La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la santé, de la famille et des personnes handicapées d'un projet de décret en Conseil d'Etat, pris en application des dispositions de l'article L. 1111-8 du code de la santé publique, relatif aux conditions d'agrément des hébergeurs de données de santé à caractère personnel ;
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés pris ensemble le décret n° 78-774 du 17 juillet 1978 ;
Vu le code de la santé publique, et notamment son article L1111-8 ;
Vu la délibération n° 01-011 de la Commission nationale de l'informatique et des libertés du 8 mars 2001 portant adoption d'une recommandation sur les sites de santé destinés au public ;
Après avoir entendu M. François BERNARD, Commissaire, en son rapport et Mme Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
EMET L'AVIS SUIVANT
Le ministre de la santé, de la famille et des personnes handicapées a saisi la CNIL du projet de décret en Conseil d'Etat relatif aux conditions d'agrément des hébergeurs de données de santé à caractère personnel prévu en application des dispositions de l'article L. 1111-8 du code de la santé publique.
Aux termes de celles-ci : "les professionnels de santé ou les établissements de santé ou la personne concernée peuvent déposer des données de santé à caractère personnel, recueillies ou produites à l'occasion des activités de prévention, de diagnostic ou de soins, auprès de personnes physiques ou morales agréées à cet effet. Cet hébergement de données ne peut avoir lieu qu'avec le consentement exprès de la personne concernée.
Les traitements de données de santé à caractère personnel que nécessite l'hebergement doivent être réalisés dans le respect des dispositions de la loi du 6 janvier 1978.
Les conditions d'agrément des hébergeurs sont fixées par décret en Conseil d'Etat pris après avis de la CNIL et des conseils de l'ordre des professions de santé ainsi que du conseil des professions médicales".
Conformément à ces dispositions, le projet de décret "mentionne les informations qui doivent être fournies à l'appui de la demande d'agrément, notamment les modèles de contrats prévus au deuxième alinéa et les dispositions prises pour garantir la sécurité des données traitées en application de l'article 29 de la loi n° 78-17 du 6 janvier 1978 précitée, en particulier les mécanismes de contrôle et de sécurité dans le domaine informatique ainsi que les procédures de contrôle interne".
Sur le principe de l'hébergement de données personnelles de santé
La Commission rappelle que la nécessité du principe d'un encadrement juridique et technique de l'activité des organismes hébergeurs de données personnelles de santé ainsi posé par le législateur avait été soulignée dans sa délibération n° 01-011 du 8 mars 2001 dans laquelle elle avait également souhaité que le principe de l'interdiction de toute commercialisation de données de santé directement ou indirectement nominatives soit posé dans la loi. Elle avait aussi appelé l'attention des pouvoirs publics sur la nécessité de prévoir des garanties sérieuses de nature à prévenir tout risque de divulgation ou d'utilisation indue des données et d'envisager, le cas échéant, une procédure d'agrément des organismes appelés à héberger ces données.
La Commission a également, à l'occasion de l'examen des dispositifs de gestion de dossiers médicaux sur internet, déterminé les garanties de sécurité que devraient présenter ces sociétés de service hébergeurs de données personnelles de santé et les modalités du respect des droits des personnes recourant à de tels dispositifs.
Sur le champ d'application du projet de décret
Aux termes de l'article R. 1111-9 du projet de décret, l'activité d'hébergement consiste dans l'organisation du dépôt et la conservation des données personnelles de santé, quel que soit leur support, notamment de manière à en assurer la pérennité et la confidentialité ; cela inclut leur mise à disposition des personnes autorisées selon des modalités définies par contrat avec l'établissement de santé, le professionnel de santé ou la personne concernée par ces données à l'origine du dépôt, leur protection contre tous les accès non autorisés et leur restitution en fin de contrat.
La Commission prend acte du fait que ces dispositions seront susceptibles d'encadrer toute activité conduite par un organisme ou une personne qui n'est ni le médecin traitant, ni le patient et qui ne participe pas aux soins de ce dernier mais assure la conservation de données personnelles de santé.
Dès lors, l'hébergement pourra concerner des données gérées sur support informatique ou sur support papier notamment à des fins d'archivage.
Sur le principe de la création du comité d'agrément
L'agrément d'un hébergeur de données personnelles de santé serait délivré par arrêté du ministre chargé de la santé sur avis d'un comité d'agrément et pour une durée de trois ans.
Aux termes de l'article R. 1111-1 du projet de décret, le comité d'agrément serait composé de neuf membres nommés pour cinq ans par arrêté du ministre de la santé, trois membres issus respectivement du Conseil d'Etat, de la Cour des Comptes et de l'Inspection générale des finances et quatre membres représentant respectivement les usagers et les professionnels de santé. Enfin, deux membres seraient des personnalités qualifiées.
La Commission observe qu'aux termes de l'article L. 1111-8 du code de la santé publique dans la rédaction que lui a donné la loi du 4 mars 2002, les demandes d'agrément des hébergeurs de données personnelles de santé doivent être appréciées en particulier au regard des dispositions de la loi du 6 janvier 1978.
La Commission relève à cet égard qu'étant chargée de veiller au respect des dispositions de la loi du 6 janvier 1978 et, en particulier de l'article 29, il lui appartient de se prononcer sur les mesures prises pour garantir la confidentialité des données. Ces mesures doivent lui être soumises à l'occasion des formalités préalables, conformément à l'article 19 de la même loi. En outre, la Commission dispose en vertu des dispositions de l'article 21-3° de la loi de 1978 du pouvoir d'édicter des règlements types en matière de sécurité.
Dès lors, la Commission estime qu'il n'apparaît pas utile de créer une instance nouvelle mais qu'en revanche la mise en place d'un comité technique composé, notamment, d'experts spécialisés dans le domaine de la sécurité, serait de nature à lui apporter un concours utile.
Par voie de conséquence, la mission confiée par l'article R. 1111-18 du projet de décret au comité concernant la définition et l'actualisation de référentiels d'agrément et la possibilité de diligenter ou faire diligenter des contrôles chez des hébergeurs pourrait être assumée par la CNIL dans les conditions ci-dessus.
Sur les conditions d'agrément
Dès lors que l'obligation d'un contrat entre l'hébergeur et la personne à l'origine du dépôt, visée à l'article R. 1111-16 du projet de décret, est également mentionnée par l'article L. 1111-8 du code de la santé publique qui prévoit expressément que le projet de décret mentionne les modèles-de contrat, la Commission considère qu'un tel modèle devrait figurer en annexe au projet de décret.
La Commission estime qu'à la rédaction du 2° de l'article R. 1111-14 qui précise que la personne physique ou morale qui sollicite l'agrément "doit réaliser le service sur le territoire de l'Union européenne ou dans un Etat avec lequel les conventions juridiques assurent des garanties au moins équivalentes au droit français en matière de protection des données sensibles et de secret médical", laquelle subordonne ses effets à la conclusion de conventions juridiques, doit être substituée la rédaction suivante "... garantissant un niveau de protection au moins équivalent à celui accordé par le droit français en matière de protection des données sensibles et de secret médical dans le respect des dispositions de la loi du 6 janvier 1978".
Sur les adaptations nécessaires des dispositions relatives au droit d'accès
Les dispositions réglementaires existantes décrites aux articles R. 1111-1 et suivants du code de la santé publique, destinées à préciser les modalités d'exercice du droit d'accès aux données personnelles de santé en application de l'article L. 1111-7 du même code, qui peut depuis la loi du 4 mars 2002 sur les droits des malades et la qualité du système de santé, s'exercer directement auprès de la personne qui les détient, nécessitent d'être adaptées au cas où ces données sont déposées chez un hébergeur.
Ainsi, dans le premier cas visé à l'article R. 1111-2, c'est-à-dire lorsque l'hébergement est à l'initiative d'un établissement de santé ou d'un professionnel de santé, le droit d'accès s'exercera directement auprès de l'établissement ou du professionnel ou auprès de l'hébergeur si l'établissement de santé ou le professionnel de santé autorise la personne. Il est également prévu que la communication des informations puisse s'exercer par voie électronique.
Dans le deuxième cas, lorsque la personne elle-même est à l'origine de l'hebergement, elle exercera son droit d'accès directement auprès de l'hébergeur. Les restrictions alors possibles au droit d'accès concement les cas particuliers prévus par la loi et doivent être prises en compte au moment de la transmission de ces données à l'hébergeur par le professionnel de santé ou l'établissement de santé.
La Commission estime nécessaire d'organiser la mise en oeuvre pratique de ces dispositions et, en particulier, de préciser si, à chaque transmission de données à l'hébergeur ou lorsque les informations concernant la santé des patients sont soit conservées au sein des établissements de santé qui les ont constituées soit déposées par ces établissements auprès d'un hébergeur, l'accord de la personne sera requis ou s'il sera considéré comme acquis lors de la décision de déposer les données chez un hébergeur.
Sur la conservation des archives par les établissements de santé
Le VI de l'article 4 du projet de décret prévoit de modifier l'article R. 1112-7 du code de la santé publique pour autoriser désormais les établissements de soins à faire héberger leurs archives et fixer la durée de conservation des dossiers médicaux. Ainsi, les dossiers médicaux des patients seront soit conservés au sein des établissements concernés, soit déposés par ces établissements auprès d'un hébergeur dans les conditions vues à l'article L. 1111-8 du code de la santé publique.
Le projet de décret indique également une durée de conservation de vingt ans du dossier médical à compter de la date du dernier passage de son titulaire dans l'établissement.
Si le patient décède moins de dix ans après son dernier passage dans l'établissement, le dossier sera conservé pendant une durée de dix ans à compter de la date du décès. S'agissant des mineurs, une disposition a également été insérée afin de garantir la conservation des dossiers au moins jusqu'au 28ème anniversaire de la personne concernée.
A l'issue de ces délais, le dossier pourra être éliminé, le titulaire ou ses représentants légaux pouvant demander qu'on leur transmette ce dossier.
La Commission estime souhaitable sur ce point de prévoir que cette durée de conservation de vingt ans s'applique sans préjudice d'autres dispositions de nature législative ou réglementaire, par exemple pour la gestion des produits sanguins dont la durée de la conservation est fixée à quarante ans.
Le Président, Alex TURK