La Commission Nationale de l'Informatique et des Libertés,    Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;    Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment ses articles 15, 19, 29, 34 et 40 ;    Vu l'article 378 du Code pénal relatif au secret professionnel ;    Vu la loi n° 70-1318 du 31 décembre 1970 portant réforme hospitalière ;    Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 ;    Vu la délibération n° 85-07 du 19 février 1985 portant adoption d'une recommandation sur les traitements automatisés d'informations nominatives utilisés à des fins de recherche médicale ;    Vu la délibération n° 85-39 du 10 septembre 1985 portant avis sur l'informatisation des résumés de sortie standardisés élaborés dans le cadre du projet de médicalisation d'un système d'information (PMSI) ;    Vu les projets de décisions présentés par le Conseil d'Administration du Centre Hospitalier Régional de Metz ;    Après avoir entendu Madame Louise CADOUX, en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant que le Centre Hospitalier Régional de Metz met en oeuvre, conformément aux spécifications d'un système d'information dénommé SYMPHONIE, quatre applications spécifiques destinées à faciliter la gestion administrative et médicale des malades et qui concernent :    - la gestion administrative des malades (Eurydice) ;    - la gestion des unités de soins (Hermione) ;    - la gestion des unités médico-techniques (Galatée) ;    - la gestion du dossier médical et des secrétariats médicaux (Prométhée) ;
Sur le respect de la confidentialité des données nominatives :     Considérant que ces applications utilisent un système conversationnel de base de données, consultable et mis à jour par les services administratifs et médicaux du Centre Hospitalier Régional de Metz, selon leurs attributions respectives ;    Considérant que la gestion de ce système est assurée par un réseau de mini-ordinateurs reliés par ligne spécialisée à des terminaux classiques et pour l'application HERMIONE, par réseau comuté interne à des postes minitels ;    Considérant que cette configuration technique, impose l'adoption de dispositifs particuliers de sécurité afin de garantir la confidentialité des données et limiter les risques de divulgation ;    Considérant que pour ce qui concerne l'application HERMIONE son accès est protégé par un dispositif d'identification des minitels assuré par l'autocommutateur du centre hospitalier régional ;    Considérant que le dispositif envisagé a un caractère transitoire et que le directeur général du centre hospitalier régional de Metz a proposé par lettre du 1er avril 1987 de mettre en oeuvre dans un délai qui ne saurait excéder un an un système de sécurité reposant sur l'utilisation de cartes à microprocesseurs ;    Considérant que pour ce qui concerne les autres applications du système, leur accès est contrôlé par une procédure d'identification et d'authentification individuelles des utilisateurs ;
Sur la nature des informations enregistrées :     Considérant que ce système traite, d'une part les données d'identification nécessaires à l'accomplissement des procédures d'admission, et de prise en charge des frais de séjour ou de consultation et d'autre part, les renseignements médicaux indispensables aux activités de soins ;    Considérant que parmi les informations enregistrées dans les applications EURYDICE et PROMETHEE, figure la nationalité ; qu'il y a lieu de n'autoriser la collecte de cette information que pour permettre le remboursement des frais d'hospitalisation et de consultation ;    Considérant que la religion des patients ne sera enregistrée dans l'application EURYDICE qu'après accord écrit des intéressés ;
Sur l'information des patients :     Considérant que le droit d'accès constitue l'une des garanties essentielles de la protection des malades, qu'en conséquence, l'existence et les modalités d'exercice de ce droit, telles que prévues aux articles 34 et 40 de la loi du 6 janvier 1978, doivent être portées expressément à la connaissance de ces derniers ou de leurs représentants légaux ;    Prenant acte des mesures d'information envisagées à cet effet ;
Emet un avis favorable à la mise en oeuvre par le centre hospitalier régional de Metz des trois applications EURYDICE, GALATEE et PROMETHEE, étant entendu que les centres hospitaliers qui adopteront au moins une de ces applications, devront présenter à la Commission, une demande d'avis allégée de référence à cette application, accompagnée d'un projet d'acte réglementaire et d'un engagement de conformité y compris sur les mesures de sécurité, cosigné du directeur de l'hôpital et du médecin désigné par ses pairs pour être garant de la confidentialité des données médicales traitées ;    Emet à titre provisoire et pour une durée d'un an à compter de la notification de la présente délibération, un avis favorable à la mise en oeuvre de l'application HERMIONE et demande à être saisie dans ce délai du dispositif de sécurité reposant sur l'utilisation de cartes à microprocesseur.     Le Président : Jacques FAUVET