AgentPublic/cnil huggingface dataset:
Le projet d’article R. 1111-45 du CSP prévoit, pour le mineur titulaire d’un DMP, la possibilité de demander au professionnel alimentant celui-ci de masquer les données le concernant afin qu’elles ne soient pas accessibles par son ou ses représentants légaux. La Commission attire l’attention du ministère sur le fait que ce masquage ne devra pas se limiter au DMP et devra être possible pour les autres services de l’ENS susceptibles de révéler des informations relatives à des éléments masqués dans le DMP (messagerie sécurisée, agenda, etc.). La Commission rappelle que l’accès par les titulaires de l’autorité parentale aux informations couvertes par le secret devra, en outre, respecter les conditions prévues à l’article L. 1111-7 du CSP.
Sur la responsabilité de traitement du DMP 
La Commission relève que le projet de décret ne mentionne pas le responsable de traitement du DMP. En effet, le contenu de l’article R. 1111-27 du CSP qui désigne la Caisse nationale d’assurance maladie (CNAM) comme responsable de traitement du DMP ne figure plus dans les dispositions modifiées par le projet. La Commission estime nécessaire qu’il soit complété afin d’indiquer que la CNAM est responsable de traitement du DMP ou qu’il renvoie aux dispositions applicables à l’ENS précisant ce point.
Sur l’accès et la clôture du DMP
Selon le projet d’article R. 1111-48 du CSP, le titulaire accède à son DMP par voie électronique depuis son ENS. La Commission invite le ministère à ajouter un renvoi à l’article relatif à l’accès à l’ENS afin de faciliter la lecture des dispositions complémentaires des décrets respectivement relatifs au DMP et à l’ENS.
 
Le DMP étant indissociable de l’ENS, la fermeture du DMP entraîne la clôture de l’ENS. Le projet d’article R. 1111-48 du CSP précise que les modalités de clôture du dossier médical sont celles de l’ENS. La Commission invite le ministère à modifier le projet de décret afin qu’il précise la nature du dossier médical auquel il est fait référence et qu’il rappelle que le DMP peut être, à l’instar de l’ENS, clôturé à tout moment.
Sur les mesures de sécurité
La Commission relève que le DMP devenant une composante de l’ENS, les modalités d’accès au DMP et les moyens de leur sécurisation seront principalement transférés à l’ENS.
 
En l’absence d’informations concernant la mise en œuvre du traitement envisagé et la sécurité des données traitées, la Commission n’est pas en mesure de vérifier la conformité du traitement au RGPD, et prend acte de ce que le ministère a prévu de lui adresser des demandes de conseil sur ces questions.
 
La Commission prend acte de ce que l’AIPD qui lui sera transmise sera mise à jour au fur et à mesure de l’avancement du projet, et souhaite en être destinataire avant chaque jalon de déploiement.
 
La Présidente
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant un projet de décret relatif à la télésanté,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
Le projet de décret définit les conditions de mise en œuvre et de prise en charge des activités de télésanté, dont relèvent la télémédecine et le télésoin, telles que définies aux articles L. 6316-1 et L. 6316-2 du code de la santé publique (CSP).
Le décret prévoit que les activités de télésoin seront soumises aux mêmes exigences pour les professionnels de santé que celles prévues pour les actes de télémédecine.
Sur les conditions de mise en œuvre des traitements de données liés à la télésanté
L’article R. 6316-2 prévoit que le recours à la télémédecine ou au télésoin sera déterminé par le professionnel médical, le pharmacien ou l’auxiliaire médical. La Commission en déduit que ces professionnels pourraient donc être qualifiés de responsable de traitement. Afin d’éviter toute incertitude ou confusion quant à la répartition des responsabilités entre les acteurs impliqués, elle invite le ministère à préciser dans le décret les catégories d’acteurs susceptibles d’être qualifiés de responsables de traitement, à plus forte raison si ce rôle est susceptible d’être dévolu à d’autres catégories d’acteurs que les professionnels médicaux, les pharmaciens ou les auxiliaires médicaux.
La Commission souligne en outre que les traitements mis en œuvre dans le respect du cadre réglementaire ainsi prévu constituent des traitements nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l'administration de soins ou de traitements, ou de la gestion de services de santé. Etant mis en œuvre par un membre d'une profession de santé ou par une autre personne à laquelle s'impose, en raison de ses fonctions, l'obligation de secret professionnel dont l'atteinte est réprimée par l'article 226-13 du code pénal, ils ne sont donc pas soumis à autorisation de la Commission, en application des dispositions de l’article 65-1° de la loi informatique et libertés .
Sur le traitement du numéro d’inscription au répertoire national d’identification des personnes physiques
La Commission relève que le projet d’article 4 prévoit de modifier l’article 2.B-6° du décret n°2019-341 du 19 avril 2019 afin d’autoriser les professionnels de santé et toute autre personne soumise à une obligation de secret professionnel réalisant ou concourant à une activité de télésoin à traiter le numéro d'inscription au répertoire national d'identification des personnes physiques pour les opérations liées à la facturation et à la prise en charge financière des ces activités. La Commission en prend acte.
Sur le recueil du consentement de la personne pour la réalisation d’une activité de télésanté
La Commission relève que le projet d’article R. 6316-2 du CSP ne fait plus référence au consentement libre et éclairé de la personne pour la réalisation d’un acte de télémédecine.
Les activités de télésanté renvoyant à la réalisation de soins ou d’actes médicaux à distance, le ministère a précisé que les exigences relatives au consentement de la personne étaient régies par les dispositions de droit commun du CSP, notamment par le quatrième alinéa de l’article L. 1111-4. S’agissant plus particulièrement du télésoin, il a indiqué que la décision d’y recourir relevait d’une décision partagée du patient et du professionnel le prenant en charge.
La Commission estime néanmoins que le recours à ce type de dispositif nécessite qu’une attention particulière soit portée aux modalités de recueil du consentement des personnes concernées. Elle invite donc le ministère à prévoir une campagne d’information et de sensibilisation des professionnels et de toute autre personne soumise à une obligation de secret professionnel participant à des actes de télésanté.
Sur le partage ou l’échange d’informations couvertes par le secret
Le projet d’article R. 6316-2 ne fait plus référence à l’information préalable de la personne pour l’échange d’informations la concernant entre professionnels participant à un acte de télémédecine ni à son droit de s’y opposer, le cas échéant.
La Commission prend acte de ce que le ministère a indiqué que :
ces échanges d’informations entre professionnels devront intervenir dans les conditions définies à l’article L. 1110-4 du CSP ;
les professionnels pouvant réaliser une activité de télésoin seront les pharmaciens et auxiliaires médicaux, étant précisé que la notion d’auxiliaire médical autorisé à réaliser des activités de télésoin renvoie aux professions réglementées par les titres Ier à VII du livre III de la quatrième partie du CSP.
La Commission souligne l’importance d’informer la personne de l’identité du professionnel concerné préalablement à la mise en œuvre d’un échange d’informations la concernant, notamment dans le cadre des dispositions du IV de l’article L. 1110-4 du CSP et invite le ministère à le mentionner dans le décret.
Sur l’inscription des données collectées à l’occasion d’un acte de télémédecine ou d’une activité de télésoin dans le dossier patient, le dossier médical partagé ou le dossier pharmaceutique
Le projet d’article R. 6316-4 prévoit que le professionnel réalisant un acte de télémédecine ou une activité de télésoin l’ inscrit dans le dossier patient ou éventuellement dans le dossier médical partagé défini à l’article L. 1111-14 ou dans le dossier pharmaceutique défini à l’article L. 1111-23 . La Commission considère que cette rédaction est susceptible d’être source d’ambiguïté dans la mesure où elle peut être interprétée comme des exigences alternatives de collecte des données.
A cet égard, la Commission rappelle que :
le dossier médical partagé (DMP) ne se substitue pas au dossier patient tenu par chaque établissement et professionnel de santé intervenant pour la prise en charge d’une personne conformément à l’article R. 1111-28 du CSP ;
la création d’un dossier pharmaceutique est soumise au consentement de la personne en application de l’article L. 1111-23 du CSP.
La Commission prend acte de l’engagement du ministre à modifier ce projet d’article afin d’indiquer que le professionnel est tenu d’inscrire les informations relatives la prise en charge de la personne au sein du dossier patient et le cas échéant au sein du DMP.
Sur les mesures de sécurité
La Commission relève que les modifications apportées à l’article R. 6316-3 entraînent la suppression des dispositions actuelles relatives aux conditions garantissant l’authentification des professionnels de santé intervenant dans l’acte, l’identification du patient et l’accès des professionnels de santé aux donnés médicales du patient nécessaires à la réalisation de l’acte.
Le ministère a justifié cette suppression par le fait que ces conditions étaient régies par les référentiels visés à l’article L. 1110-4-1 du CSP. La Commission relève cependant que les référentiels visés ne sont pas encore publiés et souligne que ces textes sont nécessaires pour l’encadrement des outils et pratiques liés à la télésanté.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis sur un projet de décret pris en application de l'article 52 de la loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la directive 2011/24/UE du Parlement européen et du Conseil du 9 mars 2011 relative à l'application des droits des patients en matière de soins de santé transfrontaliers, notamment en son article 14 relatif à la santé en ligne ;
Vu le code de la santé publique, notamment en ses articles L. 1111-14 à L. 1111-22 ;
Vu le code de la sécurité sociale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'avis du Groupe de l'article 29 des autorités de protection des données en date du 11 avril 2018 ;
Vu l'accord multilatéral intervenu entre les autorités nationales ou les responsables des points de contact nationaux pour la e-santé, signé le 10 février 2020 par l'Agence numérique en santé ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie par le ministère des solidarités et de la santé d’une demande d’avis sur un projet de décret pris en application de l’article 52 de la loi n° 2019-774 du 24 juillet 2019 relative à l’organisation et à la transformation du système de santé (ci-après le projet ).
L’article 52 introduit dans le code de la santé publique (CSP) l’article L. 1111-22 qui prévoit que la collecte, l'échange ou le partage des données de santé à caractère personnel nécessaires à la prise en charge du patient à l'occasion de soins délivrés lors de sa présence sur le territoire d'un autre Etat membre de l'Union européenne peuvent être réalisés au moyen du dossier médical partagé rendu accessible aux professionnels intervenant dans le cadre de ces soins . Cet article renvoie à un décret les modalités d’application de ces dispositions.
Le projet de décret a donc pour objet de définir les conditions permettant l’échange de données de santé à caractère personnel, à partir du dossier médical partagé (DMP), entre la France et certains Etats membres de l’Union européenne, dans le cadre de la prise en charge d’un patient titulaire d’un DMP présente sur le territoire d’un de ces Etat membres, dont la liste sera fixée par arrêté.
Le cas d’usage retenu est celui de l’échange transfrontalier du résumé du dossier du patient, correspondant pour la France au volet de synthèse médicale intégré dans le DMP, avec les professionnels de santé installés dans un des Etats membres signataires d’un accord multilatéral encadrant ces échanges de données.
Sur les modalités d’accès de l’ANS aux données de santé
Le projet d’article D. 1111-46 du CSP prévoit que l’ANS accède aux données de santé à caractère personnel contenues dans le volet de synthèse médicale du DMP, pendant la durée nécessaire à leur traduction et mise en forme.
Le dossier précise que l’ANS, sur demande d’un point de contact européen et sous réserve du consentement recueilli auprès du patient français, récupère le volet de synthèse médicale issu de son DMP, le traduit en anglais et le met en forme si besoin, puis le transmet au point de contact de l’Etat européen. Ce dernier est en charge de communiquer ce document au professionnel de santé à l’origine de la demande, prenant en charge le patient français.
Le ministère a indiqué que les opérations de traduction et de mise en forme sont effectuées de façon automatique, sans intervention humaine, notamment par codage des informations du volet de synthèse médicale , au moyen de l’utilisation de terminologies de santé permettant d’assurer l’interopérabilité sémantique du document . La Commission ne dispose cependant d’aucune précision sur ce point, les modalités techniques restant à définir par le ministère.
Interrogé sur les garanties apportées quant à la confidentialité des données de santé à caractère personnel contenues dans le volet de synthèse médicale issu du DMP, le ministère a précisé que l’ANS n’accède pas au volet de synthèse médicale, ni à aucune donnée de santé du patient, l’ensemble des opérations de mise en forme et de traduction étant automatisé.
La Commission en prend acte et demande que le projet d’article D. 1111-46 soit reformulé de façon à lever toute ambiguïté quant à l’accès de l’ANS aux données de santé à caractère personnel de santé.
Sur les modalités d’accès du patient français au volet de synthèse médicale, dans sa version traduite
Le projet d’article D. 1111-50 du CSP renvoie aux modalités d’exercice des droits prévues pour le DMP. Il prévoit également que la consultation du volet de synthèse médicale par le professionnel de santé européen soit reportée dans le DMP, de façon à ce que son titulaire puisse disposer d’une visibilité des accès effectués.
La Commission prend acte de ce que le dossier transmis pas le ministère précise que, dans le cadre des traitements visés à l’article L. 1111-22 du CSP, les patients pourront exercer leurs droits :
s’agissant des traces des opérations effectuées au sein du NCPeH auprès de l’ANS ;
s’agissant des données contenues dans leur volet de synthèse médicale et transmises au professionnel de santé européen, auprès dudit professionnel.
Afin de faciliter l’exercice des droits, en particulier l’exercice du droit d’accès ou de rectification dans l’hypothèse d’une erreur de traduction, la Commission demande que la version traduite du volet de synthèse médicale figure dans le DMP de façon à éviter au titulaire du DMP d’avoir à effectuer cette demande auprès du professionnel de santé consulté dans un autre Etat membre. Elle demande par ailleurs que ces modalités soient décrites dans le projet.
Sur la réutilisation des données issues du volet de synthèse médicale
En principe, les données sont utilisées par le professionnel de santé dans le cadre de la prestation de soins de santé telle que définie par la directive 2011/24/UE : des services de santé fournis par des professionnels de santé aux patients pour évaluer, maintenir ou rétablir leur état de santé, y compris la prescription, la délivrance et la fourniture de médicaments et de dispositifs médicaux .
L’accord multilatéral signé par l’ANS le 11 février 2020 envisage néanmoins l’hypothèse d’une réutilisation des données des patients à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques dans le respect du RGPD et notamment de ses articles 6, 9 et 89.
La Commission rappelle à cet égard que s’agissant de données de santé à caractère personnel de patients français, la réutilisation des données issues du volet de synthèse médicale à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé sera soumise aux dispositions des articles 72 et suivants de la loi informatique et libertés, conformément à l’article 3-II de cette même loi.
Sur les mesures de sécurité
Le projet de décret prévoit que les modalités de transfert ainsi que le format des données transmises sont définis par un accord multilatéral signé par chaque autorité nationale ou responsable des points de contact nationaux en e-santé. La Commission relève cependant que cet accord ne mentionne que des exigences de sécurité générales et applicables à l’ensemble des traitements des données à caractère personnel. Les données de santé sont particulièrement sensibles, doivent bénéficier d’une protection particulière.
A cet égard, le projet d’article D. 1111-46 du CSP prévoit que les données sont hébergées dans les conditions prévues aux articles L. 1111-8 et suivants et R. 1111-8 et suivants du code de la santé publique . Ces dispositions prévoient notamment l’obligation, en cas d’externalisation de l’hébergement des données de santé, de les confier à un prestataire agréé ou certifié à cet effet. La Commission relève qu’il résulte des éléments figurant au dossier que le NCPeH français permet la transmission du volet de synthèse médicale depuis le DMP vers le NCPeH sans qu’il y soit toutefois conservé. Elle rappelle que l’obligation de recourir à un hébergeur agréé ou certifié s’applique en cas de stockage de données de santé. Elle demande également au ministère que le décret précise clairement si ces obligations s’appliquent en cas d’externalisation de l’hébergement des données de santé en dehors du territoire national, dans l’hypothèse d’un stockage de données de santé.
Elle rappelle, en tout état de cause, que le traitement des données de santé à caractère personnel doit intervenir dans des conditions de sécurité au moins équivalentes à celles prévues par la législation nationale, afin de ne pas en abaisser le niveau de protection général.
La Commission relève que le traitement devra faire l’objet d’une analyse d’impact relative à la protection des données (AIPD) préalablement à toute mise en œuvre.
Le projet n’appelle pas d’autres observations de la Commission.
La Présidente
La Commission nationale de l'informatique et des libertés,
Saisie par la société CGI France SAS au nom et pour le compte du groupe CGI Inc., le 20 avril 2017, d’une demande d’approbation de ses BCR responsable du traitement ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD), notamment ses articles 47, 57 et 64 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment son article 73 ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 47-1 du RGPD dispose que la CNIL approuve des règles d’entreprise contraignantes ( BCR ) sous réserve que celles-ci répondent aux exigences prévues par cet article.
Conformément à la procédure de coopération décrite par le document de travail WP263.rev.01, la documentation relative aux BCR responsable du traitement du groupe CGI Inc. a été instruite par les services de la CNIL en qualité d’autorité compétente, puis par les services de deux autres autorités de protection des données agissant en qualité de co-instructeurs. Ces BCR ont également été revues par les autorités de protection des données des pays membres de l’Espace économique européen (EEE) en application de la procédure d’approbation mise en place par le Comité européen de la protection des données ( CEPD ).
L’instruction des BCR responsable du traitement du groupe CGI Inc. permet de conclure que celles-ci sont conformes aux exigences imposées par l’article 47-1 du RGPD et le document de travail WP256.rev.01, notamment car les BCR susmentionnées :
sont rendues juridiquement contraignantes par un contrat intra-groupe et imposent une obligation claire à chaque entité participante du groupe CGI, y compris à leurs employés, de les respecter ;
confèrent expressément des droits aux personnes concernées leur permettant de s’en prévaloir en tant que tiers bénéficiaires via les articles 7 ( Droit des Tiers bénéficiaires ) et 9 ( Procédure de traitement des demandes et des réclamations des personnes concernées ) ;
répondent aux exigences imposées par l’article 47-2 du RGPD :
a) la structure et les coordonnées du groupe d’entreprises et de chacune de ses entités sont détaillées dans le formulaire WP264 qui a été fourni dans le cadre de l’instruction du dossier et dans l’annexe A des BCR ;
b) les transferts ou l'ensemble des transferts de données, y compris les catégories de données à caractère personnel, le type de traitement et ses finalités, le type de personnes concernées affectées et le nom du ou des pays tiers en question sont précisés aux articles 2 et 5 des BCR et en annexe B des BCR intitulée Activités couvertes par les BCR-C ;
c) la nature juridiquement contraignante, tant interne qu’externe, des BCR responsable du traitement est reconnue aux articles 3.1 et 3.2 des BCR ainsi qu’à l’article 2 du projet de contrat intra-groupe fourni par le groupe ;
d) l'application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données, la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d'entreprise contraignantes sont visés aux articles 3.3, 4, 5, 6 et 11 des BCR responsable du traitement ;