(Demande d’autorisation n° 1653314)
La Commission nationale de l'informatique et des libertés,
Saisie par le réseau Rhumatismes inflammatoires chroniques (RIC) du Nord-Pas-de-Calais d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un dossier médical informatisé et partagé ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6321-1, L. 1110-4 et L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le réseau Rhumatismes inflammatoires chroniques (RIC) du Nord-Pas-de-Calais, association relevant du régime de la loi du 1er juillet 1901, œuvre pour l’amélioration de la prise en charge coordonnée et pluridisciplinaire des patients atteints de rhumatismes inflammatoires chroniques et en particulier de polyarthrites rhumatoïdes et de spondylarthropathies.
Sur la finalité
Le traitement projeté poursuit les finalités suivantes :
- permettre, par la mise en place d’un dossier médical partagé, un échange sécurisé d’informations médicales entre les acteurs de santé qui prennent en charge les patients atteints de rhumatismes inflammatoires chroniques dans la région Nord-Pas-de-Calais ;
- améliorer, ainsi, la qualité de la prise en charge, de la prise de décision et la coordination et la continuité des soins entre tous les intervenants dans le cadre du réseau ;
- gérer un annuaire de professionnels de santé partenaires du réseau, réservé à l’usage interne du réseau ;
- établir des statistiques à partir de données préalablement anonymisées afin de produire des indicateurs d’activité et épidémiologiques.
La Commission rappelle qu’il conviendra, le cas échéant, de se conformer aux dispositions des chapitres IX et X de la loi du 6 janvier 1978 modifiée.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Concernant les patients, les données suivantes sont traitées : des données d’identification (nom, prénom, date de naissance) ; situation familiale ; les coordonnées du patient, des proches pouvant être contactés, de la personne de confiance, du médecin traitant ; les données médicales et médico-sociales nécessaires à la prise en charge : état général du patient, antécédents médicaux, examens cliniques, douleurs, caractéristiques de la pathologie, traitements en cours ; les données relatives aux habitudes de vie et comportements utiles à la prise en charge.
Concernant les professionnels de santé chargés du suivi du patient, les données suivantes sont traitées : des données d’identification (nom, prénom), les coordonnées professionnelles et la spécialité.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des informations sont les suivants :
- les professionnels de santé (médecins spécialistes et généralistes) adhérant au réseau, dûment habilités et intervenant dans la prise en charge des patients ;
- l’équipe de coordination du réseau sous la responsabilité du médecin coordinateur.
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Le consentement exprès du patient à la constitution de son dossier médical partagé est recueilli préalablement à sa mise en œuvre.
A cet effet, le patient est informé des modalités de mise en œuvre du dossier médical partagé, ainsi que des droits qui lui sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’un document d’information et de recueil du consentement, et dans des conditions conformes aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
Le consentement du patient porte également sur l’hébergement de ses données auprès du Syndicat inter-hospitalier d'informatique hospitalière du Nord-Pas-de-Calais (SiiH 59/62), agréé pour l’hébergement de données de santé.
Le patient peut exercer ses droits d’accès et de rectification au dossier et à la liste des personnes qui y ont eu accès auprès du médecin coordinateur du réseau.
Le patient a la possibilité de quitter le réseau à tout moment sans conséquence sur la qualité des soins qui lui sont dispensés et en est clairement informé sur le support d’information précité.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Les habilitations d’accès au dossier médical partagé sont définies par le patient.
Le contrôle des accès aux dossiers des patients s’effectue par l’utilisation d’une carte de professionnel de santé.
L’ensemble des accès en création, modification, mise à jour et suppression sont tracés et conservés.
Le système d’information du réseau est hébergé par le SiiH 59/62 qui satisfait aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la période de prise en charge du patient. A l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur et pourront être conservées, sous une forme anonymisée, à des fins statistiques.
Autorise, conformément à la présente délibération, le réseau Rhumatismes inflammatoires chroniques (RIC) du Nord-Pas-de-Calais à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN