La Commission nationale de l’informatique et des libertés,
Saisie pour avis par la ministre des solidarités et de la santé d’une demande d’avis portant sur un projet de décret relatif aux dispositifs d’appui à la coordination et aux dispositifs spécifiques régionaux ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 6327-1 et suivants, R. 1435-16 et suivants, R. 1527-1, R. 3224-2, R. 4031-2, R. 5124-69, R. 6122-32-1 et suivants ;
Vu le code de l’action sociale et des familles, notamment ses articles D. 146-29-2, D. 146-29-2, D. 312-155-0, R. 232-40 et R. 232-45 ;
Vu le code de la sécurité sociale, notamment ses articles R. 161-71 et R. 162-1-16 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Vu la loi n° 2019-774 du 24 juillet 2019 relative à l’organisation et à la transformation du système de santé ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés a été saisie, sur le fondement de l’article 8-I-4°-a) de la loi du 6 janvier 1978 modifiée, d’une demande d’avis portant sur un projet de décret relatif aux dispositifs d’appui à la coordination et aux dispositifs spécifiques régionaux.
Ce projet de décret est pris en application de l’article 23 de la loi n° 2019-774 du 24 juillet 2019 relative à l’organisation et à la transformation du système de santé (OTSS), qui prévoit l’unification des dispositifs d’appui à la coordination dans un délai de trois ans.
Les dispositifs d’appui à la coordination (DAC) intègrent les structures existantes suivantes : les réseaux de santé territoriaux, la méthode d'action pour l'intégration des services d'aide et de soins dans le champ de l'autonomie des personnes âgées (MAIA), les coordinations territoriales d’appui (CTA) du programme national personnes âgées en risque de perte d'autonomie (PAERPA), les plateformes territoriales d’appui (PTA) et les centres locaux d’information et de coordination (CLIC) sur décision du conseil départemental.
Les DAC ainsi créés ont vocation à s’articuler avec l’ensemble des démarches de coordination spécifiques du territoire, afin de constituer un appui aux professionnels et de permettre un accompagnement des personnes dans le cadre d’un parcours de santé dit complexe.
Les dispositifs spécifiques régionaux, créés par l’article L. 6327-6 du code de la santé publique, organisent un appui spécialisé dans les domaines de la cancérologie et de la périnatalité et ont vocation à remplacer les réseaux de santé régionaux dans ces mêmes domaines.
Le projet de décret dont la Commission est saisie vise à présenter les missions et fonctionnement des DAC et des dispositifs spécifiques régionaux (DSR).
La Commission relève que l’article 1

La Commission attire l’attention du ministère sur le fait que ces systèmes d’information uniques partagés constitueront vraisemblablement des traitements de données à caractère personnel au sens du règlement n° 2016/679, dit règlement général sur la protection des données, et de la loi du 6 janvier 1978 modifiée.
A ce titre, elle relève que le projet apporte peu de précisions concernant les finalités de ces traitements et leurs modalités de mise en œuvre (données traitées, destinataires, durées de conservation, droits des personnes, mesures de sécurité, etc.).
Néanmoins, la Commission prend acte de ce que le ministère a indiqué que des réflexions sont d’ores et déjà engagées par les ARS et les structures locales afin d’encadrer ces traitements, de délimiter les responsabilités des différents acteurs et de s’assurer de la conformité de ces dispositifs à la réglementation sur la protection des données personnelle. Le ministère a par ailleurs indiqué que ce travail serait notamment accompagné d’une animation nationale portée par la direction générale de l’offre de soins (DGOS) et l’agence du numérique en santé (ANS).
Sur l’information
la personne concernée est informée du recours au dispositif d’appui à la coordination conformément à l’article L. 1110-12 afin qu’elle puisse exercer son droit d’opposition
La Commission relève également que le projet d’article D. 6327-6, 2° du code de la santé publique prévoit que le dispositif spécifique régional assure la promotion et la lisibilité, y compris l’information des patients et des proches.
La Commission rappelle que l’information de l’ensemble des personnes concernées devra également porter sur les traitements de données à caractère personnel mis en œuvre dans le cadre des DAC et des DSR et s’effectuer en conformité avec les dispositions du règlement général sur la protection des données.
Concernant les données traitées et leurs destinataires
S’agissant des données de santé en particulier, il a été précisé qu’elles seraient conservées dans les outils des professionnels de santé de ville (logiciel de gestion de cabinet – LGC) en dehors des outils du DAC et que les données de synthèse seraient visualisées

La Commission s’interroge toutefois sur la nature des données qui figureront dans les services numériques de coordination des DAC (dossier de coordination, carnet de liaison) et sur l’articulation de l’utilisation de ces outils avec celle du DMP et de l’espace numérique en santé, notamment dans la mesure où les personnes concernées peuvent s’opposer à leur ouverture.
S’agissant du partage des données, le ministère des solidarités et de la santé a indiqué que le DAC fait partie de l’équipe de soins au sens de l’article L. 1110-4 du code de la santé publique, et à ce titre la Commission s’interroge sur les modalités d’accès aux données par les professionnels salariés du DAC, d’une part, et les professionnels de santé, d’autre part, dans le cadre de la prise en charge des personnes au parcours complexe.
La Commission relève en outre que le projet de décret prévoit un régime optionnel d’intégration d’un certain nombre de structures (hôpitaux des armées, CLIC, professionnels de santé libéraux, etc.) au DAC. Elle rappelle qu’une attention particulière devra être portée aux conditions dans lesquelles le dispositif pourra intégrer ces structures publiques et privées, notamment au regard des modalités de partage des données et de leur sécurité.
S’agissant des données transmises aux ARS aux fins d’évaluer les dispositifs d’appui à la coordination, la Commission rappelle que les traitements mis en œuvre dans ce cadre sont susceptibles de relever des dispositions des articles 66 et 72 et suivants de la loi du 6 janvier 1978 modifiée et devront, le cas échéant, faire l’objet de formalités préalables.
Sur les mesures de sécurité,
La Commission prend acte de l’engagement du ministère selon lequel les accès aux outils seront réalisés dans le respect de la PGSSI-S, avec une identification et une authentification forte des professionnels et que ces outils seront hébergés chez des opérateurs agréées HDS.
La Commission rappelle enfin, qu’il revient au responsable de traitement de garantir la sécurité des données à caractère personnel en répondant
aux exigences prévues par les articles 5-1- f et 32 du règlement général sur la protection des données, et que le respect de ces obligations impose une réévaluation régulière des risques pour les personnes concernées et une mise à jour régulière de ces mesures de sécurité.
Les autres dispositions du projet de décret n’appellent pas d’observation de la part de la Commission.
La Présidente
Marie-Laure DENIS