La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu l'Ordonnance n° 96-345 du 24 avril 1996 relative à la maîtrise médicalisée des dépenses de soins ;
Vu le code de la sécurité sociale et, notamment ses articles L. 161-31, L. 161-33 et L. 161-34 ;
Vu le code de la santé publique et, notamment ses articles L. 359, L. 359-2, L. 361, L. 514, L. 580, L. 710-2, L. 710-16-1, L. 711 et L. 761-10 ;
Vu le code rural ;
Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application des chapitres Ier à IV et VII de la loi du 6 janvier 1978 ;
Vu le projet de décret en Conseil d'Etat présenté par le ministère de l'emploi et de la solidarité ;
Après avoir entendu Monsieur Jean-Pierre MICHEL en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que le Ministère de l'emploi et de la solidarité a saisi la Commission pour avis d'un projet de décret relatif à la carte de professionnel de santé ;
Considérant qu'aux termes de l'article L. 161-33 du code de la sécurité sociale, issu de l'ordonnance du 24 avril 1996, "dans le cas de transmission électronique par les professionnels, organismes ou établissements dispensant des actes ou prestations remboursables par l'assurance maladie, l'identification de l'émetteur, son authentification et la sécurisation des échanges sont assurées par une carte électronique individuelle, appelée carte de professionnel de santé" ; que le contenu, les modalités de délivrance et d'utilisation de cette carte sont fixées par décret en Conseil d'Etat après avis de la Commission Nationale de l'Informatique et des Libertés ;
Considérant que la carte de professionnel de santé permettra également d'accéder au réseau santé-social mis en place à l'initiative du Ministère de l'emploi et de la solidarité et en particulier aux différentes applications susceptibles de fonctionner sur ce réseau ;
Considérant que le projet de décret soumis à la C.N.I.L. a pour objet de préciser les finalités et les caractéristiques de la carte de professionnel de santé, d'établir une typologie des personnes susceptibles de recevoir la carte, de préciser les modalités de délivrance des cartes et les conditions dans lesquelles les titulaires des cartes pourront les utiliser ;
Sur les modalités d'utilisation de la carte et ses principales caractéristiques
Considérant qu'aux termes du projet de décret, la carte de professionnel de santé aura pour objet d'identifier et d'authentifier le titulaire de la carte, de générer la signature de documents et transactions électroniques, de contribuer à assurer la confidentialité des échanges électroniques, notamment lorsqu'ils concernent des données de santé à caractère personnel, et de permettre, pour les professionnels de santé autorisés, l'accès à tout ou partie du volet médical de la carte VITALE ,
Considérant que les droits reconnus au titulaire de la carte seront différenciés en fonction du profil professionnel de chacun et des applications concernées ; que la signature électronique telle que produite par la CPS doit être reconnue par les administrations de l'Etat et les organismes de sécurité sociale comme garantissant l'identité et la qualité du titulaire de la carte ainsi que l'intégrité du document signé qui devient opposable au signataire du document ;
Considérant qu'il ressort de l'article 3 du projet de décret, que dès lors que les établissements auraient décidé de sécuriser leurs applications au moyen de cartes électroniques, celles-ci devraient être conformes aux spécifications de la carte de professionnel de santé ; qu'une telle disposition qui aurait pour effet d'imposer aux établissements de santé un standard unique pour ce qui concerne la sécurisation à l'aide d'une carte électronique des applications informatiques appelle une réserve dans la mesure où d'autres solutions de sécurité par cartes électroniques tout aussi fiables peuvent exister ;
Sur le contenu de la carte de professionnel de santé
Considérant que le projet de décret définit les rubriques de la carte de professionnel de santé dont les spécifications détaillées devront être précisées par un arrêté qui sera soumis à la C.N.I.L., qu'ainsi la carte comprendra, d'une part des données visibles relatives à la carte elle-même, à l'identité du titulaire, à sa profession et à l'établissement ou organisme dans le cadre duquel l'utilisateur de la carte exerce ses fonctions, d'autre part des données inscrites dans la mémoire de la carte relatives à la carte elle-même, à l'identité du titulaire et à son exercice professionnel principal et secondaire ;
Considérant qu'il ressort des dispositions du texte soumis à la Commission que chaque titulaire de carte disposera d'un droit d'accès direct aux informations contenues dans sa carte qu'il pourra visualiser directement sur son poste de travail et d'un droit de rectification de ces informations ; en outre, il lui appartiendra de signaler aux autorités compétentes tout changement intervenu dans sa situation afin que l'organisme émetteur puisse assurer la mise à jour de la carte ;
Sur les modalités de délivrance de la carte de professionnel de santé
Considérant que le projet de décret distingue, en fonction du profil professionnel des utilisateurs de la carte, six catégories de carte de professionnel de santé ; qu'ainsi sont visés les professionnels relevant de professions de santé réglementées ainsi que les professionnels de santé en formation, les directeurs d'établissement et d'organisme dispensant des actes ou prestations remboursables par l'assurance maladie, leurs personnels ainsi que les personnels autorisés d'organismes, d'administrations ou d'établissements habilités par le ministre de la santé ou l'organisme émetteur ;
Considérant que les utilisateurs de cartes se verront attribuer un certain nombre de droits modulables en fonction de leur situation professionnelle et de l'application informatique considérée ;
Considérant que si, en application des dispositions combinées des articles R. 161-33-13 et R. 161-33-16 du projet de décret, la responsabilité de l'utilisation des cartes incombe à leurs titulaires et non aux personnels qu'ils emploient, la responsabilité d'un détenteur de carte CPS, quelle que soit sa qualité, peut toujours être engagée au titre des dispositions de la loi du 6 janvier 1978 ;
Considérant que le projet de décret prévoit d'attribuer à un organisme unique la mission d'émettre, de gérer, de promouvoir les cartes de professionnels de santé et d'habiliter les applications informatiques et télématiques à les utiliser; que cet organisme serait le Groupement d'intérêt Public CPS dont la convention constitutive a été approuvée par arrêté du 28 janvier 1993 ;
Considérant que l'émission des cartes de professionnel de santé par l'organisme émetteur se fera à partir d'un fichier national des titulaires de cartes constitué des informations transmises par les directions départementales des affaires sanitaires et sociales, seules compétentes avec les ordres professionnels pour décider de l'attribution des cartes aux professions de santé réglementées ; que ce fichier sera également enrichi par des informations en provenance de la caisse nationale d'assurance maladie des travailleurs salariés puisque la carte de professionnel de santé sera également utilisée pour la transmission des feuilles de soins ;
Considérant que la mission d'habilitation reconnue à l'organisme émetteur tant en ce qui concerne certaines catégories de titulaires que pour les applications appelées à utiliser ces cartes est de nature à soulever des difficultés ; qu'en effet, s'agissant en particulier des personnels des caisses de sécurité sociale cette procédure d'habilitation par l'organisme émetteur n'apparaît pas justifiée ; que la Commission propose en conséquence de supprimer au 6° de l'article R. 161-33-12 et au dernier alinéa de l'article R. 161-33-13 la référence à "l'organisme émetteur" ;
Considérant que sur la procédure d'habilitation des applications informatiques, le projet de décret ne précise pas la portée juridique de cette habilitation ni les critères sur lesquels serait fondée une telle habilitation ; qu'il conviendrait en conséquence de définir plus précisément les fonctions qui seraient ainsi dévolues à l'organisme émetteur et d'appeler l'attention du ministère sur le fait que cette habilitation ne préjuge pas de l'application des dispositions de la loi du 6 janvier 1978 et en particulier du contrôle exercé par la CNIL sur les traitement automatisés de données nominatives ;
EST D'AVIS :
- de proposer :
- que la référence à l'organisme émetteur mentionné au 6° de l'article R. 161-33-12 et au dernier alinéa de l'article R. 161-33-13 soit supprimée ;
- d'appeler l'attention du ministère de l'emploi et de la solidarité :
- sur les conséquences, au regard de l'évolution et de la diversité des solutions de sécurisation des applications informatiques, de l'application de l'article 3 du projet de décret en ce qu'il instaure un standard unique pour la sécurisation à l'aide d'une carte électronique des applications informatiques des établissements de santé ;
- sur le fait que, si en application des dispositions combinées des articles R. 161-33-13 et R. 161-33-16 du projet de décret, la responsabilité de l'utilisation des cartes incombe aux titulaires des cartes et non aux personnels qu'ils emploient, la responsabilité d'un utilisateur de carte CPS, quel que soit sa qualité, peut toujours être engagée au titre de la loi du 6 janvier 1978 ;
- sur le fait que l'habilitation des applications à utiliser la carte CPS prévue au titre de l'article R. 161-33-17 ne préjuge pas de l'application des dispositions de la loi du 6 janvier 1978 et en particulier du contrôle exercé par la CNIL sur ces traitements.
Le Président, Jacques FAUVET