Décret n° 2015-390 du 3 avril 2015 autorisant les traitements de données à caractère personnel par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie pour l'accomplissement de leurs missions d'affiliation, d'immatriculation, d'instruction des droits aux prestations et de prise en charge des soins, produits et services - Article 4

Les données mentionnées à l'article 2, à l'exception de celles mentionnées au 2° du A, sont conservées au plus cinq ans après la fermeture des droits à l'assurance maladie de l'assuré ou de l'ayant droit ou jusqu'à l'intervention d'une décision définitive en cas de contentieux.
Les données du 2° du A de l'article 2 sont conservées au maximum trois ans à partir de la date de versement. Au-delà de ce délai, elles peuvent être archivées pendant une durée maximale de dix ans dans un environnement logique séparé afin d'assurer la gestion des actions contentieuses, de la lutte contre la fraude et des recours contre tiers.
L'accès aux données mentionnées à l'alinéa précédent est réservé aux seuls agents habilités conjointement par le médecin-conseil responsable de l'échelon local du service médical ou par le médecin-conseil chef de service du contrôle médical des caisses de mutualité sociale agricole et par le directeur de l'organisme, dans le cadre du pilotage, de la gestion du risque, du contrôle interne, du contentieux, du recours contre tiers, de la lutte contre la fraude et des activités du service médical. L'accès simultané aux données archivées à caractère médical et aux identifiants des personnes physiques est réservé aux praticiens-conseils et aux personnels placés sous leur autorité.
Pour chacun des traitements autorisés en application du présent décret, les données sont conservées pendant une durée proportionnée à la finalité poursuivie par le traitement, conformément aux dispositions des articles 6 et 36 de la loi du 6 janvier 1978 modifiée susvisée.
Les informations relatives à l'identification des agents ayant accédé aux données enregistrées dans les traitements visés à l'article 1er ou les ayant modifiées ainsi que les dates, heures et types de ces accès ou modifications sont conservées durant l'année civile au cours de laquelle l'accès ou la modification a eu lieu et les quatre années civiles suivantes.