Délibération n° 2011-18 du 14 février 2011 portant avis favorable sur la demande présentée par le Ministre d’Etat relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Immatriculation au Service des Prestations Médicales de l’Etat» du Service des Prestations Médicales de l’Etat
Vu la Constitution ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Recommandation R(86) du Conseil de l’Europe du 23 janvier 1986 relative à la protection des données à caractère personnel utilisées à des fins de sécurité sociale ;
Vu la Convention franco-monégasque de sécurité sociale du 28 février 1952, modifiée et l’arrangement administratif relatif aux modalités d’application de cette convention, modifié ;
Vu la loi n° 486 du 17 juillet 1948 relative à l’octroi des allocations pour charges de famille, des prestations médicales, chirurgicales et pharmaceutiques aux fonctionnaires de l’État et de la Commune ;
Vu la loi n° 918 du 27 décembre 1971 sur les établissements publics ;
Vu la loi n° 975 du 12 juillet 1975 portant statut des fonctionnaires de l’Etat, modifiée, et les textes pris en son application ;
Vu la loi n° 1.096 du 7 août 1986 portant statut des fonctionnaires de la Commune, modifiée, et les textes pris en son application ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu la loi n° 1.228 du 10 juillet 2000 portant statut des greffiers ;
Vu la loi n° 1.364 du 16 novembre 2009 portant statut de la magistrature ;
Vu l’ordonnance souveraine n° 7.341 du 11 mai 1982 portant statut des ecclésiastiques ;
Vu l’ordonnance souveraine n° 8.017 du 1er juin 1984 portant statut des militaires de la force publique ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la Loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 3.387 du 22 janvier 1947 relative aux prestations médicales, chirurgicales et pharmaceutiques allouées aux fonctionnaires, agents et employés de l’ordre administratif ;
Vu l’ordonnance souveraine n° 16.605 du 10 janvier 2005 portant organisation des Départements ministériels ;
Vu l’ordonnance souveraine n° 231 du 3 octobre 2005 portant création d’un Service des Prestations Médicales de l’Etat ;
Vu l’ordonnance souveraine n° 14.532 du 17 juillet 2000 rendant exécutoire l’arrangement administratif particulier franco-monégasque concernant les modalités de remboursement des frais exposés dans les établissements de soins français et monégasques ;
Vu l’arrêté ministériel du 4 février 1947 portant règlement des prestations médicales, chirurgicales et pharmaceutiques allouées aux fonctionnaires ;
Vu l’arrêté ministériel du 15 mars 1947 fixant le tarif maximum de responsabilité appliqué aux fonctionnaires, agents et employés de l’Etat ;
Vu l’arrêté ministériel n° 85-326 du 03 juin 1985 relatif aux praticiens, chefs de service et adjoints exerçant leurs fonctions à temps plein au Centre Hospitalier Princesse Grace ;
Vu l’arrêté ministériel n° 86-620 du 10 novembre 1986 portant établissement du règlement intérieur du Centre Hospitalier Princesse Grace ;
Vu le traitement automatisé de la Direction des Ressources Humaines et de la Formation de la Fonction Publique ayant pour finalité «Immatriculation des fonctionnaires et agents relevant de la Fonction Publique et de statuts particuliers», mis en œuvre par décision du Ministre d’Etat du 18 août 2004, après avis favorable de la Commission par délibération n° 2004-09 du 24 juillet 2004 ;
Vu le traitement automatisé d’informations nominatives ayant pour finalité «Gestion des dossiers des fonctionnaires et agents actifs relevant de la Fonction Publique et de statuts particuliers», de la Direction des Ressources Humaines et de la Formation de la Fonction Publique mis en œuvre par décision du Ministre d’Etat du 7 novembre 2005 après avis favorable de la Commission par délibération n° 2005-15 du 3 octobre 2005, tel que modifiée le 2 octobre 2008, après avis favorable de la Commission par délibération n° 2008-09 du 19 septembre 2008 ;
Vu le traitement automatisé d’informations nominatives ayant pour finalité «gestion des dossiers des élèves insrits dans les établissements publics de la Principauté», de la Direction de l’Education Nationale, de la Jeunesse et des Sports, mis en œuvre par décision du Ministre d’Etat le 17 février 2003, après avis favorable de la Commission, par délibération n° 02-14 du 29 juillet 2002, tel que modifié par décisions du Ministre d’Etat des 22 décembre 2003 et 20 juillet 2005, après avis favorable de la Commission par délibérations n° 03-21 du 11 décembre 2003 et n° 05-08 du 7 juillet 2005 ;
Vu la demande d’avis déposée par le Ministre d’Etat, le 7 février 2011, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité «Immatriculation au Service des Prestations Médicales de l’Etat» du Service des Prestations Médicales de l’Etat ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 14 février 2011 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
L’immatriculation des assurés sociaux et de leurs ayants droit est la première étape du processus qui permet aux personnes physiques pouvant y ouvrir droit de bénéficier des prestations familiales, d’avantages sociaux, de prestations médicales, pharmaceutiques et chirurgicales, ainsi que d’une allocation d’assistance-décès desservis par l’Etat et la Commune.
La gestion de ces prestations a été dévolue au Service des Prestations Médicales de l’Etat (SPME), créé par l’ordonnance souveraine n° 231 du 3 octobre 2005.
Placé sous l’autorité du Conseiller de Gouvernement pour les Affaires Sociales et la Santé, ce service est amené, dans le cadre des missions qui lui sont conférées par ladite ordonnance, à traiter des informations nominatives. La mise en œuvre des traitements automatisés d’informations nominatives induits est soumise à l’avis préalable de la Commission de Contrôle des Informations Nominatives, conformément à l’article 7 de la loi n° 1.165, susvisée.
I - Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité «Immatriculation au Service des Prestations Médicales de l’Etat». Il est dénommé «immatriculation».
Il concerne les personnes physiques assurées au Service des Prestations Médicales de l’Etat (SPME) et leurs ayants droit, conformément à la législation en vigueur. Il s’agit des fonctionnaires et agents contractuels de l’Etat, de la Commune, des greffiers et des magistrats, des militaires de la Force Publique, des membres du clergé, des membres de la Famille Souveraine, des médecins hospitaliers nommés par ordonnance souveraine, du personnel administratif du Centre Hospitalier Princesse Grace (CHPG) nommé par ordonnance souveraine, des étudiants monégasques, des personnes bénéficiant de l’aide médicale gratuite, des étudiants français qui étudient à Monaco, des fonctionnaires français retraités résidant à Monaco, ainsi que de leurs ayants droit.
A titre accessoire, le responsable de traitement précise que ce traitement permet également d’immatriculer les prestataires de services sanitaires et de santé, comme les établissements de santé, les compagnies d’ambulances ou de taxi, les fournisseurs de matériels médicaux ou paramédicaux. Les renseignements traités ne portant aucunement sur des informations nominatives de personnes physiques représentant ou travaillant au sein de ces organismes, la Commission considère que les dispositions de la loi n° 1.165 ne trouvent pas à s’appliquer.
Ses fonctionnalités sont les suivantes :
- Immatriculer les personnes assurées au Service des Prestations Médicales de l’Etat et leurs ayants droit ;
- Ouvrir les droits aux prestations maladies et sociales aux assurés et à leurs ayants droit ;
- Adresser des courriers et suivre les correspondances avec les personnes immatriculées ;
- Permettre la réalisation de statistiques propres à l’activité du service et à certaines campagnes de prévention sanitaire ;
- Participer aux campagnes de prévention sanitaire du Gouvernement.
Par ailleurs, ce traitement est mis en relation avec d’autres traitements automatisés exploités par le Service des Prestations Médicales de l’Etat qui ont pour objet de permettre le paiement des prestations médicales et pharmaceutiques, le paiement des prestations sociales, le suivi médical des personnes assurées auprès de ce service, la gestion des accidents du travail, et la gestion des accidents de droit commun.
La Commission demande que ces traitements automatisés soient soumis à son avis afin que l’ensemble des opérations automatisées réalisées par ce service soit conforme aux dispositions de la loi n° 1.165 susvisée.
Elle constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II - Sur la licéité et la justification du traitement
Sur la licéité
La Commission relève que les attributions du Service des Prestations Médicales de l’Etat sont précisées par l’ordonnance souveraine n° 231 du 3 octobre 2005 portant création dudit service.
Aux termes de l’article 2 de cette ordonnance «Le Service des Prestations Médicales de l’État est chargé :
- de gérer les prestations accordées par l’État au titre de l’assurance maladie, et maternité, de l’assurance accident du travail, de l’assurance invalidité, des prestations familiales et autres avantages sociaux y afférents ;
- d’instruire pour le compte de la Commune les dossiers des prestations accordées par celle-ci au titre de l’assurance maladie, et maternité, de l’assurance invalidité, des prestations familiales et autres avantages sociaux y afférents ;
- d’assurer le secrétariat des commissions médicales de l’État et de la Commune ;
- d’effectuer pour certains établissements publics, les décomptes de remboursement des prestations médicales en nature qu’ils attribuent».
La Commission considère que le traitement objet de la présente demande d’avis s’inscrit dans le cadre des missions légalement conférées au Service des Prestations Médicales de l’Etat. Elle considère donc que ce traitement est licite, conformément à l’article 10-1 de la loi n° 1.165, modifiée.
Sur la justification
Le responsable de traitement indique que le traitement est justifié par le consentement des personnes concernées et par le respect d’obligations légales à laquelle il est soumis.
La Commission observe qu’aux termes de la loi n° 486 du 17 juillet 1948 relative à l’octroi des allocations pour charges de famille, des prestations médicales, chirurgicales et pharmaceutiques aux fonctionnaires de l’État et de la Commune «les fonctionnaires, agents et employés de l’État et de la Commune bénéficient d’allocations pour charges de famille, de prestations diverses en cas de maladie, maternité, accident ou décès».
Elle relève également que selon les statuts des personnels des Administrations et établissements susvisés, l’Etat, ou, selon le cas, la Commune, a l’obligation de garantir aux agents et fonctionnaires des allocations pour charges de famille, des prestations diverses en cas de maladie, maternité, accident, invalidité prématurée, décès.
Elle considère que le présent traitement est justifié, conformément à l’article 10-2 de la loi n° 1.165.
III - Sur les informations nominatives
Sur les informations nominatives collectées
Les informations nominatives objets du présent traitement sont :
- Identité : nom, nom marital, prénom, nationalité, date et lieu de naissance, sexe, qualité de bénéficiaire ou d’ayant-droit, numéro de matricule ;
- Situation de famille : célibataire, marié, divorcé, veuf, dates de mariage-divorce-décés, composition familiale, statut des enfants «à charge du foyer oui ou non», lien familial avec un autre assuré SPME ;
- Adresse et coordonnées : adresse postale ;
- Vie professionnelle : mention du service, de l’organisme ou du statut de l’assuré social (titulaire, auxiliaire, suppléant, retraité, étudiant monégasque, médecin hospitalier et personnel administratif du CHPG nommés par ordonnance souveraine) ;
- Caractéristiques financières : relevé d’identité bancaire ou postal ;
- Donnée d’identification électronique : le numéro de matricule servant de numéro de dossier et de numéro d’identification de l’assuré et de ses ayants droit dans les applications ;
- Informations relatives aux droits et au taux de prise en charge : catégories de droits ouverts, période d’ouverture de droit et taux de prise en charge ;
- Identification de l’opérateur du SPME : initiales de l’opérateur.
La Commission relève que les informations collectées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
Sur l’origine des informations
Le Service des Prestations Médicales de l’Etat reçoit de la part des entités ou autorités dont relève l’assuré social une «fiche signalétique» sur format papier que le service immatriculation saisit, sauf pour les informations provenant de la Direction des Ressources Humaines et de la Formation de la Fonction Publique.
Pour les assurés relevant de cette Direction, le Service des Prestations Médicales de l’Etat dispose d’un accès au traitement ayant pour finalité «gestion des dossiers des fonctionnaires et agents actifs relevant de la Fonction Publique et de statuts particuliers». Ce traitement prévoit des communications d’information et des accès spécifiques au Service des Prestations Médicales de l’Etat pour la gestion des dossiers des personnels concernés. La Commission relève que le présent traitement est compatible avec la finalité du traitement de la Direction des Ressources Humaines et de la Formation de la Fonction Publique, tel que mis en œuvre depuis 2008.
Les informations nominatives concernant l’identité, la situation de famille, l’adresse et les coordonnées, la vie professionnelle, les caractéristiques économiques et financières traitées ont pour origine :
• la Direction des Ressources Humaines et de la Formation de la Fonction Publique pour les agents et fonctionnaires relevant de la Fonction Publique et des Statuts particuliers ;
• la Mairie pour les fonctionnaires et agents de la Commune ;
• la Direction des Affaires Sociales et de la Santé pour les bénéficiaires de l’aide médicale gratuite ;
• le Service du personnel du Centre Hospitalier Princesse Grace pour les médecins hospitaliers et le personnel administratif nommés par ordonnance souveraine ;
• les assurés eux-mêmes, notamment pour les étudiants monégasques, les étudiants français qui étudient à Monaco, les fonctionnaires français retraités résidant à Monaco.
Les informations concernant le numéro de matricule ont pour origine :
• la Direction des Ressources Humaines et de la Formation de la Fonction Publique pour les agents et fonctionnaires relevant de la Fonction Publique et des Statuts particuliers. Ce numéro de matricule est en effet attribué par ladite Direction par le biais du traitement automatisé ayant pour finalité «Immatriculation des fonctionnaires et agents relevant de la Fonction Publique et de statuts particuliers», susvisé, légalement mis en œuvre. La Commission constate que la collecte de cette information par le Service des Prestations Médicales de l’Etat est compatible avec la finalité du traitement de la Direction des Ressources Humaines et de la Formation de la Fonction Publique, conformément à l’article 10-2 de la loi n° 1.165 ;
• la Mairie pour les agents et fonctionnaires de la Commune ;
• ou le Service des Prestations Médicales de l’Etat pour l’assuré bénéficiant de l’aide médicale gratuite «AMG», les étudiants monégasques, les étudiants français s’ils étudient à Monaco, les retraités français résidant à Monaco, les praticiens et le personnel du Centre Hospitalier Princesse Grace affiliés au Service des Prestations Médicales de l’Etat. Il s’agit alors d’une incrémentation automatique.
L’information relative aux droits et au taux de prise en charge a pour origine le Service des Prestations Médicales de l’Etat, et l’identification de l’opérateur du Service des Prestations Médicales de l’Etat a pour origine le système d’information.
La Commission relève que les informations collectées de manière automatisée sont traitées de manière compatible avec la finalité des traitements d’origine des informations, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
La Commission observe toutefois que s’agissant de la notion «d’enfants à charge», celle-ci est mise à jour à partir du certificat de scolarité des enfants. Ce document est fourni par l’intéressé lorsque l’enfant est scolarisé hors de Monaco. Il est communiqué par la Direction de l’Education Nationale, de la Jeunesse et des Sports pour les enfants scolarisés en Principauté par le biais d’un accès au traitement ayant pour finalité «gestion des dossiers des élèves insrits dans les établissements publics de la Principauté», appelé Charlemagne.
Sur ce point, elle rappelle que cette communication d’information avait été évoquée dans la délibération afférente à la modification dudit traitement, modification qui avait pour objet de permettre à la Direction de l’Education Nationale, de la Jeunesse et des Sports de transmettre aux organismes sociaux une liste avec nom, prénom et adresse des élèves inscrits dans les établissements afin d’éviter aux parents de demander les certificats. La Commission avait émis un avis favorable aux communications projetées dès lors que les traitements automatisés des destinataires étaient déclarés ; ce qui n’était pas le cas pour les traitements du Service des Prestations Médicales de l’Etat. Par ailleurs, les communications, qui lui avaient été alors présentées, étaient envisagées sur support papier, et non pas par un accès, même restreint, au traitement de la Direction de l’Education Nationale, de la Jeunesse et des Sports. Enfin, elle relève que la modification de ce traitement n’a pas été mise en œuvre à ce jour.
Aussi, la Commission considère que la mise à jour de cette information nécessite la mise en conformité du traitement ayant pour finalité «gestion des dossiers des élèves inscrits dans les établissements publics de la Principauté» afin que les échanges d’informations entre le Service des Prestations Médicales de l’Etat et la Direction de l’Education Nationale, de la Jeunesse et des Sports soient soumis à l’avis de la Commission, conformément aux évolutions techniques intervenues depuis 2004.
IV - Sur les droits des personnes concernées
Sur l’information préalable des personnes concernées
La Commission relève que l’information des personnes concernées est assurée par un affichage dans les locaux du Service des Prestations Médicales de l’Etat qui respecte les mentions d’information établies à l’article 14 de la loi n° 1.165.
La Commission observe néanmoins qu’aucun traitement exploité par ledit service n’étant légalement mis en œuvre à ce jour, la mention d’information relative à la finalité devra reprendre la finalité du traitement soumis à l’avis de la Commission.
Ainsi, elle demande au responsable de traitement de veiller à la mise à jour de cette notice au fur et à mesure de la mise en œuvre des traitements du Service des Prestations Médicales de l’Etat dans le respect des dispositions visées à l’article 7 de la loi n° 1.165.
Par ailleurs, la Commission relève que les informations des assurés sont saisies, dans certains des cas, à partir d’une fiche appelée «fiche d’identification», qui leur est communiquée par la Direction des Ressources Humaines et de la Formation de la Fonction Publique, le service du personnel de la Mairie, le service du personnel du Centre Hospitalier Princesse Grace ou de la Direction des Affaires Sociales et de la Santé. Elle observe que ce document de collecte ne comporte pas les mentions obligatoires de l’article 14 de la loi n° 1.165 et demande à ce que celles-ci y soient ajoutées.
Sur l’exercice du droit d’accès, de modification et de mise à jour :
Exploité par un service de l’Etat dans le cadre de ses missions d’intérêt général, les personnes concernées ne disposent pas d’un droit d’opposition, conformément à l’article 13 de la loi n° 1.165.
Les personnes peuvent néanmoins exercer leur droit d’accès auprès du Service des Prestations Médicales de l’Etat par voie postale ou sur place.
Il est procédé à la communication des informations dans le mois suivant la réception de la demande, conformément à l’article 15 alinéa 2 de la loi n° 1.165.
En cas de demande de modification, de rectification, voire de suppression des informations nominatives, une réponse est adressée à la personne concernée par voie postale ou sur place.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165, modifiée.
V - Sur les destinataires et les personnes ayant accès au traitement
Les personnes ayant accès au traitement au sein du Service des Prestations Médicales de l’Etat sont :
- les personnels chargés de l’immatriculation lesquels ont accès au traitement en création, mise à jour et consultation ;
- les personnes chargées de la gestion des allocations et de la comptabilité qui ont accès au traitement en modification et consultation ;
- les personnels chargés de la gestion des accidents du travail et de droit commun, des arrêts maladie - maternité, des décomptes et du contrôle médical qui ont un accès en consultation.
Ces accès sont attribués par fonction, de manière nominative en création, modification, ou uniquement en consultation par le Chef du Service des Prestations Médicales de l’Etat.
Le personnel du service informatique de la Caisse de Compensation des Services Sociaux a également un accès au traitement dans le cadre des prestations fournies et définies au sein du document intitulé «Contrat de service» passé avec le Service des Prestations Médicales de l’Etat.
Le Centre Hospitalier Princesse Grace reçoit communication d’informations nominatives issues de ce traitement (nom, prénom, date de naissance, lien familial, numéro de matricule, taux de prise en charge, période d’ouverture de droits) dans le cadre des procédures des tiers payant, conformément à l’ordonnance souveraine n° 14.532 du 17 juillet 2000, susvisée.
VI - Sur la sécurité du traitement et des informations
De manière générale, les mesures prises pour assurer la sécurité des informations et du traitement paraissent adéquates au regard des risques présentés par le traitement et de la nature des données à protéger.
Toutefois, la Commission relève qu’il appert de l’analyse du document intitulé «Contrat de service» passé avec le Service des Prestations Médicales de l’Etat qu’aucune disposition n’a été prévue aux fins d’imposer au prestataire de service d’obligations en matière de confidentialité des données. Aussi, un avenant au contrat devra être ajouté afin que les relations entre les deux parties soient conformes à la loi n° 1.165, particulièrement à son article 17 alinéas 3 et 4. Celui-ci pourrait comporter la clause suivante :
Conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives, le prestataire de service s’engage à prendre toutes mesures appropriées pour protéger les fichiers, bases de données, documents, et de manière générale tout support comportant des informations nominatives, contre notamment, la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisés.
Le prestataire de service s’engage à respecter, notamment, les obligations suivantes et à les faire respecter par son personnel :
• ne prendre aucune copie des documents et supports d’informations qui lui sont confiés, à l’exception de celles nécessaires à l’exécution de la présente prestation prévue au contrat ;
• ne pas divulguer ces documents ou informations à des tiers au contrat ;
• prendre toutes mesures de sécurité, notamment matérielles, pour assurer la conservation et l’intégrité des documents et informations pendant la durée du présent contrat ;
• et, en fin de contrat, à procéder à la destruction de tous fichiers manuels ou informatisés stockant les informations saisies.
Les obligations de confidentialité sont maintenues lorsque le contrat arrive à échéance ou lorsqu’il est dénoncé par l’une des parties.
Le prestataire de service ne peut sous-traiter l’exécution des prestations à une autre société, ni procéder à une cession de marché sans l’accord préalable du SPME qui se réserve le droit de procéder à toute vérification qui lui paraîtrait utile pour constater le respect des obligations précitées.
Chaque opération de maintenance devra faire l’objet d’un descriptif précisant les dates, la nature des opérations et les noms des intervenants, transmis au client chaque semestre».
Par ailleurs, la Commission rappelle que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII - Sur la durée de conservation
La durée de conservation mentionnée dans la demande d’avis est «illimitée pour des raisons statistiques et historiques», sans plus d’explications.
Sur ce point, la Commission observe que les organismes de sécurité sociale disposent d’informations sur l’évolution de la population, sur les pathologies, sur les consommations et les dépenses de santé (…) qui sont utiles pour comprendre le fonctionnement de la société à un moment donné et nécessaires à l’établissement d’une politique de santé publique à plus ou moins long terme.
Toutefois, elle estime que si les informations collectées sont susceptibles de revêtir un caractère scientifique, statistique ou historique, leur caractère nominatif ne présente pas d’intérêt dans ce sens. Aussi, sauf à démontrer l’importance scientifique ou historique qui justifierait l’intérêt de conserver une forme permettant l’identification des assurés sociaux et de leurs ayants droit, la Commission considère, conformément à l’article 9 de la loi n° 1.165, et en tenant compte du délai de prescription en matière civile que la forme nominative des informations devra être supprimée 30 ans après le décès de l’assuré, ou, s’il a des ayants droit, 30 ans après la clôture des droits de son dernier ayant-droit.
Après en avoir délibéré :
Demande
- que le traitement automatisé d’informations nominatives ayant pour finalité «gestion des dossiers des élèves insrits dans les établissements publics de la Principauté» de la Direction de l’Education Nationale, de la Jeunesse et des Sports fasse l’objet d’une demande d’avis modificative auprès de la Commission afin que les échanges d’informations entre le Service des Prestations Médicales de l’Etat et cette direction soient réalisés conformément aux dispositions de la loi n° 1.165 ;
- que l’information des personnes concernées réalisée par voie d’affichage ne porte que sur les traitements légalement mis en œuvre, conformément aux dispositions de l’article 7 de la loi ;
- qu’une information, reprenant les mentions affichées au Service des Prestations Médicales de l’Etat, soit également apposée sur la «fiche d’identification» remplie par les intéressés ;
- que le contrat de service entre le Service des Prestations Médicales de l’Etat et la Caisse de Compensation des Services Sociaux fasse l’objet d’un avenant remplissant les obligations en matière de sécurité visées à l’article 17 alinéa 4 de la loi n° 1.165, susvisée ;
- que la forme nominative des informations soit supprimée 30 ans après le décès de l’assuré, ou, s’il a des ayants droit, 30 ans après la clôture des droits de son dernier ayant droit ;
- au responsable de traitement de soumettre dans les meilleurs délais à l’avis de la Commission les demandes d’avis afférentes aux opérations automatisées réalisées par le Service des Prestations Médicales de l’Etat dans le cadre de ses attributions.
A la condition de la prise en compte des demandes qui précèdent,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Ministre d’Etat du traitement automatisé d’informations nominatives ayant pour finalité «Immatriculation au Service des Prestations Médicales de l’Etat» du Service des Prestations Médicales de l’Etat.
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Recommandation R(86) du Conseil de l’Europe du 23 janvier 1986 relative à la protection des données à caractère personnel utilisées à des fins de sécurité sociale ;
Vu la Convention franco-monégasque de sécurité sociale du 28 février 1952, modifiée et l’arrangement administratif relatif aux modalités d’application de cette convention, modifié ;
Vu la loi n° 486 du 17 juillet 1948 relative à l’octroi des allocations pour charges de famille, des prestations médicales, chirurgicales et pharmaceutiques aux fonctionnaires de l’État et de la Commune ;
Vu la loi n° 918 du 27 décembre 1971 sur les établissements publics ;
Vu la loi n° 975 du 12 juillet 1975 portant statut des fonctionnaires de l’Etat, modifiée, et les textes pris en son application ;
Vu la loi n° 1.096 du 7 août 1986 portant statut des fonctionnaires de la Commune, modifiée, et les textes pris en son application ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu la loi n° 1.228 du 10 juillet 2000 portant statut des greffiers ;
Vu la loi n° 1.364 du 16 novembre 2009 portant statut de la magistrature ;
Vu l’ordonnance souveraine n° 7.341 du 11 mai 1982 portant statut des ecclésiastiques ;
Vu l’ordonnance souveraine n° 8.017 du 1er juin 1984 portant statut des militaires de la force publique ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la Loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 3.387 du 22 janvier 1947 relative aux prestations médicales, chirurgicales et pharmaceutiques allouées aux fonctionnaires, agents et employés de l’ordre administratif ;
Vu l’ordonnance souveraine n° 16.605 du 10 janvier 2005 portant organisation des Départements ministériels ;
Vu l’ordonnance souveraine n° 231 du 3 octobre 2005 portant création d’un Service des Prestations Médicales de l’Etat ;
Vu l’ordonnance souveraine n° 14.532 du 17 juillet 2000 rendant exécutoire l’arrangement administratif particulier franco-monégasque concernant les modalités de remboursement des frais exposés dans les établissements de soins français et monégasques ;
Vu l’arrêté ministériel du 4 février 1947 portant règlement des prestations médicales, chirurgicales et pharmaceutiques allouées aux fonctionnaires ;
Vu l’arrêté ministériel du 15 mars 1947 fixant le tarif maximum de responsabilité appliqué aux fonctionnaires, agents et employés de l’Etat ;
Vu l’arrêté ministériel n° 85-326 du 03 juin 1985 relatif aux praticiens, chefs de service et adjoints exerçant leurs fonctions à temps plein au Centre Hospitalier Princesse Grace ;
Vu l’arrêté ministériel n° 86-620 du 10 novembre 1986 portant établissement du règlement intérieur du Centre Hospitalier Princesse Grace ;
Vu le traitement automatisé de la Direction des Ressources Humaines et de la Formation de la Fonction Publique ayant pour finalité «Immatriculation des fonctionnaires et agents relevant de la Fonction Publique et de statuts particuliers», mis en œuvre par décision du Ministre d’Etat du 18 août 2004, après avis favorable de la Commission par délibération n° 2004-09 du 24 juillet 2004 ;
Vu le traitement automatisé d’informations nominatives ayant pour finalité «Gestion des dossiers des fonctionnaires et agents actifs relevant de la Fonction Publique et de statuts particuliers», de la Direction des Ressources Humaines et de la Formation de la Fonction Publique mis en œuvre par décision du Ministre d’Etat du 7 novembre 2005 après avis favorable de la Commission par délibération n° 2005-15 du 3 octobre 2005, tel que modifiée le 2 octobre 2008, après avis favorable de la Commission par délibération n° 2008-09 du 19 septembre 2008 ;
Vu le traitement automatisé d’informations nominatives ayant pour finalité «gestion des dossiers des élèves insrits dans les établissements publics de la Principauté», de la Direction de l’Education Nationale, de la Jeunesse et des Sports, mis en œuvre par décision du Ministre d’Etat le 17 février 2003, après avis favorable de la Commission, par délibération n° 02-14 du 29 juillet 2002, tel que modifié par décisions du Ministre d’Etat des 22 décembre 2003 et 20 juillet 2005, après avis favorable de la Commission par délibérations n° 03-21 du 11 décembre 2003 et n° 05-08 du 7 juillet 2005 ;
Vu la demande d’avis déposée par le Ministre d’Etat, le 7 février 2011, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité «Immatriculation au Service des Prestations Médicales de l’Etat» du Service des Prestations Médicales de l’Etat ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 14 février 2011 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
L’immatriculation des assurés sociaux et de leurs ayants droit est la première étape du processus qui permet aux personnes physiques pouvant y ouvrir droit de bénéficier des prestations familiales, d’avantages sociaux, de prestations médicales, pharmaceutiques et chirurgicales, ainsi que d’une allocation d’assistance-décès desservis par l’Etat et la Commune.
La gestion de ces prestations a été dévolue au Service des Prestations Médicales de l’Etat (SPME), créé par l’ordonnance souveraine n° 231 du 3 octobre 2005.
Placé sous l’autorité du Conseiller de Gouvernement pour les Affaires Sociales et la Santé, ce service est amené, dans le cadre des missions qui lui sont conférées par ladite ordonnance, à traiter des informations nominatives. La mise en œuvre des traitements automatisés d’informations nominatives induits est soumise à l’avis préalable de la Commission de Contrôle des Informations Nominatives, conformément à l’article 7 de la loi n° 1.165, susvisée.
I - Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité «Immatriculation au Service des Prestations Médicales de l’Etat». Il est dénommé «immatriculation».
Il concerne les personnes physiques assurées au Service des Prestations Médicales de l’Etat (SPME) et leurs ayants droit, conformément à la législation en vigueur. Il s’agit des fonctionnaires et agents contractuels de l’Etat, de la Commune, des greffiers et des magistrats, des militaires de la Force Publique, des membres du clergé, des membres de la Famille Souveraine, des médecins hospitaliers nommés par ordonnance souveraine, du personnel administratif du Centre Hospitalier Princesse Grace (CHPG) nommé par ordonnance souveraine, des étudiants monégasques, des personnes bénéficiant de l’aide médicale gratuite, des étudiants français qui étudient à Monaco, des fonctionnaires français retraités résidant à Monaco, ainsi que de leurs ayants droit.
A titre accessoire, le responsable de traitement précise que ce traitement permet également d’immatriculer les prestataires de services sanitaires et de santé, comme les établissements de santé, les compagnies d’ambulances ou de taxi, les fournisseurs de matériels médicaux ou paramédicaux. Les renseignements traités ne portant aucunement sur des informations nominatives de personnes physiques représentant ou travaillant au sein de ces organismes, la Commission considère que les dispositions de la loi n° 1.165 ne trouvent pas à s’appliquer.
Ses fonctionnalités sont les suivantes :
- Immatriculer les personnes assurées au Service des Prestations Médicales de l’Etat et leurs ayants droit ;
- Ouvrir les droits aux prestations maladies et sociales aux assurés et à leurs ayants droit ;
- Adresser des courriers et suivre les correspondances avec les personnes immatriculées ;
- Permettre la réalisation de statistiques propres à l’activité du service et à certaines campagnes de prévention sanitaire ;
- Participer aux campagnes de prévention sanitaire du Gouvernement.
Par ailleurs, ce traitement est mis en relation avec d’autres traitements automatisés exploités par le Service des Prestations Médicales de l’Etat qui ont pour objet de permettre le paiement des prestations médicales et pharmaceutiques, le paiement des prestations sociales, le suivi médical des personnes assurées auprès de ce service, la gestion des accidents du travail, et la gestion des accidents de droit commun.
La Commission demande que ces traitements automatisés soient soumis à son avis afin que l’ensemble des opérations automatisées réalisées par ce service soit conforme aux dispositions de la loi n° 1.165 susvisée.
Elle constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II - Sur la licéité et la justification du traitement
Sur la licéité
La Commission relève que les attributions du Service des Prestations Médicales de l’Etat sont précisées par l’ordonnance souveraine n° 231 du 3 octobre 2005 portant création dudit service.
Aux termes de l’article 2 de cette ordonnance «Le Service des Prestations Médicales de l’État est chargé :
- de gérer les prestations accordées par l’État au titre de l’assurance maladie, et maternité, de l’assurance accident du travail, de l’assurance invalidité, des prestations familiales et autres avantages sociaux y afférents ;
- d’instruire pour le compte de la Commune les dossiers des prestations accordées par celle-ci au titre de l’assurance maladie, et maternité, de l’assurance invalidité, des prestations familiales et autres avantages sociaux y afférents ;
- d’assurer le secrétariat des commissions médicales de l’État et de la Commune ;
- d’effectuer pour certains établissements publics, les décomptes de remboursement des prestations médicales en nature qu’ils attribuent».
La Commission considère que le traitement objet de la présente demande d’avis s’inscrit dans le cadre des missions légalement conférées au Service des Prestations Médicales de l’Etat. Elle considère donc que ce traitement est licite, conformément à l’article 10-1 de la loi n° 1.165, modifiée.
Sur la justification
Le responsable de traitement indique que le traitement est justifié par le consentement des personnes concernées et par le respect d’obligations légales à laquelle il est soumis.
La Commission observe qu’aux termes de la loi n° 486 du 17 juillet 1948 relative à l’octroi des allocations pour charges de famille, des prestations médicales, chirurgicales et pharmaceutiques aux fonctionnaires de l’État et de la Commune «les fonctionnaires, agents et employés de l’État et de la Commune bénéficient d’allocations pour charges de famille, de prestations diverses en cas de maladie, maternité, accident ou décès».
Elle relève également que selon les statuts des personnels des Administrations et établissements susvisés, l’Etat, ou, selon le cas, la Commune, a l’obligation de garantir aux agents et fonctionnaires des allocations pour charges de famille, des prestations diverses en cas de maladie, maternité, accident, invalidité prématurée, décès.
Elle considère que le présent traitement est justifié, conformément à l’article 10-2 de la loi n° 1.165.
III - Sur les informations nominatives
Sur les informations nominatives collectées
Les informations nominatives objets du présent traitement sont :
- Identité : nom, nom marital, prénom, nationalité, date et lieu de naissance, sexe, qualité de bénéficiaire ou d’ayant-droit, numéro de matricule ;
- Situation de famille : célibataire, marié, divorcé, veuf, dates de mariage-divorce-décés, composition familiale, statut des enfants «à charge du foyer oui ou non», lien familial avec un autre assuré SPME ;
- Adresse et coordonnées : adresse postale ;
- Vie professionnelle : mention du service, de l’organisme ou du statut de l’assuré social (titulaire, auxiliaire, suppléant, retraité, étudiant monégasque, médecin hospitalier et personnel administratif du CHPG nommés par ordonnance souveraine) ;
- Caractéristiques financières : relevé d’identité bancaire ou postal ;
- Donnée d’identification électronique : le numéro de matricule servant de numéro de dossier et de numéro d’identification de l’assuré et de ses ayants droit dans les applications ;
- Informations relatives aux droits et au taux de prise en charge : catégories de droits ouverts, période d’ouverture de droit et taux de prise en charge ;
- Identification de l’opérateur du SPME : initiales de l’opérateur.
La Commission relève que les informations collectées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
Sur l’origine des informations
Le Service des Prestations Médicales de l’Etat reçoit de la part des entités ou autorités dont relève l’assuré social une «fiche signalétique» sur format papier que le service immatriculation saisit, sauf pour les informations provenant de la Direction des Ressources Humaines et de la Formation de la Fonction Publique.
Pour les assurés relevant de cette Direction, le Service des Prestations Médicales de l’Etat dispose d’un accès au traitement ayant pour finalité «gestion des dossiers des fonctionnaires et agents actifs relevant de la Fonction Publique et de statuts particuliers». Ce traitement prévoit des communications d’information et des accès spécifiques au Service des Prestations Médicales de l’Etat pour la gestion des dossiers des personnels concernés. La Commission relève que le présent traitement est compatible avec la finalité du traitement de la Direction des Ressources Humaines et de la Formation de la Fonction Publique, tel que mis en œuvre depuis 2008.
Les informations nominatives concernant l’identité, la situation de famille, l’adresse et les coordonnées, la vie professionnelle, les caractéristiques économiques et financières traitées ont pour origine :
• la Direction des Ressources Humaines et de la Formation de la Fonction Publique pour les agents et fonctionnaires relevant de la Fonction Publique et des Statuts particuliers ;
• la Mairie pour les fonctionnaires et agents de la Commune ;
• la Direction des Affaires Sociales et de la Santé pour les bénéficiaires de l’aide médicale gratuite ;
• le Service du personnel du Centre Hospitalier Princesse Grace pour les médecins hospitaliers et le personnel administratif nommés par ordonnance souveraine ;
• les assurés eux-mêmes, notamment pour les étudiants monégasques, les étudiants français qui étudient à Monaco, les fonctionnaires français retraités résidant à Monaco.
Les informations concernant le numéro de matricule ont pour origine :
• la Direction des Ressources Humaines et de la Formation de la Fonction Publique pour les agents et fonctionnaires relevant de la Fonction Publique et des Statuts particuliers. Ce numéro de matricule est en effet attribué par ladite Direction par le biais du traitement automatisé ayant pour finalité «Immatriculation des fonctionnaires et agents relevant de la Fonction Publique et de statuts particuliers», susvisé, légalement mis en œuvre. La Commission constate que la collecte de cette information par le Service des Prestations Médicales de l’Etat est compatible avec la finalité du traitement de la Direction des Ressources Humaines et de la Formation de la Fonction Publique, conformément à l’article 10-2 de la loi n° 1.165 ;
• la Mairie pour les agents et fonctionnaires de la Commune ;
• ou le Service des Prestations Médicales de l’Etat pour l’assuré bénéficiant de l’aide médicale gratuite «AMG», les étudiants monégasques, les étudiants français s’ils étudient à Monaco, les retraités français résidant à Monaco, les praticiens et le personnel du Centre Hospitalier Princesse Grace affiliés au Service des Prestations Médicales de l’Etat. Il s’agit alors d’une incrémentation automatique.
L’information relative aux droits et au taux de prise en charge a pour origine le Service des Prestations Médicales de l’Etat, et l’identification de l’opérateur du Service des Prestations Médicales de l’Etat a pour origine le système d’information.
La Commission relève que les informations collectées de manière automatisée sont traitées de manière compatible avec la finalité des traitements d’origine des informations, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
La Commission observe toutefois que s’agissant de la notion «d’enfants à charge», celle-ci est mise à jour à partir du certificat de scolarité des enfants. Ce document est fourni par l’intéressé lorsque l’enfant est scolarisé hors de Monaco. Il est communiqué par la Direction de l’Education Nationale, de la Jeunesse et des Sports pour les enfants scolarisés en Principauté par le biais d’un accès au traitement ayant pour finalité «gestion des dossiers des élèves insrits dans les établissements publics de la Principauté», appelé Charlemagne.
Sur ce point, elle rappelle que cette communication d’information avait été évoquée dans la délibération afférente à la modification dudit traitement, modification qui avait pour objet de permettre à la Direction de l’Education Nationale, de la Jeunesse et des Sports de transmettre aux organismes sociaux une liste avec nom, prénom et adresse des élèves inscrits dans les établissements afin d’éviter aux parents de demander les certificats. La Commission avait émis un avis favorable aux communications projetées dès lors que les traitements automatisés des destinataires étaient déclarés ; ce qui n’était pas le cas pour les traitements du Service des Prestations Médicales de l’Etat. Par ailleurs, les communications, qui lui avaient été alors présentées, étaient envisagées sur support papier, et non pas par un accès, même restreint, au traitement de la Direction de l’Education Nationale, de la Jeunesse et des Sports. Enfin, elle relève que la modification de ce traitement n’a pas été mise en œuvre à ce jour.
Aussi, la Commission considère que la mise à jour de cette information nécessite la mise en conformité du traitement ayant pour finalité «gestion des dossiers des élèves inscrits dans les établissements publics de la Principauté» afin que les échanges d’informations entre le Service des Prestations Médicales de l’Etat et la Direction de l’Education Nationale, de la Jeunesse et des Sports soient soumis à l’avis de la Commission, conformément aux évolutions techniques intervenues depuis 2004.
IV - Sur les droits des personnes concernées
Sur l’information préalable des personnes concernées
La Commission relève que l’information des personnes concernées est assurée par un affichage dans les locaux du Service des Prestations Médicales de l’Etat qui respecte les mentions d’information établies à l’article 14 de la loi n° 1.165.
La Commission observe néanmoins qu’aucun traitement exploité par ledit service n’étant légalement mis en œuvre à ce jour, la mention d’information relative à la finalité devra reprendre la finalité du traitement soumis à l’avis de la Commission.
Ainsi, elle demande au responsable de traitement de veiller à la mise à jour de cette notice au fur et à mesure de la mise en œuvre des traitements du Service des Prestations Médicales de l’Etat dans le respect des dispositions visées à l’article 7 de la loi n° 1.165.
Par ailleurs, la Commission relève que les informations des assurés sont saisies, dans certains des cas, à partir d’une fiche appelée «fiche d’identification», qui leur est communiquée par la Direction des Ressources Humaines et de la Formation de la Fonction Publique, le service du personnel de la Mairie, le service du personnel du Centre Hospitalier Princesse Grace ou de la Direction des Affaires Sociales et de la Santé. Elle observe que ce document de collecte ne comporte pas les mentions obligatoires de l’article 14 de la loi n° 1.165 et demande à ce que celles-ci y soient ajoutées.
Sur l’exercice du droit d’accès, de modification et de mise à jour :
Exploité par un service de l’Etat dans le cadre de ses missions d’intérêt général, les personnes concernées ne disposent pas d’un droit d’opposition, conformément à l’article 13 de la loi n° 1.165.
Les personnes peuvent néanmoins exercer leur droit d’accès auprès du Service des Prestations Médicales de l’Etat par voie postale ou sur place.
Il est procédé à la communication des informations dans le mois suivant la réception de la demande, conformément à l’article 15 alinéa 2 de la loi n° 1.165.
En cas de demande de modification, de rectification, voire de suppression des informations nominatives, une réponse est adressée à la personne concernée par voie postale ou sur place.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165, modifiée.
V - Sur les destinataires et les personnes ayant accès au traitement
Les personnes ayant accès au traitement au sein du Service des Prestations Médicales de l’Etat sont :
- les personnels chargés de l’immatriculation lesquels ont accès au traitement en création, mise à jour et consultation ;
- les personnes chargées de la gestion des allocations et de la comptabilité qui ont accès au traitement en modification et consultation ;
- les personnels chargés de la gestion des accidents du travail et de droit commun, des arrêts maladie - maternité, des décomptes et du contrôle médical qui ont un accès en consultation.
Ces accès sont attribués par fonction, de manière nominative en création, modification, ou uniquement en consultation par le Chef du Service des Prestations Médicales de l’Etat.
Le personnel du service informatique de la Caisse de Compensation des Services Sociaux a également un accès au traitement dans le cadre des prestations fournies et définies au sein du document intitulé «Contrat de service» passé avec le Service des Prestations Médicales de l’Etat.
Le Centre Hospitalier Princesse Grace reçoit communication d’informations nominatives issues de ce traitement (nom, prénom, date de naissance, lien familial, numéro de matricule, taux de prise en charge, période d’ouverture de droits) dans le cadre des procédures des tiers payant, conformément à l’ordonnance souveraine n° 14.532 du 17 juillet 2000, susvisée.
VI - Sur la sécurité du traitement et des informations
De manière générale, les mesures prises pour assurer la sécurité des informations et du traitement paraissent adéquates au regard des risques présentés par le traitement et de la nature des données à protéger.
Toutefois, la Commission relève qu’il appert de l’analyse du document intitulé «Contrat de service» passé avec le Service des Prestations Médicales de l’Etat qu’aucune disposition n’a été prévue aux fins d’imposer au prestataire de service d’obligations en matière de confidentialité des données. Aussi, un avenant au contrat devra être ajouté afin que les relations entre les deux parties soient conformes à la loi n° 1.165, particulièrement à son article 17 alinéas 3 et 4. Celui-ci pourrait comporter la clause suivante :
Conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives, le prestataire de service s’engage à prendre toutes mesures appropriées pour protéger les fichiers, bases de données, documents, et de manière générale tout support comportant des informations nominatives, contre notamment, la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisés.
Le prestataire de service s’engage à respecter, notamment, les obligations suivantes et à les faire respecter par son personnel :
• ne prendre aucune copie des documents et supports d’informations qui lui sont confiés, à l’exception de celles nécessaires à l’exécution de la présente prestation prévue au contrat ;
• ne pas divulguer ces documents ou informations à des tiers au contrat ;
• prendre toutes mesures de sécurité, notamment matérielles, pour assurer la conservation et l’intégrité des documents et informations pendant la durée du présent contrat ;
• et, en fin de contrat, à procéder à la destruction de tous fichiers manuels ou informatisés stockant les informations saisies.
Les obligations de confidentialité sont maintenues lorsque le contrat arrive à échéance ou lorsqu’il est dénoncé par l’une des parties.
Le prestataire de service ne peut sous-traiter l’exécution des prestations à une autre société, ni procéder à une cession de marché sans l’accord préalable du SPME qui se réserve le droit de procéder à toute vérification qui lui paraîtrait utile pour constater le respect des obligations précitées.
Chaque opération de maintenance devra faire l’objet d’un descriptif précisant les dates, la nature des opérations et les noms des intervenants, transmis au client chaque semestre».
Par ailleurs, la Commission rappelle que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII - Sur la durée de conservation
La durée de conservation mentionnée dans la demande d’avis est «illimitée pour des raisons statistiques et historiques», sans plus d’explications.
Sur ce point, la Commission observe que les organismes de sécurité sociale disposent d’informations sur l’évolution de la population, sur les pathologies, sur les consommations et les dépenses de santé (…) qui sont utiles pour comprendre le fonctionnement de la société à un moment donné et nécessaires à l’établissement d’une politique de santé publique à plus ou moins long terme.
Toutefois, elle estime que si les informations collectées sont susceptibles de revêtir un caractère scientifique, statistique ou historique, leur caractère nominatif ne présente pas d’intérêt dans ce sens. Aussi, sauf à démontrer l’importance scientifique ou historique qui justifierait l’intérêt de conserver une forme permettant l’identification des assurés sociaux et de leurs ayants droit, la Commission considère, conformément à l’article 9 de la loi n° 1.165, et en tenant compte du délai de prescription en matière civile que la forme nominative des informations devra être supprimée 30 ans après le décès de l’assuré, ou, s’il a des ayants droit, 30 ans après la clôture des droits de son dernier ayant-droit.
Après en avoir délibéré :
Demande
- que le traitement automatisé d’informations nominatives ayant pour finalité «gestion des dossiers des élèves insrits dans les établissements publics de la Principauté» de la Direction de l’Education Nationale, de la Jeunesse et des Sports fasse l’objet d’une demande d’avis modificative auprès de la Commission afin que les échanges d’informations entre le Service des Prestations Médicales de l’Etat et cette direction soient réalisés conformément aux dispositions de la loi n° 1.165 ;
- que l’information des personnes concernées réalisée par voie d’affichage ne porte que sur les traitements légalement mis en œuvre, conformément aux dispositions de l’article 7 de la loi ;
- qu’une information, reprenant les mentions affichées au Service des Prestations Médicales de l’Etat, soit également apposée sur la «fiche d’identification» remplie par les intéressés ;
- que le contrat de service entre le Service des Prestations Médicales de l’Etat et la Caisse de Compensation des Services Sociaux fasse l’objet d’un avenant remplissant les obligations en matière de sécurité visées à l’article 17 alinéa 4 de la loi n° 1.165, susvisée ;
- que la forme nominative des informations soit supprimée 30 ans après le décès de l’assuré, ou, s’il a des ayants droit, 30 ans après la clôture des droits de son dernier ayant droit ;
- au responsable de traitement de soumettre dans les meilleurs délais à l’avis de la Commission les demandes d’avis afférentes aux opérations automatisées réalisées par le Service des Prestations Médicales de l’Etat dans le cadre de ses attributions.
A la condition de la prise en compte des demandes qui précèdent,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Ministre d’Etat du traitement automatisé d’informations nominatives ayant pour finalité «Immatriculation au Service des Prestations Médicales de l’Etat» du Service des Prestations Médicales de l’Etat.
Le Président de la Commission
de Contrôle des Informations Nominatives.