Les agents habilités par l’organisme d’assurance maladie peuvent procéder, lorsqu'est mis en œuvre un traitement des données à caractère personnel, à un contrôle administratif de facturation et ils n’ont, légalement, aucune obligation de saisir la Cnil d’une demande d’avis allégé ou de justifier de l’enregistrement des critères et raisonnement sur lesquels le contrôle est fondé.Une caisse d’assurance maladie (CPAM) a notifié à une infirmière libérale, à la suite d’un contrôle de l’application des règles de tarification, un indu d’un certain montant, pour la période allant du 22 avril 2013 au 31 décembre 2015. La cour d’appel de Nancy a jugé que le contrôle était irrégulier.Elle a considéré que la délégation du médecin régional, autorisant le médecin conseil chef de service à signer l’habilitation de l’agent ayant procédé au contrôle, à accéder au système informationnel de la CPAM et à l’utiliser, n’avait pas été produite aux débats.Par ailleurs, la caisse ne démontre pas que les demandes d’avis ont été déposées auprès de la Commission nationale informatique et libertés (Cnil) ou qu’elle a procédé à l’enregistrement des critères et raisonnements sur lesquels le contrôle était fondé. La Cour de cassation, dans un arrêt du 7 juillet 2022 (pourvoi n° 20-21.365), casse et annule l’arrêt d’appel aux visas des articles 12 du code de procédure civile, L. 161-29, R. 161-31 et R. 161-32 du code de la sécurité sociale, ainsi que les articles 1 et 3 du décret n° 2015-389 du 3 avril 2015.Ces textes disposent qu’ont accès aux systèmes de traitement de données à caractère personnel, les agents intervenant dans la prise en charge des assurés, individuellement habilités par le directeur de la CPAM auquel ils appartiennent. Ces dispositions n’imposent pas à l’organisme chargé du contrôle, lorsqu’il met en œuvre un traitement automatisé des données à caractère personnel, dans le cadre d’un contrôle administratif de facturation auprès d’un professionnel de santé, de saisir la Cnil, d’une demande d’avis allégée ou de justifier auprès du professionnel de santé contrôlé, de l’enregistrement des critères de raisonnement sur lesquels le contrôle est fondé.