Délibération n° 2013-110 du 16 septembre 2013 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Permettre aux assurés dépendant du SPME de consulter la liste de leurs prestations médicales et d’en suivre le remboursement par téléservice », dénommé « remboursement des prestations médicales », du Service des Prestations Médicales de l’Etat, présenté par le Ministre d’Etat
Vu la Constitution ;
Vu la Convention de sauvegarde des Droits de l’Homme et des Libertés fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Recommandation R(86) du Conseil de l’Europe du 23 janvier 1986 relative à la protection des données à caractère personnel utilisées à des fins de sécurité sociale ;
Vu la Convention franco-monégasque de sécurité sociale du 28 février 1952, modifiée, et l’arrangement administratif relatif aux modalités d’application de cette convention, modifié ;
Vu la loi n° 486 du 17 juillet 1948 relative à l’octroi des allocations pour charges de famille, des prestations médicales, chirurgicales et pharmaceutiques aux fonctionnaires de l’État et de la Commune ;
Vu la loi n° 918 du 27 décembre 1971 sur les établissements publics ;
Vu la loi n° 975 du 12 juillet 1975 portant statut des fonctionnaires de l’Etat, modifiée, et ses textes d’application ;
Vu la loi n° 1.096 du 7 août 1986 portant statut des fonctionnaires de la Commune, modifiée, et ses textes d’application ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 3.387 du 22 janvier 1947 relative aux prestations médicales, chirurgicales et pharmaceutiques allouées aux fonctionnaires, agents et employés de l’ordre administratif ;
Vu l’ordonnance souveraine n° 1.972 du 24 mars 1959 instituant un Service du Contrôle Général des Dépenses ;
Vu l’ordonnance souveraine n° 14.532 du 17 juillet 2000 rendant exécutoire l’arrangement administratif particulier franco-monégasque concernant les modalités de remboursement des frais exposés dans les établissements de soins français et monégasques ;
Vu l’ordonnance souveraine n° 16.605 du 10 janvier 2005 portant organisation des Départements ministériels ;
Vu l’ordonnance souveraine n° 231 du 3 octobre 2005 portant création d’un Service des Prestations Médicales de l’Etat ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 3.122 du 11 février 2011 portant création de la Direction Informatique ;
Vu l’ordonnance souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré, modifiée ;
Vu la délibération n° 2011-104 du 15 novembre 2011 portant avis favorable sur la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion du compte permettant aux usagers d’entreprendre des démarches par téléservices » de la Direction de l’Administration Electronique et de l’Information aux Usagers ;
Vu la délibération n° 2013-26 du 6 mars 2013 portant avis favorable relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Décomptes – Gestion et remboursement des prestations médicales en nature », dénommé « Décompte des prestations médicales en nature » du Service des Prestations Médicales de l’Etat ;
Vu la demande d’avis déposée par le Ministre d’Etat, le 7 août 2013, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité « Permettre aux assurés dépendant du SPME de consulter la liste des prestations médicales et d’en suivre le remboursement par téléservice », dénommé « Remboursement des prestations médicales » du Service des Prestations Médicales de l’Etat ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 16 septembre 2013 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
Les assurés sociaux et leurs ayants droit immatriculés auprès du Service des Prestations Médicales de l’Etat (SPME) peuvent bénéficier de prestations médicales, pharmaceutiques et chirurgicales.
La gestion de ces prestations est dévolue au SPME créé par l’ordonnance souveraine n° 231 du 3 octobre 2005. Le traitement automatisé d’informations nominatives relatif aux opérations de décompte et de remboursement réalisées par ledit service a été mis en œuvre par le Ministre d’Etat, après avis favorable de la Commission par délibération n° 2013-26, susvisée.
Le présent traitement s’inscrit dans le cadre du développement de l’e-administration souhaité par le Gouvernement Princier et de la simplification des démarches administratives. Le téléservice envisagé nécessitant l’instauration d’opérations automatisées d’informations nominatives, la mise en œuvre du traitement inhérent est soumise à l’avis préalable de la Commission de Contrôle des Informations Nominatives conformément à l’article 7 de la loi n° 1.165, susvisé.
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité « Permettre aux assurés dépendant du SPME de consulter la liste des prestations médicales et d’en suivre le remboursement par téléservice ». Il est dénommé « Remboursement des prestations médicales ».
Il concerne les personnes immatriculées auprès du SPME, leurs ayants droit, ainsi que les praticiens et prestataires de services sanitaires et de santé immatriculés, tels que définis dans le traitement ayant pour finalité « Immatriculation au Service des Prestations Médicales de l’Etat », susvisé.
Il a pour objectif de permettre aux assurés dépendant du SPME de consulter la liste des prestations médicales et d’en suivre le remboursement.
Ses fonctionnalités sont les suivantes :
• la gestion du téléservice comportant la création des accès et la gestion des procédures d’authentification par le SPME, notamment la gestion des procédures de validation des comptes d’accès au téléservice et la gestion des fonctionnalités de « modérateurs » des comptes du téléservice ;
• permettre à l’assuré de :
- visualiser les prestations médicales ayant fait l’objet d’un remboursement sur 12 mois ;
- visualiser pour chaque prestation l’état d’avancement du remboursement (en cours, à payer, payé) ;
- visualiser les informations nominatives relatives aux droits de l’assuré et de ses ayants droit ;
- de contacter le SPME par courrier électronique ;
- de se désinscrire du téléservice ;
• permettre au SPME :
- d’attribuer et d’éditer l’identifiant web permettant l’accès au téléservice ;
- de répondre à la demande des assurés s’agissant de l’état de leur remboursement et de les informer ;
- d’informer l’assuré de documents nécessaires à l’ouverture ou au maintien de ses droits devant être communiqués au Service (ex. le certificat de scolarité) ;
• permettre à la Direction de l’Administration Electronique et de l’Information aux Usagers :
- d’effectuer des sondages anonymes sur l’utilisation du téléservice ;
- d’établir des statistiques anonymes sur l’utilisation du téléservice.
Préalablement à tout accès, l’assuré devra créer un compte personnel sécurisé conformément au traitement automatisé ayant pour finalité « Gestion du compte permettant aux usagers d’entreprendre des démarches par téléservices », susvisé.
Concernant la fonction de « modérateur », la Commission précise qu’elle avait demandé, dans sa délibération n° 2011-104, que soient formalisées leurs missions et les procédures opérationnelles relatives à la gestion des comptes utilisateurs.
Elle constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité
La Commission observe que la gestion des prestations objets du présent traitement relève des missions du SPME telles que définies par l’ordonnance souveraine n° 231, précitée, et que les modalités de remboursement des prestations médicales, chirurgicales et pharmaceutiques sont précisées par différents textes, tels que l’arrêté ministériel du 4 février 1947 s’agissant des fonctionnaires, agents et employés de l’Etat ou de la Commune.
Elle relève également que le présent traitement est une extension du traitement automatisé ayant pour finalité « Décomptes – Gestion et remboursement des prestations médicales en nature », légalement mis en œuvre.
Elle considère donc que ce traitement est licite conformément aux articles 10-1 et 12 de la loi n° 1.165, modifiée.
• Sur la justification
La mise en œuvre du traitement est justifiée par :
- le consentement des personnes concernées, soit les assurés sociaux du SPME, qui valident les conditions générales d’utilisation du téléservice ;
- un motif d’intérêt général fondé sur la simplification des démarches administratives au travers du développement de l’administration électronique telle qu’encadrée par les articles 42 et suivants de l’ordonnance souveraine n° 3.413 du 29 août 2011, susvisée ;
- la réalisation d’un intérêt légitime poursuivi par le responsable du traitement qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées, en veillant à la confidentialité des opérations réalisées.
La Commission considère donc que ce traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
• Sur le détail des informations nominatives traitées
Les informations nominatives objets du présent traitement sont :
Concernant l’assuré et ses ayants droit :
- identité : titre, nom, nom marital, prénom de l’assuré et de ses ayants droit, numéro de matricule ;
- situation de famille : lien familial entre les assurés distinguant le bénéficiaire de ses ayants droit ;
- adresse : adresse du domicile de l’assuré ;
- information sur les documents : présence ou absence du certificat de scolarité ;
- données d’identification électronique : numéro de matricule et identifiant web ;
- données de santé : taux de prise en charge général selon les personnes assurées, libellé général de l’acte (sans référence à la nomenclature des actes), taux de prise en charge de chaque acte, exonération du ticket modérateur ;
- données de connexion : données d’horodatage, log de connexion, données de messagerie.
Concernant le praticien et le professionnel de santé ayant prescrit ou réalisé des actes :
- identité : nom, prénom.
• Sur l’origine des informations
Les informations relatives à l’identité, à l’adresse, à la situation de famille, aux données de santé ont pour origine le traitement automatisé dénommé « Décompte des prestations médicales en nature », précité.
L’information sur les documents, les données d’identification électronique ont pour origine le SPME.
Les données de connexion ont pour origine le module Web.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information préalable des personnes concernées
Les assurés sont informés de leur droit par un courrier et par une mention particulière intégrée dans un document d’ordre général accessible en ligne.
La Commission constate que l’information figurant dans les conditions générales d’utilisation est conforme aux dispositions de l’article 14 de la loi n° 1.165, modifiée.
Cependant, le courrier adressé aux personnes concernées n’ayant pas été joint au dossier de demande d’avis, elle rappelle qu’il doit également comporter les mentions visées à l’article 14 précité.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
Ce traitement relève d’un responsable de traitement visé à l’article 7 de la loi n° 1.165. Mis en place par une entité administrative dans le cadre de ses missions d’intérêt général, il ne peut faire l’objet d’un droit d’opposition de la part des personnes concernées, comme établi par l’article 13 de la loi n° 1.165.
Elles peuvent toutefois exercer leur droit d’accès par voie postale, par courrier électronique ou sur place auprès du SPME. Le délai de réponse est de 30 jours.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165, modifiée.
V. Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès aux informations sont :
- les personnels du SPME chargés de l’attribution des identifiants pour leur édition ;
- les personnels de la Direction Informatique, ou les tiers intervenant pour son compte et sous son autorité, à des fins de développement des applicatifs, de la maintenance et de la sécurité du système d’information ;
- les personnels de la DAEIU, ou tiers intervenant pour son compte et sous son autorité, dans le cadre de ses missions d’assistance à maîtrise d’ouvrage sur la télé-procédure ;
- les personnels du prestataire agissant pour le compte du SPME.
Considérant les attributions dévolues à ces personnels, et eu égard à la finalité du traitement, la Commission considère que ces accès sont justifiés.
Elle rappelle néanmoins que les personnes ayant accès au présent traitement sont soumises aux obligations de secret et de confidentialité qui pèsent sur les agents du SPME s’agissant particulièrement de données de santé.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
Les informations nominatives sont conservées dans le cadre du téléservice sur une période d’une année lissée.
L’identifiant Web est valable 12 mois.
Les données de connexion sont conservées 3 mois.
La Commission considère que ces durées de conservation sont conformes aux dispositions légales.
Après en avoir délibéré,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’Etat, du traitement automatisé d’informations nominatives ayant pour finalité « Permettre aux assurés dépendant du SPME de consulter la liste des prestations médicales et d’en suivre le remboursement par téléservice », dénommé « Remboursement des prestations médicales », du Service des Prestations Médicales de l’Etat.
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention de sauvegarde des Droits de l’Homme et des Libertés fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Recommandation R(86) du Conseil de l’Europe du 23 janvier 1986 relative à la protection des données à caractère personnel utilisées à des fins de sécurité sociale ;
Vu la Convention franco-monégasque de sécurité sociale du 28 février 1952, modifiée, et l’arrangement administratif relatif aux modalités d’application de cette convention, modifié ;
Vu la loi n° 486 du 17 juillet 1948 relative à l’octroi des allocations pour charges de famille, des prestations médicales, chirurgicales et pharmaceutiques aux fonctionnaires de l’État et de la Commune ;
Vu la loi n° 918 du 27 décembre 1971 sur les établissements publics ;
Vu la loi n° 975 du 12 juillet 1975 portant statut des fonctionnaires de l’Etat, modifiée, et ses textes d’application ;
Vu la loi n° 1.096 du 7 août 1986 portant statut des fonctionnaires de la Commune, modifiée, et ses textes d’application ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 3.387 du 22 janvier 1947 relative aux prestations médicales, chirurgicales et pharmaceutiques allouées aux fonctionnaires, agents et employés de l’ordre administratif ;
Vu l’ordonnance souveraine n° 1.972 du 24 mars 1959 instituant un Service du Contrôle Général des Dépenses ;
Vu l’ordonnance souveraine n° 14.532 du 17 juillet 2000 rendant exécutoire l’arrangement administratif particulier franco-monégasque concernant les modalités de remboursement des frais exposés dans les établissements de soins français et monégasques ;
Vu l’ordonnance souveraine n° 16.605 du 10 janvier 2005 portant organisation des Départements ministériels ;
Vu l’ordonnance souveraine n° 231 du 3 octobre 2005 portant création d’un Service des Prestations Médicales de l’Etat ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 3.122 du 11 février 2011 portant création de la Direction Informatique ;
Vu l’ordonnance souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré, modifiée ;
Vu la délibération n° 2011-104 du 15 novembre 2011 portant avis favorable sur la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion du compte permettant aux usagers d’entreprendre des démarches par téléservices » de la Direction de l’Administration Electronique et de l’Information aux Usagers ;
Vu la délibération n° 2013-26 du 6 mars 2013 portant avis favorable relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Décomptes – Gestion et remboursement des prestations médicales en nature », dénommé « Décompte des prestations médicales en nature » du Service des Prestations Médicales de l’Etat ;
Vu la demande d’avis déposée par le Ministre d’Etat, le 7 août 2013, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité « Permettre aux assurés dépendant du SPME de consulter la liste des prestations médicales et d’en suivre le remboursement par téléservice », dénommé « Remboursement des prestations médicales » du Service des Prestations Médicales de l’Etat ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 16 septembre 2013 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
Les assurés sociaux et leurs ayants droit immatriculés auprès du Service des Prestations Médicales de l’Etat (SPME) peuvent bénéficier de prestations médicales, pharmaceutiques et chirurgicales.
La gestion de ces prestations est dévolue au SPME créé par l’ordonnance souveraine n° 231 du 3 octobre 2005. Le traitement automatisé d’informations nominatives relatif aux opérations de décompte et de remboursement réalisées par ledit service a été mis en œuvre par le Ministre d’Etat, après avis favorable de la Commission par délibération n° 2013-26, susvisée.
Le présent traitement s’inscrit dans le cadre du développement de l’e-administration souhaité par le Gouvernement Princier et de la simplification des démarches administratives. Le téléservice envisagé nécessitant l’instauration d’opérations automatisées d’informations nominatives, la mise en œuvre du traitement inhérent est soumise à l’avis préalable de la Commission de Contrôle des Informations Nominatives conformément à l’article 7 de la loi n° 1.165, susvisé.
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité « Permettre aux assurés dépendant du SPME de consulter la liste des prestations médicales et d’en suivre le remboursement par téléservice ». Il est dénommé « Remboursement des prestations médicales ».
Il concerne les personnes immatriculées auprès du SPME, leurs ayants droit, ainsi que les praticiens et prestataires de services sanitaires et de santé immatriculés, tels que définis dans le traitement ayant pour finalité « Immatriculation au Service des Prestations Médicales de l’Etat », susvisé.
Il a pour objectif de permettre aux assurés dépendant du SPME de consulter la liste des prestations médicales et d’en suivre le remboursement.
Ses fonctionnalités sont les suivantes :
• la gestion du téléservice comportant la création des accès et la gestion des procédures d’authentification par le SPME, notamment la gestion des procédures de validation des comptes d’accès au téléservice et la gestion des fonctionnalités de « modérateurs » des comptes du téléservice ;
• permettre à l’assuré de :
- visualiser les prestations médicales ayant fait l’objet d’un remboursement sur 12 mois ;
- visualiser pour chaque prestation l’état d’avancement du remboursement (en cours, à payer, payé) ;
- visualiser les informations nominatives relatives aux droits de l’assuré et de ses ayants droit ;
- de contacter le SPME par courrier électronique ;
- de se désinscrire du téléservice ;
• permettre au SPME :
- d’attribuer et d’éditer l’identifiant web permettant l’accès au téléservice ;
- de répondre à la demande des assurés s’agissant de l’état de leur remboursement et de les informer ;
- d’informer l’assuré de documents nécessaires à l’ouverture ou au maintien de ses droits devant être communiqués au Service (ex. le certificat de scolarité) ;
• permettre à la Direction de l’Administration Electronique et de l’Information aux Usagers :
- d’effectuer des sondages anonymes sur l’utilisation du téléservice ;
- d’établir des statistiques anonymes sur l’utilisation du téléservice.
Préalablement à tout accès, l’assuré devra créer un compte personnel sécurisé conformément au traitement automatisé ayant pour finalité « Gestion du compte permettant aux usagers d’entreprendre des démarches par téléservices », susvisé.
Concernant la fonction de « modérateur », la Commission précise qu’elle avait demandé, dans sa délibération n° 2011-104, que soient formalisées leurs missions et les procédures opérationnelles relatives à la gestion des comptes utilisateurs.
Elle constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité
La Commission observe que la gestion des prestations objets du présent traitement relève des missions du SPME telles que définies par l’ordonnance souveraine n° 231, précitée, et que les modalités de remboursement des prestations médicales, chirurgicales et pharmaceutiques sont précisées par différents textes, tels que l’arrêté ministériel du 4 février 1947 s’agissant des fonctionnaires, agents et employés de l’Etat ou de la Commune.
Elle relève également que le présent traitement est une extension du traitement automatisé ayant pour finalité « Décomptes – Gestion et remboursement des prestations médicales en nature », légalement mis en œuvre.
Elle considère donc que ce traitement est licite conformément aux articles 10-1 et 12 de la loi n° 1.165, modifiée.
• Sur la justification
La mise en œuvre du traitement est justifiée par :
- le consentement des personnes concernées, soit les assurés sociaux du SPME, qui valident les conditions générales d’utilisation du téléservice ;
- un motif d’intérêt général fondé sur la simplification des démarches administratives au travers du développement de l’administration électronique telle qu’encadrée par les articles 42 et suivants de l’ordonnance souveraine n° 3.413 du 29 août 2011, susvisée ;
- la réalisation d’un intérêt légitime poursuivi par le responsable du traitement qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées, en veillant à la confidentialité des opérations réalisées.
La Commission considère donc que ce traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
• Sur le détail des informations nominatives traitées
Les informations nominatives objets du présent traitement sont :
Concernant l’assuré et ses ayants droit :
- identité : titre, nom, nom marital, prénom de l’assuré et de ses ayants droit, numéro de matricule ;
- situation de famille : lien familial entre les assurés distinguant le bénéficiaire de ses ayants droit ;
- adresse : adresse du domicile de l’assuré ;
- information sur les documents : présence ou absence du certificat de scolarité ;
- données d’identification électronique : numéro de matricule et identifiant web ;
- données de santé : taux de prise en charge général selon les personnes assurées, libellé général de l’acte (sans référence à la nomenclature des actes), taux de prise en charge de chaque acte, exonération du ticket modérateur ;
- données de connexion : données d’horodatage, log de connexion, données de messagerie.
Concernant le praticien et le professionnel de santé ayant prescrit ou réalisé des actes :
- identité : nom, prénom.
• Sur l’origine des informations
Les informations relatives à l’identité, à l’adresse, à la situation de famille, aux données de santé ont pour origine le traitement automatisé dénommé « Décompte des prestations médicales en nature », précité.
L’information sur les documents, les données d’identification électronique ont pour origine le SPME.
Les données de connexion ont pour origine le module Web.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information préalable des personnes concernées
Les assurés sont informés de leur droit par un courrier et par une mention particulière intégrée dans un document d’ordre général accessible en ligne.
La Commission constate que l’information figurant dans les conditions générales d’utilisation est conforme aux dispositions de l’article 14 de la loi n° 1.165, modifiée.
Cependant, le courrier adressé aux personnes concernées n’ayant pas été joint au dossier de demande d’avis, elle rappelle qu’il doit également comporter les mentions visées à l’article 14 précité.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
Ce traitement relève d’un responsable de traitement visé à l’article 7 de la loi n° 1.165. Mis en place par une entité administrative dans le cadre de ses missions d’intérêt général, il ne peut faire l’objet d’un droit d’opposition de la part des personnes concernées, comme établi par l’article 13 de la loi n° 1.165.
Elles peuvent toutefois exercer leur droit d’accès par voie postale, par courrier électronique ou sur place auprès du SPME. Le délai de réponse est de 30 jours.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165, modifiée.
V. Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès aux informations sont :
- les personnels du SPME chargés de l’attribution des identifiants pour leur édition ;
- les personnels de la Direction Informatique, ou les tiers intervenant pour son compte et sous son autorité, à des fins de développement des applicatifs, de la maintenance et de la sécurité du système d’information ;
- les personnels de la DAEIU, ou tiers intervenant pour son compte et sous son autorité, dans le cadre de ses missions d’assistance à maîtrise d’ouvrage sur la télé-procédure ;
- les personnels du prestataire agissant pour le compte du SPME.
Considérant les attributions dévolues à ces personnels, et eu égard à la finalité du traitement, la Commission considère que ces accès sont justifiés.
Elle rappelle néanmoins que les personnes ayant accès au présent traitement sont soumises aux obligations de secret et de confidentialité qui pèsent sur les agents du SPME s’agissant particulièrement de données de santé.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
Les informations nominatives sont conservées dans le cadre du téléservice sur une période d’une année lissée.
L’identifiant Web est valable 12 mois.
Les données de connexion sont conservées 3 mois.
La Commission considère que ces durées de conservation sont conformes aux dispositions légales.
Après en avoir délibéré,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’Etat, du traitement automatisé d’informations nominatives ayant pour finalité « Permettre aux assurés dépendant du SPME de consulter la liste des prestations médicales et d’en suivre le remboursement par téléservice », dénommé « Remboursement des prestations médicales », du Service des Prestations Médicales de l’Etat.
Le Président de la Commission
de Contrôle des Informations Nominatives.