La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment son article 27-II (1°) ;
Vu le code de la santé publique, notamment ses articles D. 4113-116 et D. 4221-22 ;
Vu le code de la sécurité sociale, notamment ses articles R. 161-53 et R. 161-54 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-l7 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean Massot, commissaire, et les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Vu le projet d'arrêté du ministère de la santé, de la jeunesse et des sports modifiant l'arrêté du 6 février 2009 portant création d'un traitement de données à caractère personnel dénommé  Répertoire partagé des professionnels de santé  (RPPS),
Emet l'avis suivant :
La commission a été saisie par le ministre du travail, de l'emploi et de la santé d'un projet d'arrêté modifiant l'arrêté du 6 février 2009 portant création du traitement de données à caractère personnel dénommé  Répertoire partagé des professionnels de santé  (RPPS).
Ce répertoire est un outil d'identification unique et pérenne des professionnels de santé quel que soit leur mode d'exercice.
Il vise à améliorer la qualité des données des différents organismes ayant besoin d'identifier les professionnels, d'affiner la connaissance, notamment géographique et démographique des professionnels de santé, de simplifier les démarches des professionnels de santé en supprimant les procédures d'enregistrement redondantes. Il contribue aux procédures de délivrance et de mise à jour des cartes de professionnel de santé et permet la réalisation d'études et de recherches ainsi que la production de statistiques relatives à ces professionnels.
Sa mise en place consiste à bâtir une architecture d'échanges sécurisés autour d'un référentiel partagé de données qualifiées et certifiées.
Les modifications proposées portent sur les points suivants :
Le responsable du traitement :
L'arrêté du 6 février 2009 désigne le Groupement d'intérêt public - Carte de professionnel de santé (GIP-CPS), autorité de certification en matière de sécurisation des échanges de données à caractère personnel, comme étant chargé de la gestion du répertoire.
Les missions précédemment exercées par le GIP-CPS ayant été transférées à l'Agence des systèmes d'information partagés (ASIP Santé), groupement d'intérêt public (art. L. 1111-24 du code de la santé publique) issu de la transformation du GIP-DMP et de l'intégration de la partie  interopérabilité  du Groupement de modernisation des systèmes d'informations hospitalières (GMSIH) et le GIP-CPS (carte de professionnel de santé), l'arrêté est modifié en conséquence.
La nature des données enregistrées :
Les données relatives au statut et à la position du praticien hospitalier sont précisées par l'ajout des deux nouveaux items :  Situation PH  et  Position statutaire  ( détaché, en activité, mis à disposition ).
La commission en prend acte et relève que cet ajout résulte d'une concertation avec l'ensemble des acteurs concernés.
Les destinataires des données :
Les agences régionales de santé (ARS) bénéficient d'un droit d'accès au RPPS dans un périmètre restreint aux données accessibles aux  établissements publics, groupements, organismes créés par la loi ou le règlement dans le domaine sanitaire et social .
Il s'agit de rétablir ce droit à l'identique de ce qu'il était précédemment pour les directions régionales des affaires sanitaires et sociales (DRASS) et la direction des affaires sanitaires et sociales (DDASS) et de donner, ainsi, aux ARS la pleine capacité d'exercer leur mission.
La commission en prend acte.
Dans ces conditions, les modifications apportées à l'arrêté du 6 février 2009 portant création d'un traitement de données à caractère personnel dénommé  Répertoire partagé des professionnels de santé  (RPPS) n'appellent pas d'observation particulière au regard de la protection des données à caractère personnel.
Pour la présidente :
Le vice-président délégué,
E. de Givry