La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère des affaires sociales et de la santé d’un projet de décret en Conseil d’Etat relatif à la transparence des avantages consentis par les entreprises produisant ou commercialisant des produits à finalité sanitaire destinés à l’homme ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L.1453-1 et L.4113-6 ;
Vu le code de commerce, notamment ses articles L.441-3 et L.441-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-4°-a) ;
Vu la loi n°2011-2012 du 29 décembre 2011 relative au renforcement de la sécurité sanitaire du médicament et des produits de santé;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

décret n° 2009-134 du 6 février 2009
Vu l’arrêté du 6 février 2009 portant création d'un traitement de données à caractère personnel dénommé " Répertoire partagé des professionnels de santé " (RPPS) pris en application du
décret n° 2009-134 du 6 février 2009
Après avoir entendu M. Jean MASSOT, commissaire, en son rapport et Mme Catherine POZZO DI BORGO, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La Commission a été saisie, le 20 novembre 2012, par le ministère des affaires sociales et de la santé, au titre de l'article 11-4°-a) de la loi du 6 janvier 1978 modifiée, d’un projet de décret en Conseil d’Etat relatif à la transparence des avantages consentis par les entreprises produisant ou commercialisant des produits à finalité sanitaire et cosmétique destinés à l’homme.
Ce projet de décret, pris en application des articles L. 1453-1 et L. 4113-6 du code de la santé publique issus de la loi n° 2011-2012 du 29 décembre 2011, a pour objet d’améliorer la transparence et l’information du public s’agissant des liens entre l’industrie pharmaceutique et les professions de santé, d’une part, et d’étendre le dispositif " anti-cadeaux " aux étudiants se destinant aux professions de santé ainsi qu’aux associations représentant ces étudiants et les membres des professions médicales, d’autre part.
L’article L.1453-1 du code la santé publique (CSP) prévoit, sous peine de sanctions pénales prévues aux articles L.1454-2 à L.1454-5 du même code, que les entreprises, produisant ou commercialisant des produits à finalité sanitaire destinés à l’homme mentionnés au II de l’article L.5311-1 du code précité ou assurant des prestations associées à ces produits, sont tenues de rendre publique l’existence des conventions qu’elles concluent notamment avec les professionnels de santé relevant de la quatrième partie du code de la santé publique et les étudiants se destinant à ces professions, ainsi que les avantages en nature ou en espèces que ces mêmes entreprises leur procurent directement ou indirectement dès lors qu’ils sont supérieurs à un seuil fixé par décret.
Ce même article renvoie à un décret en Conseil d’Etat le soin de fixer les conditions de cette publication, la nature des informations qui doivent être rendues publiques, notamment l’objet et la date des conventions, les délais et modalités de publication et d’actualisation de ces informations ainsi que les modalités selon lesquelles les ordres des professions de santé sont associés à cette publication.
Plus précisément, le projet de décret soumis pour avis à la Commission :
organise les modalités de publicité de l’existence des conventions conclues entre les entreprises produisant ou commercialisant des produits à finalité sanitaire ou cosmétiques destinés à l’hommeet certaines parties prenantes intervenant dans le champ de la santé,
organise les modalités de publicité du montant des avantages que ces mêmes entreprises leur procurent ;
fixe un seuil au-delà duquel les avantages consentis par les entreprises sont rendus publics ;
précise les modalités d’application du dispositif issu de la loi dite " anti-cadeaux " aux étudiants se destinant à une profession de santé ;
prévoit les modalités d’association des ordres professionnels au mécanisme de transparence.
Sur les données à caractère personnel traitées et leur publicité
L’article 1er du projet de décret prévoit de modifier le code de la santé publique, notamment en y insérant de nouveaux articles D.1453-1 et R.1453-2 à R.1453-9.
Le projet d’article D.1453-1 précise le seuil à partir duquel sont recensés les avantages perçus et celui à partir duquel le cumul de ces avantages est rendu public. Ainsi les avantages d’un montant supérieur ou égal à dix euros TTC sont recensés et lorsque le cumul de ces avantages sur un semestre civil atteint soixante euros, il doit faire l’objet d’une publication.
Le projet d’article R.1453-2 rappelle les exigences de l’article L.1453-1 précité et précise que les obligations de publication ne s’appliquent pas aux conventions conclues en application des articles L.441-3 et L.441-7 du code de commerce qui ont pour objet l’achat de biens ou de services.
Le projet d’article R.1453- 3 impose aux entreprises de rendre publics, d’une part, l’existence des conventions qu’elles concluent avec les personnes, associations, établissements et, d’autre part, les avantages qu’elles procurent aux personnes, établissements, fondations, sociétés, organismes ou organes mentionnés à l’article L. 1453-1 du CSP. Ces dispositions sont applicables aux conventions conclues et aux avantages procurés par les entreprises produisant ou commercialisant des produits à finalité sanitaire destinés à l’homme. Des dispositions similaires sont applicables aux entreprises produisant ou commercialisant des lentilles oculaires non correctrices, des produits cosmétiques et des produits de tatouages mentionnés au 14°), 15°), et 17°) de l’article L.5311-1 du CSP.
La publication porte notamment sur l’identité des parties à la convention et l’identité du bénéficiaire de l’avantage. A cet égard, il est prévu que :
Pour les professionnels de santé, les données publiées portent sur le nom, la qualité, et le cas échéant la qualification, le titre, la spécialité, l’adresse professionnelle, le numéro d’inscription à l’ordre ou le cas échéantl’identifiant personnel issu du répertoire partagé des professionnels de santé (RPPS);
Pour les étudiants se destinant à l’une des professions de santé relevant de la quatrième partie du CSP, les données publiées portent sur le nom, le prénom, l’établissement d’enseignement et le cas échéant l’identifiant personnel dans le répertoire partagé des professionnels de santé (RPPS) lorsqu’il existe ;
Pour les personnes morales : l’identité de l’entreprise concernée, la date de signature de chaque convention, son objet, et le programme de la manifestation le cas échéant ;
S’agissant des conventions, la publication porte également sur la date de signature, l’objet de la convention et le cas échéant le programme de la manifestation. S’agissant des avantages, la publication porte également sur l’entreprise et la personne bénéficiaire selon des tranches prévues par le projet de décret.
La Commission observe que parmi les données traitées, figure l’identifiant personnel issu du répertoire partagé des professionnels de santé. Elle rappelle que, l’article 8 de l’arrêté du 6 février 2009 portant création d'un traitement de données à caractère personnel dénommé " Répertoire partagé des professionnels de santé " (RPPS) pris en application du
décret n° 2009-134 du 6 février 2009
La Commission relève les risques d’atteinte à la vie privée que peut entraîner la divulgation de l’ensemble des informations dont la liste est précisée par le projet de décret. Elle ne peut que constater que la publication de toutes les données visées au projet d’article R.1453-3 du CSP n’est pas prévue expressément par le législateur.
La Commission rappelle, à titre indicatif, la jurisprudence de la Cour de Justice de l’Union Européenne (CJUE)

" l’obligation de publication des noms des personnes physiques bénéficiaires d’une telle aide ainsi que les montants précis qu’elles ont perçus constitue, au regard de l’objectif de transparence, une mesure disproportionnée ".
: " aucune prééminence automatique ne saurait être reconnue à l’objectif de transparence sur le droit à la protection des données à caractère personnel ".
On pourrait estimer au regard de ces éléments, que la publication des données à caractère personnel telle que prévue par le futur article R.1453-3, n’apparaît ni adéquate ni pertinente et qu’elle serait excessive au regard des finalités poursuivies par le traitement au sens de l’article 6-3 de la loi du 6 janvier 1978 modifiée. En l’espèce, cette publication pourrait être justifiée au regard de l’objectif de prévention des conflits d’intérêts susceptibles d’intervenir dans le domaine sanitaire. En tout état de cause, la Commission prend acte de la volonté du législateur de rendre publiques des données à caractère personnel en vue d’améliorer la transparence des liens entre l’industrie pharmaceutique et les professions de santé comme le prévoit l’article L.1453-1 du CSP.
Sur les modalités de publication
Le projet d’article R.1453-4 du CSP, prévoit que la publication des informations s’opère sur un site internet public unique ou à défaut, sur le site internet des conseils nationaux des ordres professionnels compétents et sur le site des syndicats professionnels des entreprises produisant ou commercialisant les produits concernés.
Le projet d’article R.1453-5 du CSP, prévoit que les données sont rendues publiques au premier janvier de chaque année civile puis actualisées de façon semestrielle. Dans un délai de quinze jours après la signature de la convention ou tous les six mois si la somme des avantages est supérieure ou égale à soixante euros, l’entreprise concernée transmet les informations à l’autorité responsable du site internet public par télé déclaration ou aux conseils ordinaux nationaux et aux syndicats professionnels des entreprises concernés par voie électronique conformément aux dispositions du décret n°2011-272 du 30 mars 2001 pris pour l’application de l’article 1316-4 du code civil relatif à la signature électronique. La Commission en prend acte.
Elle observe toutefois que le projet de décret renvoie à un arrêté du ministre de la santé la détermination des conditions de fonctionnement du site unique précité ainsi que les modalités d’établissement, d’authentification et de transmission sécurisée des télé déclarations. La Commission estime que cet arrêté, qui intéresse directement la protection des données à caractère personnel, devrait être soumis à son avis et demande au gouvernement de modifier le projet de décret en ce sens.
Sur les droits des personnes
La mise en œuvre du traitement résultant, en l’espèce, du respect d’une obligation légale incombant au responsable de traitement, la Commission considère que le consentement des personnes concernées n’est pas requis, conformément aux dispositions de l’article 7 de la loi du 6 janvier 1978 modifiée.
Elle prend acte que le projet d’article R.1453-7 prévoit que les responsables des sites internet sur lesquels sont publiées les données assurent l’information des personnes et la protection contre l’indexation par les moteurs de recherche.
La Commission rappelle qu’en application de l’article 32-I de la loi du 6 janvier 1978 modifiée, les personnes concernées doivent être informées de la mise en œuvre des traitements et des droits d’accès et de rectification qui leur sont reconnus par la loi. En outre, en application de l’article 32-III de la même loi, dès lors que les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, le responsable du traitement doit fournir à cette dernière, dès l’enregistrement des données ou au plus tard lors de la première communication à des tiers les informations prévues à l’article 32-I de la loi précitée. En conséquence, la Commission invite le gouvernement à compléter le décret en ce sens.
La Commission relève que la mise en œuvre du traitement résulte d’une obligation légale et que le droit d’opposition ne s’applique donc pas. Elle estime cependant nécessaire que le projet de décret soit modifié afin de le préciser.
Sur les durées de publication et de conservation des données
Le projet d’article R.1453-7 du code de la santé publique prévoit que les informations sont mises à la disposition du public pendant une durée de cinq ans à compter de leur mise en ligne et qu’elles sont conservées, par les organismes responsables de la diffusion des données à caractère personnel, pendant dix ans.
La Commission estime que ces durées ne sont pas excessives au regard de la finalité poursuivie. Elle rappelle que cette conservation doit s’opérer dans des conditions telles qu’elles résultent des articles 34 et 36 relatifs à la sécurité et à l’archivage de la loi du 6 janvier 1978 modifiée.
Les autres points du projet de décret, notamment l’extension du dispositif anti-cadeaux aux étudiants, n’appellent pas en l’état et au regard de la loi du 6 janvier 1978 modifiée, d’autres observations de la Commission.
La Présidente
Isabelle FALQUE-PIERROTIN

1. CJUE, grande chambre, 9 novembre 2010, affaires jointes C-92/09 et C-93/09 Volker und Markus Schecke GbR et Hartmut Eifert.