La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et notamment ses articles 8-IV et 25 ;
Vu la demande d'autorisation présentée par l'association du réseau de prévention et de prise en charge de l'obésité en pédiatrie sur le grand Lyon (REPOP-GL) d'une plate-forme d'échange pour les professionnels de santé ;
Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire du Gouvernement adjoint, en ses observations.
Formule les observations suivantes :
L'association REPOP-GL a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la création et l'échange de fiches médicales, entre les professionnels de santé du réseau afin de permettre une meilleur prise en charge des enfants atteints d'obésité.
L'association REPOP-GL regroupe des professionnels de santé, hospitaliers et libéraux (médecins, psychologues, diététiciens, kinésithérapeutes), le service d'endocrinologie pédiatrique de l'hôpital Debrousse, des services de protection maternelle et infantile et de santé scolaire du Conseil Général du Rhône, les structures de prise en charge de l'obésité infantile dans la région Rhône Alpes. Ce réseau disposera d'une plate forme d'échanges informatisés de dossiers médicaux entre les professionnels de santé afin d'améliorer notamment la qualité des soins donnés à l'enfant en développant une meilleure coordination entre les intervenants. Le dossier des enfants concernés sera composé de sept fiches administrative, médicale, diététicien, psychologue, kinésithérapeute, PMI et prise en charge de groupe.
La Commission considère qu'il y a lieu de faire application des dispositions des articles 8-IV et 25 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l'intérêt public.
Le suivi de l'enfant sera assuré par un médecin traitant qui lui délivrera ainsi qu'à ses parents toutes les informations nécessaires sur les différentes options de la prise en charge en fonction de son âge et de sa corpulence.
Un document d'information présentant le réseau et ses engagements sera remis aux parents qui consentiront à l'adhésion de leur enfant au réseau par écrit. L'enfant peut, à tout moment, se retirer du réseau. Un dossier de suivi partagé sera accessible par des médecins et des professionnels de santé qui interviennent auprès de l'enfant. Une charte réseau sera remise à chaque professionnel de santé qui adhérera au réseau et la signera.
Des statistiques d'évaluation pourront être effectuées à partir de données préalablement anonymisées.
La Commission prend acte que le système d'information utilisera le réseau internet et sera hébergé dans les locaux du centre hospitalier universitaire de Grenoble (CHU). Les échanges de données bénéficieront d'un haut niveau de chiffrement. L'accès au réseau se fera par une carte à puce de type carte de professionnel de santé ou carte d'établissement ou à défaut, à titre transitoire, par un identifiant et un mot de passe personnel attribués dans des conditions strictes de confidentialité par le coordinateur du réseau.
Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du médecin membre du réseau REPOP GL désigné à cet effet ou auprès du coordinateur du réseau.  Une note d'information sera remise au patient en ce sens.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité du patient, son sexe, sa date de naissance, son adresse, son numéro de dossier, l'identité de ses représentants légaux, l'identité du médecin traitant et les informations médicales liées à la prise en charge de l'obésité pédiatrique.
Les destinataires des données seront l'ensemble des professionnels de santé adhérents au réseau et intervenant dans la prise en charge de l'enfant.
Autorise, dans ces conditions, l'Association REPOP-GL à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la création et l'échange sécurisé de fiches médicales patients entre les professionnels de santé du réseau afin d'améliorer la prise en charge des enfants atteints d'obésité infantile dans la région Rhône Alpes.
Le centre hospitalier universitaire de Grenoble devra, en sa qualité d'hébergeur de données de santé à caractère personnel, satisfaire aux conditions d'agrément telles qu'elles seront définies en application de l'article L. 1111-8 du code de la santé publique.
Le président, Alex TURK.