La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;
Vu la demande d'autorisation présentée par le réseau de l'association MGADDOC destiné à la mise en oeuvre d'un dossier informatisé médico-psycho-social afin de suivre les patients en difficulté avec des substances psycho-actives ;
Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport, et Mme Pascale Compagnie, Commissaire du Gouvernement en ses observations,
Formule les observations suivantes :
L'association MGADDOC, réseau de médecins du Loir et Cher, a pour objectif de favoriser l'adhésion aux soins de patients ayant des conduites addictives.  Elle a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité l'échange et le partage de fichiers administratifs, médicaux et sociaux afin de prendre en charge des patients présentant des difficultés avec les substances psycho-actives (tabac, alcool, drogues, médicaments de substitution) dans le département du Loir-et-Cher.
Les membres du réseau seront les médecins de l'association MGADDOC, les professionnels de santé du service d'addictologie du centre hospitalier de Blois, les professionnels des associations de suivi psycho-social du département de Loir-et-Cher.
La Commission considère qu'il y a lieu de faire application des dispositions des articles 8-IV et 25 de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements de données de santé justifiés par l'intérêt public.
Le Commission prend acte que le système d'information sera hébergé dans les locaux informatiques spécialisés du centre hospitalier universitaire de Besançon (CHU).  Les données seront cryptées lors des échanges sur le réseau.  Les médecins du réseau accéderont aux données via le réseau Intemet sécurisé en s'authentifiant par leur carte de professionnel de santé (CPS) ou par un mot de passe personnel délivré dans des conditions de stricte confidentialité.
Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 modifiée s'exercera auprès de chaque professionnel membre du réseau MGADDOC.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité du patient (nom, prénom, date de naissance, sexe, adresse), à sa situation médicale (diagnostic addictologique, antécédents, hospitalisations, prescriptions), à sa situation sociale (autonomie, ressources, couverture sociale) et éventuellement à son suivi psychologique.  Le consentement du patient sera requis avant la première transmission de données au réseau et sera renouvelé tous les ans.
La durée de conservation des données sera de vingt ans à compter du dernier contact avec le patient, conformément à la réglementation en vigueur.
Les destinataires des données seront, dans la limite de leurs attributions respectives, les professionnels de santé et les assistants sociaux membres du réseau.
Autorise, dans ces conditions, l'association MGADDOC à mettre en oeuvre un traitement de données médico-psycho-sociales à caractère personnel pour la prise en charge des patients en difficulté avec des substances psycho-actives.
Le centre hospitalier de Besançon devra, en sa qualité d'hébergeur de données de santé à caractère personnel, satisfaire aux conditions d'agrément telles qu'elles sont définies dans le décret n° 2006-6 du 4 janvier 2006 relatif à l'hébergement de données de santé à caractère personnel et modifiant le code de la santé publique.  En particulier, le contrôle d'accès biométrique aux locaux d'hébergement des données devra être autorisé par la Commission, conformément aux dispositions de l'article 25-8 de la loi du 6 janvier 1978 modifiée.
Le président, Alex TURK.