Délibération n° 2014-428 du 23 octobre 2014 portant avis sur un projet de décret en Conseil d'Etat autorisant les traitements de données à caractère personnel par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie pour l'accomplissement de leurs missions afférentes au service des prestations d'assurance maladie aux bénéficiaires (demande d'avis n° 14021842)
| Jurisdiction | France |
| Publication au Gazette officiel | JORF n°0082 du 8 avril 2015 |
| Enactment Date | 23 octobre 2014 |
| Date de publication | 08 avril 2015 |
| Court | COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTES |
| Record Number | JORFTEXT000030456972 |
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre des affaires sociales, de la santé et des droits des femmes d'une demande d'avis concernant un projet de décret en Conseil d'Etat autorisant les traitements de données à caractère personnel par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie pour l'accomplissement de leurs missions d'affiliation, d'immatriculation, d'instruction des droits aux prestations et de prise en charge des soins, produits et services prévues par le code de la sécurité sociale et le code rural et de la pêche maritime,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'action sociale et des familles ;
Vu le code rural et de la pêche maritime ;
Vu le code de la santé publique ;
Vu le code de la sécurité sociale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-I (1°) ;
Vu l'ordonnance n° 2005-1516 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie, le 28 juillet 2014 et par saisine rectificative le 10 octobre 2014, par la ministre des affaires sociales, de la santé et des droits des femmes d'une demande d'avis concernant un projet de décret en Conseil d'Etat (ci-après « le projet ») autorisant les traitements de données à caractère personnel par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie pour l'accomplissement de leurs missions d'affiliation, d'immatriculation, d'instruction des droits aux prestations et de prise en charge des soins, produits et services prévues par le code de la sécurité sociale (CSS) et le code rural et de la pêche maritime.
Ce projet vise à créer une catégorie de traitements de données à caractère personnel relevant du processus métier « production et bénéficiaires » de l'assurance maladie obligatoire (AMO) portant notamment sur le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) des assurés sociaux.
Ces traitements seront mis en œuvre par la Caisse nationale d'assurance maladie des travailleurs salariés (CNAMTS), la Mutualité sociale agricole (MSA) et le régime social des indépendants (RSI).
Le projet soumis à la commission est pris en application de l'article 27-I (1°) de la loi du 6 janvier 1978 modifiée qui prévoit que « sont autorisés par décret en Conseil d'Etat, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés : les traitements de données à caractère personnel mis en œuvre pour le compte (…) d'une personne morale de droit public (…) qui portent sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques ».
L'article R. 115-1 du CSS prévoit que « Les organismes et administrations chargés de la gestion d'un régime obligatoire de base de sécurité sociale et, le cas échéant, les organismes habilités par la loi ou par une convention à participer à la gestion de ces régimes » sont autorisés à utiliser le NIR. Ces dispositions sont complétées par celles de l'article R. 115-2 qui précise que « l'autorisation donnée à l'article R. 115-1 vaut exclusivement pour les traitements mis en œuvre dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 » pour des finalités au nombre desquelles ne figurent pas l'ouverture et le suivi des droits des bénéficiaires, le versement des prestations et l'offre de téléservices.
Dès lors que ces traitements sont substantiellement différents de ceux qu'autorisent les dispositions réglementaires en vigueur, ils doivent être autorisés par décret en Conseil d'Etat pris après avis de la CNIL, en application de l'article 27-I (1°) précité.
Sur la dénomination et les finalités des traitements :
Le projet est relatif à la mise en œuvre de traitements de données à caractère personnel destinés à l'exercice des missions confiées par la loi aux organismes gestionnaires des régimes obligatoires de base de l'assurance maladie concernant la prise en charge des prestations maladie, maternité et paternité, invalidité et décès, accidents du travail et maladies professionnelles, de prévention et de prestations supplémentaires, notamment d'aides accordées dans le cadre de l'action sanitaire et sociale.
L'article ler du projet explicite le périmètre et les finalités des traitements mis en œuvre dans le cadre des activités précitées de l'assurance maladie.
Ces traitements ont vocation à permettre :
« - l'immatriculation et l'affiliation des bénéficiaires de prestations et aides ;
« - l'instruction, la gestion et le contrôle des droits des bénéficiaires de l'assurance maladie, maternité, paternité, invalidité et décès, y compris pour ce qui concerne la gestion de la protection complémentaire en matière de santé et de l'aide au paiement d'assurance complémentaire de santé, les prestations relevant de l'action sanitaire et sociale, de la prévention, de la législation en matière d'accidents du travail et de maladies professionnelles et de l'aide prévue à l'article L. 251-1 du code de l'action sociale et des familles, au travers d'opérations relatives à la délivrance d'attestations de droits et à la délivrance et la gestion de cartes, notamment la carte d'assurance maladie mentionnée à l'article L. 161-31 du CSS, la carte européenne d'assurance maladie et la carte de bénéficiaire de l'aide prévue à l'article L. 251-1 du code de l'action sociale et des familles ;
« - l'acquisition, le contrôle, le traitement et l'enregistrement des informations utiles au versement des prestations et aides et des rémunérations, à la délivrance de soins, produits ou prestations ou aides pris en charge ou faisant l'objet de remboursement ainsi qu'à la communication d'informations relatives à ces...
Pour continuer la lecture
SOLLICITEZ VOTRE ESSAI