La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment ses articles 15, 19, 26 et 27 ;
Vu l'article 378 du code pénal ;
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi susvisée ;
Vu la délibération n° 85-07 du 19 février 1985 portant recommandation sur les traitements automatisés d'informations médicales nominatives utilisés à des fins de recherche médicale ;
Vu le projet d'acte réglementaire présenté par l'Institut Gustave Roussy de VILLEJUIF ;
Après avoir entendu Monsieur Gérard JAQUET en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que l'Institut Gustave Roussy de VILLEJUIF a saisi la Commission d'une demande d'avis concernant un traitement dénommé SIMBAD dont la finalité principale est un système d'informations médicales et de bureautique appliqué au dossier du patient ;
Considérant que ce système permet d'assurer respectivement l'inscription médicale et l'identification du patient, la gestion des rendez-vous, la tenue d'un dossier médical, la gestion des lits, des blocs opératoires, la réalisation d'enregistrements médicaux, la réalisation d'études statistiques, soit sur la gestion globale de l'activité hospitalière (analyse de gestion), soit à des fins de recherche médicale ;
Considérant que l'application est mise en oeuvre à partir des terminaux reliés par un réseau privé à un ordinateur central ;
Considérant que l'accès à l'application est contrôlé par une procédure de mots de passe individuels déterminés par les utilisateurs ;
Considérant qu'il importe d'instituer un dispositif interdisant le recours à des mots de passe trop simples ou composés de caractères entièrement numériques ou alphabétiques ;
Considérant qu'un dispositif indique systématiquement aux utilisateurs les dates et heures de la dernière connexion sous le même mot de passe ;
Considérant que les patients doivent être informés lors de l'admission ou de la consultation, de la finalité et des conditions d'utilisation des différents traitements automatisés d'informations nominatives mis en oeuvre dans l'établissement, et notamment de l'utilisation de leurs données à des fins de recherche, des destinataires des informations, des conditions d'exercice de leur droit d'accès et de rectification, et qu'ils ont la possibilité de s'opposer, pour des raisons légitimes, à l'informatisation de leurs données sous forme nominative ;
Considérant qu'en application tant de l'article 378 du code pénal que des articles 26 et 27 de la loi du 6 janvier 1978, les patients doivent être informés de la transmission de leurs données à la Fédération Nationale des centres de lutte contre le cancer dans le cadre de l'enquête permanente cancer, ceci de façon à ce qu'ils puissent exprimer leur consentement libre et éclairé à cette communication d'informations ;
Rappelant que seules de nouvelles dispositions législatives pourraient prévoir une exception à cette obligation d'information, notamment dans les cas où les patients sont tenus, conformément à l'article 42 du code de déontologie médicale, dans l'ignorance de leur état ;
EMET un avis favorable à la mise en oeuvre de cette application sous réserve que soit institué un dispositif interdisant le recours à certains mots de passe trop simples, soit entièrement numériques ou alphabétiques.
Le Président, Jacques FAUVET.