AgentPublic/cnil huggingface dataset:
Les résumés de passage aux urgences (RPU) sont actuellement produits et transmis à l’Institut national de veille sanitaire (InVs) sur la base du volontariat, par certains établissements de santé exerçant une activité de médecine d’urgence et ce à des fins de veille sanitaire. L’InVs assume la responsabilité de ce traitement de données à caractère personnel et dispose pour ce faire d’une autorisation délivrée par la Commission.
Un des objets du présent projet d’arrêté est de rendre cette transmission à l’InVs obligatoire.
Sur la finalité du traitement : 
Le présent projet d’arrêté dit "RPU" a pour finalité de rendre obligatoire la production et la transmission des données d’activité médicale par les établissements de santé publics ou privés ayant une activité autorisée en médecine d’urgence. Ces données seront traitées afin de permettre la réalisation d’analyses qualitatives et de suivi de l’activité de médecine d’urgence ainsi que dans un objectif de veille et de surveillance sanitaires.
Seuls les établissements de santé publics ou privés autorisés à exercer des activités de médecine d’urgence qui impliquent une prise en charge des patients accueillis dans la structure des urgences ou dans la structure des urgences pédiatriques sont soumis à ce projet d’arrêté.
La Commission considère que la finalité poursuivie par le traitement de données à caractère personnel résultant de ce projet d’arrêté est déterminée, explicite et légitime.
Sur la nature des données traitées :
L’article 3 du projet d’arrêté précise la nature des données collectées et traitées.
Le modèle de "RPU" présenté en annexe prévoit la collecte et le traitement de données relatives à l’identification de l’établissement de santé soumis au présent projet de texte, d’une part, et de données concernant les patients, d’autre part.
Concernant les établissements de santé intéressés par le dispositif, le projet d’arrêté prévoit la collecte des numéros d’inscription au répertoire du fichier national des établissements sanitaires et sociaux (FINESS). Pour les établissements de santé multi-sites, un numéro FINESS géographique sera collecté afin de permettre une évaluation de l’activité des urgences de chaque site.
Concernant les patients, à l’instar des données enregistrées dans le programme de médicalisation des systèmes d’information (PMSI), et ce conformément aux dispositions de l’arrêté du 22 février 2008, à l’exception des données de facturation, seront collectées au sein des fichiers "RPU" les données suivantes :
le code postal de résidence,
le nom de la commune de résidence,
la date de naissance,
le sexe,
la date et l’heure d’entrée dans la structure des urgences,
le mode d’entrée (à savoir "mutation", c'est-à-dire que le patient viendrait d’une autre unité médicale du même établissement, ou "transfert" lorsque le patient viendrait d’un autre établissement de santé ou "domicile", cet item incluant notamment les entrées à partir de la voie publique) ;
la provenance (à savoir en provenance d’une unité de soins de courte durée, d’une unité de soins de suite ou de réadaptation, d’une unité de soins de longue durée, d’une unité de psychiatre, ou de son domicile) ;
le mode de transport (à savoir "perso", "ambu", "VSAB" pour les véhicules de secours et d’aide aux blessés, "SMUR", "héli" ou "FO" pour les forces de l’ordre qu’il s’agisse de la police ou de la gendarmerie) ;
le mode de prise en charge durant le transport (à savoir "med" pour un transport médicalisé, "paramed" pour les transports para-médicalisés ou "aucun") ;
le motif du recours aux urgences ;
la ( est une codification évaluant l’état du patient aux urgences son niveau de gravité clinique ainsi que son pronostic médical) ;
le diagnostic principal et les diagnostics associés (grâce à l’utilisation des codes de la dixième classification internationale des maladies) ;
les actes réalisés aux urgences (en utilisant la classification commune des actes médicaux) ;
la date et l’heure de sortie de la structure des urgences ;
le mode de sortie (à savoir "mutation", "transfert", "domicile" ou "décès") ;
la destination (à savoir hospitalisation dans une des unités de soins de l’établissement ou d’un autre établissement, retour au domicile dans le cadre d’une hospitalisation à domicile, ou vers une structure d’hébergement médico-social) ;
et enfin des précisions sur l’orientation (telles que "HDT", hospitalisation sur la demande de tiers, ou "HO" hospitalisation d’office,…).
Pour l’ensemble des données collectées, un système de menu déroulant sera mis en place, à l’exception de la commune de résidence. Sur ce point, le ministère attirera l’attention des établissements de santé sur l’obligation de ne renseigner que cette donnée et non l’adresse complète des patients.
Ces données apparaissent adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires des données :
Les données collectées au sein des "RPU" seront adressées, sous format électronique et quotidiennement, par les établissements de santé soumis au projet d’arrêté à l’agence régionale de santé (ARS) dont dépend l’établissement intéressé. Par ailleurs, en cas de situation sanitaire exceptionnelle, plusieurs transmissions dans la même journée, selon une fréquence préalablement déterminée, peuvent être demandées par l’ARS.
Les ARS transmettront en outre à l’InVs, quotidiennement, l’ensemble des données collectées au sein des "RPU", présentées ci avant.
Les ARS transmettront enfin mensuellement à l’agence pour le traitement de l’information sur l’hospitalisation (ATIH) les fichiers "anonymisés". En application des dispositions des articles R. 6113-33 et suivants du code de la santé publique, l’ATIH a notamment pour missions de piloter, de mettre en œuvre et de rendre accessibles aux tiers les différents systèmes d’information permettant d’analyser les moyens et les activités des établissements de santé publics et privés sur la base des éléments qu’ils transmettent à l’Etat et aux ARS.
L’article 6-II du projet d’arrêté précise que les ARS ont la responsabilité de constituer des fichiers "anonymisés" à partir des RPU reçus des établissements. Pour ce faire, il est prévu, d’une part, la suppression de la donnée relative au nom de la commune de résidence du patient et, d’autre part, le remplacement des données relatives au code postal de résidence et à la date de naissance par le code géographique de résidence utilisé par l’ATIH en matière de PMSI et l’âge du patient à la date de passage aux urgences. Le code géographique de résidence précité sera identique au code postal pour les communes de plus de 1000 habitants, en revanche pour les communes comptant moins de 1000 habitants sera utilisé un code géographique commun à plusieurs d’entre elles.
Les données relatives aux dates et heures d’entrée et de sortie des urgences sont strictement nécessaires au regard de la finalité poursuivie par le traitement "RPU". La collecte, le traitement et la transmission de ces données sont nécessaires à la réalisation d’analyses qualitatives et de suivi de l’activité de médecine d’urgence ainsi que dans un objectif de veille et de surveillance sanitaires.
Par ailleurs et dès lors que l’établissement de santé sera identifié au sein des RPU, les fichiers transmis à l’ATIH ne peuvent être véritablement qualifiés d’anonymes, mais sont seulement moins identifiants que ceux reçus par l’InVs et les ARS.
L’article 4-I du projet d’arrêté rappelle les obligations pesant sur les responsables de traitements donnant lieu à la production des "RPU" en application des dispositions de la loi du 6 janvier 1978 modifiée. Par ailleurs, en cas de réutilisation des données issues des "RPU" par les établissements de santé producteurs de données et les ARS, le projet de texte prévoit qu’ils devront déclarer préalablement leur traitement de données à caractère personnel auprès de la Commission.
Sur la durée de conservation : 
Le projet d’arrêté est silencieux sur les durées de conservation des données, que cela concerne les données "brutes" produites par les établissements de santé ou les données "anonymisées" transmises par les ARS.
La Commission prend néanmoins acte qu’à sa demande, est ajouté au sein de l’alinéa I de l’article 4 du projet d’arrêté que "les établissements de santé ou ARS souhaitant traiter, à leur niveau respectif, les données issues des RPU doivent faire une déclaration en ce sens auprès de la CNIL". Cette mention satisfait pleinement la Commission dès lors que toute conservation des données issues des RPU sera déclarée et enregistrée auprès d’elle.
Sur les droits des personnes :
L’article 4-II du projet d’arrêté précise que les établissements prennent toutes les dispositions utiles afin de permettre aux patients d’exercer auprès du médecin responsable de la structure d’urgence leurs droits d’accès et de rectification, tels que prévus au chapitre V de la loi du 6 janvier 1978 modifiée.
Les autres points du projet d’arrêté n’appellent pas, en l’état et au regard de la loi du 6 janvier 1978 modifiée, d’autres observations de la Commission.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés,
Saisie par le Premier ministre d’une demande d’avis sur un projet de décret relatif aux modalités d’établissement, de conservation et de publication des déclarations de situation patrimoniale et d’intérêts adressées à la Haute autorité pour la transparence de la vie publique ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu les décisions du Conseil Constitutionnel n° 2013-675 DC et n° 2013-676 DC du 9 octobre 2013 ;
Vu la loi organique n° 2013-906 du 13 octobre 2013 relative à la transparence de la vie publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 78-753 du 17 juillet 1978 modifiée relative à la liberté d’accès aux documents administratifs et à la réutilisation des informations publiques ;
Vu la loi n° 2013-907 du 11 octobre 2013 relative à la transparence de la publique, notamment ses articles 4-IV, 5-V, 11-IV et 12-I ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations ;
Émet l'avis suivant :
La Commission a été saisie par le Premier ministre d’une demande d’avis sur un projet de décret en Conseil d’État relatif aux modalités d’établissement, de conservation et de publication des déclarations de situation patrimoniale et d’intérêts adressées à la Haute autorité pour la transparence de la vie publique.
Ce projet de décret a pour objet de fixer les modalités d’application de certaines dispositions de la loi organique n° 2013-906 du 11 octobre 2013 relative à la transparence de la vie publique ainsi que de la loi ordinaire n° 2013-907 du même nom (ci-après "lois sur la transparence de la vie publique"). 
Plus précisément, il s’agit du projet de décret en Conseil d’État prévu au IV de l’article L.O 135-1 (nouveau) et au V de l’article L.O 135-2 (nouveau) du code électoral, dans leur rédaction issue de la loi n° 2013-906 du 11 octobre 2013. Il s’agit également du décret prévu aux articles 4-IV, 5-V, 11-IV et 12-I de la loi n° 2013-907 précitée. Conformément à ces dispositions, ce projet de décret en Conseil d’État doit être pris après avis de la Commission nationale de l’informatique et des libertés.
Il vise notamment à fixer les modèles et le contenu des déclarations de situation patrimoniale, d’intérêts, d’intérêts et d’activités prévues par les lois sur la transparence de la vie publique, ainsi que les modèles de déclaration de modification substantielle de ces dernières. Il prévoit également les modalités de conservation et de publication de ces déclarations. 
Rappel sur le dispositif général 
Le 11 octobre 2013, à la suite des décisions du Conseil constitutionnel (CC) n° 2013-675 DC et n° 2013-676 DC du 9 octobre 2013, la loi organique n° 2013-906 relative à la transparence de la vie publique ainsi que la loi ordinaire n° 2013-907 du même nom ont été promulguées.
Ces lois instaurent de nouvelles obligations de transparence auxquelles sont soumis les responsables politiques et administratifs, le contrôle de ces obligations par une Haute autorité de la transparence de la vie publique et le renforcement des sanctions encourues en cas de méconnaissance des règles en vigueur en la matière.
Cette autorité administrative indépendante, qui remplacera l'actuelle commission pour la transparence financière de la vie politique, a notamment pour mission de recevoir et de contrôler les déclarations de situation patrimoniale, d’intérêts et d’intérêts et d’activités des personnes assujetties aux nouvelles obligations issues des lois sur la transparence de la vie publique.
En effet, les lois précitées prévoient l’obligation, pour toutes les personnes assujetties au dispositif, d’établir des déclarations de situation patrimoniale, des déclarations d’intérêts ainsi que, pour les seuls membres du Parlement, des déclarations d’intérêts et d’activités. Les éléments devant figurer dans ces déclarations et la possibilité pour les personnes concernées d’y joindre des observations sont expressément prévus dans lesdites dispositions législatives.
En outre, le dispositif prévoit que certaines de ces déclarations peuvent être rendues publiques, selon des modalités variables en fonction des personnes concernées (publication en ligne ou consultation sur site physique). Les éléments de ces déclarations qui ne peuvent en aucun cas être rendus publics sont expressément mentionnés au code électoral et dans les dispositions de la loi n° 2013-907 du 11 octobre 2013. La Haute Autorité peut en outre assortir cette publication de toute appréciation qu'elle estime utile quant à l'exhaustivité, à l'exactitude et à la sincérité de l'une ou l'autre déclaration, après avoir mis l'intéressé à même de présenter ses observations. Il est enfin prévu que les électeurs peuvent adresser à la Haute Autorité des observations sur les déclarations rendues publiques, sans qu’elles puissent néanmoins être publiées.
Dans ce contexte, le projet de décret soumis pour avis à la Commission prévoit les modalités d’établissement, de conservation et de publication des déclarations de situation patrimoniale et d’intérêts adressées à la Haute autorité pour la transparence de la vie publique. Il fixe ainsi, en annexes, les modèles de déclarations de situation patrimoniale, de déclarations d’intérêts et de modification substantielle de celles-ci, ainsi que les modèles de déclarations d’intérêts et d’activités réservées aux parlementaires. Il fixe également les montants à partir desquels les déclarations de certains biens doivent être établies.
Il précise, en outre, les modalités de conservation et d’éventuelle publication de ces déclarations par la Haute autorité. En particulier, il prévoit la publication de certaines déclarations de patrimoine et des déclarations d’intérêts par voie de diffusion sur un site internet public unique, d’accès gratuit, qui devra être créé par arrêté pris après avis de la Commission. 
Le projet de décret prévoit enfin les modalités de mise à disposition des électeurs des déclarations de situation patrimoniale ouvertes à consultation, ainsi que le modèle d’observation que l’électeur peut adresser à la suite de la consultation d’une déclaration de situation patrimoniale d’un membre du Parlement.
A titre liminaire, la Commission rappelle que la collecte et la publication des informations figurant sur les différentes déclarations précitées constituent des traitements de données à caractère personnel, au sens de l’article 2 de la loi du 6 janvier 1978 modifiée, soumis aux dispositions de ladite loi. En outre, elle relève qu’il est expressément prévu par le projet de décret la mise en œuvre, par la Haute Autorité, d’un traitement automatisé de données permettant la publication des éléments précités, via l’alimentation du futur site internet unique, ainsi que la conservation de l’ensemble des éléments qui lui sont transmis.
Sur les données collectées dans le cadre des obligations de déclaration 
Le champ d’application exact du dispositif de transparence de la vie publique a été expressément déterminé par le Législateur, sous le contrôle du Conseil constitutionnel, et le projet de décret ne fait donc que rappeler la liste des personnes assujetties à ces nouvelles obligations.
En ce qui concerne les données à caractère personnel collectées dans le cadre de ces déclarations, la Commission relève que les dispositions du code électoral, s’agissant des parlementaires, et de la loi n° 2013-907 du 11 octobre 2013, s’agissant des autres personnes assujetties, prévoient précisément les catégories d’informations qui doivent figurer dans les trois types de déclarations, qu’il est dès lors inutile de rappeler ici.
Elle relève que les modèles de déclaration annexés au projet de décret reprennent très exactement ces catégories d’informations, en précisant les éléments qui doivent figurer au titre de chacune d’elles.
Les modèles de déclarations de situation patrimoniale contiennent en outre des précisions sur les revenus perçus depuis le début du mandat ou des fonctions au titre desquels la déclaration est déposée. Les modèles de déclaration d’intérêts et d’activités comportent les mêmes éléments que les déclarations "simples" d’intérêts, auxquels sont ajoutés les noms des collaborateurs parlementaires ainsi que les autres activités professionnelles déclarées par eux ainsi que les activités professionnelles ou d'intérêt général, même non rémunérées, que le député envisage de conserver durant l'exercice de son mandat. La Commission estime qu’une définition exacte de la notion de "collaborateurs parlementaires" devrait être prévue afin de s’assurer du caractère non excessif des données collectées dans le cadre de ces déclarations des membres du Parlement.
Les trois types de déclaration contiennent en outre des éléments d’identification des personnes concernées et en particulier les nom, prénom, date de début et de fin de mandat ou de nomination, année de naissance, profession, régime matrimonial, coordonnées et autres mandats ou fonctions.
La Commission observe ainsi que seules des précisions pertinentes, par rapport aux catégories d’informations mentionnées dans les dispositions adoptées par le Législateur, sont collectées dans le cadre de ces déclarations. Dans ces conditions, elle estime que ces données sont adéquates, pertinentes et non excessives par rapport aux finalités de la collecte telles que déterminées par les dispositions législatives précitées.
En ce qui concerne les observations des électeurs, l’annexe 7 au projet de décret prévoit tout d’abord la collecte d’informations sur l’identité de l’électeur : nom et prénom, date de naissance, adresse de contact et liste électorale d’inscription. Des photocopies de pièces d’identité, sans que ces pièces soient précisées, et de la carte électorale doivent en outre être jointes à l’envoi. Sur ce point, la Commission estime que la nature exacte des données collectées doit être précisée et qu’une seule pièce d’identité devrait être requise dans la mesure où la carte électorale est également collectée. 
Si le caractère pertinent de cette dernière ne saurait être remis en cause dans la mesure où l’inscription constitue une condition prévue par la loi pour consulter les déclarations patrimoniales des parlementaires, la Commission estime néanmoins que la possession d’une carte électorale n’étant pas obligatoire pour voter ou être inscrit sur une liste électorale, des conditions alternatives de preuve devraient être envisagées.
Sur les informations rendues publiques et leurs modalités de publicité 
A titre général, la Commission rappelle la nécessité de concilier l’objectif de transparence poursuivi par le Législateur et la protection des données personnelles prévues par la loi du 6 janvier 1978 modifiée.
Elle rappelle également que toutes les déclarations ne font pas l’objet d’une publicité et que leur mise à disposition au public est réalisée selon des modalités variables, conformément aux dispositions du code électoral et de la loi n° 2013-907 du 11 octobre 2013, dans leur rédaction modifiée par les décisions susvisées du Conseil constitutionnel. Les déclarations de situation patrimoniale concernées par la publication en ligne sont uniquement celles des membres du Gouvernement. Pour la publication des déclarations d’intérêts, sont concernés les membres du Gouvernement, les représentants français au Parlement européen, les titulaires de mandats électifs locaux, ainsi que les membres du Parlement dans le cadre de leurs déclarations d’intérêts et d’activités. Les modifications substantielles de ces déclarations font également l’objet d’une publication en ligne.
La Commission observe que le Conseil constitutionnel a jugé, sous certaines réserves et après une censure partielle, que les atteintes au respect de la vie privée constituées par la publication de ces déclarations ne revêtent pas un caractère disproportionné au regard de l'objectif poursuivi.
Toutefois, elle estime qu’il convient de s’assurer que les modalités précises de publication soit également respectueuses de la protection des données personnelles des intéressés.
A cet égard, l’article 7 du projet de décret prévoit que la publication de ces déclarations de patrimoine et d’intérêts est assurée par voie de diffusion sur un site internet public unique, d’accès gratuit, dont la Haute autorité pour la transparence de la vie publique est l’autorité responsable. Ce site sera crée par arrêté du Premier ministre, sur proposition de la Haute autorité et après avis de la Commission, ce dont elle prend acte. 
La Commission estime dès lors qu’il convient que la Haute autorité, en tant que responsable de traitement qui procède à la mise en ligne des données à caractère personnel, mette en place des mesures visant à empêcher les moteurs de recherche externes de procéder à une indexation des données directement identifiantes. Ces mesures peuvent consister, par exemple, en l’utilisation de règles d’indexation à destination des moteurs de recherche correctement définies (robots.txt) ou de mécanismes visant à s’assurer que l’émetteur d’une requête concernant un document est bien un internaute et non un programme informatique (captcha visuels et auditifs).
La Commission rappelle qu’il ne s’agit en aucun cas d’empêcher l’indexation sur le site unique des données publiées, ce qui serait contraire à l’objectif poursuivi de transparence. Ces mesures visent uniquement à s’assurer du respect des dispositions prévues des articles 6-4° et 6-5° de la loi du 6 janvier 1978 modifiée, concernant le respect des durées de conservation prévues des informations rendues publiques ainsi que de leur mise à jour.
Le projet de décret prévoit que la Haute Autorité "prend les mesures techniques nécessaires pour assurer l’intégrité du site", ce dont la Commission prend acte. Elle souhaiterait néanmoins que cette disposition soit complétée, notamment afin de prévoir que ces informations ne puissent pas être copiées et diffusées.
La durée pendant laquelle les informations sont mises à la disposition du public, soit la durée des fonctions ou du mandat de personnes concernées, n’appelle pas d’observation particulière de la part de la Commission. Celle-ci estime néanmoins que la nécessité de mettre à jour, sans délai, l’ensemble de ces informations devrait également être prévue dans ces dispositions réglementaires.