Saisie le 14 janvier 2005 par le ministre des solidarités, de la santé et de la famille la santé d'un projet de décret en Conseil d'Etat, pris en application des dispositions de l'article L1111-8 du code de la santé publique, relatif aux conditions d'agrément des hébergeurs de données de santé à caractère personnel ;
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés pris ensemble le décret n° 78-774 du 17 juillet 1978 ;
Vu le code de la santé publique, et notamment son article L. 1111-8 ;
Vu le code de la sécurité sociale, et notamment son article L. 161-36-1 ;
Vu la délibération n° 04-041 du 27 mai 2004 concernant un projet de décret en conseil d'Etat relatif aux conditions d'agrément des hébergeurs de données de santé à caractère personnel ;
Après avoir entendu M. François Bernard, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant
Le ministre des solidarités, de la santé et de la famille a saisi à nouveau la Commission nationale de l'informatique et des libertés du projet de décret en Conseil d'Etat relatif aux conditions d'agrément des hébergeurs de données de santé à caractère personnel prévu en application des dispositions de l'article L. 1111-8 du code de la santé publique.
Cet article est ainsi rédigé : "Les professionnels de santé ou les établissements de santé ou la personne concernée peuvent déposer des données de santé à caractère personnel, recueillies ou produites à l'occasion des activités de prévention, de diagnostic ou de soins, auprès de personnes physiques ou morales agréées à cet effet. Cet hébergement de données ne peut avoir lieu qu'avec le consentement exprès de la personne concernée.
Les traitements de données de santé à caractère personnel que nécessite l'hébergement doivent être réalisés dans le respect des dispositions de la loi du 6 janvier 1978.
Les conditions d'agrément des hébergeurs sont fixées par décret en Conseil d'Etat pris après avis de la CNIL et des conseils de l'ordre des professions de santé ainsi que du conseil des professions médicales".
Le projet de décret "mentionne les informations qui doivent être fournies à l'appui de la demande d'agrément, notamment les modèles de contrats prévus au deuxième alinéa et les dispositions prises pour garantir la sécurité des données traitées en application de l'article 29 de la loi n° 78-17 du 6 janvier 1978 précitée, en particulier les mécanismes de contrôle et de sécurité dans le domaine informatique ainsi que les procédures de contrôle interne.
Le projet de décret prévoit en particulier la création d'un comité d'agrément des hébergeurs de données de santé à caractère personnel, placé auprès du ministre de la santé, et ayant pour mission d'examiner et d'émettre un avis sur les demandes d'agrément.
La Commission rappelle que dans sa délibération n° 04-041 du 27 mai 2004, elle avait indiqué "qu'étant chargée de veiller au respect des dispositions de la loi du 6 janvier 1978 et, en particulier de l'article 29, il lui appartient de se prononcer sur les mesures prises pour garantir la confidentialité des données. Ces mesures doivent lui être soumises à l'occasion des formalités préalables, conformément à l'article 19 de la même loi. En outre, la Commission dispose en vertu des dispositions de l'article 21-3° de la loi de 1978 du pouvoir d'édicter des règlements types en matière de sécurité.
Dès lors, la Commission estime qu'il n'apparaît pas utile de créer une instance nouvelle mais qu'en revanche la mise en place d'un comité technique composé, notamment, d'experts spécialisés dans le domaine de la sécurité, serait de nature à lui apporter un concours utile".
La Commission constate que la nouvelle version du projet de décret qui lui est soumise se contente de modifier de façon partielle la composition du comité qui comprend sept membres, un seul membre restant désigné pour ses compétences en matière de sécurité.
La Commission rappelle que la mise en place d'un tel comité qui devra donner un avis, au regard des dispositions de la loi du 6 janvier 1978, sur les futurs hébergeurs de données de santé, appelés également depuis l'adoption de la loi du 13 août 2004 portant réforme de l'assurance maladie à héberger les dossiers médicaux personnels, n'est pas imposée par la loi.
La Commission constate en outre que, en adoptant par la loi du 13 août 2004 susvisée l'article L. 161-36-4 du code de la sécurité sociale, le législateur a entendu soumettre au contrôle de la CNIL l'ensemble des conditions d'application du dossier médical personnel qui comportent une référence explicite à l'activité d'hébergement des données de santé.
Elle considère donc que la mission confiée par le projet de décret au comité concernant la définition de la politique de confidentialité, le contrôle du respect des droits des personnes concernées et la possibilité de diligenter des contrôles chez des hébergeurs devrait être assumée par la CNIL et par elle seule.
Le président, Alex TURK.