Article 1 Pour l'application des dispositions du chapitre IV ter du titre Ier et du livre Ier et de la première partie du code de la sécurité sociale relatives au contrôle et à la lutte contre la fraude ainsi que des articles L. 224-14 et L. 315-1 du code de la sécurité sociale et des articles L. 723-2 et L. 723-11 du code rural et de la pêche maritime, les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie sont autorisés à mettre en œuvre des traitements de données à caractère personnel dont la finalité est la lutte contre la fraude interne et les fautes, abus et fraudes des assurés, ayants droit, bénéficiaires de droits, employeurs, tiers, professionnels et établissements de santé, établissements médico-sociaux, établissements d'hébergement de personnes âgées dépendantes, laboratoires d'analyses médicales, fournisseurs et autres prestataires de services, ou toute autre personne physique ou morale autorisée à réaliser des actes de prévention, de diagnostic et de soins, à réaliser une prestation de service ou des analyses de biologie médicale ou à délivrer des produits ou dispositifs médicaux, et à cet effet : 1° Effectuer les opérations nécessaires au calcul des indus et des sanctions et à suivre et analyser des situations administratives, des prestations versées, des soins produits et des biens délivrés ; 2° Elaborer une typologie des risques de fautes, abus et fraudes permettant de mieux cibler les dossiers à contrôler ; 3° Communiquer les informations relatives aux fautes, abus et fraudes aux organismes gestionnaires des régimes obligatoires ; 5° Transmettre à l'établissement de santé, par tout moyen permettant de déterminer la date de réception, le rapport de contrôle prévu à l'article R. 162-35-2 du code de la sécurité sociale ; 4° Recueillir les informations susceptibles de constituer un manquement aux règles de déontologie de la part d'un professionnel de santé inscrit à un ordre professionnel et à les communiquer à l'ordre compétent en application de l'article L. 162-1-19 du code de sécurité sociale ; 6° Produire le rapport de synthèse prévu à l'article L. 114-9 du code de sécurité sociale ; 7° Suivre les signalements de suspicions de fautes, abus et fraudes afin de diligenter les contrôles, mener les investigations et, le cas échéant, d'engager des actions contentieuses ou des mesures d'accompagnement ; 8° Suivre les actions contentieuses et les actions de prévention et de lutte contre les fautes, abus et fraudes ; 9° Effectuer des requêtes et de produire des statistiques relatives à la fraude, à partir des données préalablement anonymisées. Article 2 Conformément à l'article 4 du décret n° 2022-292 du 1er mars 2022, ces dispositions sont applicables à compter du 1er mars
- Article 3 I.-Ont accès aux données des traitements mentionnés à l'article 1er pour leur enregistrement et leur gestion et à raison de leurs attributions respectives et dans la limite du besoin d'en connaître les agents intervenant dans la prise en charge des assurés, individuellement habilités par le directeur de l'organisme d'assurance maladie auquel ils appartiennent. II.-Sont destinataires des données des traitements mentionnés à l'article 1er strictement nécessaires à l'exercice de leurs missions et dans la limite du besoin d'en connaître : 1° Les agents de l'Etat ou des organismes de protection sociale mentionnés à l'article L. 114-16-3 du code de sécurité sociale ; 2° Les agents des services dépendant du ministère chargé des finances publiques chargés de la lutte contre la fraude. III.-N'ont accès aux données à caractère médical que les praticiens-conseils et personnels placés sous leur autorité, dans le respect des règles du secret médical et dans la stricte mesure où ces données sont nécessaires à l'exercice des missions qui leur sont confiées. Article 4 I. - Les données enregistrées dans les outils de gestion des alertes sont conservées pour une durée maximale de cinq ans. Toute alerte non pertinente est supprimée sans délai. II. - Les données de signalement des fautes, abus et fraudes et anomalies sont conservées pour des durées maximales de : 1° Un an pour les dossiers classés sans suite par l'organisme ou ayant fait l'objet d'une décision de non lieu ou de relaxe à compter de la date de cette décision ; 2° Un an pour les dossiers classés sans suite par le procureur de la République sauf s'ils font encore l'objet d'une procédure de sanction ou conventionnelle ; 3° Cinq ans à compter de l'intervention d'une décision définitive en cas de contentieux, dans les autres cas. III. - Les données issues de requêtes pour la réalisation du ciblage des dossiers à contrôler sont conservées jusqu'au ciblage suivant sur le même type de faute, abus ou fraude ou la même personne et pendant une durée qui ne peut excéder trois ans. IV. - Au-delà de leur délai de conservation, les données mentionnées aux I et II, à l'exception des données relatives aux dossiers classés sans suite, peuvent être archivées pour une période de cinq ans maximum dans un environnement logique séparé, aux fins d'évaluation. L'accès aux données archivées est réservé aux seuls agents habilités par le directeur de l'organisme, lorsqu'aucune donnée de santé n'est concernée, conjointement par le médecin-conseil responsable de l'échelon local du service médical ou par le médecin-conseil chef de service du contrôle médical des caisses de mutualité sociale agricole et par le directeur de l'organisme, lorsque des données de santé sont concernées. L'accès simultané aux données archivées à caractère médical et aux identifiants des personnes physiques est réservé aux praticiens-conseils et aux personnels placés sous leur autorité. V. - Les informations relatives à l'identification des agents ayant accédé aux données enregistrées dans les traitements visés à l'article 1er ou les ayant modifiées ainsi que les dates, heures et types de ces accès ou modifications sont conservées durant l'année civile au cours de laquelle l'accès ou la modification a eu lieu et les quatre années civiles suivantes. VI. - Pour chacun des traitements autorisés en application du présent décret, les données sont conservées pendant une durée proportionnée à la finalité poursuivie par le traitement, conformément aux dispositions des articles 6 et 36 de la loi du 6 janvier 1978 susvisée. Article 5 Les personnes auxquelles se rapportent les données des traitements mentionnés à l'article 1er sont informées de l'existence et de la mise en œuvre d'un traitement les concernant autorisé en application du présent décret, de ses finalités, de l'identité du responsable du traitement, des destinataires des données et des modalités d'exercice des droits d'accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 susvisée par la diffusion d'une information sur les sites internet respectifs des régimes obligatoires de base de l'assurance maladie. Le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 susvisée ne s'applique pas aux traitements autorisés par le présent décret. Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 susvisée s'exercent auprès du directeur de l'organisme de rattachement des personnes concernées. Article 6 Les responsables des traitements prennent les mesures nécessaires pour préserver la sécurité des données tant à l'occasion de leur recueil que de leur consultation, de leur communication ou de leur conservation ainsi que des informations mentionnées au V de l'article
- Les traitements mis en œuvre dans le cadre du présent décret respectent, lorsqu'ils y sont soumis, le référentiel général de sécurité mentionné à l'article 9 de l'ordonnance du 8 décembre 2005 susvisée. Article 7 En application des dispositions du IV de l'article 26 de la loi du 6 janvier 1978 susvisée, le responsable de chacun des traitements de données autorisés sur le fondement du présent décret adresse à la Commission nationale de l'informatique et des libertés, préalablement à sa mise en œuvre, un engagement de conformité aux dispositions du présent décret dans les conditions fixées à l'article 8 du décret du 20 octobre 2005 susvisé. Article 8 La ministre des affaires sociales, de la santé et des droits des femmes et le ministre de l'agriculture, de l'agroalimentaire et de la forêt, porte-parole du Gouvernement, sont chargés, chacun en ce qui le concerne, de l'exécution du présent décret, qui sera publié au Journal officiel de la République française.