AgentPublic/cnil huggingface dataset:
La Commission observe que le projet de décret en Conseil d’Etat qui lui est soumis définit un cadre strict pour la mise en œuvre des fichiers relatifs au suivi de l’obligation et de l’absentéisme scolaires concernant la finalité, l’origine et la nature des données traitées, l’accès au traitement et les destinataires des informations, la durée de conservation, les droits d’accès, de rectification et d’opposition.
La Commission a toutefois relevé que le décret devait être complété sur les mesures à prendre pour assurer la sécurité des traitements et la confidentialité des données, notamment à l’occasion de leur transmission par les organismes chargés du versement des prestations familiales. De même, elle a attiré l’attention sur la nécessité pour les différents acteurs concernés d’informer les personnes sur les transmissions d’informations les concernant.
Elle considère qu’elle a ainsi été mise en mesure, à l’occasion de cet examen, d’exercer un contrôle a priori sur les fichiers relatifs au suivi de l’obligation et de l’absentéisme scolaires, afin de s’assurer du respect des principes reconnus par la loi du 6 janvier 1978 modifiée.
Il lui apparaît dès lors possible que le projet de décret dispense de formalités préalables les 36.000 communes, les organismes chargés du versement des prestations familiales visés à l’article 3 du projet de décret, l’inspecteur d’académie et le directeur de l’établissement en application de l’article L. 131-8 du code de l’éducation, ainsi que l’ensemble des autres services rendus destinataires des données, sous réserve de satisfaire à l’ensemble des conditions de traitement des données personnelles posées par ce texte intégrant les observations formulées par la Commission.
Ainsi, la Commission estime que le décret devrait être complété par une disposition prévoyant que les traitements mis en œuvre par les maires seront dispensés de déclarer leurs traitements auprès de la CNIL.
Elle considère que cet article, intégré comme disposition finale, devrait être formulé de la manière suivante : 
« Les organismes mettant en œuvre des traitements de données à caractère personnel dans le respect de l’ensemble des dispositions du présent décret sont dispensés, par dérogation à l’article 22 de la loi du 6 janvier 1978 susvisée, de déclarer ces traitements à la Commission nationale de l’informatique et des libertés.
« Tout autre traitement de ces données doit faire l’objet des formalités préalables auprès de ladite Commission dans le respect des dispositions de la loi du 6 janvier 1978 susvisée. ».
Le Président
Alex TURK
(saisine n° 08005227)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 27-II-1° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Vu le code de la santé publique, notamment ses articles D. 4113-116 et D. 4221-22 ;
Vu le code de la sécurité sociale, notamment ses articles R. 161-53 et R. 161-54 ;
Vu le projet d’arrêté du ministre de la santé, de la jeunesse et des sports portant création d’un traitement de données à caractère personnel dénommé « Répertoire partagé des professionnels de santé » (RPPS) ;
Sur le rapport de M. de LONGEVIALLE, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Emet l’avis suivant :
La Commission a été saisie, le 29 février, par le ministre de la santé, de la jeunesse et des sports, d’un projet d’arrêté portant création d’un traitement de données à caractère personnel dénommé « Répertoire partagé des professionnels de santé » (RPPS).
Cet arrêté sera pris en application d’un décret qui fixe les modalités d’application des dispositions issues de l’ordonnance n° 2003-850 du 4 septembre 2003 portant simplification de l’organisation et du fonctionnement du système de santé et de l’ordonnance n° 2005-1040 du 26 août 2005 relative à l’organisation de certaines professions de santé et à la répression de l’usurpation de titres et de l’exercice illégal de ces professions qui ont introduit dans le code de la santé publique une série de mesures visant à simplifier et unifier les procédures d’enregistrement et autres démarches administratives auxquelles sont astreints les professionnels de santé ainsi que les règles de diffusion des listes des professionnels de santé inscrits aux tableaux. 
Le traitement de données à caractère personnel dénommé « Répertoire partagé des professionnels de santé » entre dans le champ d’application du II-1° de l’article 27 dans la mesure où il requiert une consultation du répertoire national d’identification des personnes physiques (RNIPP) sans inclure le numéro d’inscription à ce répertoire.
La Commission a d’ores et déjà eu l’occasion de se prononcer, lors de sa séance du 10 juillet 2007, sur la mise en œuvre par le groupement d’intérêt public carte de professionnel de santé (GIP-CPS) d’un traitement ayant pour finalité la constitution du répertoire partagé des professionnels de santé (RPPS) (délibération n°2007-189).
A l’occasion de l’instruction de ce dossier, les services de la Commission avaient attiré l’attention du ministère sur la nécessité de prévoir un fondement juridique pour la gestion du RPPS par le groupement d’intérêt publique carte de professionnel de santé (GIP-CPS). Le présent projet d’arrêté a notamment pour objet de désigner le GIP-CPS comme maître d’œuvre du répertoire.
Le présent projet d’arrêt soumis à la Commission énumère les finalités du traitement de données à caractère personnel dénommé « répertoire partagé des professionnels de santé » : permettre d’identifier les professionnels de santé, suivre leur exercice, contribuer aux procédures de délivrance et de mise à jour des cartes de professionnel de santé, permettre la réalisation d’études et de recherches anonymisées, mettre certaines données à disposition du public.
Ce répertoire est constitué et géré par le GIP-CPS pour le compte de l’Etat, des 4 Ordres professionnels, de la Caisse nationale d’assurance maladie des travailleurs salariés, et pour ses propres besoins.
Les données à caractère personnel enregistrées dans le RPPS concernant les médecins, chirurgiens-dentistes, sages-femmes et pharmaciens sont relatives :
- à l’identité du professionnel de santé : noms de famille et d’usage, prénoms, l’identifiant RPPS, la date et lieu de naissance, la date de décès, la nationalité,
- aux diplômes, attestations et autorisations,
- à l’exercice de la profession dont éventuellement aux langues parlées
- aux qualifications, titres et exercices professionnels particuliers,
- aux activités et structures d’exercice,
- à la carte de professionnel de santé.
Le projet d’arrêté détaille les destinataires des données ainsi que les organismes appelés à alimenter le RPPS : 
les services du ministère chargé de la santé et les autorités chargées de la santé ainsi que les représentants de l’Etat dans les collectivités d’outre-mer, 
le service de santé des armées et les autres autorités employeurs des professionnels mentionnés aux articles L. 4112-6 et L. 4222-7 du code de la santé publique, 
les conseils des ordres professionnels, 
la caisse nationale de l’assurance maladie des travailleurs salariés et les régimes d’assurance maladie des collectivités d’outre-mer, 
les caisses primaires d’assurance maladie et les caisses générales de sécurité sociale dans les départements d’outre-mer, 
le GIP-CPS, 
chaque professionnel, pour les données le concernant,
les services de l’Etat amenés à devoir connaître, dans l’exercice de leurs missions, des conditions d’exercice des professionnels de santé,
Les établissements et services de santé relevant de la sixième partie du code de la santé publique ainsi que les collectivités territoriales et associations gestionnaires d’un service sanitaire ou social,
les établissements médico-sociaux ou sociaux,
les établissements publics, groupements et autres organismes créés par la loi ou le règlement dans le domaine sanitaire et social
les hébergeurs de données de santé à caractère personnel agréés et les éditeurs et imprimeurs d’ordonnances mentionnées à l’article R. 5132-5 du code de la santé publique,
les organismes et établissements scientifiques ayant pour mission d’agir pour le développement et la diffusion des connaissances dans le domaine sanitaire et social,
les autres régimes d’assurance maladie obligatoire et les organismes complémentaires d’assurance maladie.
Les conditions d’accès aux données du RPPS sont définies dans une annexe du projet d’arrêté. 
Les droits d’accès et de rectification s’exercent auprès de l’organisme qui a recueilli et produit les données ;
Les données sont conservées jusqu’au 100ème anniversaire du professionnel de santé. Cette durée est prolongée jusqu’au 30ème anniversaire de sa cessation d’exercice si le professionnel a continué d’exercer au delà de 70 ans.
Dans ces conditions, le projet d’arrêté n’appelle pas d’observation particulière au regard de la protection des données à caractère personnel.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société Unisys France SAS, à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
Unisys France 
Finalité du transfert
Gestion des fournisseurs
Catégories de données transférées
Données d’identification (nom de société, de son représentant légal, prénom, nom et prénom des correspondants logistiques et comptables)
Adresse
Vie professionnelle (historique des transactions, commandes, factures, paiement)
Identité(s) du(des) destinataire(s)
Les personnes habilitées de la société :Unisys Corporation (société mère)Unisys WayBlue Bell, PA 19424Etats-Unis
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Unisys France SAS307 rue d’Estienne d’Orves92708 Colombes CedexFrance
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés,
Saisie le 15 avril 2008 par le ministère de la santé, de la jeunesse des sports et de la vie associative d’un projet de décret en Conseil d’Etat relatif au dossier pharmaceutique, pris en application des dispositions de l’article L. 161-36-4-2 du Code de la sécurité sociale ;
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée en 2004, et notamment l’article 11-4 a) ;
Vu la loi n°2007-127 du 30 janvier 2007 ratifiant l’ordonnance n° 2005-1040 du 26 août 2005 relative à l’organisation de certaines professions de santé et à la répression de l’usurpation de titres et de l’exercice illégal de ces professions et modifiant le code de la santé publique et notamment son article 25-IV ;
Vu le code de la santé publique et notamment les articles L. 1111-8, L.1111-8-1 et L. 4231-2 ;
Vu le code de la sécurité sociale, et notamment son article L. 161-36-4-2;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007;
Vu le décret n°2006-6 du 4 janvier 2006 relatif à l’hébergement de données de santé à caractère personnel ;
Vu la délibération n°2007-106 du 15 mai 2007 portant autorisation des applications informatiques nécessaires à la mise en oeuvre de la phase expérimentale du dossier pharmaceutique ;
Vu la délibération n°2008-041 du 14 février 2008 portant autorisation de la prolongation et de l’extension géographique de l’expérimentation du dossier pharmaceutique ;
Après avoir entendu M. Jean-Pierre de LONGEVIALLE, commissaire, en son rapport et Mme Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, en ses observations ;
Emet l’avis suivant :
L’article L.161-36-4-2 du Code de la sécurité sociale issu de la loi n°2007-127 du 30 janvier 2007 ratifiant l’ordonnance du 26 août 2005 relative à l’organisation de certaines professions de santé et modifié par la loi n° 2007-1786 du 19 décembre 2007 de financement de la sécurité sociale pour 2008, institue le dossier pharmaceutique et prévoit qu’un décret en Conseil d’Etat pris après avis de la CNIL en fixera le cadre réglementaire. 
Le ministère de la santé, de la jeunesse des sports et de la vie associative a saisi la Commission nationale de l’informatique et des libertés d’un projet de décret en Conseil d’Etat relatif au dossier pharmaceutique.
Ce projet de décret fixe le cadre réglementaire du dossier pharmaceutique (DP).
Le dossier pharmaceutique est un dossier dématérialisé, accessible par internet, hébergé auprès d’un hébergeur de données de santé sélectionné par le CNOP, ouvert par les pharmaciens d’officine pour chaque bénéficiaire de l’assurance maladie qui y consent et permettant le regroupement et le partage entre les pharmaciens des informations relatives aux médicaments et produits de santé délivrés à ce bénéficiaire dans l’ensemble des officines.
Par délibération du 15 mai 2007, la Commission, saisie par le Conseil National de l’Ordre des Pharmaciens (CNOP) a estimé qu’elle pouvait, sur le fondement des dispositions de la loi du 6 janvier 1978, autoriser la mise en place des traitements nécessaires à l’expérimentation du dossier pharmaceutique auprès de pharmaciens volontaires, dans six départements et pendant une durée limitée, puis, sur la base d’un bilan d’étape et de contrôles diligentés dans plusieurs officines, elle a autorisé, par une seconde délibération du 14 février 2008, l’extension géographique et la prolongation de l’expérimentation jusqu’au 15 août 2008.
Cependant, il avait été précisé que le déploiement du dispositif sur l’ensemble du territoire nécessitait qu’ait été préalablement adopté le décret en Conseil d’Etat prévu par l’article L. 161-36-4-2 du Code de la sécurité sociale.
Dans la première version de l’article L.161-36-4-2, issue de la loi du 31 janvier 2007, il était prévu « pour chaque bénéficiaire de l’assurance maladie, avec son consentement, (la création d’un) dossier pharmaceutique dont les informations alimentent le dossier médical personnel mentionné à l’article L.161-36-4 » (du Code de la sécurité sociale).
Cependant, le calendrier de mise en place du DMP ayant été modifié et sa généralisation, initialement fixée au 1er juillet 2007, repoussée à une échéance plus lointaine, la rédaction de l’article L.161-36-4-2 a été modifiée par la loi de financement de la sécurité sociale pour 2008. Il précise désormais que « les informations (du dossier médical) utiles à la coordination des soins sont reportées dans le dossier médical personnel dans les conditions fixées à l’article L. 161-36-2 ».
La Commission constate qu’en l’absence de définition de tous les éléments du régime juridique du DMP et d’intervention du décret en Conseil d’Etat prévu à l’article L.161-36-4 du Code de la sécurité sociale, les conditions d’application de cette disposition relative au « report » dans le DMP de certaines informations du dossier pharmaceutique n’ont pu être déterminées dans le présent projet de décret et qu’ainsi, le texte adopté devra sans doute être ultérieurement complété sur ce point.
Sur les autres points, les conditions d’application des dispositions de l’article L.161-36-4-2 définies par le projet de décret sont conformes à celles qui avaient été retenues pour la mise en œuvre des traitements nécessaires aux expérimentations et sur lesquelles la Commission s’est prononcée par sa délibération du 15 mai 2007.
Le présent avis porte plus particulièrement sur quelques éléments nouveaux ou sur des points pouvant appeler des précisions ou des compléments.
Sur les finalités et le contenu du dossier pharmaceutique
- La finalité du dossier pharmaceutique est définie à l’article L. 161-36-4-2 : « … favoriser la coordination, la qualité, la continuité des soins et la sécurité de la dispensation des médicaments (et produits de santé) ». 
A cet égard, le projet de décret indique (article R.161-69-5) que le pharmacien consulte le dossier pharmaceutique « afin de déceler et signaler les éventuels risques de redondances de traitements ou d'interactions médicamenteuses pouvant entraîner des effets iatrogènes connus » sans préciser les destinataires des signalements.
Toutefois, il résulte des règles d’exercice de la profession de pharmacien, telles qu’elles sont fixées par le Code de la santé publique, qu’en cas de risque décelé d’une interaction indésirable entre médicaments prescrits à une même personne, le pharmacien doit refuser la dispensation et informer le médecin prescripteur (art. 4235-61).
La Commission estime qu’il serait utile de préciser que le pharmacien signale les éventuelles interactions décelées au bénéficiaire, et le cas échéant, (si un refus de délivrance doit être opposé ) au médecin prescripteur. 
- Sous le titre « Contenu du dossier pharmaceutique », le projet d’article R.161-69-2 énumère les informations auxquelles, grâce au dossier pharmaceutique, les pharmaciens peuvent accéder.
Or, le dossier pharmaceutique est celui qui est ouvert chez l’hébergeur et il contient d’autres catégories de données que celles ainsi énumérées, en particulier les données relatives à l’identification de l’officine et des pharmaciens (nom, prénom, numéro ADELI, numéro de carte CPS du pharmacien, numéro FINESS de l’officine) ainsi que la journalisation et l’horodatage de toutes les consultations et alimentations de ce dossier.
Il conviendra donc de compléter les dispositions de la sous section I du projet de décret ou d’en modifier le titre.
- La Commission relève que les « opinions pharmaceutiques » éventuellement formulées par le pharmacien, qui figuraient au nombre des informations susceptibles d’être saisies dans le dossier pharmaceutique lors des expérimentations, ne sont plus mentionnées dans le projet de décret.
Le CNOP a indiqué que cette information n’avait pas sa place dans le dossier pharmaceutique dans la mesure où d’une part, la formulation d’une opinion pharmaceutique intervenait dans les relations avec le médecin prescripteur et où, d’autre part, cette fonctionnalité aurait nécessité une saisie manuelle alors que les informations contenues dans le DP y figurent sous forme codée, saisies automatiquement.
Tout en comprenant ces raisons, la Commission estime qu’eu égard à la finalité d’amélioration de la qualité de la dispensation, qui est celle du dossier pharmaceutique, la possibilité d’introduire dans ce dossier, éventuellement sous forme codée, des informations relatives à des refus de délivrance ou à des substitutions de médicaments en accord avec le médecin prescripteur, ne devrait pas être exclue.
Sur l’utilisation du dossier pharmaceutique par les assistants préparateurs
Aux termes du projet d’article R.161-69-9, les préparateurs en pharmacies, dont la profession est réglementée par le Code de la santé publique, seraient aussi habilités à créer et gérer les DP sous le contrôle et la responsabilité des pharmaciens d’officine.
La Commission constate que cette disposition peut se fonder sur l’article L.4241-1 du Code de la santé publique qui autorise les seuls préparateurs en pharmacie « à seconder le titulaire de l’officine et les pharmaciens qui l’assistent dans la délivrance au public des médicaments ».
D’autre part, en réponse à une question posée lors de l’instruction de la présente demande d’avis, il a été indiqué aux services de la Commission : au vu du nombre de préparateurs (autant que les pharmaciens) et de leurs relations avec le public, il apparaîtrait peu judicieux de limiter l’acte d’ouverture du dossier pharmaceutique aux seuls pharmaciens.
La Commission prend acte de cette position. 
Toutefois, elle fait remarquer qu’aux termes du projet d’article R. 161-69-5, le pharmacien consulte et alimente le dossier pharmaceutique en utilisant « conjointement la carte de bénéficiaire de l’assurance maladie et sa propre carte de professionnel de santé (CPS) ».
Cette modalité est importante pour la sécurité du dispositif, dans la mesure où la CPS est nominative, permettant donc la mise en place par l’hébergeur d’une fonction d’authentification, et où elle est dotée au surplus d’une fonction de signature et de cryptage. 
Or, les préparateurs en pharmacie ne sont dotés actuellement que d’une Carte Professionnelle d’Etablissement (CPE), individuelle mais non nominative.
La Commission estime qu’une dégradation de la sécurité du dispositif ne serait pas acceptable, et qu’ainsi, la mise en œuvre des dispositions prévues à l’article R.161-69-9 sera en fait subordonnée à la possibilité de diffuser auprès des préparateurs des cartes nominatives comportant les mêmes fonctionnalités que la CPS. 
Sur la durée de mise à disposition et de conservation des données
La Commission prend acte de la limitation à quatre mois des historiques de dispensation de médicaments accessibles aux pharmaciens d’officine. Elle estime que cette durée satisfait aux exigences de proportionnalité qui résultent des 3° et 5° de l’article 6 de la loi du 6 janvier 1978 modifiée. 
La Commission relève qu’est prévu, au-delà de ce délai de quatre mois, un archivage par l’hébergeur pendant une durée complémentaire de trente deux mois, de sorte que la durée totale de conservation chez l’hébergeur est portée à trois ans. 
Les services du ministère ont précisé que la durée d’archivage de trente deux mois avait été prévue à la demande de l’Agence française de sécurité sanitaire des produits de santé (AFSSAPS) car elle correspond à la durée de vie du médicament avant sa péremption et pour permettre la traçabilité des médicaments et produits de santé, faciliter la transmission des alertes et le rappel des lots défectueux.
La Commission observe d’abord que la mise en œuvre effective d’une telle fonction passe par une modification de l’étiquetage des médicaments qui demandera nécessairement des délais.
Elle rappelle d’autre part qu’en vertu du 5° de l’article 6 de la loi du 6 janvier 1978 modifiée, les données « sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées ».