Délibération n° 2017-46 du 19 avril 2017 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des rejets de facture / retours de paiement aux professionnels de santé et aux établissements de soins émettant des factures électroniques pour le SPME » du Service des Prestations Médicales de l'État présenté par le Ministre d'État.

Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Convention franco-monégasque de sécurité sociale du 28 février 1952, modifiée, et l'arrangement administratif relatif aux modalités d'application de cette Convention, modifié ;
Vu la loi n° 486 du 17 juillet 1948 relative à l'octroi des allocations pour charges de famille, des prestations médicales, chirurgicales et pharmaceutiques aux fonctionnaires de l'État et de la Commune ;
Vu la loi n° 975 du 12 juillet 1975 portant statut des fonctionnaires de l'État, modifiée ;
Vu la loi n° 1.096 du 7  août 1986 portant statut des fonctionnaires de la Commune, modifiée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 3.387 du 22 janvier 1947 relative aux prestations médicales, chirurgicales et pharmaceutiques allouées aux fonctionnaires, agents et employés de l'ordre administratif, modifiée ;
Vu l'Ordonnance Souveraine n° 6.365 du 17  août 1978, modifiée, fixant les conditions d'application de la loi n° 975 du 12 juillet 1975, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 14.532 du 17 juillet 2000 rendant exécutoire l'arrangement administratif particulier franco-monégasque concernant les modalités de remboursement des frais exposés dans les établissements de soins français et monégasques ;
Vu l'Ordonnance Souveraine n° 16.605 du 10 janvier 2005 portant organisation des Départements Ministériels, modifiée ;
Vu l'Ordonnance Souveraine n° 16.611 du 10 janvier 2005, modifiée, fixant les conditions d'applications de la loi n° 1.096 du 7  août 1986, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 231 du 3 octobre 2005 portant création d'un Service des Prestations Médicales de l'État ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'arrêté ministériel du 4 février 1947 portant règlement des prestations médicales, chirurgicales et pharmaceutiques allouées aux fonctionnaires, modifié ;
Vu l'arrêté ministériel n° 84-688 du 30 novembre 1984 relatif à la nomenclature générale des actes professionnels des médecins, des chirurgiens-dentistes, des sages-femmes et des auxiliaires médicaux, modifié ;
Vu l'arrêté ministériel n° 96-209 du 2 mai 1996 relatif à la nomenclature générale des analyses et examens de laboratoire, modifié ;
Vu l'arrêté ministériel n° 2005-276 du 7 juin 2005 fixant les conditions de remboursement par les régimes d'assurance maladie des actes relevant de la Classification commune des actes médicaux ;
Vu la circulaire n° 2016-02 du 6 juin 2016 relative à l'information des assurés relevant du Service des Prestations Médicales de l'État sur le respect de la protection des informations nominatives exploitées par ce service ;
Vu la Recommandation R(86) 1 du Comité des Ministres aux Etats membres du Conseil de l'Europe relative à la protection des données à caractère personnel utilisées à des fins de sécurité sociale du 23 janvier 1986 ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis reçue le 10 janvier 2017 concernant la mise en œuvre par le Service des Prestations Médicales de l'État d'un traitement automatisé ayant pour finalité « Gestion des rejets de facture / retours de paiement aux professionnels de santé et aux établissements de soins  émettant des factures électroniques pour le SPME » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 9 mars 2017, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 susmentionnée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date 19 avril 2017 portant analyse dudit traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Les assurés sociaux et leurs ayants droit immatriculés auprès du Service des Prestations Médicales de l'État (SPME) peuvent bénéficier de prestations médicales, pharmaceutiques et chirurgicales sous certaines conditions.
La gestion de ces prestations a été dévolue au Service des Prestations Médicales de l'État créé par l'Ordonnance Souveraine n° 231 du 3 octobre 2005\.
Placé sous l'autorité du Conseiller de Gouvernement-Ministre des Affaires Sociales et de la Santé, ce service est amené, dans le cadre des missions qui lui sont conférées par ladite ordonnance, à traiter des informations nominatives.
La mise en œuvre des traitements automatisés de ces informations est soumise à l'avis préalable de la Commission de Contrôle des Informations Nominatives, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité « Gestion des rejets de facture / retours de paiement aux professionnels de santé et aux établissements de soins  émettant des factures électroniques pour le SPME ».
Il concerne les assurés et ayants droit immatriculés auprès du SPME, ainsi que les professionnels de santé et établissements de soins qui lui adressent des demandes de remboursement liées à des prestations médicales réalisées pour des assurés sociaux immatriculés dans le cadre des procédures permettant la dispense de l'avance de frais par l'assuré, celle du « tiers payant » ou de HNP « Honoraires Non Payés », ou par le biais des Feuilles de soin électroniques, dites FSE.
Ses fonctionnalités sont les suivantes :
- gérer les rejets de factures électroniques transmises par les professionnels de santé et les établissements de soins ;
- gérer les retours de paiements de factures de soins en tiers payant vers les professionnels de santé et les établissements de soins ayant émis des factures électroniques.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
II. Sur la licéité et la justification du traitement
- Sur la licéité du traitement
Aux termes de l'article 1er de l'Ordonnance Souveraine n° 3.387 du 22 janvier 1947, « Les fonctionnaires, agents et employés de l'État et de la commune, nommés dans leur emploi ou fonction par ordonnance souveraine, arrêté ministériel ou arrêté municipal, ont droit au remboursement des frais médicaux, chirurgicaux ou pharmaceutiques dans les limites du tarif de responsabilité » fixé par arrêté ministériel, notamment celui du 15 mars 1947.
De manière générale, le SPME, créé par l'Ordonnance Souveraine n° 231 du 3 octobre 2005 est chargé de gérer « les prestations accordées par l'État au titre de l'assurance maladie, et maternité, de l'assurance accident du travail, de l'assurance invalidité, des prestations familiales et autres avantages sociaux y afférents », d'instruire pour le compte de la Commune les dossiers des prestations similaires accordées par celle-ci et « d'effectuer pour certains établissements publics, les décomptes de remboursement des prestations médicales en nature qu'ils attribuent ».
En application de la réglementation encadrant l'octroi et le remboursement des frais en la matière, le responsable de traitement précise que le SPME « assure la gestion des factures qu'il reçoit, lesquelles peuvent donner lieu à remboursement à l'assuré, paiement au professionnel de santé ou à l'établissement de soins, ou à rejet avec retour au bénéficiaire du paiement ».
La facturation et le recouvrement des prestations s'appuient sur la codification des actes établie par arrêtés ministériels, tel l'arrêté ministériel n° 84-688 du 30 novembre 1984, l'arrêté ministériel n° 96-209 du 2 mai 1996, ou l'arrêté ministériel n° 2005-276 du 7 juin 2005.
Ainsi, le présent traitement s'inscrit dans le cadre de la gestion des opérations comptables et financières liées aux remboursements à l'assuré, au paiement à l'établissement de soins ou aux professionnels de santé de prestations réalisées au bénéfice d'un assuré ou de ses ayants droit.
Le traitement implique l'exploitation de données de santé limitées au strict minimum dans le cadre des objectifs recherchés et des exceptions fixées à l'article 12 de la loi n° 1.165 du 23 décembre 1993.
La Commission considère que le traitement est licite conformément aux articles 10-1 et 12 de la loi n° 1.165 du 23 décembre 1993.
- Sur la justification du traitement
Le traitement est justifié par la réalisation d'un intérêt légitime poursuivi par le responsable de traitement et le destinataire des informations qui ne méconnaît ni l'intérêt, ni les droits et libertés fondamentaux des personnes concernées.
Il s'inscrit dans le processus de gestion des demandes de remboursement des assurés sociaux immatriculés auprès du SPME permettant de simplifier et de fiabiliser les procédures de paiements des factures, notamment, lorsque celles-ci sont directement réglées auprès des professionnels de santé ou des établissements de soins si l'assuré bénéficie d'une dispense d'avance de frais.
Le responsable de traitement précise que dans ce cas l'assuré est informé des mouvements lors de la délivrance d'un décompte spécifique.
La Commission considère que ce traitement est justifié conformément aux dispositions de l'article 10-2 de la loi n° 1.165 du 23 décembre 1993\.
III. Sur les informations traitées et leur origine
- Sur le détail des informations traitées
Les informations nominatives objets du traitement sont :
- identité de l'émetteur de la facture : type, numéro d'identification ;
- identité de l'assuré social : nom, prénom, numéro d'assuré social ;
- identité du bénéficiaire des soins : nom, prénom, date de naissance ;
- éléments de facturation: numéro de facture du professionnel de santé, type d'assurance (maladie, maternité, accident) ;
- éléments de rejet : date de la journée comptable, numéro de lot, numéro d'archivage, code rejet ;
- éléments de paiement : numéro de facture, type d'assurance (maladie, maternité, accident) ; numéro de journée, numéro de lot, numéro d'archivage ; mode de traitement, discipline médico-tarifaire, dates de prescription, dates de soin, fin des soins, prix unitaire d'un acte, base de remboursement, taux de remboursement, montant remboursé, numéro d'exécutant, spécialité de l'exécutant.
- Sur l'origine des informations
Les informations relatives aux identités et aux éléments de facturation ont pour origine la facture électronique du professionnel de santé.
Les informations relatives aux éléments de rejet ou aux éléments de paiement, selon le cas, ont pour origine le présent traitement ainsi que le traitement ayant pour finalité « Décomptes - Gestion et remboursement des prestations médicales en nature » du Service des Prestations Médicales de l'État, légalement mis en œuvre.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
IV. Sur les droits des personnes concernées
- Sur l'information des personnes concernées
L'information préalable des personnes concernées est réalisée par une circulaire administrative, établie afin de répondre aux obligations de l'article 14 de la loi n° 1.165 du 23 décembre 1993.
La Commission rappelle que cette circulaire devra être mise à jour afin d'intégrer le traitement en objet dans la liste des traitements exploités par le SPME.
- Sur l'exercice du droit d'accès, de modification et de mise à jour
La Commission relève que le présent traitement est mis en œuvre par un responsable de traitement visé à l'article 7 de la loi n°1.165 du 23 décembre 1993\. Aussi, en application de l'article 13 de ladite loi, les personnes concernées ne disposent pas d'un droit d'opposition au traitement des informations qui les concernent.
La Commission observe que le droit d'accès est exercé par voie postale, par courrier électronique ou sur place auprès du SPME. Le délai de réponse est de trente jours.
S'agissant de l'exercice du droit d'accès par voie électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
Les droits de modification et de mise à jour des données sont exercés selon les mêmes modalités.
La Commission constate ainsi que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165 du 23 décembre 1993.
V. Sur les personnes ayant accès au traitement et les destinataires des informations
- Les personnes ayant accès au traitement
Les personnes ayant accès aux informations sont :
- le personnel prestataire habilité, sous contrat avec le responsable de traitement, concernant les éléments de liquidation et ceux portés dans l'écran « rejets » lors de la liquidation : en création, inscription, modification, mise à jour et suppression ;
- les professionnels de santé et/ou les personnels habilités de l'établissement de soins s'agissant des opérations de vérification pouvant être réalisées par lui-même ou en son nom.
- Les destinataires des informations
Les personnels des établissements de soins et les professionnels de santé, installés en France ou en Principauté, sont destinataires des informations concernant les factures qu'ils ont adressées au SPME pour modification ou correction des éléments rejetés. Certains sont localisés en France, pays disposant d'un niveau de protection adéquat.
La Commission relève que les accès au présent traitement et les communications d'informations sont dévolus en considération des missions et des fonctions des personnes auxquelles ils sont attribués, conformément aux articles 8 et 17 de la loi n° 1.165 du 23 décembre 1993.
En ce qui concerne le prestataire, elle rappelle que conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993, les droits d'accès doivent être limités à ce qui est strictement nécessaire à l'exécution de son contrat de prestation de service. De plus, ledit prestataire est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
VI. Sur les rapprochements et interconnexions avec d'autres traitements
Le responsable de traitement indique que le traitement fait l'objet d'interconnexions avec le traitement automatisé d'informations nominatives ayant pour finalité « Décomptes - Gestion et remboursement des prestations médicales en nature », dénommé « Décompte des prestations médicales en nature », du Service des Prestations Médicales de l'État, légalement mis en œuvre.
La Commission relève qu'il fait également l'objet d'une interconnexion avec le traitement ayant pour finalité « Dématérialisation des demandes de remboursement de prestations médicales », dénommé « F.S.E. : Feuilles de Soins Électroniques (application en mode Web », légalement mis en œuvre.
La Commission constate que ces traitements ont été légalement mis en œuvre et que les opérations réalisées sont compatibles avec les finalités initiales des traitements dans le respect de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
VII. Sur la sécurité du traitement et des informations
Les mesures techniques prises pour assurer la sécurité et la confidentialité du traitement n'appellent pas d'observation de la Commission.
Elle relève qu'une Convention sera signée entre SPME et « les partenaires de santé », c'est-à-dire les établissements de soins et les professionnels de santé qui souhaiteront bénéficier de cette nouvelle procédure.
Elle rappelle en outre que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
La Commission précise également que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
VIII. Sur la durée de conservation
La durée de conservation des données est fixée à une année.
La Commission relève que la procédure décrite a pour objet de télétransmettre les données de facturation en format électronique selon des normes d'échanges en vigueur mentionnées par contrat. En conséquence, elle constate que les flux émis sont susceptibles d'être considérés comme des mandatements.
Par ailleurs, elle observe que le projet de Convention impose des règles de conservation des pièces justificatives conforme à ce délai, « le cas échéant sous forme numérique, pendant une durée de un an ».
Le Commission considère que cette durée de conservation est conforme aux dispositions de la loi n° 1.165 du 23 décembre 1993.
Après en avoir délibéré, la Commission :
Rappelle que :
- la circulaire n° 2016-02 du 6 juin 2016, devra être modifiée afin d'y intégrer le présent traitement une fois mis en œuvre, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993 ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
Considère qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
Sous le bénéfice de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d'État, du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des rejets de facture / retours de paiement aux professionnels de santé et aux établissements de soins émettant des factures électroniques pour le SPME » du Service des Prestations Médicales de l'État.

Le Président de la Commission
de Contrôle des Informations
Nominatives.