pour lesquels des avis médicaux sont demandés ; Considérant qu'il importe de modifier l'article 4 du projet d'acte réglementaire,de façon à rappeler que cette rubrique ne doit contenir que les informations médicales et médico-sociales strictement nécessaires à l'exercice des missions des services du contrôle médical et dentaire ; Considérant que les informations nominatives seraient conservées pendant une durée de 3 ans à l'exception des avis médicaux et dentaires et des expertises liées à ces avis qui seraient conservés 5 ans pour répondre à certaines situations particulières tenant notamment aux délais pendant lesquels les demandes de remboursement peuvent être présentées à la caisse de mutualité sociale agricole; Considérant que les raisons ainsi invoquées par la Caisse centrale de mutualité sociale agricole ne justifient pas cette durée de conservation et que les données nominatives doivent en conséquence être effacées au terme d'un délai de 3 ans, correspondant aux délais de prescription légaux tels que fixés par le code de la Sécurité Sociale; Considérant que les informations nominatives médicales qui font l'objet d'un traitement automatisé sont destinées exclusivement aux médecins et secrétaires médicaux des services concernés ; que, seules, ces personnes ont accès aux micro-ordinateurs situés dans les services médicaux et reliés, d'une part, à un serveur médical dédié et, d'autre part, au centre régional de traitement informatique, pour permettre l'extraction et le rapatriement des données administratives nécessaires à la gestion du service ; qu'aucune donnée médicale n'est transmise au service administratif ; Considérant que chaque caisse dispose d'un serveur de sécurité permettant d'assurer l'identification et l'authentification des postes de travail et des utilisateurs ainsi que la gestion des autorisations d'accès ; qu'un dispositif de journalisation permet d'enregistrer les requêtes effectuées à l'aide de la fonction d'interrogation des fichiers en mode infocentre, ainsi que les noms des auteurs de ces requêtes et les dates et heures des interrogations; Considérant que le droit d'accès constitue l'une des garanties essentielles de la protection des individus ; qu'en conséquence, l'existence et les modalités d'exercice de ce droit, telles que prévues aux articles 34 et 40 de la loi du 6 janvier 1978, doivent être portées expressément à la connaissance des médecins et assurés concernés ; Considérant en conséquence que les assurés et les professionnels de santé qui se verront opposer individuellement un résultat issu du système doivent recevoir une lettre leur précisant qu'ils ont le droit de connaître et de contester les informations recueillies et les raisonnements suivis et leur indiquant le lieu d'exercice de leur droit d'accès ; EMET, sous les réserves précitées, un AVIS FAVORABLE au projet de décision relatif à l'informatisation des services de contrôle médical et dentaire, étant entendu que les échelons locaux des services médicaux et dentaires des Caisses de mutualité sociale agricole qui adopteront ce modèle devront présenter à la Commission une déclaration de référence audit traitement accompagnée d'un engagement de conformité aux dispositions de l'acte réglementaire national, qui devra être publié localement, ainsi qu'aux mesures de sécurité préconisées dans la présente demande d'avis; RAPPELLE que les Caisses locales qui ne se conformeraient pas à ce modèle, devront présenter une demande d'avis particulière à la Commission ; DEMANDE à être saisie des mesures d'information prévues vis à vis des praticiens et assurés. Le Président, Jacques FAUVET