Article 1 Pour l'application des dispositions des articles L. 314-1, L. 315-1, L. 315-2, L. 613-12 et L. 613-13 du code de la sécurité sociale et L. 723-2, L. 723-11 et L. 732-5 du code rural et de la pêche maritime, les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie sont autorisés à mettre en œuvre des traitements de données à caractère personnel, pour l'exercice des missions de leur service médical, dont les finalités sont les suivantes : 1° Déterminer les droits aux prestations prévues par les articles mentionnés au premier alinéa, ouvrir ces droits et verser les prestations correspondantes ; 2° Procéder aux analyses et aux contrôles mentionnés à l'article L. 315-1 susmentionné ; 3° Permettre la gestion individualisée de la relation avec les bénéficiaires de prestations et les producteurs de soins et prestataires de services, par courrier postal ou électronique, par messages téléphoniques, par accueil téléphonique ou physique et par téléservices ; 4° Contribuer à la conformité du versement des prestations aux droits des assurés, à la prévention et la lutte contre les fautes, abus et fraudes et à la gestion et au suivi des actions contentieuses ; 5° Transférer, lorsqu'un assuré change d'organisme gestionnaire, les informations relatives à cet assuré nécessaires à l'accomplissement des missions du nouvel organisme de rattachement, dans le respect des secrets professionnel et médical ; 6° Produire des statistiques et piloter et mettre en œuvre la politique et les actions de gestion du risque et de prévention à partir des données préalablement anonymisées. Article 2 Conformément à l'article 4 du décret n° 2022-292 du 1er mars 2022, ces dispositions sont applicables à compter du 1er mars 2022. Article 3 Ont accès aux données mentionnées à l'article 2 strictement nécessaires à l'exercice de leurs missions, dans la limite du besoin d'en connaître, les agents intervenant dans la prise en charge des assurés, individuellement habilités par le médecin-conseil chef du service du contrôle médical et placés sous l'autorité d'un praticien-conseil. Seuls les praticiens-conseils et les personnels placés sous leur autorité ont accès aux données nominatives issues des traitements, lorsqu'elles sont associées au numéro de code d'une pathologie diagnostiquée. Lorsqu'un assuré change d'organisme gestionnaire, les agents du nouvel organisme dont il relève ont accès, dans les conditions fixées aux deux alinéas précédents, aux données à caractère personnel le concernant dans la mesure nécessaire pour assurer la continuité de sa prise en charge. Article 4 Les données mentionnées à l'article 2 ne sont pas conservées après le décès de l'assuré ou de l'ayant droit. Cependant elles sont conservées au maximum : 1° Trois ans après son décès lorsqu'elles sont relatives à un assuré ou un ayant droit concerné par une affection de longue durée ou des prestations soumises à l'accord préalable du service du contrôle médical ; 2° Cinq ans après son décès lorsqu'elles sont relatives à un assuré ou un ayant droit concerné par une invalidité ou une inaptitude ; 3° Dix ans après son décès lorsqu'elles sont relatives à un assuré ou un ayant droit concerné par un accident du travail ou une maladie professionnelle. En outre, lorsqu'il existe un recours contre tiers ou un contentieux, les données sont conservées jusqu'à l'intervention de la décision définitive. Au-delà des délais susmentionnés, les données peuvent être archivées pendant dix ans dans un environnement logique séparé afin d'assurer une meilleure gestion des litiges, de la lutte contre la fraude et des recours contre tiers. L'accès aux données archivées est réservé aux seuls agents habilités conjointement par le médecin-conseil responsable de l'échelon local du service médical ou le médecin-conseil chef de service du contrôle médical des caisses de mutualité sociale agricole et par le directeur de l'organisme dans le cadre du pilotage, de la gestion du risque, du contrôle interne, du contentieux, du recours contre tiers, de la lutte contre la fraude et des activités du service médical. L'accès simultané aux données archivées relatives aux pathologies et aux identifiants des bénéficiaires n'est possible que pour les médecins-conseils et les personnes placées sous leur autorité. Pour chacun des traitements autorisés en application du présent décret, les données sont conservées pendant une durée proportionnée à la finalité poursuivie par le traitement, conformément aux dispositions des articles 6 et 36 de la loi du 6 janvier 1978 modifiée susvisée. Les informations relatives à l'identification des agents ayant accédé aux données enregistrées dans les traitements visés à l'article 1er ou les ayant modifiées ainsi que les dates, heures et types de ces accès ou modifications sont conservées durant l'année civile au cours de laquelle l'accès ou la modification a eu lieu et les quatre années civiles suivantes. Article 5 Les personnes auxquelles se rapportent les données mentionnées à l'article 2 sont informées de l'existence et de la mise en œuvre d'un traitement de données à caractère personnel les concernant, de ses finalités, de l'identité du responsable, des destinataires des données et des modalités d'exercice des droits d'accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 susvisée par la diffusion d'une information sur les sites internet respectifs des régimes obligatoires de base de l'assurance maladie. Le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 susvisée ne s'applique pas aux traitements autorisés par le présent décret. Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 susvisée s'exercent auprès du directeur de l'organisme de rattachement des personnes concernées. Article 6 Les responsables des traitements prennent les mesures nécessaires pour préserver la sécurité des données tant à l'occasion de leur recueil que de leur consultation, de leur communication ou de leur conservation. Les traitements mis en œuvre dans le cadre du présent décret respectent, lorsqu'ils y sont soumis, le référentiel général de sécurité créé par l'article 9 de l'ordonnance du 8 décembre 2005 susvisée. Article 7 En application des dispositions du IV de l'article 26 de la loi du 6 janvier 1978 susvisée, le responsable de chacun des traitements de données autorisés sur le fondement du présent décret adresse à la Commission nationale de l'informatique et des libertés, préalablement à sa mise en œuvre, un engagement de conformité aux dispositions du présent décret dans les conditions fixées à l'article 8 du décret du 20 octobre 2005 susvisé. Article 8 La ministre des affaires sociales, de la santé et des droits des femmes et le ministre de l'agriculture, de l'agroalimentaire et de la forêt, porte-parole du Gouvernement, sont chargés, chacun en ce qui le concerne, de l'exécution du présent décret, qui sera publié au Journal officiel de la République française.
Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.