La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée ;
Vu le décret n° 2006-6 du 4 janvier 2006 relatif à l'hébergement de données de santé à caractère personnel et modifiant le code de la santé publique ;
Vu la demande d'autorisation présentée par le Centre hospitalier universitaire de Grenoble, concernant la mise en place d'un traitement de données à caractère personnel ayant pour objet la mise en place d'un système d'information hospitalier au CHU de Grenoble. Ce système est destiné à permettre, au sein de l'établissement, l'accueil, la gestion et la prise en charge des patients ainsi que la gestion des professionnels de santé habilités à l'utiliser et à permettre la communication et l'échange de données vers et depuis la plate-forme de santé régionale Système d'Information Hospitalier de la région de Rhône Alpes (SISRA).
Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport, et Mme Pascale Compagnie commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Le traitement automatisé de données à caractère personnel envisagé, nommé PEPS-hébergement, s'inscrit dans le cadre du système d'échanges des systèmes d'information hospitaliers dans la région Rhône Alpes.
Il repose, d'une part, sur la mise en oeuvre d'un système d'information hospitalier, via PEPShébergement, destiné à permettre le recueil, la conservation et la recherche des informations administratives et médicales relatives aux patients au sein du CHU de Grenoble.  A cette fin, un numéro d'identification permanent local leur sera attribué lors de leur première venue dans l'hôpital permettant, à chaque venue, de retrouver les données qui les concernent.
D'autre part, dans le cadre de la plate forme régionale SISRA et avec l'accord des patients concernés, les données administratives seront envoyées vers le serveur télématique régional d'identité communautaire (STIC) qui attribue au patient concerné un numéro d'identification permanent régional, et les données médicales seront transmises vers le dossier patient partagé réparti (DPPR).
La mise en oeuvre des applications STIC et DPPR a fait déjà l'objet d'avis favorables de la CNIL.
La Commission considère qu'il y a lieu de faire application des dispositions des articles 8-IV et 25-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements de données de santé justifiés par l'intérêt public.
La Commission prend acte que des mesures de sécurité physique et logique sont prévues afin de restreindre l'accès des données aux personnes autorisées.
L'accès aux locaux informatiques du centre hospitalier universitaire de Grenoble où sera hébergé le système d'information ne pourra se faire, pour les personnes extérieures au service, que sous le contrôle des personnels habilités du service.
Des procédés techniques d'habilitation des personnels de santé seront prévus.
L'authentification forte de l'utilisateur du réseau sera effectuée par sa carte de professionnel de santé (CPS).  Les données seront cryptées à un haut niveau lors des échanges sur le réseau. Les personnels du service seront sensibilisés, par notes de service, aux questions de sécurité inhérentes à l'emploi de l'informatique et aux consignes à respecter en conséquence.
Les catégories de données à caractère personnel enregistrées seront l'identité et les coordonnées du patient, les numéros d'identification local et régional, les informations médicales relatives au patient nécessaires à sa prise en charge.
Les destinataires des données seront, dans la mesure de l'exercice de leur mission et en fonction des habilitations de chacun,
- les professionnels de santé qui concourent à l'accueil ou aux soins d'un patient dans l'établissement ;
- les secrétaires médicales sous la responsabilité du chef de service et dans la mesure de leurs attributions ;
- les professionnels de santé en charge du patient dans la région, adhérents au DPPR avec l'autorisation du patient.
Le droit d'accès, défini au chapitre V de la loi du 6 janvier 1978, s'exercera auprès du médecin en charge du dossier du patient ou, sur demande écrite, auprès de la direction de l'établissement. L'information des patients sera assurée de façon orale et par voie d'affichage dans les locaux du CHU utilisateur de PEPS-hébergement et partenaires de SISRA.  Le consentement du patient sera requis avant toute transmission aux serveurs STIL et DPPR du réseau SISRA.
La durée de conservation des données sera de vingt ans à compter de la date du dernier séjour du patient dans l'établissement ou de la dernière consultation externe en son sein.
Le serveur PEPS-hébergement et sa base de données seront hébergés dans les locaux du centre hospitalier de Grenoble.  Celui-ci devra donc, en sa qualité d'hébergeur de données de santé à caractère personnel, satisfaire aux conditions d'agrément définies en application des articles L. 1111-8 et R. 111-9 et suivants du Code de la santé publique.
Autorise, dans ces conditions, le CHU de Grenoble à mettre en oeuvre le traitement de données à caractère personnel envisagé.
Le Président, Alex TURK.