La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 90-527 du 27 juin 1990 relative aux droits et à la protection des personnes hospitalisées en raison de troubles mentaux et à leurs conditions d'hospitalisation ;
Vu le Code de la Santé Publique, le titre IV du Livre III ;
Vu le nouveau Code Pénal, notamment son article 122-1 ;
Vu la délibération n° 92-014 du 21 janvier 1992 portant avis sur le projet d'arrêté présenté par le Ministère des Affaires Sociales et de l'Intégration concernant un modèle-type relatif à la gestion automatisée du suivi des personnes hospitalisées sans leur consentement en raison de troubles mentaux et au secrétariat des commissions départementales des hospitalisations psychiatriques (application GEPHOSC) ;
Vu le projet d'arrêté présenté par le Ministère des Affaires Sociales, de la Santé et de la Ville ;
Après avoir entendu Monsieur Jean-Pierre MICHEL, Commissaire, en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que la Commission est saisie par le Ministère des Affaires Sociales, de la Santé et de la Ville d'un projet d'arrêté concernant un modèle-type relatif à l'informatisation du suivi des personnes hospitalisées sans leur consentement en raison de troubles mentaux et de la gestion du secrétariat des commissions départementales des hospitalisations psychiatriques instituées par la loi n° 90-527 du 27 juin 1990 ; que ce projet d'arrêté abroge et remplace l'arrêté ministériel du 26 février 1992 relatif au traitement informatisé GEPHOSC ayant la même finalité ;
- Sur les finalités du traitement
Considérant que le traitement permet :
- la saisie des données nécessaires pour l'admission d'un patient,
- la tenue d'un échéancier des certificats médicaux et des arrêtés préfectoraux, avec contrôle automatique des délais prescrits par la loi n° 90-527 du 27 juin 1990 susvisée,
- la gestion des sorties d'essais et des sorties définitives,
- la production automatisée des arrêtés préfectoraux,
- la production automatisée du courrier aux destinataires des informations prévues par la loi n° 90-527 du 27 juin 1990,
- une exploitation statistique, à la base du rapport annuel de la Commission départementale des hospitalisations psychiatriques, conformément à l'article L. 332-4 du code de la santé publique,
- l'aide à l'archivage des dossiers ;
Considérant que la finalité poursuivie par ce traitement est légitime ;
- Sur les catégories d'informations traitées
Considérant que les catégories d'informations nominatives enregistrées sont les suivantes :
- identité de la personne hospitalisée sans consentement (nom, prénom, date et lieu de naissance, profession, adresse),
- identité de la personne ayant demandé l'hospitalisation, en application de l'article L. 333 du code de la santé publique (nom, prénom, profession, adresse),
- identité des médecins auteurs des certificats prévus par la loi (nom, adresse professionnelle),
- informations en rapport avec la justice limitées à l'indication de la sortie de la personne hospitalisée, en application de l'article L. 348 pour les personnes relevant de l'article 122-1 du nouveau code pénal,
- informations en rapport avec la situation administrative des personnes hospitalisées (lieu d'hospitalisation, date des certificats médicaux, date des arrêtés préfectoraux d'hospitalisation d'office, date et mode de sortie)
Considérant que ces informations sont pertinentes, adéquates et non excessives au regard de la finalité du traitement ;
- Sur la durée de conservation des données
Considérant que les informations sont conservées pendant toute la durée de l'hospitalisation sans consentement et jusqu'à ce que la Commission des hospitalisations ait rendu son rapport ; que cette durée de conservation est conforme aux dispositions de la loi du 27 juin 1990 ;
- Sur les destinataires des informations
Considérant que les destinataires de ces informations sont, à raison de leurs attributions, le préfet du département, le procureur de la République près le tribunal de grande instance dans le ressort duquel se trouve le domicile de la personne hospitalisée, le procureur de la République près le tribunal de grande instance dans le ressort duquel est situé l'établissement et les membres de la Commission départementale des hospitalisations psychiatriques ; que par ailleurs, lorsque la personne sera hospitalisée en application des articles L 342 à L 348 du CSP dans le cadre d'une hospitalisation d'office, le maire du domicile ainsi que la famille de la personne hospitalisée sont informés de toute hospitalisation, de tout renouvellement et de toute sortie ;
- Sur le droit d'accès
Considérant que le droit d'accès et de rectification s'exerce auprès de la DDASS, conformément aux dispositions de l'article 34 de la loi du 6 janvier 1978 ; que toutefois l'accès sera sélectif en fonction des informations concernées, les patients hospitalisés, les personnes ayant demandé l'hospitalisation et les médecins auteurs des certificats médicaux ayant respectivement accès aux seules informations les concernant ;
Considérant qu'en application des dispositions de l'article 27 de la loi du 6 janvier 1978 et de l'article L. 326-3 nouveau du CSP qui indique que la personne hospitalisée sans son consentement "doit être informée dès l'admission et, par la suite, à sa demande de sa situation juridique et de ses droits", il est essentiel que les personnes hospitalisées sans y avoir consenti ainsi que le cas échéant leurs représentants légaux soient informés dès l'admission en établissement psychiatrique de l'existence de l'application "HOPSY" et du droit d'accès et de rectification audit traitement ;
- Sur les sécurités
Considérant que l'accès au traitement est protégé par des procédures de mots de passe individuels établies suivant les recommandations de la Commission
EMET un avis favorable au projet d'arrêté qui lui est présenté ;
PREND ACTE de ce que les DDASS qui se doteront de ce modèle-type devront adresser à la CNIL une déclaration simplifiée de référence à ce modèle, accompagnée d'un engagement de conformité et d'une annexe précisant les caractéristiques techniques locales du traitement et les mesures de sécurité adoptées.
Jacques FAUVET