J.O. 39 du 15 février 2007       J.O. disponibles       Alerte par mail       Lois,décrets       codes       AdmiNet
Ce document peut également être consulté sur le site officiel Legifrance


Délibération n° 2006-224 du 5 octobre 2006 portant avis sur un projet de décret en Conseil d'Etat relatif à la carte d'assurance maladie et modifiant le code de la sécurité

NOR : CNIX0709990X


La Commission nationale de l'Informatique et des Libertés,

Saisie, le 19 juillet 2006, par le ministre des solidarités, de la santé et de la famille d'un projet de décret en Conseil d'Etat, pris en application des dispositions de l'article L. 161-31 du code de la sécurité sociale modifiant le décret no 98-275 du 9 avril 1998 relatif à la carte d'assurance maladie ainsi que le code de la sécurité sociale,

Vu la convention no 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la directive 95/46 /CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, pris ensemble le décret no 78-774 du 17 juillet 1978 ;

Vu le décret no 2005-1309 du 20 octobre 2005 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi no 2004-801 du 6 août 2004 ;

Vu le code de la sécurité sociale, et notamment ses articles L. 161-31 et L. 161-1 ;

Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,

Emet l'avis suivant :

Le ministre des solidarités, de la santé et de la famille a saisi pour avis la Commission nationale de l'Informatique et des Libertés d'un projet de décret en Conseil d'Etat, pris en application des dispositions du I de l'article L. 161-31 du code de la sécurité sociale, modifiant les dispositions de ce code issues du décret no 98-275 du 9 avril 1998 relatif à la carte d'assurance maladie.

Aux termes de cet article , il est prévu que les organismes d'assurance maladie délivrent une carte électronique individuelle inter-régimes à tout bénéficiaire de l'assurance maladie qui comporte une photographie de l'assuré. Cette carte d'assurance maladie, associée à la carte de professionnel de santé, permet de télétransmettre les feuilles de soins électroniques aux caisses d'assurance maladie.



Sur le champ d'application du texte

Dans sa rédaction issue de la loi du 13 août 2004 relative à la réforme de l'assurance maladie, l'article L. 161-31 du code de la sécurité sociale précise que la carte électronique individuelle interrégimes de l'assurance maladie comporte « un volet d'urgence destiné à recevoir les informations nécessaires aux interventions urgentes ». Il résulte des précisions apportées par l'article 35-I de la loi no 2004-1370 du 20 décembre 2004 que les dispositions relatives à ce volet d'urgence « entreront en vigueur à compter du prochain renouvellement de la carte mentionnée au I ».

La commission constate que le projet de décret dont elle est saisie ne porte pas sur ce volet d'urgence.

Il paraît donc nécessaire de préciser au deuxième alinéa du projet d'article R. 161-33-1 que c'est « le volet administratif » de la carte qui contient les informations énumérées dans cet article .

Sur les nouvelles données insérées dans la carte d'assurance maladie

Le projet d'article R. 161-31 du code de la sécurité sociale prévoit l'introduction de la photographie couleur de l'assuré, tant sur le support de la carte que dans le composant électronique de celle-ci.

Cette disposition est présentée comme ayant pour objet de faciliter le contrôle de ce que le porteur de la carte en est bien le titulaire.

La commission observe que, si l'apposition de la photographie sur le support de la carte apparaît comme une application directe de l'article L. 161-31-I du code de la sécurité sociale, l'ajout de la photographie dans le composant électronique de la carte comporte des risques spécifiques liés, en particulier, aux possibilités de sa captation ou de son utilisation à d'autres fins.

Ainsi, la commission estime que les projets d'arrêtés relatifs, respectivement, aux conditions d'émission et de gestion des cartes d'assurance maladie et aux spécifications physiques et logiques de la carte d'assurance maladie et aux données qu'elle contient devront comporter des garanties particulières afin d'éviter la circulation, la captation ou l'exploitation de la photographie numérisée à des fins étrangères au seul contrôle de validité de la carte, et, en particulier, à des fins de contrôle biométrique ou de reconnaissance faciale.

Le projet d'article R. 161-33-1 (2°, a) prévoit l'introduction de l'adresse de l'assuré dans la carte vitale 2 afin d'améliorer la gestion de la facturation et de suivre les bénéficiaires du tiers payant.

La commission, qui se préoccupe d'une tendance à la généralisation de la collecte de cette donnée, prend acte qu'en réponse aux questions qu'elle a posées il lui a été indiqué que cette donnée demeurerait gérée à un niveau local et qu'aucun fichier national ne serait créé. Il conviendra donc, dans le cadre des projets d'arrêtés précités, de définir très précisément les modalités d'utilisation et de mise à jour de l'adresse.

Le projet d'article R. 161-33-1 (2°, c) prévoit d'introduire dans la carte des « données relatives au choix du médecin traitant du titulaire de la carte ».



Il a été indiqué à la commission que, dans un premier temps, la seule information enregistrée dans la carte serait celle faisant apparaître si le bénéficiaire a, ou n'a pas, choisi un médecin traitant, à l'exclusion de toute donnée nominative concernant ce dernier.

La commission estime que l'introduction dans le composant électronique de la carte de données relatives au choix et à l'identité du médecin traitant n'a pas été justifiée et relève d'avantage du volet d'urgence de la carte. Dès lors, seule l'indication selon laquelle l'assurée a, ou n'a pas, désigné de médecin traitant devrait y figurer. Elle demande donc que la rédaction du R. 161-33-1 (2°, c) soit revue en conséquence.

Le projet d'article R. 161-33-1 (2°, g) prévoit l'introduction dans la carte de « données personnelles concernant notamment les coordonnées d'une personne à prévenir ». Cette formulation donne la possibilité à l'assuré d'inscrire le nom de cette personne et toutes les données qui lui paraissent utiles.

L'inscription, la modification ou la suppression de ces données serait réalisée par le titulaire de la carte ou, à sa demande, par un médecin. Il aurait la possibilité de les modifier à tout moment.

La commission considère que l'ouverture d'une zone à utilisation libre dans une carte individuelle dont les données administratives sont en lecture libre appellerait une réflexion plus approfondie.

Elle constate que l'information sur les coordonnées d'une personne à prévenir semble avoir davantage sa place dans le volet d'urgence et que la pertinence d'une telle information, en complément des données administratives collectées pour faciliter la liquidation des prestations en nature de l'assurance maladie, n'est pas avérée.

En tout état de cause, la commission demande la suppression de l'adverbe « notamment » au g du 2° du projet d'article R.161-33-1.

S'agissant de l'ajout d'une disposition relative aux données concernant le don d'organe, prévu à l'article R.161-33-1 (2°, h) du projet de décret, elle a pour objet de savoir si l'assuré a bien été informé des règles régissant le don d'organes. L'assuré reste libre de compléter cette rubrique.

La commission s'interroge toutefois sur la pertinence de cette rubrique au regard de la finalité principale du traitement qui est la liquidation des prestations de l'assurance maladie.

Elle considère surtout que l'introduction dans la carte Vitale 2 de cette information est, par nature, ambiguë. En effet, elle peut laisser supposer l'existence d'un acquiescement des assurés au don d'organes alors même qu'ils entendaient simplement déclarer avoir pris connaissance des règles applicables en cette matière.

L'introduction dans la carte Vitale 2 de l'organisme gestionnaire des accidents du travail et des maladies professionnelles ainsi que des données relatives à l'accès aux soins dans un autre Etat de l'Union européenne n'appelle pas de remarques particulières de la part de la commission.



Sur la gestion des cartes

Afin de rationaliser la gestion des cartes et de prévenir les risques de fraude, le projet de décret généralise l'utilisation de la liste d'opposition dans laquelle seront répertoriées les cartes volées, perdues ou dénoncées (projet d'article R. 161-33-7) et met à la charge de l'assuré une obligation de mise à jour de sa carte (projet d'article R. 161-33-6).

L'assuré sera ainsi tenu de mettre à jour sa carte en cas de changement de situation, mais aussi selon une fréquence déterminée par arrêté. Si cette mise à jour n'a pas été effectuée, la carte sera dénoncée et inscrite sur la liste d'opposition (projet d'article R. 161-33-6).

Toutefois, ces dispositions ne sauraient aboutir à une remise en cause des droits des assurés tels qu'ils résultent de la loi. C'est pourquoi la commission estime qu'il conviendra, dans les arrêtés d'application, de définir avec précision la périodicité et l'objet des mises à jour exigées ainsi que la répartition des diligences à accomplir entre les assurés et les organismes gestionnaires.

L'ajout du numéro de la carte dans le répertoire national interrégimes des bénéficiaires de l'assurance maladie (RNIAM) et l'accès de ce répertoire par le GIE Sesam Vitale devraient permettre de mieux contrôler la délivrance des cartes.

Sur l'accès aux données relatives à l'exonération du ticket modérateur

L'article R. 161-33-2 du projet de décret prévoit que les données relatives à la suppression ou à la limitation de la prise en charge ne seraient accessibles que par le titulaire de la carte et les personnes facturant des actes et prestations remboursables par l'assurance maladie obligatoire.

L'accès à ces données serait subordonné à l'emploi d'une carte de professionnel de la santé. Pour prendre en compte les évolutions techniques et les difficultés de déploiement des cartes, un dispositif d'authentification individuel offrant des garanties similaires de fonctionnalité et de sécurité, agréé par le GIP CPS, est prévu.

La commission propose de clarifier la rédaction de ces dispositions en remplaçant les termes : « Les informations relatives à la suppression ou la limitation de la prise en charge figurant dans la carte ne sont accessibles que » par les termes suivants : « Les informations relatives à une exonération de ticket modérateur figurant dans la carte ne sont accessibles que... ».

Sur la référence aux formalités de la loi du 6 janvier 1978 modifiée

L'article 7 du projet de décret prévoit que « les organismes servant les prestations d'un régime de base d'assurance maladie sont dispensés de présenter à la Commission nationale de l'Informatique et des Libertés les actes réglementaires prévus par l'article 27 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004 ».

Dans la mesure où le projet de décret ne peut pas prévoir d'exonérer les organismes de base d'assurance maladie des formalités prévues par la loi relative à l'informatique, aux fichiers et aux libertés, la commission demande de disjoindre cette disposition.



Le président,

A. Türk