La Commission nationale de l’informatique et des libertés,
Saisie par le ministère des affaires sociales et de la santé d’une demande d’avis concernant un projet d’arrêté relatif au recueil et au traitement des données d’activité médicale produites par les établissements de santé publics ou privés ayant une activité de médecine d’urgence et à la transmission d’informations issues de ce traitement dans les conditions définies à l’article L.6113-8 du code de la santé publique et dans un but de veille et de sécurité sanitaires ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique et notamment ses articles L. 1112-1, L.1413-2, L. 6112-1, L. 6113-7, L. 6113-8, R. 4127-1 à R. 4127-364 et R. 6113-11 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-2°-d) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 février 2008 relatif au recueil et au traitement des données d'activité médicale et des données de facturation correspondantes produites par les établissements de santé publics ou privés ayant une activité en médecine, chirurgie, obstétrique et odontologie et à la transmission d'informations issues de ce traitement ;
Vu la délibération n° 2008-051 du 21 février 2008 portant avis de la Commission nationale de l’informatique et des libertés sur l’arrêté précité ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean Alexandre SILVY, commissaire du Gouvernement ;
Emet l’avis suivant :
La Commission a été saisie par la direction générale de l’offre de soins du ministère des affaires sociales et de la santé d’un projet d’arrêté relatif au recueil et au traitement des données d’activité médicale produites par les établissements de santé publics ou privés ayant une activité de médecine d’urgence et à la transmission d’informations issues de ce traitement dans les conditions définies à l’article L.6113-8 du code de la santé publique et dans un but de veille et de sécurité sanitaires.
Les résumés de passage aux urgences (RPU) sont actuellement produits et transmis à l’Institut national de veille sanitaire (InVs) sur la base du volontariat, par certains établissements de santé exerçant une activité de médecine d’urgence et ce à des fins de veille sanitaire. L’InVs assume la responsabilité de ce traitement de données à caractère personnel et dispose pour ce faire d’une autorisation délivrée par la Commission.
Un des objets du présent projet d’arrêté est de rendre cette transmission à l’InVs obligatoire.
Sur la finalité du traitement :
Le présent projet d’arrêté dit "RPU" a pour finalité de rendre obligatoire la production et la transmission des données d’activité médicale par les établissements de santé publics ou privés ayant une activité autorisée en médecine d’urgence. Ces données seront traitées afin de permettre la réalisation d’analyses qualitatives et de suivi de l’activité de médecine d’urgence ainsi que dans un objectif de veille et de surveillance sanitaires.
Seuls les établissements de santé publics ou privés autorisés à exercer des activités de médecine d’urgence qui impliquent une prise en charge des patients accueillis dans la structure des urgences ou dans la structure des urgences pédiatriques sont soumis à ce projet d’arrêté.
La Commission considère que la finalité poursuivie par le traitement de données à caractère personnel résultant de ce projet d’arrêté est déterminée, explicite et légitime.
Sur la nature des données traitées :
L’article 3 du projet d’arrêté précise la nature des données collectées et traitées.
Le modèle de "RPU" présenté en annexe prévoit la collecte et le traitement de données relatives à l’identification de l’établissement de santé soumis au présent projet de texte, d’une part, et de données concernant les patients, d’autre part.
Concernant les établissements de santé intéressés par le dispositif, le projet d’arrêté prévoit la collecte des numéros d’inscription au répertoire du fichier national des établissements sanitaires et sociaux (FINESS). Pour les établissements de santé multi-sites, un numéro FINESS géographique sera collecté afin de permettre une évaluation de l’activité des urgences de chaque site.
Concernant les patients, à l’instar des données enregistrées dans le programme de médicalisation des systèmes d’information (PMSI), et ce conformément aux dispositions de l’arrêté du 22 février 2008, à l’exception des données de facturation, seront collectées au sein des fichiers "RPU" les données suivantes :
le code postal de résidence,
le nom de la commune de résidence,
la date de naissance,

la date et l’heure d’entrée dans la structure des urgences,
le mode d’entrée (à savoir "mutation", c'est-à-dire que le patient viendrait d’une autre unité médicale du même établissement, ou "transfert" lorsque le patient viendrait d’un autre établissement de santé ou "domicile", cet item incluant notamment les entrées à partir de la voie publique) ;
la provenance (à savoir en provenance d’une unité de soins de courte durée, d’une unité de soins de suite ou de réadaptation, d’une unité de soins de longue durée, d’une unité de psychiatre, ou de son domicile) ;
le mode de transport (à savoir "perso", "ambu", "VSAB" pour les véhicules de secours et d’aide aux blessés, "SMUR", "héli" ou "FO" pour les forces de l’ordre qu’il s’agisse de la police ou de la gendarmerie) ;
le mode de prise en charge durant le transport (à savoir "med" pour un transport médicalisé, "paramed" pour les transports para-médicalisés ou "aucun") ;
le motif du recours aux urgences ;
la ( est une codification évaluant l’état du patient aux urgences son niveau de gravité clinique ainsi que son pronostic médical) ;
le diagnostic principal et les diagnostics associés (grâce à l’utilisation des codes de la dixième classification internationale des maladies) ;
les actes réalisés aux urgences (en utilisant la classification commune des actes médicaux) ;
la date et l’heure de sortie de la structure des urgences ;
le mode de sortie (à savoir "mutation", "transfert", "domicile" ou "décès") ;
la destination (à savoir hospitalisation dans une des unités de soins de l’établissement ou d’un autre établissement, retour au domicile dans le cadre d’une hospitalisation à domicile, ou vers une structure d’hébergement médico-social) ;
et enfin des précisions sur l’orientation (telles que "HDT", hospitalisation sur la demande de tiers, ou "HO" hospitalisation d’office,…).
Pour l’ensemble des données collectées, un système de menu déroulant sera mis en place, à l’exception de la commune de résidence. Sur ce point, le ministère attirera l’attention des établissements de santé sur l’obligation de ne renseigner que cette donnée et non l’adresse complète des patients.
Ces données apparaissent adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires des données :
Les données collectées au sein des "RPU" seront adressées, sous format électronique et quotidiennement, par les établissements de santé soumis au projet d’arrêté à l’agence régionale de santé (ARS) dont dépend l’établissement intéressé. Par ailleurs, en cas de situation sanitaire exceptionnelle, plusieurs transmissions dans la même journée, selon une fréquence préalablement déterminée, peuvent être demandées par l’ARS.
Les ARS transmettront en outre à l’InVs, quotidiennement, l’ensemble des données collectées au sein des "RPU", présentées ci avant.
Les ARS transmettront enfin mensuellement à l’agence pour le traitement de l’information sur l’hospitalisation (ATIH) les fichiers "anonymisés". En application des dispositions des articles R. 6113-33 et suivants du code de la santé publique, l’ATIH a notamment pour missions de piloter, de mettre en œuvre et de rendre accessibles aux tiers les différents systèmes d’information permettant d’analyser les moyens et les activités des établissements de santé publics et privés sur la base des éléments qu’ils transmettent à l’Etat et aux ARS.
L’article 6-II du projet d’arrêté précise que les ARS ont la responsabilité de constituer des fichiers "anonymisés" à partir des RPU reçus des établissements. Pour ce faire, il est prévu, d’une part, la suppression de la donnée relative au nom de la commune de résidence du patient et, d’autre part, le remplacement des données relatives au code postal de résidence et à la date de naissance par le code géographique de résidence utilisé par l’ATIH en matière de PMSI et l’âge du patient à la date de passage aux urgences. Le code géographique de résidence précité sera identique au code postal pour les communes de plus de 1000 habitants, en revanche pour les communes comptant moins de 1000 habitants sera utilisé un code géographique commun à plusieurs d’entre elles.
Les données relatives aux dates et heures d’entrée et de sortie des urgences sont strictement nécessaires au regard de la finalité poursuivie par le traitement "RPU". La collecte, le traitement et la transmission de ces données sont nécessaires à la réalisation d’analyses qualitatives et de suivi de l’activité de médecine d’urgence ainsi que dans un objectif de veille et de surveillance sanitaires.
Par ailleurs et dès lors que l’établissement de santé sera identifié au sein des RPU, les fichiers transmis à l’ATIH ne peuvent être véritablement qualifiés d’anonymes, mais sont seulement moins identifiants que ceux reçus par l’InVs et les ARS.
L’article 4-I du projet d’arrêté rappelle les obligations pesant sur les responsables de traitements donnant lieu à la production des "RPU" en application des dispositions de la loi du 6 janvier 1978 modifiée. Par ailleurs, en cas de réutilisation des données issues des "RPU" par les établissements de santé producteurs de données et les ARS, le projet de texte prévoit qu’ils devront déclarer préalablement leur traitement de données à caractère personnel auprès de la Commission.
Sur la durée de conservation :
Le projet d’arrêté est silencieux sur les durées de conservation des données, que cela concerne les données "brutes" produites par les établissements de santé ou les données "anonymisées" transmises par les ARS.
La Commission prend néanmoins acte qu’à sa demande, est ajouté au sein de l’alinéa I de l’article 4 du projet d’arrêté que "
les établissements de santé ou ARS souhaitant traiter, à leur niveau respectif, les données issues des RPU doivent faire une déclaration en ce sens auprès de la CNIL"
Sur les droits des personnes :
L’article 4-II du projet d’arrêté précise que les établissements prennent toutes les dispositions utiles afin de permettre aux patients d’exercer auprès du médecin responsable de la structure d’urgence leurs droits d’accès et de rectification, tels que prévus au chapitre V de la loi du 6 janvier 1978 modifiée.
Les autres points du projet d’arrêté n’appellent pas, en l’état et au regard de la loi du 6 janvier 1978 modifiée, d’autres observations de la Commission.
La Présidente
Isabelle FALQUE-PIERROTIN