AgentPublic/cnil huggingface dataset:
Elle observe toutefois que le projet de décret renvoie à un arrêté du ministre de la santé la détermination des conditions de fonctionnement du site unique précité ainsi que les modalités d’établissement, d’authentification et de transmission sécurisée des télé déclarations. La Commission estime que cet arrêté, qui intéresse directement la protection des données à caractère personnel, devrait être soumis à son avis et demande au gouvernement de modifier le projet de décret en ce sens.
Sur les droits des personnes
La mise en œuvre du traitement résultant, en l’espèce, du respect d’une obligation légale incombant au responsable de traitement, la Commission considère que le consentement des personnes concernées n’est pas requis, conformément aux dispositions de l’article 7 de la loi du 6 janvier 1978 modifiée.
 
Elle prend acte que le projet d’article R.1453-7 prévoit que les responsables des sites internet sur lesquels sont publiées les données assurent l’information des personnes et la protection contre l’indexation par les moteurs de recherche.
La Commission rappelle qu’en application de l’article 32-I de la loi du 6 janvier 1978 modifiée, les personnes concernées doivent être informées de la mise en œuvre des traitements et des droits d’accès et de rectification qui leur sont reconnus par la loi. En outre, en application de l’article 32-III de la même loi, dès lors que les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, le responsable du traitement doit fournir à cette dernière, dès l’enregistrement des données ou au plus tard lors de la première communication à des tiers les informations prévues à l’article 32-I de la loi précitée. En conséquence, la Commission invite le gouvernement à compléter le décret en ce sens.
 
La Commission relève que la mise en œuvre du traitement résulte d’une obligation légale et que le droit d’opposition ne s’applique donc pas. Elle estime cependant nécessaire que le projet de décret soit modifié afin de le préciser.
 
Sur les durées de publication et de conservation des données
Le projet d’article R.1453-7 du code de la santé publique prévoit que les informations sont mises à la disposition du public pendant une durée de cinq ans à compter de leur mise en ligne et qu’elles sont conservées, par les organismes responsables de la diffusion des données à caractère personnel, pendant dix ans.
La Commission estime que ces durées ne sont pas excessives au regard de la finalité poursuivie. Elle rappelle que cette conservation doit s’opérer dans des conditions telles qu’elles résultent des articles 34 et 36 relatifs à la sécurité et à l’archivage de la loi du 6 janvier 1978 modifiée.
Les autres points du projet de décret, notamment l’extension du dispositif anti-cadeaux aux étudiants, n’appellent pas en l’état et au regard de la loi du 6 janvier 1978 modifiée, d’autres observations de la Commission.
 
La Présidente
Isabelle FALQUE-PIERROTIN
 
 
Notes
1. CJUE, grande chambre, 9 novembre 2010, affaires jointes C-92/09 et C-93/09 Volker und Markus Schecke GbR et Hartmut Eifert.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des solidarités et de la santé d’une demande d’avis concernant un projet de décret en Conseil d’Etat relatif aux départements d’information médicale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles ;
Vu le code de la santé publique, notamment ses articles L. 6113-7, L. 6145-16 et R. 6113-1 et s. ;
Vu le code du commerce, notamment ses articles L. 823-9 et s. ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie par le ministère des solidarités et de la santé, en application de l’article 11-4°-a) de la loi n° 78-17 du 6 janvier 1978 modifiée, d’une demande d’avis portant sur un projet de décret en Conseil d’Etat relatif aux départements d’information médicale.
En octobre 2013, à la suite d’une série de contrôles menée par la Commission, plusieurs établissements de santé ont fait l’objet de mises en demeure pour avoir organisé, dans le cadre d’une prestation dite d’optimisation du codage, l’accès de prestataires extérieurs aux dossiers médicaux de patients pris en charge dans ces établissements.
Cette série de contrôles a révélé que, dans le cadre de l’analyse de l’activité médicale leur incombant, les établissements de santé, en sollicitant des prestataires extérieurs, avaient recours à des pratiques méconnaissant les dispositions de la loi "Informatique et Libertés" et celles du code de la santé publique relatives à l’organisation du département d’information médicale (DIM).
A l’occasion de l’adoption de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles, une modification a été apportée à l’article L. 6113-7 du code de la santé publique (CSP) pour donner compétence au pouvoir réglementaire de déterminer "les modes d’organisation de la fonction d’information médicale, en particulier les conditions dans lesquelles des personnels placés sous l’autorité du praticien responsable ou des commissaires aux comptes intervenant au titre de la mission légale de certification des comptes (…) peuvent contribuer au traitement de données" .
Le projet de décret soumis à l’examen de la Commission vise à préciser ces modes d’organisation. En particulier, il autorise et encadre l’accès aux dossiers médicaux des patients au bénéfice, d’une part, des prestataires extérieurs, pour leurs missions d’élaboration du programme de médicalisation des systèmes d’information (PMSI) et d’optimisation du codage des actes et, d’autre part, des commissaires aux comptes.
Sur l’autorisation d’accès des prestataires extérieurs et des commissaires aux comptes aux dossiers médicaux des patients
L’article 1er du projet de décret vise à autoriser l’accès des prestataires extérieurs et des commissaires aux comptes aux dossiers médicaux des patients aux fins d’analyse de l’activité des établissements de santé, " dans la stricte limite de ce qui est nécessaire à leurs missions ".
La Commission rappelle que les informations contenues dans les dossiers médicaux constituent des donnée de santé à caractère personnel conformément aux dispositions de l’article 4-15) du règlement (UE) 2016/679 susvisé (ci-après RGPD). Elle observe qu’en vertu de l’article L. 1110-4 du CSP, ces catégories de données recueillies par les professionnels des établissements de santé, à l’occasion d’un acte de prévention, de diagnostic ou de soins sont protégées par le secret médical, excepté dans les cas de dérogation expressément prévus par la loi. Elle souligne que seule une mesure législative est de nature à rendre inapplicables les dispositions du code pénal relatives aux sanctions attachées à la divulgation d’une information à caractère secret par une personne qui en est dépositaire soit par état ou profession, soit en raison d’une fonction ou d’une mission temporaire.
La Commission relève que l’article L. 6113-7 du CSP, dans sa rédaction issue de la loi du 20 juin 2018 susvisée, donne une base légale à la détermination, par voie réglementaire, des modalités d’organisation du département d’information médicale.
Par conséquent, elle considère, sous réserve de l’appréciation du Conseil d’Etat, que le projet de décret, en ce qu’il autorise l’accès des prestataires extérieurs et des commissaires aux comptes aux données de santé contenues dans les dossiers médicaux, donne un fondement juridique à cet accès.
La Commission estime que les prestataires extérieurs et les commissaires aux comptes sont dès lors des personnes habilitées à traiter les données de santé et à y accéder exclusivement au titre de leurs missions, dans le respect des dispositions du RGPD et de la loi n° 78-17 du 6 janvier 1978 modifiée.
Sur les modalités d’accès des prestataires extérieurs et des commissaires aux comptes aux données des dossiers médicaux des patients
L’article 1er du projet de décret encadre les modalités selon lesquelles l’accès des prestataires extérieurs et des commissaires aux comptes aux données de santé contenues dans les dossiers médicaux doit s’effectuer :
les prestataires extérieurs et les commissaires aux comptes accèdent aux données, dans la stricte limite de ce qui est nécessaire à l’exercice de leurs missions ;
les traces des éventuels accès et consultations, des créations et des modifications de données relatives aux patients sont conservées pour une durée de six mois par l’établissement.
Concernant l’accès des commissaires aux comptes, le ministère des solidarités et de la santé a précisé que, conformément aux dispositions de l’article L. 823-9 du code de commerce, ceux-ci ont notamment pour mission de certifier, en justifiant de leurs appréciations, que les comptes annuels sont réguliers et sincères. Les commissaires aux comptes doivent, pour la perception des recettes liées au séjour, fonder leur appréciation sur les modalités de mise en œuvre du contrôle interne et, notamment, s’assurer que l’activité facturable est prise en compte de manière exhaustive et qu’elle est valorisée correctement ; du fait de la facturation à l’activité, la prise en charge médicale sert de base au codage des pathologies, ce qui implique un contrôle des dossiers médicaux dans lesquels ces éléments sont colligés. Le ministère a également indiqué que, pour effectuer ces travaux, les commissaires aux comptes pourront se faire assister, sous leur responsabilité par des experts de leur choix et, notamment, faire intervenir un médecin d’information médicale expert, de même qu’un expert en systèmes d’information. Il a également précisé que les commissaires aux comptes ne seront pas habilités à créer et à modifier les données relatives aux patients.
Si la Commission ne remet dès lors pas en cause la nécessité, pour les commissaires aux comptes, de vérifier la juste valorisation de l’activité médicale dans le cadre des missions d’audit qu’ils exercent– et, pour ce faire, d’accéder à des données de santé –, elle s’interroge sur les modalités retenues, notamment l’intérêt que ceux-ci accèdent aux données directement identifiantes figurant dans les dossiers médicaux des patients.
Elle estime qu’au regard du caractère particulièrement sensible des données de santé et du régime particulier institué par l’article 9 du RGPD et la loi du 6 janvier 1978, cet accès n’est pas suffisamment encadré. Elle demande que les commissaires aux comptes n’aient pas accès aux données d’identification du patient (nom, prénom, âge, date de naissance, adresse) et qu’ils n’aient accès qu’à des données pseudonymisées au sens de l’article 4-5) du RGPD.
La Commission demande également que les permissions d’accès mises en place soient effectivement restreintes à la lecture et, par voie de conséquence, que le projet de décret mentionne expressément l’impossibilité pour les commissaires aux comptes de créer et de modifier les données relatives aux patients.
Sur la qualification des prestataires extérieurs et des commissaires aux comptes et de leurs obligations
Le ministère a indiqué que les prestataires extérieurs pour leurs missions d’élaboration du PMSI et d’optimisation du codage des actes, et les commissaires aux comptes pour l’examen du cycle de recettes, peuvent traiter des données de santé à caractère personnel directement ou indirectement identifiantes transmises par les établissements de santé les sollicitant.
L’article 1er du projet de décret prévoit, à ce titre, l’encadrement de ces traitements en imposant :
une interdiction de conserver les données mises à disposition par l’établissement, au-delà de la durée strictement nécessaire aux missions qui leur ont été confiées dans la limite de leur contrat ;
le recours à un hébergeur de données de santé agréé ou certifié, lorsqu’un hébergement de données de santé a lieu.
S’agissant des prestataires extérieurs, la Commission indique que ceux-ci, en contribuant directement au codage des actes ou à des opérations d’optimisation de ce codage, interviennent pour le compte des établissements de santé. A ce titre, elle considère qu’ils relèvent de la catégorie des sous-traitants au sens de l’article 28 du RGPD. La Commission rappelle que, compte tenu de la sensibilité des données, ils devront mettre en place des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles de manière à ce que les opérations d’analyse de l’activité médicale pour le compte des établissements de santé répondent aux exigences du RGPD et garantissent la protection des droits des patients concernés par le traitement de leurs données.
S’agissant des commissaires aux comptes, dans la mesure où, sur le fondement du nouvel article L. 6113-7 du CSP, le législateur a ouvert la possibilité au ministère de permettre à ces derniers, au titre de leur mission légale de certification des comptes, soit d’accéder aux bases de données médico-administratives des établissements de santé, soit d’en obtenir une extraction, la Commission estime que ceux-ci sont responsables des traitements de données à caractère personnel ainsi mis en œuvre. Néanmoins, elle indique que les opérations de traitement, compte tenu des principes généraux applicables à la protection des traitements de données à caractère personnel, devront prioritairement s’effectuer sous la forme d’une simple consultation des bases de données médico-administratives.
A ce titre, la Commission rappelle que les commissaires aux comptes devront respecter l’ensemble des principes généraux applicables en matière de protection des traitements des données à caractère personnel, tels que ceux-ci résultent de l’article 5 du RGPD, et notamment ceux relatifs à la minimisation et à la sécurité. Conformément aux dispositions des articles 24 et 25 du RGPD, les commissaires aux comptes devront mettre en œuvre toutes les mesures techniques et organisationnelles appropriées, tant au moment de la détermination des moyens qu’au moment de la mise en œuvre du traitement lui-même, afin de répondre aux exigences du RGPD et de protéger les droits des personnes ; ils devront s’assurer que seules des données strictement nécessaires à l’exercice de leurs missions de certification des comptes sont traitées.
Dès lors que les traitements concernés seront susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques, une analyse d’impact sur la protection des données devra être menée par les commissaires aux comptes en application des dispositions de l’article 35 du RGPD.
La Commission attire également l’attention sur le respect des exigences de sécurité suivantes :
le traitement doit être mis en œuvre dans le cadre d’une politique de sécurité des systèmes d’informations ;
les échanges de données doivent être chiffrés ;
le traitement doit prévoir une procédure de gestion du personnel et des habilitations afin de permettre le traitement des seules données strictement nécessaires à la finalité, comme l’exige l’article 32-4 du RGPD ;
les données doivent être supprimées des systèmes lorsqu’elles ne font plus l’objet d’un traitement, conformément à la durée du contrat ;
une procédure de traçabilité doit être mise en œuvre afin de permettre l’identification des personnes ayant accédé aux données sur une période de six mois glissants (il s’agit de permettre la collecte, l’exploitation, la sécurisation des traces, la prise en compte de l’ensemble des événements, la gestion des traces notamment quant à leur intégrité et leur sauvegarde ainsi que leur exploitation de manière régulière).
A ce titre, la Commission note que le projet de décret prévoit que l’hébergement de données par un tiers devra respecter les conditions posées par l’article L. 1111-8 du CSP (recours à un hébergeur de données de santé agréé ou certifié).
Enfin, la Commission constate que le projet de décret mentionne que les commissaires aux comptes ne peuvent conserver les données mise à disposition au-delà de la durée strictement nécessaire aux missions qui leur sont confiées dans la limite de leur contrat. Dans la mesure où le ministère indique que la durée contractuelle de conservation des données peut varier, la Commission s’interroge, au regard du caractère particulièrement sensible des données et de la nécessité de retenir une durée conforme aux exigences de l’article 5-1-e) du RGPD, sur l’opportunité de retenir une durée de conservation plus courte, prévoyant une suppression des données dès l’achèvement de la procédure de certification.
Les autres dispositions du projet de décret n’appellent pas d’observations de la Commission.
Pour La Présidente
Le Vice-Président délégué
Marie-France MAZARS
Saisie par le ministère de la Fonction publique d’une demande d’avis concernant un projet d’arrêté relatif à la composition du dossier individuel des agents publics géré sur support électronique ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment son article R. 79 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-2-d) ;
Vu la loi n° 83-634 du 13 juillet 1983 modifiée portant droits et obligations des fonctionnaires, notamment son article 18 ;
Vu la loi n° 84-16 du 11 janvier 1984 portant dispositions statutaires relatives à la fonction publique de l'Etat ;
Vu la loi n° 2009-972 du 3 août 2009 relative à la mobilité et aux parcours professionnels dans la fonction publique, notamment son article 29 ;
Vu le décret n° 79-1037 du 3 décembre 1979 modifié relatif à la compétence des services d’archives publics et à la coopération entre les administrations pour la collecte, la conservation et la communication des archives publiques ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2011-675 du 15 juin 2011 relatif au dossier individuel des agents publics et à sa gestion sur support électronique ;
Vu la délibération n°2010-472 du 16 décembre 2010 portant avis sur un projet de décret en Conseil d'Etat relatif à la gestion du dossier des agents publics sur support électronique par les autorités administratives et territoriales ;
Après avoir entendu M. Eric PERES, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le décret n° 2011-675 du 15 juin 2011 relatif au dossier individuel des agents publics et à sa gestion sur support électronique, pris après avis de la CNIL (délibération n°2010-472), constitue un cadre juridique commun aux trois fonctions publiques (fonction publique de l’Etat, fonction publique territoriale et fonction publique hospitalière). Il a pour objet de permettre qu’un même niveau de garantie soit offert aux agents publics dont le dossier est dématérialisé, quelle que soit leur administration publique d’appartenance.
L’alinéa 2 de l’article 2 du décret n° 2011-675 dispose expressément que " chaque document [composant ce dossier] est classé par référence à une nomenclature cadre établie par arrêté du ministre chargé de la fonction publique ".
Conformément à l’article 11-2-d) de la loi du 6 janvier 1978 modifiée et aux dispositions expresses de la délibération n°2010-472 susvisée, la Commission est saisie par le ministère de la Fonction publique d’une demande d’avis sur le projet d’arrêté établissant cette nomenclature cadre.
Sur l’objet du projet d’arrêté :
Le projet d’arrêté soumis à la Commission identifie les documents susceptibles d’être enregistrés dans le dossier individuel des agents publics géré sur support électronique, ainsi que les durées de conservation de ces documents, en base active ainsi qu’en archivage intermédiaire.
L’article 1er du décret n° 2011-675 susvisé dispose que ces documents " intéressent sa situation administrative, notamment ceux qui permettent de suivre son évolution professionnelle ".
Aussi, les documents relatifs à la paie (notamment le bulletin de paie), les documents comptables ou relatifs aux conditions de travail (horaires par exemple) n'ont pas à figurer dans les dossiers individuels.
Sur les catégories de documents composant le dossier individuel des agents publics gérés sur support électronique :
Les documents susceptibles de composer le dossier individuel des agents publics gérés sur support électronique sont identifiés dans la nomenclature annexée au projet d’arrêté.
Cette nomenclature vise 21 catégories de documents relatives :
1- à l’état civil des personnes ;
2- à leur situation familiale ;
3- à leur situation militaire ;
4- au recrutement de l’agent ou à sa titularisation (titulaire/non titulaire ; recrutement soumis à l’article L.4139-2 du code de la défense ; recrutement contractuel handicapé ; non titularisation) ;
5- à son changement de position statutaire ou à sa réintégration (détachement /intégration, mise à disposition, disponibilité, congé parental, hors cadre, réintégration) ;
6- à la Commission de déontologie ;
7- au cumul d’emploi public ;
8- au cumul pour création ou reprise d’entreprise ;
9- au cumul d’activité accessoire ;
10- au changement de modalités de temps de travail ;
11- à la gestion des congés et absences ; 
12- à l’évaluation, à la notation et à l’avancement d’échelon ; 
13- à l’avancement et à la promotion ; 
14- à la mutation ou à l’affectation de l’agent ; 
15- à la gestion des compétences ; 
16- à la discipline ; 
17- à la cessation de fonction ; 
18- aux services publics et aux activités privées ; 
19- aux distinctions honorifiques ; 
20- aux accidents de service et à la maladie professionnelle ; 
21- aux évènements divers. 
La Commission considère que ces catégories de documents sont nécessaires au suivi de la carrière des agents.
Néanmoins, certains documents indexés dans la nomenclature retenue par le ministère appellent plusieurs observations de la Commission.
Concernant la rubrique 4 de la nomenclature annexée, la Commission observe que, conformément aux dispositions législatives et réglementaires en vigueur, notamment dans le cadre de l’accès à certaines professions ou de l’obtention d'une distinction honorifique par exemple (article R. 79 du code de procédure pénale), l’extrait de casier judiciaire (bulletin n°2 ou B2) peut être collecté. 
Toutefois, elle souligne que l’extrait du B2 communiqué aux administrations qui en font la demande a une durée de validité réduite, compte tenu qu’il fait état du casier judiciaire de l’agent à un instant donné. 
Ainsi, la Commission souligne que la conservation d’une telle donnée au-delà d’un délai raisonnable (un délai de validité de 3 mois est communément retenu par les administrations) ne permet pas de fournir une information exacte, complète et mise à jour au sens de l’article 6-4° de la loi du 6 janvier 1978 modifiée. 
Concernant la rubrique 11 de la nomenclature annexée, relative à la gestion des congés et absences, les documents de cette rubrique sont susceptibles de comporter des données sensibles au sens de l’article 8 de la loi du 6 janvier 1978 modifiée, notamment des données relatives à la santé dans les pièces justificatives à l’appui de demandes spécifiques telles que des certificats médicaux dans le cas de congés maladie.