Décret n° 2015-391 du 3 avril 2015 autorisant les traitements automatisés de données à caractère personnel et les échanges d'informations mis en œuvre par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie pour l'accomplissement des missions de leurs services médicaux - Article 4

Les données mentionnées à l'article 2 ne sont pas conservées après le décès de l'assuré ou de l'ayant droit. Cependant elles sont conservées au maximum :
1° Trois ans après son décès lorsqu'elles sont relatives à un assuré ou un ayant droit concerné par une affection de longue durée ou des prestations soumises à l'accord préalable du service du contrôle médical ;
2° Cinq ans après son décès lorsqu'elles sont relatives à un assuré ou un ayant droit concerné par une invalidité ou une inaptitude ;
3° Dix ans après son décès lorsqu'elles sont relatives à un assuré ou un ayant droit concerné par un accident du travail ou une maladie professionnelle.
En outre, lorsqu'il existe un recours contre tiers ou un contentieux, les données sont conservées jusqu'à l'intervention de la décision définitive.
Au-delà des délais susmentionnés, les données peuvent être archivées pendant dix ans dans un environnement logique séparé afin d'assurer une meilleure gestion des litiges, de la lutte contre la fraude et des recours contre tiers.
L'accès aux données archivées est réservé aux seuls agents habilités conjointement par le médecin-conseil responsable de l'échelon local du service médical ou le médecin-conseil chef de service du contrôle médical des caisses de mutualité sociale agricole et par le directeur de l'organisme dans le cadre du pilotage, de la gestion du risque, du contrôle interne, du contentieux, du recours contre tiers, de la lutte contre la fraude et des activités du service médical. L'accès simultané aux données archivées relatives aux pathologies et aux identifiants des bénéficiaires n'est possible que pour les médecins-conseils et les personnes placées sous leur autorité.
Pour chacun des traitements autorisés en application du présent décret, les données sont conservées pendant une durée proportionnée à la finalité poursuivie par le traitement, conformément aux dispositions des articles 6 et 36 de la loi du 6 janvier 1978 modifiée susvisée.
Les informations relatives à l'identification des agents ayant accédé aux données enregistrées dans les traitements visés à l'article 1er ou les ayant modifiées ainsi que les dates, heures et types de ces accès ou modifications sont conservées durant l'année civile au cours de laquelle l'accès ou la modification a eu lieu et les quatre années civiles suivantes.