AgentPublic/cnil huggingface dataset:
Vu le décret n° 2012-1131 du 5 octobre 2012 relatif à la consultation et à l’alimentation du dossier pharmaceutique par les pharmaciens exerçant dans les pharmacies à usage intérieur ; 
Vu les délibérations n° 2007-106, n° 2008-041, n° 2008-302, n° 2008-487, n° 2010-116, n° 2012-286, 2012-409 en date des 15 mai 2007, 14 février 2008, 17 juillet 2008, 2 décembre 2008, 6 mai 2010, 19 juillet 2012, 22 novembre 2012 ;
Après avoir entendu M. Jean MASSOT, commissaire, en son rapport, et M. Jean Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l’avis suivant :
Le Conseil national de l’Ordre des pharmaciens (CNOP) a saisi la Commission Nationale de l’Informatique et des Libertés le 23 octobre 2012, d’un dossier relatif aux traitements de données personnelles permettant la mise en œuvre généralisée du dossier pharmaceutique (DP) au sein des pharmacies à usage intérieur (PUI). 
En ce qui concerne le cadre juridique applicable :
1. Institué par la loi n° 2007-127 du 30 janvier 2007 ratifiant l’ordonnance du 26 août 2005 relative à l’organisation de certaines professions de santé, le dossier pharmaceutique (DP) est un outil professionnel dématérialisé, accessible par internet, hébergé auprès d’un hébergeur de données de santé agréé sélectionné par le Conseil national de l’Ordre des pharmaciens (CNOP), mis à la disposition des pharmaciens et destiné à sécuriser la dispensation des médicaments.
Le projet est conduit et financé par le CNOP.
Le DP trouve aujourd’hui son fondement légal dans les dispositions de l’article L. 1111-23 du Code de la santé publique qui prévoit :
« Afin de favoriser la coordination, la qualité, la continuité des soins et la sécurité de la dispensation des médicaments, produits et objets définis à l'article L. 4211-1, il est créé, pour chaque bénéficiaire de l'assurance maladie, avec son consentement, un dossier pharmaceutique. 
Sauf opposition du patient quant à l'accès du pharmacien à son dossier pharmaceutique et à l'alimentation de celui-ci, tout pharmacien d'officine est tenu d'alimenter le dossier pharmaceutique à l'occasion de la dispensation. Dans les mêmes conditions, les pharmaciens exerçant dans une pharmacie à usage intérieur peuvent consulter et alimenter ce dossier. Les informations de ce dossier utiles à la coordination des soins sont reportées dans le dossier médical personnel dans les conditions prévues à l'article L. 1111-15. 
La mise en œuvre du dossier pharmaceutique est assurée par le Conseil national de l'ordre des pharmaciens mentionné à l'article L. 4231-2. 
Un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés et du Conseil national de l'ordre des pharmaciens, fixe les conditions d'application du présent article ».
Le cadre réglementaire du DP est désormais fixé par les articles R. 1111-20-1 à R. 1111-20-11 du Code de la santé publique. Les dispositions initiales issues du décret n° 2008-1326 du 15 décembre 2008 relatif au dossier pharmaceutique, sur lequel la CNIL s’était prononcée le 17 juillet 2008, ont été modifiées et transférées dans le Code de la santé publique par le décret n° 2012-1131 du 5 octobre 2012 sur lequel la CNIL s’est prononcée le 19 juillet 2012.
2. Le 2 décembre 2008, la CNIL a autorisé la généralisation du dossier pharmaceutique dans l’ensemble des officines françaises après avoir validé les déploiements successifs du dispositif. Le dossier pharmaceutique dont la généralisation a ainsi été autorisée est un dossier autonome n’alimentant pas pour l’instant le dossier médical personnel (DMP). 
3. Le 22 novembre 2012, la CNIL s’est prononcée sur le projet de décret destiné à fixer le cadre réglementaire d’expérimentations tendant à ouvrir l’accès du DP aux médecins de certains établissements de santé dans le cadre de la prise en charge des patients, pris en application de l’article 23-III de la loi n° 2011-2012 du 29 décembre 2011 relative au renforcement de la sécurité sanitaire du médicament et des produits de santé.
4. Le 6 mai 2010, la CNIL a autorisé le CNOP à expérimenter le dossier pharmaceutique dans cinq pharmacies hospitalières pratiquant la vente de médicaments aux patients non hospitalisés. Cette expérimentation, qui a duré 9 mois, visait à tester la faisabilité technique et financière du raccordement des systèmes d’information hospitaliers au DP et à en évaluer l’usage et l’appropriation du DP tant par les pharmaciens hospitaliers que par les patients. 
Le projet d’expérimentation faisait suite aux recommandations formulées par la Cour des Comptes en 2009 tendant à « examiner le coût, les avantages (notamment en terme de service rendu) et les inconvénients d’une extension du dossier pharmaceutique au-delà des seules officines » et a reçu le « support » de la Direction de l’Hospitalisation et de l’Organisation des Soins (DHOS).
La CNIL avait reconnu l’intérêt qui s’attache à la conduite de l’expérimentation visant à améliorer la continuité et à la coordination du suivi pharmaceutique des patients en donnant aux pharmaciens dispensateurs une information globale sur les médicaments qui leur sont dispensés. Elle avait toutefois rappelé que le déploiement généralisé du dossier pharmaceutique aux pharmacies hospitalières sera nécessairement subordonné à la modification des dispositions réglementaires issues du décret n°2008-1326 du 15 décembre 2008. Elle avait également demandé que lui soit communiqué, à l’appui de toute demande de généralisation, un bilan portant sur la faisabilité et l’acceptabilité du projet qui sera établi à l’issue de l’expérimentation.
La loi n°2011-2012 du 29 décembre 2011 relative au renforcement de la sécurité sanitaire du médicament et des produits de santé a modifié l’article L. 1111-23 du Code de la santé publique, qui permet désormais aux pharmaciens exerçant dans une pharmacie à usage intérieur de consulter et d’alimenter le dossier pharmaceutique dans les mêmes conditions que les pharmaciens d’officine. La CNIL s’est prononcée le 19 juillet 2012 sur le projet de décret en Conseil d’Etat qui fixe le cadre réglementaire et qui est devenu le décret n°2012-1131 du 5 octobre 2012.
En outre, le CNOP a saisi la Commission d’un dossier accompagné d’un bilan pour permettre la mise en œuvre généralisée du DP au sein des PUI en application des dispositions législatives et réglementaires sus rappelées qui porte, d’une part, sur les modules applicatifs de raccordement au DP intégrés dans les logiciels de gestion des PUI après validation par le CNOP de leurs modalités de fonctionnement et, d’autre part, sur les traitements de l’organisme, qui a été sélectionné par le CNOP comme hébergeur unique du dossier pharmaceutique.
Le CNOP a indiqué que les traitements qui seront mis en œuvre dans le cadre du déploiement généralisé objet de la présente demande le seront sans modification des conditions de mise en œuvre et des fonctionnalités du DP, sur lesquelles la Commission s’est prononcée par délibération du 2 décembre 2008 et conformément aux dispositions du Code de la santé publique précitées.
La Commission en prend acte.
Le CNOP a toutefois indiqué s’agissant de l’exercice par les patients de leurs droits que les documents d’information destinés aux patients ont été modifiés pour tenir compte de la mise en œuvre DP à l’hôpital et que les droits d’accès et de rectification prévus aux articles 39 et suivants de la loi du 6 janvier 1978 modifiée seraient exercés auprès de l’établissement dans lequel la PUI est implantée. La Commission en prend acte.
S’agissant, enfin, des conditions d’accès des pharmaciens hospitaliers au DP, la Commission prend acte que les informations enregistrées dans le dossier pharmaceutique sont couvertes par le secret professionnel et ne seront consultables par les pharmaciens que moyennant l’utilisation conjointe de la carte Vitale du patient et de la carte de professionnel de santé (CPS) dont devra être doté le pharmacien hospitalier responsable.
En outre, la Commission rappelle au CNOP :
la nécessité d’informer clairement le patient sur les conditions d’ouverture et d’utilisation du dossier pharmaceutique pour lui permettre de participer activement au dispositif et d’exercer pleinement ses droits. Il appartient, en particulier, au CNOP de veiller à l’édition par les logiciels métiers de la copie papier du document électronique par lequel le pharmacien atteste avoir procédé à l’information du patient et recueilli son consentement exprès et à sa remise effective au patient. 
la nécessité de mettre en œuvre des conditions de sécurité effective et de haut niveau aussi bien dans les établissements de santé que chez l’hébergeur de nature à garantir la confidentialité des données. Une trace doit être gardée de toute consultation du DP et un chiffrement des données et des communications doit être effectué.
Dans ces conditions, la Commission autorise la mise en œuvre, sous l’égide du CNOP, des traitements nécessaires au déploiement généralisé du dossier pharmaceutique au sein des pharmacies à usage intérieur. La Commission précise qu’il appartiendra aux établissements de santé concernés d’accomplir les formalités de déclaration modificative nécessaires et à l’hébergeur de données de santé à caractère personnel retenu au terme de l’appel d’offres, d’obtenir un agrément du ministre de la Santé, conformément aux dispositions de l’article L.1111-8 du Code de la santé publique.
Néanmoins, les établissements qui ont désigné un Correspondant Informatique et Libertés (CIL) seront exonérés de l’obligation de déclarer cette application, qui devra être référencée dans la liste qu’il leur appartient de tenir. 
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministère du travail, de l'emploi et de la santé d'une demande d'avis concernant un projet de décret en Conseil d'Etat autorisant la création d'un traitement de données à caractère personnel dans la cadre d'une recherche en santé humaine dénommée  Nutrinet-Santé , les compléments, nécessaires à l'examen du projet de texte ayant été adressés à la CNIL les 31 mai et 24 juin 2012.Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le code de la sécurité sociale, notamment son article L. 161-28-1 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-I-1°;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu Mme Marie-Hélène MITJAVILE, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :Le ministère du travail, de l'emploi et de la santé a saisi la CNIL, le 7 mars 2012, d'un projet de décret en Conseil d'Etat
portant création d'un traitement automatisé de données à caractère personnel dans le cadre d'une recherche en santé dénommée Nutri-Net-Santé.
Ce texte autorise le traitement informatique du numéro d'inscription des personnes au répertoire national des personnes physiques (NIR) des participants à l'étude qui y consentent afin de permettre à l'Institut National de la Santé et de la Recherche (INSERM) en charge de l'étude d'avoir accès aux données de l'assurance maladie.
Présentation générale de l'étude L'étude NutriNet-Santé est une étude de cohorte portant sur le comportement alimentaire et l'état nutritionnel des personnes, réalisée auprès d'internautes majeurs volontaires, dénommés  nutrinautes . Son objectif principal est de comprendre les relations entre la nutrition (alimentation et activité physique) et la santé, d'identifier les facteurs de risque et de connaître les déterminants des comportements alimentaires. Cette étude contribuera à établir des recommandations nutritionnelles adaptées visant à réduire le risque de pathologies et a reçu, à ce titre, le soutien et le financement des pouvoirs publics. La Commission rappelle que l'étude a débuté en 2009 et relève qu'elle a permis l'inclusion de plus de 230 000 volontaires qui feront l'objet d'un suivi régulier sur une période allant de 5 ans (pour les derniers inclus) à 10 ans (pour les premiers inclus) en remplissant des questionnaires sur un site internet développé à cet usage, grâce à une interface sécurisée. Elle rappelle également que, depuis son lancement en 2009, la Commission a autorisé toutes les phases de mise en œuvre de l'étude sur le fondement des dispositions des articles 54 et suivants de la loi n°78-17 du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements mis en œuvre dans le cadre d'une recherche menée dans le domaine de la santé. Les traitements nécessaires à la mise en œuvre de l'étude ont donc été autorisés par la CNIL, après avis du Comité
Consultatif sur le Traitement de l'Information en matière de Recherche dans le domaine de la Santé (CCTIRS) et après un examen spécifique des conditions d'exercice des droits des patients et des règles de sécurité qui entourent la collecte sur internet et le stockage de données sensibles.La Commission rappelle que l'étude NutriNet Santé fait intervenir trois acteurs dont les rôles sont bien définis : l'Unité de Recherche en Epidémiologie Nutritionnelle (UREN) de l'INSERM, responsable du traitement, Voluntis, prestataire en charge de la collecte des données et les sociétés OBS (Orange Business services) et Eolas Business Service qui hébergent les données. Sur la finalité de l'étude objet de la présente demandeL'INSERM souhaite aujourd'hui pouvoir compléter les données collectées auprès des  nutrinautes  et optimiser le suivi de l'état de santé des volontaires en les appariant avec les données médico-administratives les concernant issues du Système national d'information inter-régime de l'assurance maladie (SNIIRAM). Ce traitement mis en œuvre par l'INSERM et portant sur des données parmi lesquelles figurent le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR) est présenté dans le cadre d'un projet de décret en Conseil d'Etat pris après avis motivé et publié de la Commission, en application de l'article 27-I-1° de la loi du 6 janvier 1978 modifiée.La CNIL a également été saisie par l'INSERM à l'appui de cette demande, d'un
dossier technique portant sur la collecte et l'utilisation du NIR dans le cadre de NutriNet-Santé. La Commission relève que le CCTIRS a rendu un avis favorable à l'enquête objet de la présente demande, de même que l'Institut des Données de Santé.
Aux termes de l'article 3-III du projet de décret, le NIR ne peut être utilisé que pour effectuer un rapprochement des informations collectées avec les données relatives aux personnes présentes dans le SNIIRAM.
La Commission prend acte qu'il n'est pas envisagé d'utiliser le NIR pour la consultation du Répertoire national d'identification des personnes physiques (RNIPP).
Sur la nature des données traitées :L'article 2 du projet de décret énumère les données collectées directement auprès des volontaires susceptibles d'être croisées avec les données de l'assurance maladie. Ces données concernent l'état civil, le NIR, les coordonnées, la consommation alimentaire, l'activité physique, le mode de vie, la santé, la qualité de vie, le statut vital, la situation familiale, la scolarité, l'emploi, les revenus, la vie sociale et pour un échantillon de  nutrinautes  qui y ont expressément consenti, des résultats d'analyses médicales, des données cliniques, le poids, la taille et des données d'examen neuropsychologiques.A l'exclusion du NIR, la collecte de ces données, jugées pertinentes au regard de la finalité de l'étude, a déjà été autorisée par la Commission.
L'article 3-IV du projet de décret indique que le NIR sera utilisé pour extraire les données suivantes issues du SNIIRAM :- les informations relatives au patient (âge, sexe, notion de CMU-C, diagnostic de l'affection de longue durée, département et région de résidence)- les informations relatives à la consommation de soins en ville (actes médicaux, biologie, dispositifs médicaux, médicaments) et en établissement (dates des soins et dates de remboursement)- les données issues du programme médicalisé des systèmes d'information (pour chaque séjour hospitaliers, diagnostic médical et associés, actes réalisés). 
La Commission relève qu'une liste exhaustive des données extraites du SNIIRAM figure dans le projet de décret et estime ces données pertinentes au regard de la finalité du traitement.
Sur le respect des droits des personnes L'article 3-I du projet de décret prévoit que le NIR sera communiqué par les participants à l'étude  qui le souhaitent , après avoir reçu une information particulière sur ses conditions d'utilisation et de conservation par l'INSERM. Une note d'information conforme aux dispositions de l'article 57 de la loi du 6 janvier 1978 modifiée, assortie d'un formulaire de recueil du consentement spécifique sera accessible sur le site dédié à l'étude, dans l'espace personnel du  nutrinaute . Ces documents seront adaptés à la situation des participants à l'étude selon qu'ils entrent dans l'étude ou y sont déjà inclus et le consentement du  nutrinaute  sera recueilli sous format électronique à l'aide d'une case à cocher. Les  nutrinautes  seront clairement informés du caractère facultatif de la collecte du NIR et de la possibilité, s'ils acceptent, de revenir à tout moment sur leur décision. Ils seront également informés de la nature des données collectées dans le SNIIRAM, conformément aux recommandations du CCTIRS.
La Commission prend acte de l'ensemble de ces mesures. Elle demande toutefois qu'à la formule  qui le souhaitent  soit substituée la formule  qui y consentent .
L'article 7 du projet de décret prévoit que le droit d'accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent auprès du directeur de l'INSERM, en charge de l'étude. La Commission en prend acte.
Sur la sécurité des données :L'article 3 du projet de décret encadre l'accès au NIR des  nutrinautes  volontaires et définit les mesures de sécurité et confidentialité nécessaires à l'appariement des données de l'étude avec les données du SNIIRAM et à leur conservation.L'article 5 du projet de décret précise les obligations de l'INSERM en matière de sécurité et de confidentialité des données. Cet article devra également faire référence à la traçabilité des actions effectuées sur les données.
Sur l'appariement des données de l'enquête avec les données issues du SNIIRAMLe NIR sera collecté directement auprès des  nutrinautes  volontaires après recueil de leur consentement éclairé et saisi sur un formulaire électronique prévu à cet effet sur le site Internet de l'étude. Le NIR sera transmis de façon sécurisée, par le protocole https, au prestataire Voluntis, lequel en vérifiera la cohérence et le chiffrera aussitôt avec un algorithme de chiffrement asymétrique utilisant la clé publique fournie par la CNAMTS. Pour effectuer les appariements aux données du SNIIRAM, un numéro d'identification non signifiant distinct de l'identifiant de l'étude et spécifique à chaque demande d'appariement sera créé pour chaque enquêté. Une fois par an, les données d'identification (NIR chiffré, sexe, et date de naissance) associées pour chaque enquêté à cet identifiant non signifiant seront transmises à la CNAMTS sur un support physique chiffré. A cet égard, la Commission observe que l'article 3-III, alinéa 3 du projet de décret prévoit la transmission du NIR  via un flux sécurisé  et non sur un support physique, comme le prévoit le dossier. Elle demande que le projet de décret soit modifié sur ce point et qu'en tout état de cause, les modalités de transmission à la CNAMTS des données nécessaires à la requête soient de nature à garantir la confidentialité des données.La CNAMTS déchiffrera chaque NIR à l'aide de sa clé privée et effectuera la demande d'extraction des données du SNIIRAM
auprès du service interne concerné. La Commission souligne, à cet égard, que la fonction  FOIN  (Fonction d'Occultation des Informations Nominatives) développée par la CNAMTS et utilisée en l'espèce n'appelle pas d'observation de sa part.La CNAMTS retournera à l'INSERM sur un support physique chiffré les données du SNIIRAM uniquement associées au numéro non signifiant. L'INSERM, qui aura conservé la correspondance entre l'identifiant non signifiant et l'identifiant de l'étude, sera ainsi en mesure d'apparier les données sans avoir connaissance du NIR en clair. L'INSERM ne conservera aucune trace du fichier transmis initialement qui sera détruit dès communication à la CNAMTS. Après l'appariement des données de l'étude et des données du SNIIRAM, les tables de correspondance conservées jusqu'alors par la CNAMTS et l'INSERM seront détruites. Les fichiers échangés entre les différents acteurs seront systématiquement chiffrés par la clé publique du destinataire et les liens de communication établis entre les différents acteurs seront chiffrés.La Commission constate que l'organisation ainsi mise en œuvre garantit que le NIR ne pourra être déchiffré qu'à seule fin d'appariement des données du SNIIRAM avec celles de l'étude NutriNet en passant obligatoirement par la CNAMTS qui apparaît seule en mesure de déchiffrer le NIR.
Sur les conditions de conservation des donnéesAfin de garantir la confidentialité des données, les données sont réparties et cloisonnées sur plusieurs serveurs en fonction de leur nature et de leur utilisation.Le NIR chiffré des volontaires sera conservé de façon sécurisée dans la base de données de l'INSERM au sein des données d'identification des  nutrinautes .Les données du SNIIRAM seront intégrées dans la base de données de l'INSERM au même titre que les autres données de santé communiquées par les volontaires dans un autre serveur dédié aux questionnaires. Il résulte des mesures mises en place une séparation fonctionnelle des données d'identification et des autres données de l'étude et une gestion des habilitations d'accès en fonction des rôles de chacun de nature à garantir la confidentialité des données.Le rapprochement des données de l'étude avec les données identifiantes ne sera possible que dans des conditions spécifiques, ponctuelles et strictement encadrées. Des mesures de chiffrement des données d'identification et des données médicales seront mises en place que seuls les médecins seront en mesure de déchiffrer.L'article 3-V du projet de décret prévoit qu'un rapport sur l'évolution des systèmes de sécurité du traitement mis en œuvre pour l'étude Nutri-Net-Santé sera adressé tous les trois ans à la Commission. La Commission prend acte qu'à cet effet, une procédure d'audit externe sera mise en place.
Dans ces conditions, la Commission estime que l'ensemble des mesures de sécurité mises en œuvre est de nature à garantir un risque d'atteinte limité aux données. Elle demande toutefois qu'un premier audit débute à l'échéance d'un an à compter de la présente délibération et que les résultats lui soient communiqués dès que l'audit sera terminé.
Sur la durée de conservation des données :L'article premier du projet de décret fait état d'une durée de l'étude fixée à dix ans. La Commission demande que le texte soit complété par la mention  à compter de la première inclusion  afin que le point de départ du délai soit précisé. Elle demande également que le sort des données à l'issue de l'étude soit précisé dans le projet de décret.Aux termes de l'article 3-II du projet de décret, l'autorisation donnée d'utiliser le NIR le sera pour une durée de 3 ans assortie de la possibilité pour les  nutrinautes  de revenir à tout moment sur leur décision. A l'issue de 3 ans, une nouvelle demande d'autorisation devra être faite pour prolonger de 3 ans l'autorisation initiale dans la limite de la durée totale de l'étude.Le NIR chiffré des volontaires dont le consentement a expiré à l'issue de 3 ans ou qui ont exercé leur droit de retrait sera supprimé quotidiennement, empêchant ainsi tout nouvel appariement.La Commission estime que cette durée de conservation n'appelle pas d'observation.