Conseil d'État, 10ème chambre, 15/06/2016, 390667, Inédit au recueil Lebon

Résumé de la décision

Arguments pertinents

2. Position de la mutuelle : La CNIL a précisé que la mutuelle LMDE, n'ayant pas de service médical, ne conserve que des "codes regroupement" correspondant à des catégories d'actes. Cela légitime la décision de la CNIL, qui a recommandé à Mme B... d'adresser sa demande au médecin-conseil de sa caisse primaire d'assurance maladie, celui-ci étant le seul à avoir accès aux données nominatives complètes.
> « La mutuelle LMDE, organisme administratif dépourvu de service médical, n'avait détenu les informations litigieuses que le temps de les saisir en vue du remboursement ».

3. Validité de la décision de la CNIL : Le tribunal a confirmé que la décision de la présidente de la CNIL de clôturer la plainte n'était pas une erreur de droit, car elle a agi conformément aux dispositions issues du code de la sécurité sociale.
> « La présidente de la Commission [...] a secondé [Mme B...] dans l'exercice de son droit d'accès, n’a commis ni erreur de droit ni erreur manifeste d'appréciation ».

Interprétations et citations légales

3. Article R. 161-31 du Code de la sécurité sociale : Il rappelle que les assurés sociaux peuvent exercer leur droit d'accès strictement auprès de l'organisme d'assurance maladie dont ils dépendent, ce qui encadre les recours possibles.
> « Les assurés sociaux exercent leur droit d'accès aux informations les concernant auprès de l'organisme d'assurance maladie auquel ils sont affiliés » (Code de la sécurité sociale - Article R. 161-31).

En souscrivant à ces interprétations, le tribunal a renforcé la légalité des décisions prises par la CNIL tout en délimitant le cadre légal des données d'accès aux assurés sociaux.

3°) de mettre à la charge de l'Etat la somme de 1 500 euros au titre de l'article L. 761-1 du code de justice administrative et de l'article 37 de la loi du 10 juillet 1991.

Vu les autres pièces du dossier ;

Vu :

- le code de la sécurité sociale ;

- la loi n° 78-17 du 6 janvier 1978 ;

- la loi n° 91-647 du 10 juillet 1991 ;

- le code de justice administrative ;

Après avoir entendu en séance publique :

- le rapport de M. Arno Klarsfeld, conseiller d'Etat,

- les conclusions de M. Edouard Crépey, rapporteur public ;
Considérant ce qui suit :

1. Il ressort des pièces du dossier que Mme B...a demandé, le 22 mai 2013, communication de l'ensemble des données de son dossier médical détenues par la mutuelle LMDE à laquelle elle était affiliée le 26 mai 2003 lorsqu'une médication lui a occasionné de graves troubles de santé. Se déclarant insatisfaite après plusieurs réceptions de pièces, soit directement en provenance de la mutuelle LMDE, soit par l'entremise de la Commission nationale de l'informatique et des libertés qu'elle a saisie le 31 juillet 2013, la requérante s'est tournée à nouveau vers la Commission, les 23 juin, 20 août et 17 octobre 2014 , afin de pouvoir obtenir de la mutuelle LMDE l'intégralité des données la concernant, relatives au codage des actes, des prestations et des pathologies diagnostiquées. Par une décision du 22 octobre 2014, dont Mme B...demande l'annulation, la présidente de la Commission nationale de l'informatique et des libertés a clôturé sa plainte à l'encontre de la mutuelle LMDE.

2. Aux termes de l'article 39 de la loi du 6 janvier 1978 : " I.-Toute personne physique justifiant de son identité a le droit d'interroger le responsable d'un traitement de données à caractère personnel en vue d'obtenir : (...) 4° La communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l'origine de celles-ci ". D'autre part, l'article L. 161-29 du code de la sécurité sociale, dispose : " (...) les professionnels et les organismes ou établissements dispensant des actes ou prestations remboursables par l'assurance maladie à des assurés sociaux ou à leurs ayants droit communiquent aux organismes d'assurance maladie concernés le numéro de code des actes effectués, des prestations servies à ces assurés sociaux ou à leurs ayants droit, y compris lorsque ces prestations sont établies à partir des données mentionnées aux articles L. 6113-7 et L. 6113-8 du code de la santé publique, et des pathologies diagnostiquées.(...) / Pour assurer l'exécution de leur mission, les caisses nationales mettent en oeuvre un traitement automatisé des données mentionnées à l'alinéa précédent. / Sous réserve des dispositions de l'alinéa suivant, le personnel des organismes d'assurance maladie a connaissance, dans le cadre de ses fonctions et pour la durée nécessaire à leur accomplissement, des numéros de code des pathologies diagnostiquées, des actes effectués et des prestations servies au bénéfice d'une personne déterminée, y compris lorsque ces prestations sont établies à partir des données mentionnées aux articles L. 6113-7 et L. 6113-8 du code de la santé publique, tels qu'ils figurent sur le support utilisé pour la transmission prévue au premier alinéa ou dans les données issues du traitement susmentionné. / Seuls les praticiens-conseils et les personnels placés sous leur autorité ont accès aux données nominatives issues du traitement susvisé, lorsqu'elles sont associées au numéro de code d'une pathologie diagnostiquée ". Enfin, l'article R. 161-31 du même code précise : " 2° Des dispositions légales et réglementaires autorisent ou imposent un traitement automatisé des données relatives aux actes effectués, aux prestations servies et aux pathologies diagnostiquées, ainsi que la transmission aux praticiens-conseils et aux personnels des organismes d'assurance maladie de celles de ces données qu'ils sont, respectivement, habilités à connaître dans des conditions et limites définies par l'article L. 161-29 ;/ 3° Les assurés sociaux exercent leur droit d'accès aux informations les concernant, dans les conditions prévues par la loi n° 78-17 du 6 janvier 1978, auprès de l'organisme d'assurance maladie auquel ils sont affiliés ".

3. Il résulte de cette disposition citée au point 3 d'une part, que l'accès au code nominatif est réservé aux seuls praticiens-conseils et aux personnels des organismes d'assurance maladie et, d'autre part, que LMDE, qui ne dispose pas de service médical, n'est pas un organisme d'assurance maladie, alors même qu'elle gère les prestations d'assurance maladie de ses affiliés pour le compte de la sécurité sociale.

4. Dans son courrier du 22 octobre 2014, la présidente de la Commission nationale de l'informatique et des libertés a exposé à la requérante que la mutuelle LMDE, " organisme administratif dépourvu de service médical et de médecin conseil ", n'avait détenu les informations litigieuses que le temps de les saisir en vue du remboursement de la patiente et qu'elle ne disposait plus que des " codes regroupement " correspondant aux grandes familles d'actes de même nature. Dès lors, en clôturant par la décision attaquée la plainte à l'encontre de la mutuelle LMDE et en invitant la requérante, en pleine conformité avec les dispositions citées ci-dessus du code de la sécurité sociale, à solliciter les informations relatives au codage des actes, des prestations et des pathologies diagnostiquées, auprès du médecin conseil de la caisse primaire d'assurance maladie dont elle relève et qui seul peut y accéder, la présidente de la Commission, qui, contrairement aux allégations de la requérante, a secondé celle-ci dans l'exercice de son droit d'accès, n'a commis ni erreur de droit ni erreur manifeste d'appréciation.

5. Il résulte de ce qui précède que la requérante n'est pas fondée à demander l'annulation de la décision de la présidente de la Commission nationale de l'informatique et des libertés de clôturer sa plainte à l'encontre de la mutuelle LMDE, non plus que par injonction de la Commission, la mise en demeure de cette mutuelle de communiquer les informations litigieuses. Sa requête doit donc être rejetée, y compris les conclusions présentées au titre des dispositions de l'article L. 761-1 du code de justice administrative et 37 de la loi du 10 juillet 1991.
D E C I D E :

--------------

Article 1er : La requête de Mme B...est rejetée.

Article 2 : La présente décision sera notifiée à Mme A...B...et à la Commission nationale de l'informatique et des libertés.