La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis sur un projet de décret pris en application de l'article 52 de la loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la directive 2011/24/UE du Parlement européen et du Conseil du 9 mars 2011 relative à l'application des droits des patients en matière de soins de santé transfrontaliers, notamment en son article 14 relatif à la santé en ligne ;
Vu le code de la santé publique, notamment en ses articles L. 1111-14 à L. 1111-22 ;
Vu le code de la sécurité sociale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'avis du Groupe de l'article 29 des autorités de protection des données en date du 11 avril 2018 ;
Vu l'accord multilatéral intervenu entre les autorités nationales ou les responsables des points de contact nationaux pour la e-santé, signé le 10 février 2020 par l'Agence numérique en santé ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie par le ministère des solidarités et de la santé d’une demande d’avis sur un projet de décret pris en application de l’article 52 de la loi n° 2019-774 du 24 juillet 2019 relative à l’organisation et à la transformation du système de santé (ci-après le projet ).
L’article 52 introduit dans le code de la santé publique (CSP) l’article L. 1111-22 qui prévoit que
la collecte, l'échange ou le partage des données de santé à caractère personnel nécessaires à la prise en charge du patient à l'occasion de soins délivrés lors de sa présence sur le territoire d'un autre Etat membre de l'Union européenne peuvent être réalisés au moyen du dossier médical partagé rendu accessible aux professionnels intervenant dans le cadre de ces soins
Le projet de décret a donc pour objet de définir les conditions permettant l’échange de données de santé à caractère personnel, à partir du dossier médical partagé (DMP), entre la France et certains Etats membres de l’Union européenne, dans le cadre de la prise en charge d’un patient titulaire d’un DMP présente sur le territoire d’un de ces Etat membres, dont la liste sera fixée par arrêté.
Le cas d’usage retenu est celui de l’échange transfrontalier du résumé du dossier du patient, correspondant pour la France au volet de synthèse médicale intégré dans le DMP, avec les professionnels de santé installés dans un des Etats membres signataires d’un accord multilatéral encadrant ces échanges de données.
Sur les modalités d’accès de l’ANS aux données de santé
Le projet d’article D. 1111-46 du CSP prévoit que l’ANS accède aux données de santé à caractère personnel contenues dans le volet de synthèse médicale du DMP, pendant la durée nécessaire à leur traduction et mise en forme.
Le dossier précise que l’ANS, sur demande d’un point de contact européen et sous réserve du consentement recueilli auprès du patient français, récupère le volet de synthèse médicale issu de son DMP, le traduit en anglais et le met en forme si besoin, puis le transmet au point de contact de l’Etat européen. Ce dernier est en charge de communiquer ce document au professionnel de santé à l’origine de la demande, prenant en charge le patient français.
Le ministère a indiqué que les opérations de traduction et de mise en forme sont effectuées de façon automatique, sans intervention humaine,
notamment par codage des informations du volet de synthèse médicale
l’utilisation de terminologies de santé permettant d’assurer l’interopérabilité sémantique du document
Interrogé sur les garanties apportées quant à la confidentialité des données de santé à caractère personnel contenues dans le volet de synthèse médicale issu du DMP, le ministère a précisé que l’ANS n’accède pas au volet de synthèse médicale, ni à aucune donnée de santé du patient, l’ensemble des opérations de mise en forme et de traduction étant automatisé.
La Commission en prend acte et demande que le projet d’article D. 1111-46 soit reformulé de façon à lever toute ambiguïté quant à l’accès de l’ANS aux données de santé à caractère personnel de santé.
Sur les modalités d’accès du patient français au volet de synthèse médicale, dans sa version traduite
Le projet d’article D. 1111-50 du CSP renvoie aux modalités d’exercice des droits prévues pour le DMP. Il prévoit également que la consultation du volet de synthèse médicale par le professionnel de santé européen soit reportée dans le DMP, de façon à ce que son titulaire puisse disposer d’une visibilité des accès effectués.
La Commission prend acte de ce que le dossier transmis pas le ministère précise que, dans le cadre des traitements visés à l’article L. 1111-22 du CSP, les patients pourront exercer leurs droits :
s’agissant des traces des opérations effectuées au sein du NCPeH auprès de l’ANS ;
s’agissant des données contenues dans leur volet de synthèse médicale et transmises au professionnel de santé européen, auprès dudit professionnel.
Afin de faciliter l’exercice des droits, en particulier l’exercice du droit d’accès ou de rectification dans l’hypothèse d’une erreur de traduction, la Commission demande que la version traduite du volet de synthèse médicale figure dans le DMP de façon à éviter au titulaire du DMP d’avoir à effectuer cette demande auprès du professionnel de santé consulté dans un autre Etat membre. Elle demande par ailleurs que ces modalités soient décrites dans le projet.
Sur la réutilisation des données issues du volet de synthèse médicale
En principe, les données sont utilisées par le professionnel de santé dans le cadre de la prestation de soins de santé telle que définie par la directive 2011/24/UE :
des services de santé fournis par des professionnels de santé aux patients pour évaluer, maintenir ou rétablir leur état de santé, y compris la prescription, la délivrance et la fourniture de médicaments et de dispositifs médicaux
L’accord multilatéral signé par l’ANS le 11 février 2020 envisage néanmoins l’hypothèse d’une réutilisation des données des patients à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques dans le respect du RGPD et notamment de ses articles 6, 9 et 89.
La Commission rappelle à cet égard que s’agissant de données de santé à caractère personnel de patients français, la réutilisation des données issues du volet de synthèse médicale à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé sera soumise aux dispositions des articles 72 et suivants de la loi informatique et libertés, conformément à l’article 3-II de cette même loi.
Sur les mesures de sécurité
Le projet de décret prévoit que les modalités de transfert ainsi que le format des données transmises sont définis par un accord multilatéral signé par chaque autorité nationale ou responsable des points de contact nationaux en e-santé. La Commission relève cependant que cet accord ne mentionne que des exigences de sécurité générales et applicables à l’ensemble des traitements des données à caractère personnel. Les données de santé sont particulièrement sensibles, doivent bénéficier d’une protection particulière.
A cet égard, le projet d’article D. 1111-46 du CSP prévoit que les données sont hébergées
dans les conditions prévues aux articles L. 1111-8 et suivants et R. 1111-8 et suivants du code de la santé publique
Elle rappelle, en tout état de cause, que le traitement des données de santé à caractère personnel doit intervenir dans des conditions de sécurité au moins équivalentes à celles prévues par la législation nationale, afin de ne pas en abaisser le niveau de protection général.
La Commission relève que le traitement devra faire l’objet d’une analyse d’impact relative à la protection des données (AIPD) préalablement à toute mise en œuvre.
Le projet n’appelle pas d’autres observations de la Commission.
La Présidente
Marie-Laure DENIS