AgentPublic/cnil huggingface dataset:
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
 
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés a été saisie, sur le fondement de l’article 8-I-4°-a) de la loi du 6 janvier 1978 modifiée, d’une demande d’avis portant sur un projet de décret relatif aux dispositifs d’appui à la coordination et aux dispositifs spécifiques régionaux.
Ce projet de décret est pris en application de l’article 23 de la loi n° 2019-774 du 24 juillet 2019 relative à l’organisation et à la transformation du système de santé (OTSS), qui prévoit l’unification des dispositifs d’appui à la coordination dans un délai de trois ans.
Les dispositifs d’appui à la coordination (DAC) intègrent les structures existantes suivantes : les réseaux de santé territoriaux, la méthode d'action pour l'intégration des services d'aide et de soins dans le champ de l'autonomie des personnes âgées (MAIA), les coordinations territoriales d’appui (CTA) du programme national personnes âgées en risque de perte d'autonomie (PAERPA), les plateformes territoriales d’appui (PTA) et les centres locaux d’information et de coordination (CLIC) sur décision du conseil départemental.
Les DAC ainsi créés ont vocation à s’articuler avec l’ensemble des démarches de coordination spécifiques du territoire, afin de constituer un appui aux professionnels et de permettre un accompagnement des personnes dans le cadre d’un parcours de santé dit complexe.
Les dispositifs spécifiques régionaux, créés par l’article L. 6327-6 du code de la santé publique, organisent un appui spécialisé dans les domaines de la cancérologie et de la périnatalité et ont vocation à remplacer les réseaux de santé régionaux dans ces mêmes domaines.
Le projet de décret dont la Commission est saisie vise à présenter les missions et fonctionnement des DAC et des dispositifs spécifiques régionaux (DSR).
La Commission relève que l’article 1er du projet de décret prévoit que les dispositifs d’appui à la coordination, prévus aux articles L. 6327-2 et suivants du code de la santé publique, seront équipés d’un système d’information unique partagé entre les professionnels intervenant dans le dispositif et les professionnels tiers intervenant auprès de la personne dans l’équipe de soins au sens de l’article L. 1110-4 du code de la santé publique.
La Commission attire l’attention du ministère sur le fait que ces systèmes d’information uniques partagés constitueront vraisemblablement des traitements de données à caractère personnel au sens du règlement n° 2016/679, dit règlement général sur la protection des données, et de la loi du 6 janvier 1978 modifiée.
A ce titre, elle relève que le projet apporte peu de précisions concernant les finalités de ces traitements et leurs modalités de mise en œuvre (données traitées, destinataires, durées de conservation, droits des personnes, mesures de sécurité, etc.).
Néanmoins, la Commission prend acte de ce que le ministère a indiqué que des réflexions sont d’ores et déjà engagées par les ARS et les structures locales afin d’encadrer ces traitements, de délimiter les responsabilités des différents acteurs et de s’assurer de la conformité de ces dispositifs à la réglementation sur la protection des données personnelle. Le ministère a par ailleurs indiqué que ce travail serait notamment accompagné d’une animation nationale portée par la direction générale de l’offre de soins (DGOS) et l’agence du numérique en santé (ANS).
Sur l’information des personnes, le projet d’article D. 6327-1 du code de la santé publique prévoit que la personne concernée est informée du recours au dispositif d’appui à la coordination conformément à l’article L. 1110-12 afin qu’elle puisse exercer son droit d’opposition .
La Commission relève également que le projet d’article D. 6327-6, 2° du code de la santé publique prévoit que le dispositif spécifique régional assure la promotion et la lisibilité, y compris l’information des patients et des proches.
La Commission rappelle que l’information de l’ensemble des personnes concernées devra également porter sur les traitements de données à caractère personnel mis en œuvre dans le cadre des DAC et des DSR et s’effectuer en conformité avec les dispositions du règlement général sur la protection des données.
Concernant les données traitées et leurs destinataires, le ministère de la santé a indiqué que les catégories de données qui seront traitées seraient les suivantes : identité de la personne, données d’identification et de contact des professionnels intervenant dans l’équipe de soins, données de santé dans le cadre de la prise en charge.
S’agissant des données de santé en particulier, il a été précisé qu’elles seraient conservées dans les outils des professionnels de santé de ville (logiciel de gestion de cabinet – LGC) en dehors des outils du DAC et que les données de synthèse seraient visualisées via le dossier médical partagé (DMP) pour les professionnels habilités dans le respect du cadre légal.
La Commission s’interroge toutefois sur la nature des données qui figureront dans les services numériques de coordination des DAC (dossier de coordination, carnet de liaison) et sur l’articulation de l’utilisation de ces outils avec celle du DMP et de l’espace numérique en santé, notamment dans la mesure où les personnes concernées peuvent s’opposer à leur ouverture.
S’agissant du partage des données, le ministère des solidarités et de la santé a indiqué que le DAC fait partie de l’équipe de soins au sens de l’article L. 1110-4 du code de la santé publique, et à ce titre la Commission s’interroge sur les modalités d’accès aux données par les professionnels salariés du DAC, d’une part, et les professionnels de santé, d’autre part, dans le cadre de la prise en charge des personnes au parcours complexe.
La Commission relève en outre que le projet de décret prévoit un régime optionnel d’intégration d’un certain nombre de structures (hôpitaux des armées, CLIC, professionnels de santé libéraux, etc.) au DAC. Elle rappelle qu’une attention particulière devra être portée aux conditions dans lesquelles le dispositif pourra intégrer ces structures publiques et privées, notamment au regard des modalités de partage des données et de leur sécurité.
S’agissant des données transmises aux ARS aux fins d’évaluer les dispositifs d’appui à la coordination, la Commission rappelle que les traitements mis en œuvre dans ce cadre sont susceptibles de relever des dispositions des articles 66 et 72 et suivants de la loi du 6 janvier 1978 modifiée et devront, le cas échéant, faire l’objet de formalités préalables.
Sur les mesures de sécurité, le projet d’article D. 6327-3 du code de la santé publique prévoit que le dispositif s’inscrit dans le cadre du respect des exigences de sécurité et d’interopérabilité prévues par l’article L. 1110-4-1 du même code.
La Commission prend acte de l’engagement du ministère selon lequel les accès aux outils seront réalisés dans le respect de la PGSSI-S, avec une identification et une authentification forte des professionnels et que ces outils seront hébergés chez des opérateurs agréées HDS.
La Commission rappelle enfin, qu’il revient au responsable de traitement de garantir la sécurité des données à caractère personnel en répondant aux exigences prévues par les articles 5-1- f et 32 du règlement général sur la protection des données, et que le respect de ces obligations impose une réévaluation régulière des risques pour les personnes concernées et une mise à jour régulière de ces mesures de sécurité.
Les autres dispositions du projet de décret n’appellent pas d’observation de la part de la Commission.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des solidarités et de la santé d’une demande d’avis sur un projet de décret en Conseil d’Etat relatif aux avantages offerts par les personnes fabriquant ou commercialisant des produits ou des prestations de santé ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code de la santé publique, notamment ses articles L. 1431-3, L. 1453-3 et suivants et L. 4113-9 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu l’ordonnance n° 2017-49 du 19 janvier 2017 relative aux avantages offerts par les personnes fabriquant ou commercialisant des produits ou prestations de santé ratifiée par la loi n° 2019-774 du 24 juillet 2019 relative à l’organisation et à la transformation du système de santé ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie par le ministère des solidarités et de la santé d’une demande d’avis sur un projet de décret en Conseil d’Etat relatif aux avantages offerts par les personnes fabriquant ou commercialisant des produits ou des prestations de santé dit dispositif anti-cadeaux .
Ce projet intervient en application de l’ordonnance n° 2017-49 du 19 janvier 2017, ratifiée par l’article 77 de la loi du 24 juillet 2019 relative à l’organisation et à la transformation du système de santé.
L’ordonnance réorganise et complète les dispositions du code de la santé publique relatives au principe d’interdiction pour les personnes exerçant une profession de santé réglementée, les étudiants, associations, fonctionnaires et agents, de recevoir des avantages, en espèces ou en nature, de manière directe ou indirecte, de la part des personnes qui assurent des prestations de santé, produisent ou commercialisent des produits pris en charge par les régimes obligatoires de sécurité sociale ou certains produits visés à l’article L. 5311- II du code de la santé publique, tels que les médicaments, produits contraceptifs, biomatériaux et dispositifs médicaux, produits sanguins etc.
Ces dispositions prévoient par ailleurs des exceptions au principe d’interdiction, s’agissant des activités de recherche, de valorisation de la recherche ou d’évaluation scientifique dans le cadre desquelles certains avantages peuvent être consentis. L’offre d’un avantage est alors conditionnée à la conclusion d’une convention entre le bénéficiaire et la personne fabriquant ou commercialisant des produits ou prestations de santé. Cette convention est soumise à un régime de déclaration ou d’autorisation, en fonction du montant des avantages consentis, à effectuer auprès de l’ordre professionnel concerné ou, dans l’hypothèse où la personne ne dépend pas d’un ordre, auprès de l’agence régionale de santé compétente.
Le projet d’article R.1453-13 du code de la santé publique vient préciser la notion de personnes assurant des prestations de santé : sont concernées les personnes physiques ou morales qui exercent une activité au sein des établissements de santé, des établissements et services médico-sociaux ou assurant une prestation de service prise en charge par la protection sociale et l’aide médicale d’Etat (AME).
Le projet précise par ailleurs les modalités de déclaration et d’autorisation de la convention. Sont ainsi déterminés le contenu des informations devant y figurer, les délais de transmission par téléprocédure et le déroulement des procédures de déclaration et d’autorisation.
Les données à renseigner dans les conventions sont relatives à l’identité des parties à la convention, à l’objet de la convention, aux informations permettant d’identifier les bénéficiaires indirects et finaux non signataires de la convention, à la nature et au montant des avantages, à la date de signature de la convention et à son effectivité, à l’autorisation de cumul d’activités pour les agents publics, au programme de manifestation s’il y a lieu, à la documentation propre à un projet de recherche scientifique le cas échéant.
Sous réserve de ce que la documentation relative aux projets de recherche ne contienne pas de données à caractère personnel concernant des participants, notamment des informations relatives à des patients qui seraient couvertes par le secret médical, la Commission considère que ces catégories de données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément aux dispositions de l’article 5.1.c) du RGPD.
Un nouvel outil de téléprocédure sera mis en place pour permettre l’accomplissement et la gestion de l’ensemble de ces formalités administratives. Cet outil, actuellement en cours d’élaboration avec les acteurs concernés, sera soumis à la Commission, ce dont elle prend acte.
Sous ces réserves, le projet n’appelle pas d’autres observations de la Commission.
La Présidente 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le Ministère des Solidarités et de la Santé d’une demande d’avis concernant un projet de décret relatif au certificat de décès, modifiant le code général des collectivités territoriales ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code général des collectivités territoriales et notamment son article L.2223-42 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu la délibération n° 2011-247 du 8 septembre 2011 portant avis sur le projet de décret relatif au certificat de décès et aux opérations consécutives au décès, modifiant le code général des collectivités territoriales ;
Vu la délibération n°2017-067 du 16 mars 2017 portant avis sur un projet de décret relatif au certificat de décès modifiant le code général des collectivités territoriales ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
-
Émet l’avis suivant :
La direction générale de la Santé, du ministère des solidarités et de la santé a saisi la Commission nationale de l’informatique et des libertés ( la Commission ) d’un projet de décret en Conseil d’Etat relatif à l’établissement du certificat de décès, pris en application des dispositions de l’article L. 2223-42 du code général des collectivités territoriales.
L’article 12 de la loi du 24 juillet 2019 relative à l’organisation et la transformation du système de santé a modifié l’article L. 2223-42 du code général des collectivités territoriales afin de permettre aux étudiants en cours de 3e cycle des études de médecine, aux médecins retraités et aux praticiens à diplôme étranger hors Union européenne autorisé à poursuivre un parcours de consolidation des compétences en médecine, d’établir des certificats de décès.
Le projet de décret dont est saisie la Commission modifie les articles R. 2213-1-1 à R. 2213-1-5 et l’article R. 2213-1-7 du code général des collectivités territoriales.
Il a pour principal objet de préciser les conditions dans lesquels les médecins retraités, les étudiants et les médecins à diplôme étranger hors Union européenne, peuvent établir un certificat de décès.
S’agissant des médecins retraités, la commission relève que le projet d’article R.2213-1-2 du code général des collectivités territoriales prévoit notamment que le conseil départemental de l’Ordre des médecins s’assure des capacités et tient à jour la liste des médecins retraités volontaires.
La Commission rappelle, en l’absence d’éléments précis autres que la mention des destinataires des informations, que cette liste constitue un traitement de données à caractère personnel, dont la mise en œuvre devra dès lors s’opérer en conformité avec les dispositions du règlement général sur la protection des données et de la loi informatique et libertés.
Par ailleurs, ainsi qu’elle l’avait déjà fait observer s’agissant des médecins, dans sa délibération n°2017-067 du 16 mars 2017 portant avis sur un projet de décret relatif au certificat de décès modifiant le code général des collectivités territoriales, la Commission relève que le projet de texte ne fait référence ni à la traçabilité des accès des médecins et étudiants aux formulaires composant le certificat de décès, ni à une politique de gestion des habilitations.
Les autres dispositions du projet n’appellent pas d’observation.
 
La Présidente
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la société Carte blanche partenaires d’une demande d’autorisation de traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données nationales du programme de médicalisation des systèmes d’information ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique, notamment ses articles L. 6113-7 et L. 6113-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 193 ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé Système national des données de santé ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ;
Vu l’avis du Comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé du 24 octobre 2018 ;
Vu la délibération n° 2019-062 du 09 mai 2019 portant saisine de l’Institut national des données de santé pour avis sur le caractère d’intérêt public présenté par les traitements envisagés par la société Carte blanche partenaires ;
Vu l’avis de l’Institut national des données de santé du 8 juillet 2019 sur l’intérêt public présenté par les traitements envisagés par la société Carte blanche partenaires ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société Carte blanche partenaires est une plateforme de santé spécialisée dans la santé visuelle, auditive et bucco-dentaire. Afin d’accompagner les assurés des organismes d’assurance maladie complémentaire partenaires de la société dans leur parcours de soin, elle effectue, depuis 2008, un classement des établissements hospitaliers à partir de données disponibles en open-data (données de la statistique annuelle des établissements de santé…) ainsi que des données du programme de médicalisation des systèmes d’information ( PMSI ).
Sur l’opportunité du recours à la décision unique
Le projet de la société Carte blanche partenaires implique la mise en œuvre annuelle de traitements répondant à une même finalité, portant sur des catégories de données identiques, en l’espèce les données du PMSI, et dont les catégories de destinataires sont identiques.
Les traitements décrits relèvent du régime de l’autorisation de traitement à des fins de recherche, d’étude ou d’évaluation.
La Commission a estimé opportun, au vu des éléments présentés dans le dossier de demande, d’autoriser la mise en œuvre de ces traitements sur le fondement des dispositions des articles 66 IV, 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après loi informatique et libertés ), dans le cadre d’une décision unique.
Sur l’application des dispositions liées au SNDS
Les données du PMSI étant issues d’une des bases composant le Système national des données de santé (ci-après SNDS ), la Commission rappelle que l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce, et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique :
la promotion des produits mentionnés au II de l’article L. 5311-1 en direction des professionnels de santé ou d’établissements de santé ;
l’exclusion de garanties des contrats d’assurance ou la modification de cotisations ou de primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque.
Sur la licéité des traitements 
Les traitements mis en œuvre par la société Carte blanche partenaires s’inscrivent dans le cadre de son activité commerciale.
Ils sont nécessaires aux fins des intérêts légitimes poursuivis par le responsable de traitement, prenant en considération le caractère très indirectement identifiant des données et des garanties, notamment en termes de droits des personnes, prévues par les textes encadrant la mise à disposition des données du SNDS.
Ces traitements sont, à ce titre, licites au regard de l’article 6, paragraphe 1 point f) du Règlement général sur la protection des données (ci-après RGPD ).
Sur la finalité des traitements et leur caractère d’intérêt public
Les traitements nécessitant un accès aux données du PMSI ont pour finalité l’alimentation d’un outil de classement qualitatif des établissements de soins en fonction de leur activité (pathologies traitées par les établissements) et des tranches d’âge de leurs patients. 
Les résultats obtenus à partir de ce classement permettront à la société Carte blanche partenaires :
d’alimenter l’outil GuidHospi  destiné à aider les à mieux s’orienter sur le territoire national ;
de procéder, chaque trimestre, à des communications sur son site institutionnel ainsi que lors d’événements grand public concernant certaines pathologies et des tranches d’âges ciblées (Octobre rose et le cancer du sein pour les 16-65 ans) ;