Décret n° 2015-389 du 3 avril 2015 autorisant les traitements automatisés de données à caractère personnel et les échanges d'informations mis en œuvre par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie pour l'accomplissement de leurs missions en matière de lutte contre les fautes, abus et fraudes - Article 4

I. - Les données enregistrées dans les outils de gestion des alertes sont conservées pour une durée maximale de cinq ans. Toute alerte non pertinente est supprimée sans délai.
II. - Les données de signalement des fautes, abus et fraudes et anomalies sont conservées pour des durées maximales de :
1° Un an pour les dossiers classés sans suite par l'organisme ou ayant fait l'objet d'une décision de non lieu ou de relaxe à compter de la date de cette décision ;
2° Un an pour les dossiers classés sans suite par le procureur de la République sauf s'ils font encore l'objet d'une procédure de sanction ou conventionnelle ;
3° Cinq ans à compter de l'intervention d'une décision définitive en cas de contentieux, dans les autres cas.
III. - Les données issues de requêtes pour la réalisation du ciblage des dossiers à contrôler sont conservées jusqu'au ciblage suivant sur le même type de faute, abus ou fraude ou la même personne et pendant une durée qui ne peut excéder trois ans.
IV. - Au-delà de leur délai de conservation, les données mentionnées aux I et II, à l'exception des données relatives aux dossiers classés sans suite, peuvent être archivées pour une période de cinq ans maximum dans un environnement logique séparé, aux fins d'évaluation.
L'accès aux données archivées est réservé aux seuls agents habilités par le directeur de l'organisme, lorsqu'aucune donnée de santé n'est concernée, conjointement par le médecin-conseil responsable de l'échelon local du service médical ou par le médecin-conseil chef de service du contrôle médical des caisses de mutualité sociale agricole et par le directeur de l'organisme, lorsque des données de santé sont concernées. L'accès simultané aux données archivées à caractère médical et aux identifiants des personnes physiques est réservé aux praticiens-conseils et aux personnels placés sous leur autorité.
V. - Les informations relatives à l'identification des agents ayant accédé aux données enregistrées dans les traitements visés à l'article 1er ou les ayant modifiées ainsi que les dates, heures et types de ces accès ou modifications sont conservées durant l'année civile au cours de laquelle l'accès ou la modification a eu lieu et les quatre années civiles suivantes.
VI. - Pour chacun des traitements autorisés en application du présent décret, les données sont conservées pendant une durée proportionnée à la finalité poursuivie par le traitement, conformément aux dispositions des articles 6 et 36 de la loi du 6 janvier 1978 susvisée.