La Commission Nationale de l'Informatique et des Libertés ; Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment ses articles 15, 19, 29, 34 et 40 ; Vu l'article 378 du Code pénal relatif au secret professionnel ; Vu la loi n° 70-1318 du 31 décembre 1970 portant réforme hospitalière ; Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 ; Vu la délibération n° 85-07 du 19 février 1985 portant adoption d'une recommandation sur les traitements automatisés d'informations médicales nominatives utilisées à des fins de recherche médicale ; Vu la délibération n° 85-39 du 10 septembre 1985 portant avis sur l'informatisation des résumés de sortie standardisés élaborés dans le cadre du projet de médicalisation d'un système d'information (PMS.I) ; Vu le projet de décision présenté par le Directeur du centre hospitalier général d'Auch ; Après avoir entendu Monsieur Gérard JAQUET en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant que le traitement automatisé "GAMMA" auquel fait référence la demande d'avis présentée par le centre hospitalier général d'Auch, constitue l'une des premières applications locales d'un système global de gestion informatique dénommé "filière PROFILS" conçu et proposé par les centres régionaux d'informatique hospitalière de Toulouse et de Lyon, auprès des établissements hospitaliers de taille moyenne ; Considérant que le traitement "GAMMA" est destiné à améliorer la gestion administrative et médicale des malades par une simplification des formalités d'admission et d'accueil, une connaissance immédiate des renseignements administratifs utiles aux soignants et des antécédents médicaux des patients, la mise à disposition d'un outil d'information statistique utilisable par les gestionnaires hospitaliers en vue d'une meilleure connaissance de l'activité hospitalière ;
- Sur le respect de la confidentialité des données nominatives : Considérant que cette application utilise un système conversationnel de base de données, consultable et mis à jour par les services administratifs et médicaux selon leurs attributions respectives. Considérant que cette conception technique, dans la mesure où elle ne permet pas une séparation des données relatives à l'identité des personnes et des renseignements proprement médicaux, impose l'adoption de dispositifs particuliers de sécurité afin de garantir le respect du secret médical et de la vie privée des patients ; Considérant à cet effet, que l'accès aux traitements et aux informations nominatives est contrôlé par une procédure de badges magnétiques associés à des codes individuels et à des niveaux d'autorisation ; Considérant que cette procédure ne permet l'accès des données médicales nominatives qu'aux seuls services médicaux concernés ; Considérant que le projet d'acte réglementaire doit être modifié en son article 3, de façon à préciser explicitement que les données médicales nominatives sont destinées exclusivement aux médecins appelés à dispenser des soins aux malades sur lesquels ont été recueillies des informations ainsi qu'au médecin désigné par ses pairs pour garantir la confidentialité et l'anonymat des statistiques médicales produites à l'intention de l'administration de l'hôpital et du ministère ; Considérant qu'il est fait appel à un façonnier extérieur pour procéder à l'embossage et l'encodage des badges magnétiques ; Considérant qu'une clause sur les sécurités doit être incluse dans le contrat conclu avec ce façonnier de manière à lui rappeler ses obligations de secret ainsi que les responsabilités encourues en cas de divulgation des informations qui lui sont confiées ; Considérant que les badges magnétiques sont attribués par le département d'information médicale de l'hôpital ; qu'il importe de procéder au renouvellement régulier et au moins annuel de ces badges et des codes associés ; Considérant que le traitement GAMMA utilise des moyens informatiques reliés par réseau commuté au CRIH de Toulouse afin de lui transmettre les données administratives nécessaires au traitement de la facturation et de réaliser éventuellement des opérations ponctuelles de télémaintenance ; Considérant que ces liaisons ne peuvent être établies qu'à l'initiative du centre hospitalier d'Auch ; Rappelle que la transmission de données médicales nominatives par voie télématique comporte un risque majeur de divulgation ;
Considérant en conséquence que des mesures strictes de sécurité doivent être mises en place par le CRIH, afin de prévenir tout accès incontrôlé aux fichiers nominatifs du traitement GAMMA ; qu'il importe également de rappeler au personnel du centre hospitalier et du CRIH leurs obligations de secret ainsi que les dispositions de la loi du 6 janvier 1978 ; Considérant en outre, que des registres devront être établis sous les responsabilités respectives des directeurs du CRIH et du centre hospitalier, mentionnant les dates et natures détaillées des interventions de télémaintenance ainsi que les noms des intervenants.
- sur la nature des informations enregistrées : Considérant que cette base de données comprend d'une part le dossier "permanent" du patient, conservé pendant cinq ans après sa venue et composé de ses données d'identification, l'indication des débiteurs des frais de séjour, les renseignements médicaux de première urgence, la trace de ses séjours dans l'établissement, et d'autre part le dossier administratif de l'hospitalisé ou du consultant externe, conservé un an après la facturation et composé des données, permettant de gérer les procédures d'admission, de suivi des actes dispensés, de prise en charge et de facturation des frais de séjour ou de consultation ; Considérant que, parmi les informations administratives traitées, figurent l'indication des dates et lieux des funérailles et de l'office religieux des patients décédés à l'hôpital, enregistrées afin de répondre aux demandes d'information présentées à l'accueil ; Considérant cependant que, à l'exception des dates des funérailles, la collecte et l'enregistrement de ces informations ne sont pas pertinents eu égard à la finalité du traitement ; en demande en conséquence la suppression ; Considérant de même, que l'identité des patients décédés à l'hôpital ne peut être communiquée aux pompes funèbres que par l'intermédiaire des familles concernées ; - sur l'information des patients et personnels médicaux et paramédicaux : Considérant que le droit d'accès constitue l'une des garanties essentielles de la protection des malades, qu'en conséquence, l'existence et les modalités d'exercice de ce droit, telles que prévues aux articles 34 et 40 de la loi du 6 janvier 1978, doivent être portées expressément à la connaissance de ces derniers ou de leurs représentants légaux ; Considérant que les personnels médicaux et paramédicaux de l'hôpital doivent également être informés de l'existence et des conditions d'exercice de leur droit d'accès et de rectification ; Qu'en outre, il importe, conformément aux dispositions de l'article 3 de la loi du 6 janvier 1978, que les statistiques produites avec l'indication de l'unité et de la discipline médicale concernées soient, communiquées systématiquement aux médecins responsables de ces unités afin qu'ils puissent les contester le cas échéant.
Emet, sous les réserves précitées un avis favorable à la mise en oeuvre par le centre hospitalier d'Auch du traitement GAMMA, étant entendu que les centres hospitaliers qui adopteront ce système devront présenter à la Commission, une demande d'avis allégée de référence audit traitement, accompagnée d'un projet d'acte réglementaire et d'un engagement de conformité y compris sur les mesures de sécurité, cosigné du directeur de l'hôpital et du médecin désigné par ses pairs pour être garant de la confidentialité des données médicales traitées ; Demande à être saisie d'une nouvelle demande d'avis en cas d'extension de la finalité du traitement. Le Président, Jacques FAUVET.
MODIFICATIONS A APPORTER AU PROJET DE DECISION DU DIRECTEUR DU CENTRE HOSPITALIER GENERAL D'AUCH CONCERNANT LE TRAITEMENT GAMMA Suggestions de rédaction - Article 1er : Il est créé au Centre hospitalier général d'Auch un traitement automatisé d'informations nominatives dénommé GAMMA (filière PROFILS) dont l'objet est d'assurer la gestion administrative et médicale des malades (hospitalisés, externes). Article 3 Ajouter : Les données médicales nominatives sont destinées exclusivement aux médecins appelés à dispenser des soins aux malades sur lesquels ont été recueilli des informations ainsi qu'au médecin désigné par ses pairs pour garantir la confidentialité et l'anonymat des statistiques médicales produites à l'intention de l'administration de l'hôpital et du ministère ; - Pompes funèbres : identité du parent décédé (avec l'accord du parent le plus proche) Article 4 : Le droit d'accès prévu aux articles 34 et 40 de la loi n° 78-17 du 6 janvier 1978, s'exerce auprès du directeur du centre hospitalier d'Auch et du (ou des) médecins traitants hospitaliers.