(Demande d’autorisation n° 1869256)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence régionale de santé Midi-Pyrénées d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre de l’expérimentation PAERPA (Personnes âgées en risque de perte d'autonomie) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'action sociale et des familles, notamment ses articles L. 232-2, L. 312-1 et L. 411-1 ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8 et L. 1431-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu la loi n° 2012-1404 du 17 décembre 2012 de financement de la sécurité sociale pour 2013, notamment son article 48 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2013-1090 du 2 décembre 2013 relatif à la transmission d'informations entre les professionnels participant à la prise en charge sanitaire, médico-sociale et sociale des personnes âgées en risque de perte d'autonomie ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Loïc HERVE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’Agence régionale de santé (ARS) Midi-Pyrénées.
En application de l’article L. 1431-1 du code de la santé publique, l’ARS a pour mission de définir et de mettre en œuvre un ensemble coordonné de programmes et d'actions concourant à la réalisation, à l'échelon régional et infrarégional :
des objectifs de la politique nationale de santé définie à l'article L. 1411-1 du code de la santé publique ;
des principes de l'action sociale et médico-sociale énoncés aux articles L. 116-1 et L. 116-2 du code de l'action sociale et des familles ;
des principes fondamentaux affirmés à l'article L. 111-2-1 du code de la sécurité sociale.
Sur la finalité
Le traitement projeté s’inscrit dans le cadre des expérimentations prévues par l’article 48 de la loi de financement de la sécurité sociale pour 2013 et du décret n° 2013-1090 du 2 décembre 2013 relatif à la transmission d'informations entre les professionnels participant à la prise en charge sanitaire, médico-sociale et sociale des personnes âgées en risque de perte d'autonomie (PAERPA).
La démarche PAERPA s’adresse aux personnes de 75 ans et plus dont l’autonomie est susceptible de se dégrader pour des raisons d’ordre médical ou social. Afin de maintenir la plus grande autonomie le plus longtemps possible dans le cadre de vie habituel de la personne, le dispositif PAERPA vise à améliorer la coordination entre les différentes prises en charge sanitaire, sociale et médico-sociale.
Le dispositif PAERPA est piloté au niveau national par le ministère des affaires sociales, de la santé et des droits des femmes. Le pilotage territorial est assuré par les agences régionales de santé des territoires pilotes retenus.
Le présent traitement porte sur la mise en œuvre de l’expérimentation PAERPA sur le territoire pilote des Hautes-Pyrénées par l’ARS Midi-Pyrénées.
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée (« loi Informatique et Libertés »).
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi Informatique et Libertés qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Conformément à l’article 3 du décret n° 2013-1090 du 2 décembre 2013, les données qui peuvent être traitées varient selon la qualité du professionnel concerné. Ainsi :
Les professionnels de santé mentionnés au 1° et au 3° de l'article 1er du décret peuvent échanger des informations relatives à une même personne prise en charge et être destinataires de la part des professionnels mentionnés aux 2°, 4° et 5° d'informations relatives à la santé, la situation sociale ou l'autonomie de cette personne, dès lors qu'elles sont strictement nécessaires pour déterminer la meilleure prise en charge possible ;
Les coordinateurs territoriaux d'appui et les assistants de service social mentionnés aux 2° et 5° de l'article 1er du décret peuvent être destinataires des catégories d'informations suivantes :
Les noms et coordonnées des professionnels membres de la coordination clinique de proximité en charge du suivi sanitaire de la personne âgée en risque de perte d'autonomie ;
Les besoins de cette personne, tels que recensés par les membres de la coordination clinique de proximité et de la coordination territoriale d'appui ainsi que l'existence en réponse à ces besoins : d'une éducation thérapeutique, de prestations médicales et paramédicales complémentaires conformes aux recommandations formulées par la Haute Autorité de santé, d'une expertise gériatrique, d'une expertise psychiatrique, de soins palliatifs ;
Les dates, durée et modalités des hospitalisations de la personne concernée durant la période du projet pilote ;
Les caractéristiques sociales de cette personne : nom de famille, prénoms et, le cas échéant, nom d'usage ; date et lieu de naissance ; adresse ; situation familiale ; profession antérieure de la personne et de son conjoint s'il y a lieu ; informations relatives à la protection sociale, aux prestations acquises et celles en cours de demande ; informations relatives au logement, à l'accessibilité de l'environnement et au cadre de vie ; identité et coordonnées de la personne de confiance lorsqu'une désignation a été formalisée ou du représentant légal ou de la personne âgée en risque de perte d'autonomie lorsque celle-ci est sous un régime de protection juridique ; identité et coordonnées de son entourage ;
Les professionnels des services de soins, d'aide et d'accompagnement à domicile mentionnés au 4° de l'article 1er du décret peuvent être destinataires :
d'informations figurant dans la grille nationale prévue à l'article L. 232-2 et à l'annexe 2-1 du code de l'action sociale et des familles ;
d'informations ou prescriptions nécessaires et pertinentes relatives notamment à l'hygiène de vie, aux habitudes alimentaires ou à l'environnement de vie de la personne.
Les noms et coordonnées des professionnels membres de la coordination clinique de proximité en charge du suivi sanitaire de la personne âgée en risque de perte d'autonomie ;
Les professionnels de santé mentionnés au 1° et au 3° de l'article 1er du décret peuvent échanger des informations relatives à une même personne prise en charge et être destinataires de la part des professionnels mentionnés aux 2°, 4° et 5° d'informations relatives à la santé, la situation sociale ou l'autonomie de cette personne, dès lors qu'elles sont strictement nécessaires pour déterminer la meilleure prise en charge possible ;
Les coordinateurs territoriaux d'appui et les assistants de service social mentionnés aux 2° et 5° de l'article 1er du décret peuvent être destinataires des catégories d'informations suivantes :
Les noms et coordonnées des professionnels membres de la coordination clinique de proximité en charge du suivi sanitaire de la personne âgée en risque de perte d'autonomie ;
Les besoins de cette personne, tels que recensés par les membres de la coordination clinique de proximité et de la coordination territoriale d'appui ainsi que l'existence en réponse à ces besoins : d'une éducation thérapeutique, de prestations médicales et paramédicales complémentaires conformes aux recommandations formulées par la Haute Autorité de santé, d'une expertise gériatrique, d'une expertise psychiatrique, de soins palliatifs ;
Les dates, durée et modalités des hospitalisations de la personne concernée durant la période du projet pilote ;
Les caractéristiques sociales de cette personne : nom de famille, prénoms et, le cas échéant, nom d'usage ; date et lieu de naissance ; adresse ; situation familiale ; profession antérieure de la personne et de son conjoint s'il y a lieu ; informations relatives à la protection sociale, aux prestations acquises et celles en cours de demande ; informations relatives au logement, à l'accessibilité de l'environnement et au cadre de vie ; identité et coordonnées de la personne de confiance lorsqu'une désignation a été formalisée ou du représentant légal ou de la personne âgée en risque de perte d'autonomie lorsque celle-ci est sous un régime de protection juridique ; identité et coordonnées de son entourage ;
Les professionnels des services de soins, d'aide et d'accompagnement à domicile mentionnés au 4° de l'article 1er du décret peuvent être destinataires :
d'informations figurant dans la grille nationale prévue à l'article L. 232-2 et à l'annexe 2-1 du code de l'action sociale et des familles ;
d'informations ou prescriptions nécessaires et pertinentes relatives notamment à l'hygiène de vie, aux habitudes alimentaires ou à l'environnement de vie de la personne.
Les besoins de cette personne, tels que recensés par les membres de la coordination clinique de proximité et de la coordination territoriale d'appui ainsi que l'existence en réponse à ces besoins : d'une éducation thérapeutique, de prestations médicales et paramédicales complémentaires conformes aux recommandations formulées par la Haute Autorité de santé, d'une expertise gériatrique, d'une expertise psychiatrique, de soins palliatifs ;
Les dates, durée et modalités des hospitalisations de la personne concernée durant la période du projet pilote ;
Les caractéristiques sociales de cette personne : nom de famille, prénoms et, le cas échéant, nom d'usage ; date et lieu de naissance ; adresse ; situation familiale ; profession antérieure de la personne et de son conjoint s'il y a lieu ; informations relatives à la protection sociale, aux prestations acquises et celles en cours de demande ; informations relatives au logement, à l'accessibilité de l'environnement et au cadre de vie ; identité et coordonnées de la personne de confiance lorsqu'une désignation a été formalisée ou du représentant légal ou de la personne âgée en risque de perte d'autonomie lorsque celle-ci est sous un régime de protection juridique ; identité et coordonnées de son entourage ;
d'informations figurant dans la grille nationale prévue à l'article L. 232-2 et à l'annexe 2-1 du code de l'action sociale et des familles ;
Les professionnels de santé mentionnés au 1° et au 3° de l'article 1er du décret peuvent échanger des informations relatives à une même personne prise en charge et être destinataires de la part des professionnels mentionnés aux 2°, 4° et 5° d'informations relatives à la santé, la situation sociale ou l'autonomie de cette personne, dès lors qu'elles sont strictement nécessaires pour déterminer la meilleure prise en charge possible ;
Les coordinateurs territoriaux d'appui et les assistants de service social mentionnés aux 2° et 5° de l'article 1er du décret peuvent être destinataires des catégories d'informations suivantes :
Les noms et coordonnées des professionnels membres de la coordination clinique de proximité en charge du suivi sanitaire de la personne âgée en risque de perte d'autonomie ;
Les besoins de cette personne, tels que recensés par les membres de la coordination clinique de proximité et de la coordination territoriale d'appui ainsi que l'existence en réponse à ces besoins : d'une éducation thérapeutique, de prestations médicales et paramédicales complémentaires conformes aux recommandations formulées par la Haute Autorité de santé, d'une expertise gériatrique, d'une expertise psychiatrique, de soins palliatifs ;
Les dates, durée et modalités des hospitalisations de la personne concernée durant la période du projet pilote ;
Les caractéristiques sociales de cette personne : nom de famille, prénoms et, le cas échéant, nom d'usage ; date et lieu de naissance ; adresse ; situation familiale ; profession antérieure de la personne et de son conjoint s'il y a lieu ; informations relatives à la protection sociale, aux prestations acquises et celles en cours de demande ; informations relatives au logement, à l'accessibilité de l'environnement et au cadre de vie ; identité et coordonnées de la personne de confiance lorsqu'une désignation a été formalisée ou du représentant légal ou de la personne âgée en risque de perte d'autonomie lorsque celle-ci est sous un régime de protection juridique ; identité et coordonnées de son entourage ;
Les professionnels des services de soins, d'aide et d'accompagnement à domicile mentionnés au 4° de l'article 1er du décret peuvent être destinataires :
d'informations figurant dans la grille nationale prévue à l'article L. 232-2 et à l'annexe 2-1 du code de l'action sociale et des familles ;
d'informations ou prescriptions nécessaires et pertinentes relatives notamment à l'hygiène de vie, aux habitudes alimentaires ou à l'environnement de vie de la personne.
d'informations ou prescriptions nécessaires et pertinentes relatives notamment à l'hygiène de vie, aux habitudes alimentaires ou à l'environnement de vie de la personne.
La Commission estime que les données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément à l’article 6-3° de la loi Informatique et Libertés.
Sur les destinataires
Conformément à l’article 1er du décret n° 2013-1090 du 2 décembre 2013, les professionnels ou organismes suivants qui participent à la prise en charge ou assurent le suivi des patients sont destinataires des données :
Le médecin traitant de la personne ;
Les professionnels de santé composant la coordination clinique de proximité :
Le médecin traitant de la personne ;
Un ou plusieurs infirmiers ou tout auxiliaire médical mentionné dans le livre III de la quatrième partie du code de la santé publique et un pharmacien ;
Tout autre professionnel médical impliqué dans la prise en charge du patient ;
Les professionnels et organismes relevant du code de l'action sociale et des familles ou du code de la santé publique chargés de la coordination territoriale d'appui désignés par le directeur général de l'agence régionale de santé en vue de mettre en cohérence les approches sanitaires, médico-sociales et sociales sur le territoire pilote défini par arrêté du ministre en charge de la santé ;
Les équipes de soins des établissements de santé et les professionnels de santé des établissements sociaux et médico-sociaux ;
Les professionnels et organismes des services de soins, d'aide et d'accompagnement à domicile mentionnés au 6° du I de l'article L. 312-1 du code de l'action sociale et des familles ;
Les assistants de service social mentionnés à l'article L. 411-1 du code de l'action sociale et des familles.
Un ou plusieurs infirmiers ou tout auxiliaire médical mentionné dans le livre III de la quatrième partie du code de la santé publique et un pharmacien ;
Tout autre professionnel médical impliqué dans la prise en charge du patient ;
Les professionnels de santé composant la coordination clinique de proximité :
Le médecin traitant de la personne ;
Un ou plusieurs infirmiers ou tout auxiliaire médical mentionné dans le livre III de la quatrième partie du code de la santé publique et un pharmacien ;
Tout autre professionnel médical impliqué dans la prise en charge du patient ;
Les professionnels et organismes relevant du code de l'action sociale et des familles ou du code de la santé publique chargés de la coordination territoriale d'appui désignés par le directeur général de l'agence régionale de santé en vue de mettre en cohérence les approches sanitaires, médico-sociales et sociales sur le territoire pilote défini par arrêté du ministre en charge de la santé ;
Les équipes de soins des établissements de santé et les professionnels de santé des établissements sociaux et médico-sociaux ;
Les professionnels et organismes des services de soins, d'aide et d'accompagnement à domicile mentionnés au 6° du I de l'article L. 312-1 du code de l'action sociale et des familles ;
Les assistants de service social mentionnés à l'article L. 411-1 du code de l'action sociale et des familles.
Les professionnels de santé composant la coordination clinique de proximité :
Le médecin traitant de la personne ;
Un ou plusieurs infirmiers ou tout auxiliaire médical mentionné dans le livre III de la quatrième partie du code de la santé publique et un pharmacien ;
Tout autre professionnel médical impliqué dans la prise en charge du patient ;
Les professionnels et organismes relevant du code de l'action sociale et des familles ou du code de la santé publique chargés de la coordination territoriale d'appui désignés par le directeur général de l'agence régionale de santé en vue de mettre en cohérence les approches sanitaires, médico-sociales et sociales sur le territoire pilote défini par arrêté du ministre en charge de la santé ;
Les équipes de soins des établissements de santé et les professionnels de santé des établissements sociaux et médico-sociaux ;
Les professionnels et organismes des services de soins, d'aide et d'accompagnement à domicile mentionnés au 6° du I de l'article L. 312-1 du code de l'action sociale et des familles ;
Les assistants de service social mentionnés à l'article L. 411-1 du code de l'action sociale et des familles.
Les professionnels de santé composant la coordination clinique de proximité :
Le médecin traitant de la personne ;
Un ou plusieurs infirmiers ou tout auxiliaire médical mentionné dans le livre III de la quatrième partie du code de la santé publique et un pharmacien ;
Tout autre professionnel médical impliqué dans la prise en charge du patient ;
Les professionnels et organismes relevant du code de l'action sociale et des familles ou du code de la santé publique chargés de la coordination territoriale d'appui désignés par le directeur général de l'agence régionale de santé en vue de mettre en cohérence les approches sanitaires, médico-sociales et sociales sur le territoire pilote défini par arrêté du ministre en charge de la santé ;
Les équipes de soins des établissements de santé et les professionnels de santé des établissements sociaux et médico-sociaux ;
Les professionnels et organismes des services de soins, d'aide et d'accompagnement à domicile mentionnés au 6° du I de l'article L. 312-1 du code de l'action sociale et des familles ;
Les assistants de service social mentionnés à l'article L. 411-1 du code de l'action sociale et des familles.
Conformément à l’article 2 du décret n° 2013-1090 du 2 décembre 2013, les professionnels précités doivent avoir signé la charte arrêtée par le ministre en charge de la santé précisant les principes éthiques, déontologiques et de confidentialité afférents à la prise en charge des personnes âgées en risque de perte d'autonomie.
Les professionnels de santé composant la coordination clinique de proximité :
Le médecin traitant de la personne ;
Un ou plusieurs infirmiers ou tout auxiliaire médical mentionné dans le livre III de la quatrième partie du code de la santé publique et un pharmacien ;
Tout autre professionnel médical impliqué dans la prise en charge du patient ;
Les professionnels et organismes relevant du code de l'action sociale et des familles ou du code de la santé publique chargés de la coordination territoriale d'appui désignés par le directeur général de l'agence régionale de santé en vue de mettre en cohérence les approches sanitaires, médico-sociales et sociales sur le territoire pilote défini par arrêté du ministre en charge de la santé ;
Les équipes de soins des établissements de santé et les professionnels de santé des établissements sociaux et médico-sociaux ;
Les professionnels et organismes des services de soins, d'aide et d'accompagnement à domicile mentionnés au 6° du I de l'article L. 312-1 du code de l'action sociale et des familles ;
Les assistants de service social mentionnés à l'article L. 411-1 du code de l'action sociale et des familles.
Cette liste des destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
La Commission prend acte de ce que le consentement exprès et éclairé de la personne âgée en risque de perte d'autonomie, de son représentant légal ou de la personne de confiance est recueilli préalablement à son inclusion dans le dispositif PAERPA.
Conformément à l’article 4 du décret n° 2013-1090 du 2 décembre 2013, le consentement peut être recueilli par tout moyen, y compris sous forme dématérialisée.
Ce consentement porte sur :
La Commission prend également acte de ce que le caractère facultatif du dispositif PAERPA est rappelé sur le document d’information remis aux personnes préalablement au recueil de leur consentement, ainsi que la possibilité d’en sortir à tout moment. Elle relève toutefois que les droits d’accès, de rectification et d’opposition, prévus par les articles 38 à 40 de la loi Informatique et Libertés, ne sont pas expressément rappelés dans le document d’information précité. La Commission demande que la note d’information soit complétée afin de préciser l’existence de ces droits et leurs modalités d’exercice.
La liste nominative des professionnels de santé membres de la coordination clinique de proximité susceptibles d'être destinataires des informations prévues par le 1° de l'article 3 du décret ;
La liste nominative des professionnels et organismes chargés de la coordination territoriale d'appui et des assistants de service social susceptibles d'être destinataires des informations prévues au 2° de l'article 3 du décret ;
La liste nominative des professionnels et organismes apportant des services de soins, d'aide et d'accompagnement à domicile mentionnés au 4° de l'article 1er du décret susceptibles d'être destinataires des informations prévues au 3° de l'article 3 du décret ;
L'ensemble des informations mentionnées à l'article 3 du décret dont la personne autorise la transmission à un ou plusieurs professionnels ou organismes participant à sa prise en charge ou son suivi ;
L'hébergement des données de santé à caractère personnel auprès d'un hébergeur de données agréé conformément aux dispositions de l'article L. 1111-8 du code de la santé publique.
Sur les mesures de sécurité
Les habilitations d’accès aux données sont définies par le patient.
Le système d’information du dispositif PAERPA est hébergé par un prestataire qui satisfait aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique.
Conformément à l’article 5 du décret n° 2013-1090 du 2 décembre 2013, la transmission des informations par voie électronique est réalisée par messagerie sécurisée, dans des conditions permettant l'identification certaine de l'émetteur et du destinataire.
La Commission rappelle que l’échange et le partage des données doivent s’opérer dans des conditions conformes aux dispositions des articles L. 1110-4 et L. 1110-4-1 du code de la santé publique.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi Informatique et Libertés.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la période de prise en charge de la personne concernée et au maximum pendant la durée de l’expérimentation PAERPA.
A l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur et pourront être conservées, sous une forme anonymisée, à des fins statistiques.
Autorise, conformément à la présente délibération, l’Agence régionale de santé Midi-Pyrénées à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN