La Commission nationale de l’informatique et des libertés,
Saisie par le ministère du travail, de l’emploi et de la santé d’une demande d’avis portant sur un projet d’arrêté relatif à la carte individuelle de suivi médical et aux informations individuelles de dosimétrie des travailleurs exposés aux rayonnements ionisants ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code du travail, notamment ses articles R. 4451-75 et R. 4451-91 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11 2° d) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2004-1489 du 30 décembre 2004 autorisant l'utilisation par l'Institut de radioprotection et de sûreté nucléaire du répertoire national d'identification des personnes physiques dans un traitement automatisé de données à caractère personnel relatives à la surveillance des travailleurs exposés aux rayonnements ionisants ;
Vu le décret n°2002-254 du 22 février 2002 relatif à l'Institut de radioprotection et de sûreté nucléaire ;
Vu l’arrêté du 30 décembre 2004 relatif à la carte individuelle de suivi médical et aux informations individuelles de dosimétrie des travailleurs exposés aux rayonnements ionisants ;
Vu la délibération n° 2004-057 du 24 juin 2004 portant avis sur un projet de décret en Conseil d'Etat autorisant l'Institut de radioprotection et de sûreté nucléaire (IRSN) à utiliser le répertoire national d'identification des personnes physiques dans un traitement automatisé d'informations nominatives relatif à la surveillance des travailleurs exposés aux rayonnements ionisants, un projet d'acte réglementaire portant mise en œuvre au sein de l'IRSN du traitement automatisé d'informations nominatives ayant pour finalité la surveillance de l'exposition aux rayonnements ionisants de certaines personnes exposées et un projet d'arrêté relatif à la carte de suivi médical et aux informations individuelles de dosimétrie ;
Après avoir entendu M. Jean MASSOT, commissaire, en son rapport et
Mme Catherine POZZO DI BORGO
Émet l'avis suivant :
La Commission a été saisie par le ministère du travail, de l’emploi et de la santé d’une demande d’avis portant sur un projet d’arrêté relatif à la carte individuelle de suivi médical et aux informations individuelles de dosimétrie des travailleurs exposés aux rayonnements ionisants.
L’article R. 4451-75 dispose que :
" Un arrêté conjoint des ministres chargés du travail et de l'agriculture, pris après avis de l'Autorité de sûreté nucléaire et de l'Institut de radioprotection et de sûreté nucléaire, fixe pour l'application des paragraphes 1 et 2 :
1° Les modalités et conditions de mise en œuvre du suivi dosimétrique individuel ;
2° Les délais, les fréquences et les moyens matériels mis en œuvre, relatifs à l'accès aux informations recueillies et à la transmission de celles-ci. "
La carte individuelle de suivi médical est remise à tout travailleur exposé à titre professionnel à des rayonnements ionisants. Conformément à l’article R. 4451-91 du code du travail, les données contenues dans cette carte sont transmises à l’Institut de radioprotection et de sûreté nucléaire (IRSN), établissement public industriel et commercial créé par l’article 5 de la loi n° 2001-398 du 9 mai 2001. L’IRSN, qui participe à la veille permanente en matière de radioprotection, a créé le système d’information de la surveillance de l’exposition aux rayonnements ionisants (SISERI), traitement qui centralise les informations individuelles de dosimétrie des travailleurs exposés aux rayonnements ionisants.
Le projet d’arrêté soumis à la Commission abroge l’arrêté du 30 décembre 2004 relatif à la carte individuelle de suivi médical et aux informations individuelles de dosimétrie des travailleurs exposés aux rayonnements ionisants examiné par la Commission le 24 juin 2004.
Sur la finalité du traitement
Le traitement a pour finalité la gestion et l’exploitation des données dosimétriques concernant les travailleurs exposés aux rayonnements ionisants.
Il permet, d’une part, de déterminer l’information dosimétrique individuelle des travailleurs exposés en liant le numéro d’enregistrement attribué par l’IRSN, l’entreprise et la dose reçue à une date donnée, et d’autre part, de centraliser les résultats des mesures individuelles de l’exposition des travailleurs et les données contenues dans la carte individuelle de suivi médical.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur les données traitées
L’arrêté du 30 décembre 2004 actuellement en vigueur prévoit le traitement des données suivantes :
le nom, le prénom, l’activité professionnelle et le numéro d’inscription du travailleur au répertoire national d’identification des personnes physiques ;
le numéro d’enregistrement attribué par l’IRSN ;
la désignation de l’établissement, de l’entreprise extérieure ou de l’entreprise de travail temporaire, notamment le nom et l’adresse ;
le nom, le prénom et l’adresse du médecin du travail dont relève le travailleur ;
l’indication des résultats de dosimétrie individuelle ;
le numéro d’inscription au répertoire national d’identification des personnes physiques.
Le projet d’arrêté modificatif prévoit l’enregistrement des données complémentaires suivantes :
le sexe, la date et le lieu de naissance du travailleur ;
le statut d’emploi (contrat à durée déterminée, contrat à durée indéterminée, contrat de travail temporaire et quotité de travail) ;
le secteur d’activité et le métier aussi précisément que possible et conformément aux nomenclatures prévues en annexe VI ;
le classement du travailleur prévu aux articlesR. 4451-44 et R. 4451-46 (catégorie A ou B en fonction des doses reçues) ;
le numéro SIRET de l’établissement auquel est rattaché le travailleur ;
la date du dernier examen médical prévu à l’article R. 4451-82 ;
le nom de la personne compétente en matière de radioprotection ;
L’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) par l’IRSN a été autorisée par le décret n° 2004-1489 du 30 décembre 2004 pris, après avis de la CNIL.
La Commission considère que les données précitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
En outre, l’article 9 du projet d’arrêté précise qu’à chaque examen médical périodique, le médecin du travail remet au travailleur un document contenant les informations suivantes figurant sur la carte individuelle de suivi médical éventuellement mises à jour :
le nom, le prénom, le sexe, la date et le lieu de naissance du travailleur ;
le numéro d’inscription du travailleur au répertoire national d’identification des personnes physiques ;
le classement du travailleur prévu aux articles R. 4451-44 et R. 4451-46 (catégorie A ou B en fonction des doses reçues) ;
le nom, le prénom et l’adresse professionnelle de l’employeur ou de son représentant légal ;
le numéro d’enregistrement attribué par SISERI.
Ces modifications n’appellent pas d’observations particulières de la Commission.
Sur les destinataires des données
Les articles 2, 4, 11 et 27 du projet d’arrêté prévoient que les données figurant sur la carte individuelle de suivi médical ne seront accessibles qu’aux personnes habilitées suivantes :
l’employeur, à l’exclusion de celles relevant de la compétence du médecin du travail ;
le médecin du travail dont relève le travailleur ;
l’organisme de dosimétrie agréé, à l’exception du statut de l’emploi et de la date du dernier examen médical prévu à l’article R. 4451-82 du code du travail ;
la personne compétente en matière de radioprotection désignée par l’employeur pour le suivi individuel ;
l’inspection du travail, les agents mentionnés à l’article R. 4451-129 du code du travail.
Les articles 21 et 27 du projet d’arrêté prévoient que les résultats de la dosimétrie opérationnelle ne seront accessibles qu’aux personnes habilitées suivantes :
le médecin du travail dont relève le travailleur ;
la personne compétente en matière de radioprotection, pendant 12 mois au plus ;
l’inspection du travail, les agents mentionnés à l’article R. 4451-129 du code du travail.
L’article 27 du projet d’arrêté précise que les résultats individuels de la dosimétrie interne, couverts par le secret professionnel, ne sont accessibles qu’au médecin du travail.
Les accès dans les conditions précitées n’appellent pas d’observations de la Commission.
Sur les modalités de circulation des données
Le projet d’arrêté précise les modalités de circulation des données comme suit :
les organismes de dosimétrie transmettent à SISERI les résultats individuels de la dosimétrie passive ou liée à la radioactivité naturelle, ainsi qu’au médecin du travail (art. 15) ;
lorsqu’un résultat individuel de la dosimétrie dépasse l’une des valeurs limites d’exposition visées à l’article R. 4451-77 du code du travail, l’organisme de dosimétrie informe immédiatement le médecin du travail concerné de ce dépassement et communique cette information à SISERI. Le médecin du travail informe également, conformément à la procédure prévue à l’article L. 4624-3 du code du travail, l’employeur de ce dépassement sans en communiquer le résultat (art. 19) ;
La personne compétente en radioprotection tient à disposition de l’employeur et du médecin du travail dont relève le travailleur tous les résultats. Elle leur communique ces résultats sans délai lorsqu’elle les considère comme anormaux (art. 24) ;
L’employeur préserve la confidentialité de l’ensemble des informations recueillies dans son établissement ou transmises au sens des articles 21 à 24 susvisés (art. 25) ;
Enfin, l’IRSN tient à la disposition des inspecteurs du travail, des inspecteurs de la radioprotection et des agents habilités l’ensemble des résultats des mesures individuelles de l’exposition des travailleurs aux rayons ionisants, et ce conformément à l’article R. 4451-125 du code du travail (art. 27).
La Commission estime que le projet d’arrêté ne devrait pas uniquement prévoir que l’employeur est tenu de préserver la confidentialité des informations recueillies. En effet, la préservation de la sécurité des données, conformément à l’article 34 de la loi du 6 janvier 1978 modifiée, impose notamment au responsable de traitement d’empêcher que les données soient déformées, endommagées, ou que des tiers non autorisés y aient accès. La Commission recommande que l’article 25 soit remplacé par le paragraphe suivant :
" L’employeur s’assure de la sécurité des données recueillies dans son établissement ou transmises au sens des articles 21 à 24 susvisés, conformément à l’article 34 de la loi du 6 janvier 1978 modifiée. ".
Sur les droits des personnes concernées
L’article 11-II du projet d’arrêté prévoit que
" l’employeur informe le travailleur concerné de la nature des informations enregistrées dans SISERI et communiquées aux organismes de dosimétrie susmentionnés, de leur finalité et de leur destination. A cet effet, il communique au travailleur les coordonnées des organismes de dosimétrie susmentionnées, y compris celles de SISERI. "
A cet égard, la Commission rappelle d’une part que l’information des personnes concernées doit être opérée au moyen une note qu’il appartient à chaque employeur de diffuser auprès de ses employés concernés, et d’autre part que cette information doit porter notamment sur la description du dispositif et être rédigée dans des termes conformes à l’article 32 de la loi du 6 janvier 1978 modifiée.
Le projet d’arrêté prévoit que l’IRSN organise le droit d’accès du travailleur aux informations individuelles le concernant.
L’article 17 du projet d’arrêté apporte les précisions suivantes :
" A la demande du travailleur les organismes de dosimétrie pour le suivi de l’exposition professionnelle à la radioactivité naturelle et les organismes de dosimétrie passive, communiquent par un moyen dématérialisé permettant de garantir la confidentialité des données ou lorsque cette communication n’est pas possible, sous pli confidentiel, à l’intéressé et au médecin qu’il a désigné, les résultats individuels de la dosimétrie le concernant "
" A la demande du travailleur le médecin du travail communique par un moyen permettant de garantir la confidentialité des données à l’intéressé et au médecin qu’il a désigné, les résultats individuels de la dosimétrie le concernant "
Ces précisions n’appellent pas d’observations particulières de la Commission.
L’article 17-III du projet d’arrêté prévoit par ailleurs qu’
" en cas de décès ou d’incapacité du travailleur, ses ayants droit peuvent demander aux organismes de dosimétrie ou au médecin du travail communication sous pli confidentiel des résultats individuels de la dosimétrie concernant le travailleur "
" sous les conditions prévues à l’article L. 1110-4 du code de la santé publique "
La Commission observe que le projet d’arrêté ne prévoit pas de droit de rectification et recommande que le projet d’arrêté soit complété en ce sens.
La Commission estime légitime d’écarter le droit d’opposition des personnes, afin de ne pas vider de sons sens le dispositif de surveillance sanitaire des travailleurs exposés à des rayonnements ionisants. La Commission prend acte de la volonté du ministère de compléter le projet d’arrêté par une disposition expresse en ce sens.
Sur la sécurité des données et la traçabilité des actions
L’article 27-II du projet d’arrêté prévoit que l’accès du médecin du travail et de la personne compétente en radioprotection aux informations relatives aux travailleurs se fait au moyen d’une clé délivrée par l’IRSN.
L’annexe V au projet d’arrêté prévoit que :
l’envoi d’informations par les organismes de dosimétrie ou les employeurs et la consultation des données dosimétriques sur SISERI par les personnes compétentes en radioprotection ou les médecins du travail n’est possible qu’après signature d’un protocole entre les organismes de dosimétrie ou les employeurs et SISERI ;
ce protocole repose sur la désignation par l’organisme de dosimétrie d’une ou de plusieurs personnes habilitées à se connecter à l’application. Il appartient également à l’employeur de désigner les personnes habilitées à se connecter à SISERI. Chacune de ces personnes se voit délivrer par SISERI un certificat électronique d’authentification et de chiffrement de données et un code d’accès confidentiel garantissant la confidentialité des envois et des consultations de données ;
les conditions de validité du certificat électronique et du code d’accès confidentiel sont définies par SISERI, sans autre précision.
La Commission rappelle que les moyens d’authentification doivent s’appuyer sur une politique de gestion des mots de passe rigoureuse, faisant notamment appel à l’utilisation d’un code de 8 caractères minimum, comportant 3 types de caractères (minuscules, majuscules, chiffres et caractères spéciaux).
La Commission recommande que l’annexe V du projet d’arrêté soit modifiée afin de substituer au terme " cryptage " celui de " chiffrement ".
La Commission estime, en outre, que le projet d’arrêté devrait être plus précis s’agissant des sécurités. En effet, les mesures de sécurité ne recouvrent pas uniquement la confidentialité des données, mais également leur intégrité ainsi que leur disponibilité. Elle recommande que les termes "
la confidentialité des données
la sécurité des données ainsi que leur confidentialité
La Commission rappelle, conformément à l’article 34 de la loi du 6 janvier 1978 modifiée, que l’IRSN est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. A cet égard, la Commission recommande de mettre en place des moyens de journalisation des accès et des actions effectuées par tous les intervenants sur les systèmes et les données de santé.
Sur la durée de conservation des données
A l’instar de l’arrêté en vigueur, le projet d’arrêté modificatif prévoit que l’employeur s’assure du respect des dispositions de la loi du 6 janvier 1978 susvisée, si la conservation des résultats individuels de la dosimétrie opérationnelle fait appel à un traitement automatisé de données. La Commission rappelle que les données traitées devront être supprimées à la fin de la durée de conservation telle qu’elle résulte de l’article 36 de la loi du 6 janvier 1978 modifiée.
En outre, les différents organismes chargés de mesurer la dose de rayonnement ionisant conservent les données un an après leur transmission à l’IRSN, celui-ci les conservant cinquante ans, conformément à l’article R. 4454-9 du code du travail.
La conservation des données dans les conditions précitées n’appelle pas d’observations de la Commission.
La Présidente
Isabelle FALQUE-PIERROTIN