Le bureau de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 et notamment ses articles 8-IV, 16 et 25 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations.
Vu la demande d'autorisation présentée par la direction de la santé de Polynésie française de mise en place d'un réseau de santé ;
Formule les observations suivantes :
La Commission est saisie par la direction de la santé de Polynésie française d'une demande d'autorisation ayant pour objet la mise en place d'un réseau de santé.
La création du réseau de santé informatisé polynésien s'inscrit dans le cadre des mesures prises par l'Assemblée de Polynésie française dans une délibération du 15 octobre 1998 pour prévenir l'augmentation des dépenses de santé. La mise en place de dossiers médicaux communicants se traduira par la création, sous l'autorité de la direction de la santé, d'une base centrale destinée à rassembler les données de suivi médical des patients jugées pertinentes pour la bonne prise en charge des patients dans le cadre du réseau généraliste des soins constitué par les professionnels de santé publics et privés volontaires pour y participer.
La Commission prend acte qu'un numéro d'identification propre au réseau sera attribué à chaque patient. Une fonction de serveur d'échanges de documents médicaux permettra le routage sécurisé des documents médicaux entre les professionnels de santé et l'alimentation du dossier communicant. Une fonction "références" permettra de mettre à disposition des professionnels de santé des documents informatifs, des guides de bonnes pratiques, des modèles de compte-rendu.
Une charte du patient sera remise individuellement et rappellera, notamment, l'ensemble des droits ouverts au titre de la loi du 6 janvier 1978 modifiée. Le consentement du patient sera requis pour que son dossier soit enregistré dans le réseau. Un mot de passe lui sera alors personnellement attribué. Le droit d'accès défini au chapitre V de la loi s'exercera auprès du professionnel de santé en contact direct avec le patient.
La consultation du dossier sera donc effectuée avec le consentement du patient soit en sa présence, par la remise de son mot de passe, soit indirectement en son absence si il a préalablement donné l'autorisation au professionnel de consulter son dossier par une procédure explicite.
Toutes les données figurant dans la base ainsi que celles appelées à circuler sur le réseau seront cryptées. Seuls les professionnels de santé habilités par la cellule du réseau de santé de la direction de la santé auront la possibilité d'accéder aux fonctionnalités du réseau. Chaque professionnel habilité recevra les certificats et les clés publiques et privées permettant l'accès au réseau et utilisés pour le cryptage et la signature des documents.
La société océanienne de services bancaires hébergera les serveurs du réseau dans une salle informatique spécialement équipée pour héberger les serveurs sensibles, les ordinateurs contenant les dossiers médicaux étant particulièrement affectés au réseau santé polynésien. En outre, l'ensemble des messages en attente de traitement et les champs contenant les données médicales seront cryptés selon un algorithme fort.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité du patient, son sexe, sa date de naissance, sa situation familiale, ses antécédents médicaux et l'ensemble des données de santé recueillies dans le cadre des soins qui lui seront prodigués et considérées comme nécessaires par le professionnel de santé.
Les informations seront conservées dans l'application tant que le patient adhérera au réseau. A l'issue de cette période, les données devront être archivées conformément à la réglementation en vigueur.
Les destinataires des données seront les professionnels de santé participant au réseau et les caisses d'assurance maladie obligatoire pour les données nécessaires à la prise en charge des patients.
Autorise dans ces conditions, la direction de la santé de Polynésie française à mettre en oeuvre un réseau de santé Polynésien afin de mieux assurer le suivi médical des patients, faciliter leur prise en charge par la caisse d'assurance maladie de Polynésie et participer aux actions de prévention et de veille sanitaire de la direction de la santé.
La cellule constituée au sein de la direction de la santé de Polynésie française pour gérer le réseau et la société océanienne de services bancaires devront, en leur qualité d'hébergeur de données de santé à caractère personnel, satisfaire aux conditions d'agrément telles qu'elles seront définies en application de l'article L. 1111-8 du code de la santé publique.
Le Président, Alex TURK.