Décret n° 2015-389 du 3 avril 2015 autorisant les traitements automatisés de données à caractère personnel et les échanges d'informations mis en œuvre par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie pour l'accomplissement de leurs missions en matière de lutte contre les fautes, abus et fraudes - Article 2

Les traitements autorisés par l'article 1er peuvent porter sur les catégories de données suivantes, dès lors que ces données s'avèrent strictement nécessaires et proportionnées aux finalités poursuivies :
A.-Les données d'identification des personnes physiques ou morales auteurs ou concernés par une faute, un abus ou une fraude présumés ou avérés, qui comportent :
1° Pour chaque personne physique :
a) Le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) et, le cas échéant, tout numéro d'immatriculation temporaire qui leur aurait été attribué ou, pour les personnes en instance d'attribution d'un numéro d'inscription au répertoire national d'identification des personnes physiques, un numéro d'identification d'attente (NIA) attribué pour l'ensemble des organismes par la Caisse nationale d'assurance vieillesse des travailleurs salariés à partir des données d'état civil, et leur date d'attribution ;
b) Le nom de famille, le nom d'usage, les prénoms, le sexe ;
c) La date et le lieu de naissance ;
d) Le numéro de pièce d'identité ou de titre de séjour ;
e) Les coordonnées postales, téléphoniques et électroniques ;
2° Pour les personnes morales : la raison sociale, l'identifiant SIRET, les noms, prénoms et date de naissance du représentant légal et l'adresse du siège social ;
3° Pour les professionnels de santé, les établissements, fournisseurs et autres prestataires de services : les numéros d'identification, catégorie, spécialité, secteur de conventionnement ;
4° Dans le cadre d'une recherche de fraude interne, le numéro d'agent ;
5° Le pays où les soins ont été délivrés.
B.-Les informations décrivant les caractéristiques de la faute, de l'abus ou de la fraude, qui comportent :
1° La branche, le service et la prestation ou le droit concerné ;
2° La date ou période des faits ;
3° La date de découverte des faits et les modalités de détection de la faute, de l'abus ou de la fraude ;
4° Le domaine de risque ;
5° Le type de faute, abus ou fraude ;
6° La nature du ou des documents en cause ;
7° L'évaluation du montant du préjudice subi ou évité ;
8° L'identification des tiers concernés, en particulier en tant que victime, témoin des faits, complice ou coauteur potentiel, comportant éventuellement, sauf pour les témoins des faits, le NIR lorsque cette information est utile aux besoins de l'enquête ;
9° Le comité opérationnel départemental anti-fraude concerné ;
10° Toutes les informations utiles relatives à la prestation ou au droit servi dont le numéro identifiant le séjour en établissement dans le cadre du contrôle des établissements.
C.-En cas de faute, abus ou fraude avérés, les informations relatives aux actions engagées à l'initiative des organismes gestionnaires des régimes obligatoires de base de l'assurance maladie, qui comportent :
1° La nature des actions engagées ;
2° Le cas échéant, l'autorité saisie ;
3° La mention : « procédure en cours » ou « clôturée » et, le cas échéant, la date de clôture ;
4° Le cas échéant, les mentions : « classement sans suite », « non lieu » ou « relaxe » ;
5° Les mentions de notification d'indu, de signature de transaction, de notification d'une pénalité financière, leur montant et, le cas échéant, leur recouvrement ;
6° Les sanctions ordinales.

Conformément à l'article 4 du décret n° 2022-292 du 1er mars 2022, ces dispositions sont applicables à compter du 1er mars 2022.