Protection des données

A. D._______ suit un traitement médical couvert par l'assurance militaire.

Il a été amené à se procurer des médicaments auprès de la pharmacie genevoise S._______ SA (ci-après S._______), qui est associée à l'O._______, _______, dont le siège est situé à Genève. L'activité principale de l'O._______ consiste à facturer les créances des pharmacies sur la base des ordonnances délivrées aux institutions d'assurance

Il ressort du dossier que l'O._______ a transmis à l'Office fédéral de l'assurance militaire (OFAM; actuellement, CNA/SUVA-assurance militaire; ci-après l'assureur), en vue de leur remboursement, des factures de la pharmacie S._______ relatives à des médicaments fournis à D._______. Le nom des médicaments y était mentionné, ainsi que leur prix. L'O._______ remettait également à l'assureur une copie des ordonnances médicales se rapportant aux médicaments en question (pièce 2 recourant).

Par lettre du 11 avril 2001, l'assureur, se référant à une note de l'O._______ du 21 février 2001 qui portait sur le remboursement d'une facture de Fr. 178,05 au total, a indiqué qu'une réduction de Fr. 148,05 y était apportée. L'assureur a expliqué que deux médicaments prescrits par le médecin de D._______, à savoir l'Axotide 250 et le Rhinocort n'étaient pas à sa charge, car ils n'étaient pas en relation avec l'état assuré. Ils devaient être facturés à l'intéressé ou à sa caisse maladie (ou à son assurance-accidents).

D._______ a pris connaissance du courrier de l'assureur du 11 avril 2001.

Le 15 mai 2002, D._______ a demandé à l'assureur de rendre une décision tendant à lui rembourser les médicaments refusés et à constater que la pharmacie concernée disposait d'une créance de Fr. 148,05 contre la Confédération. Par ailleurs, il a exigé de l'assureur qu'il s'abstienne de transmettre à l'O._______ des données personnelles le concernant, notamment celles liées à la créance de la pharmacie S._______, soit implicitement ou explicitement, notamment par paiement auprès de

Le 20 juin 2002, l'assureur a fait droit à la requête de l'intéressé s'agissant de la prise en charge des médicaments litigieux. Il a considéré en revanche qu'il ne violait aucune règle sur la protection des données dès lors que le diagnostic n'était jamais communiqué à l'O.________. Il précisait aussi que, si un médicament n'était pas à charge de l'assurance militaire, il lui appartenait de le communiquer à l'O._______, cette société attendant le règlement intégral de ses factures.

B. Par écriture du 22 août 2002, D._______ a interjeté recours auprès de la Commission fédérale de la protection des données (ci-après: la Commission). Il a conclu à l'admission de sa requête tendant à ce que l'assureur cesse de transmettre des données à l'O._______. Il a aussi requis une indemnité de procédure tenant compte des frais d'élection de domicile.

Dans sa réponse du 14 novembre 2002, l'assureur a conclu, sous suite de frais, au rejet du recours dans la mesure où celui-ci serait recevable.

C. La Commission ayant été dissoute le 31 décembre 2006, l'affaire a été transmise au Tribunal administratif fédéral (TAF).

Le Tribunal administratif fédéral considère : 1. 1.1 La loi sur le Tribunal administratif fédéral du 17 juin 2005 (LTAF, RS 173.32) est entrée en vigueur le 1er janvier 2007. Aux termes de l'art. 53 al. 2 LTAF, les recours qui sont pendants devant les commissions fédérales de recours ou d'arbitrage ou devant les services de recours des départements à l'entrée en vigueur de la loi sont traités par le Tribunal administratif fédéral dans la mesure où celui-ci est compétent. Ils sont jugés sur la base du nouveau droit de procédure.

Selon l'art. 33 let. d et e LTAF, le recours est recevable contre les décisions de la Chancellerie fédérale, des départements et des unités de l'administration fédérale qui leur sont subordonnées ou administrativement rattachées (let. d) ainsi que contre celles des établissements et des entreprises de la Confédération (let. e).

Sont considérées comme décisions les mesures prises par les autorités dans des cas d'espèce, fondées sur le droit public fédéral et ayant pour objet de créer, de modifier ou d'annuler des droits ou des obligations, d'en constater l'existence, l'inexistence ou l'étendue ou encore de rejeter ou de déclarer irrecevable des demandes tendant à créer, modifier, annuler ou constater des droits ou des obligations (cf. art. 5 de la loi fédérale sur la procédure administrative du 20 décembre 1968 [PA, RS 172.021] par renvoi de l'art. 31 LTAF). 1.2 Dans sa lettre du 20 juin 2002, l'assureur a retenu que la correspondance échangée avec l'O._______ respectait les règles relatives à la protection des données. Cette autorité a ainsi constaté l'inexistence d'un traitement illicite susceptible de porter atteinte à la personnalité du recourant et, par voie de conséquence, a rejeté la demande de ce dernier tendant à ce qu'elle s'abstienne de procéder à un tel acte. Il s'agit donc d'une mesure pouvant être qualifiée de décision au sens de l'art. 5 PA.

La décision entreprise a été rendue par l'OFAM. Cet office était une unité de l'administration fédérale rattachée au Département fédéral de l'intérieur (cf. annexe à l'ordonnance sur l'organisation du gouvernement et de l'administration du 25 novembre 1998 [OLOGA, RS 172.010.1], dans sa teneur jusqu'au 1er juillet 2005). Il a été supprimé à la suite du transfert de l'assurance militaire à la Caisse nationale suisse d'assurance en cas d'accidents (CNA/SUVA, cf. art. 35a de l'ordonnance sur l'assurance militaire du 10 novembre 1993, dans sa teneur au 1er juillet 2005 [OAM, RS 833.11]). La CNA/SUVA est un établissement de droit public de la Confédération (cf. art. 61 de la loi fédérale sur l'assurance-accidents du 20 mars 1981, [LAA, RS 832.20]). Ainsi, quand bien même le transfert précité serait déterminant dans l'examen de la compétence de l'autorité de recours, il s'agit de toute façon d'autorités précédentes au sens de l'art. 33 LTAF.

La décision litigieuse n'entrant pas dans le champ d'exclusion de l'art. 32 LTAF, le TAF est compétent pour connaître du présent litige (cf. aussi les art. 25 et 33 de la loi fédérale sur la protection des données du 19 juin 1992 [LPD, RS 235.1] et le Message du Conseil fédéral concernant la révision totale de l'organisation judiciaire fédérale du 28 février 2001 au sujet des modifications apportées aux articles 25 et 33 de la LPD [FF 2001 4216 et 4217]). 1.3 En vertu de l'Annexe au Règlement du Tribunal administratif fédéral (RS 173.320.1), la Ire Cour du Tribunal administratif fédéral (TAF) est compétente en matière de protection des données. Il s'agit des cas dans lesquels la protection des données constitue l'objet même du litige et non pas des situations dans lesquelles des questions de protection des données se posent de manière préjudicielle ou incidente dans le cadre d'une autre procédure (cf. par analogie ATF 127 V 219 consid. 1a/aa; 123 II 534 consid. 1b; Jurisprudence des autorités administratives de la Confédération [JAAC] 67.75 consid. 2c). L'art. 2 al. 2 let. c de la loi fédérale du 19 juin 1992 sur la protection des données (LPD, RS 235.1) prévoit du reste expressément que ladite loi ne s'applique pas aux procédures pendantes civiles, pénales, d'entraide judiciaire internationale ainsi que de droit public et de droit administratif, à l'exception des procédures administratives de première instance. En l'espèce, le litige porte sur une question qui concerne directement la protection des données, sans que cette problématique puisse être rattachée ou se recoupe avec une procédure pendante. Il relève donc de la Ire Cour du TAF. 1.4 Déposé en temps utile compte tenu des féries (art. 22a, 50 et 52 PA) et dans les formes prescrites, le présent recours est ainsi en principe recevable. 2. Le Tribunal administratif fédéral applique le droit d'office, sans être lié par les motifs invoqués (cf. art. 62 al. 4 PA) ni par l'argumentation juridique développée dans la décision entreprise (cf. PIERRE MOOR, Droit administratif, vol. II, Berne 2002, p. 265). La procédure est régie par la maxime inquisitoire, ce qui signifie que le Tribunal administratif fédéral définit les faits et apprécie les preuves d'office et librement (cf. art. 12 PA). Les parties doivent toutefois collaborer à l'établissement des faits (art. 13

PA) et motiver leur recours (art. 52 PA). En conséquence, l'autorité saisie se limite en principe aux griefs soulevés et n'examine les questions de droit non invoquées que dans la mesure où les arguments des parties ou le dossier l'y incitent (ATF 122 V 157 consid. 1a, 121 V 204 consid. 6c; JAAC 61.31 consid. 3.2.2; ALFRED KÖLZ/ISABELLE HÄNER, Verwaltungsverfahren und Verwaltungsrechtspflege des Bundes, 2e éd. Zurich 1998 n. 677). 3. Dans un premier temps, il convient de délimiter les points qui peuvent être revus dans la présente procédure. 3.1 La LPD vise à protéger la personnalité et les droits fondamentaux des personnes, physiques ou morales, qui font l'objet d'un traitement de données effectué aussi bien par des personnes privées que par des organes fédéraux (art. 1 et 2 al. 1 LPD). La procédure prévue est cependant différente, selon que le traitement des données est opéré par une personnes privée - soit une personne qui traite des données dans le cadre d'une relation de droit privé (cf. Message du 23 mars 1988 concernant la loi fédérale sur la protection des données [FF 1988 II 448]) - ou par un organe fédéral. Dans le premier cas, les actions et les mesures provisionnelles concernant la protection de la personnalité sont régies par les articles 28 à 28l du code civil (CC, RS 210 [cf. art. 15 LPD]) et doivent être portées devant le juge civil (cf. JAAC 64.68 consid. 2a/bb). Dans le second, la procédure administrative fédérale est applicable (art. 25 al. 4 LPD) et les décisions prises par les organes fédéraux (art. 2 al. 1 let. b et 3 let. h LPD) peuvent être déférées devant le TAF (anciennement devant la Commission fédérale en matière de protection des données et de la transparence; cf. JAN BANGERT, Commentaire bâlois, N 84 ss ad art. 25 LPD).

En l'occurrence, l'assureur gérant l'assurance militaire doit être qualifié d'organe fédéral au sens de la LPD (cf. JEAN-PHILIPPE WALTER, Le droit public matériel, in La nouvelle loi fédérale sur la protection des données, Lausanne 1994, p. 41 ss, 45; URS MAURER-LAMBROU/SIMON KUNZ, Commentaire bâlois, N 16 ad art. 2 LPD). En revanche, la société coopérative O._______, en tant qu'organisme chargé par les pharmacies associées, de recouvrer leurs créances auprès des assurances, doit être qualifiée de personne privée au sens de la LPD. L'activité susceptible d'occasionner un traitement de données par l'O._______ elle-même, soit pour l'essentiel la facturation aux institutions d'assurance des médicaments remis aux assurés par les pharmacies associées, relève des relations de droit privé nouées entre la coopérative et les pharmacies. La Cour de céans, saisie d'un recours de droit administratif dirigé contre la décision de l'assureur militaire, en sa qualité d'organe fédéral, n'est donc pas compétente pour vérifier si la transmission de données par le pharmacien à l'O._______, en vue d'obtenir le remboursement de ses factures est conforme à la législation sur la protection des données (cf. sur la problématique du recouvrement des honoraires médicaux par des sociétés de recouvrement, PAUL RAMER, Datenschutz und Arztpraxis, in

Datenschutz im Gesundheitswesen, Zurich 2001, p. 21 ss, 32). Aussi, les considérations du recourant portant sur l'aptitude de l'O._______ à constituer des profils de personnalité et sur l'absence de déclaration de ses fichiers au Préposé fédéral à la protection des données ne sauraientelles faire l'objet d'un examen dans le cadre de la présente procédure. 3.2 En relation avec l'O._______, le recourant invoque aussi une constatation arbitraire des faits, la décision attaquée ayant retenu, selon lui, que l'O._______ était la créancière de la Confédération alors qu'en réalité cette société coopérative agissait pour le compte des pharmacies et n'était dès lors pas titulaire des créances qu'elle recouvrait.

On ne voit cependant pas, dans la décision entreprise, que l'autorité intimée aurait tenu l'O._______ pour créancière de la Confédération. Certes, elle a mentionné: "ce fait doit alors être communiqué à l'O._______ qui attend bien sûr toujours le règlement intégral de ses factures". On ne peut toutefois déduire de cette phrase le sens qu'en déduit le recourant, ce qui fait perdre toute substance au grief d'arbitraire dans l'appréciation des faits (sur cette notion, cf. ATF 129 I 8 consid. 2.1). Au demeurant, cette question n'est pas pertinente, dès lors que, comme il vient d'être expliqué, les relations entre les pharmacies et l'O._______ ne peuvent être examinées par le Tribunal administratif fédéral dans la présente procédure (cf. supra consid. 3.1). 3.3 Le litige revient ainsi à déterminer si le recourant était en droit, sur la base des indications figurant dans la lettre du 11 avril 2001, de demander à l'assureur militaire qu'il s'abstienne de transmettre à l'O._______ des données le concernant, implicitement ou explicitement, ne serait-ce que par un paiement. 4. Selon l'art. 25 al. 1 LPD, quiconque a un intérêt légitime peut exiger de l'organe fédéral responsable qu'il s'abstienne de procéder à un traitement illicite (let. a) ou qu'il constate le caractère illicite. Le demandeur peut en particulier demander que l'organe fédérale rectifie les données personnelles, les détruise ou en empêche la communication à des tiers (art. 25 al. 3 let. a LPD). L'article 25 LPD suppose la réunion de plusieurs conditions. 4.1 Il faut tout d'abord que la personne qui formule la requête ait un intérêt légitime, ce qui est en général le cas de la personne concernée, soit celle au sujet de laquelle les données sont traitées (art. 3 let. b LPD; JAN BANGERT, Commentaire bâlois, art. 25 LPD N 33). Le recourant, en tant qu'assuré auprès de l'assurance militaire et bénéficiaire de prestations de cette dernière, dispose donc d'un tel intérêt. En outre, le destinataire de la requête doit être un organe responsable. L'intimée, qui gère l'assurance militaire au sens de la loi fédérale du 19 juin 1992 sur l'assurance militaire (LAM, RS 833.1) entre dans cette catégorie, l'art. 25 LPD visant notamment toute personne qui applique les assurances sociales (ATF 123 II 534 consid. 2c; JAN BANGERT, Commentaire bâlois, art. 25 LPD N 22).

4.2 Encore faut-il, pour que le recourant puisse se fonder sur l'art. 25 LPD, que l'on puisse reprocher à l'assureur d'avoir procédé à un traitement illicite de données personnelles. 4.2.1 Les données personnelles visent toutes les informations qui se rapportent à une personne identifiée ou identifiable (art. 3 let. a LPD). Certaines données personnelles, qualifiées de sensibles, bénéficient d'une protection accrue (cf. art. 3 let. c LPD). Les informations médicales sur une personne appartiennent à la catégorie des données personnelles sensibles (URS BELSER, Commentaire bâlois, art. 3 LPD N 10). En l'espèce, la lettre litigieuse du 11 avril 2001 de l'assurance militaire mentionne, en réponse à une demande de remboursement de l'O._______, que les deux médicaments prescrits par le médecin de D._______, à savoir l'Axotide 250 et le Rhinocort n'étaient pas à sa charge, car ils n'étaient pas en relation avec l'état assuré. Ils devaient être facturés à l'intéressé ou à sa caisse maladie (ou à son assurance-accidents). Force est de constater que les indications figurant dans cette lettre constituent des données personnelles sensibles. 4.2.2 Le traitement des données se rapporte, pour sa part, à toute opération relative à des données personnelles, notamment la collecte, la conservation, l'exploitation, la modification, la communication, l'archivage ou la destruction de données (art. 3 let. e LPD). Dans le cas qui nous intéresse, seule la communication entre en ligne de compte. Celle-ci est définie de façon plus précise à l'art. 3 let. f LPD, qui prévoit que la communication concerne le fait, pour l'organe public, de rendre des données personnelles accessibles, par exemple en autorisant leur consultation, en les transmettant ou en les diffusant (art. 3 let. f LPD; WALTER, op. cit., p. 70). En d'autres termes, la communication recouvre tout comportement consistant à rendre accessible, de manière active ou passive, le contenu d'informations personnelles, afin de permettre à un tiers d'en prendre connaissance (BELSER, op. cit., N 30 ad art. 3 LPD).

En l'espèce, on ne voit pas que, dans sa lettre du 11 avril 2001, l'assureur ait rendu accessible des données personnelles concernant le recourant à l'O.________. En effet, il n'a fait que répondre à une demande de cette société, qui souhaitait obtenir le remboursement de médicaments. Or, c'est l'O._______ qui a fourni à l'assureur toutes les données personnelles sensibles relatives au recourant, en particulier le nom des médicaments prescrits à celui-ci. Dans ce contexte, on ne peut retenir qu'en se limitant à indiquer dans un courrier adressé uniquement à l'O._______ que deux médicaments mentionnés par la coopérative ne seraient pas remboursés, car ils n'étaient pas en relation avec l'état assuré du recourant, l'assureur intimé ait procédé à une communication de données au sens de l'art. 3 let. f LPD.

Cette conclusion serait différente si l'assureur ne s'était pas contenté de répondre exclusivement à la requête de l'O._______ et lui avait transmis des indications dont la coopérative ne disposait pas déjà. Ainsi, dans l'hypothèse où l'assureur aurait indiqué l'affection pour laquelle le recourant était soumis à l'assurance militaire ou aurait donné des détails sur son état de santé, alors il y aurait eu lieu d'admettre que l'on serait en présence d'une communication de données au sens de la LPD. Rien de tel n'a cependant été révélé en l'espèce. 4.3 Comme le relève pertinemment l'intimée, le recourant se trompe de cible en s'en prenant à l'assureur. Ce qu'il conteste en définitive, à tort ou à raison, ce sont les informations dont disposait l'O.________ à son sujet. Or, ces informations n'ont pas été fournies par l'assureur, mais par le pharmacien et le point de savoir si des pharmacies peuvent, sous l'angle de la protection des données et de la personnalité des patients, transmettre des données personnelles sensibles dont ils ont connaissance en raison de leur activité à une société tierce, ne peut être revu ici (cf. supra consid. 3.1).

Dans ces circonstances, l'assureur, en répondant à l'O._______ qu'il refusait de prendre en charge les médicaments facturés par la pharmacie, sur la base des indications remises par cette société, n'a pas procédé à une communication de données. Par conséquent, tout traitement de données illicite contraire à la LPD est de ce fait exclu. En outre, rien n'indique au dossier que l'intimée ait violé d'une autre manière la LPD dans ses relations avec l'O._______.

C'est donc à juste titre que l'intimée a refusé de donner suite à la demande du recourant tendant à l'empêcher de transmettre toute donnée à l'O._______, même sous la forme d'un paiement. 5. En l'absence de traitement illicite de données, la critique du recourant, selon laquelle l'assureur militaire aurait violé le principe de la proportionnalité lors de la communication des informations à l'O._______ perd toute pertinence. 6. Le recours se révèle dès lors mal fondé et doit être rejeté. 7. Au vu de l'issue du litige, les frais de justice seront mis à la charge du recourant (art. 63 al. 1 PA) et seront compensés avec l'avance de frais perçue (cf. art. 5 al. 3 de l'ordonnance sur les frais et indemnités en procédure administrative du 10 septembre 1969 [172.041.0]).

Par ailleurs, aucune indemnité au titre de dépens ne sera allouée (art. 64 al. 1 PA a contrario et art. 7 al. 3 du Règlement concernant les frais, dépens et indemnités fixés par le Tribunal administratif fédéral du 11 décembre 2006 [FITAF, RS 173.320.2]).