La Commission nationale de l'informatique et des libertés,
Saisie pour avis le 6 mars 2006 par le Groupement d'intérêt public du dossier médical personnel d'une demande d'autorisation relative aux applications informatiques qui seront mises en oeuvre dans le cadre de l'expérimentation du dossier médical personnel ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;
Vu l'article L. 1111-8 du code de la santé publique ;
Vu l'article L. 1110-4 du code de la santé publique ;
Vu les articles L. 161-36-1, L. 161-36-2 et L. 161-36-3 du code de la sécurité sociale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le décret n° 2006-6 du 4 janvier 2006 relatif à l'hébergement de données de santé à caractère personnel ;
Vu les décisions d'agrément du ministre de la santé du 22 mai 2006 ;
Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Le Groupement d'intérêt public du dossier médical personnel (GIP-DMP) a saisi la Commission nationale de l'informatique et des libertés, conformément à l'article 25-I, 1° de la loi du 6 janvier 1978 modifiée, d'une demande d'autorisation relative aux applications informatiques qui seront mises en oeuvre au sein des établissements de soins et par les professionnels de santé participant à l'expérimentation du dossier médical personnel dans treize régions et dix-sept sites pilotes retenus par le GIP-DMP.
Les dossiers médicaux personnels ainsi créés seront hébergés par six hébergeurs de données de santé agréés par décision du ministre de la santé du 17 mai 2006 après avis de la CNIL du 21 mars 2006 et du comité d'agrément placé auprès du ministre du 16 mai 2006, conformément aux dispositions du décret du 4 janvier 2006 et avec lesquels le GIP-DMP a conclu des conventions d'expérimentation.
Cette expérimentation impliquera la participation de 1500 professionnels de santé libéraux, 68 établissements de soins publics et privés et 37 réseaux de soins qui utiliseront des traitements automatisés de données à caractère personnel conduits dans le respect des conditions posées par le GIP-DMP, considéré pour le seul temps de l'expérimentation comme responsable de l'accomplissement des formalités préalables auprès de la CNIL pour le compte de l'ensemble des professionnels et établissements de soins.
La finalité principale de l'expérimentation du dossier médical personnel sera de tester la faisabilité et l'acceptabilité du dispositif envisagé.  Les objectifs seront d'identifier les conditions d'appropriation du DMP par les professionnels de santé et les patients, de mettre en évidence l'impact du DMP sur les pratiques médicales et d'obtenir ainsi une évaluation de la satisfaction des acteurs.  Il s'agira également de mesurer la qualité de service assurée par les hébergeurs et l'intérêt effectif des services proposés.  Enfin, ces expérimentations permettront de valider en grandeur réelle les éléments techniques, fonctionnels et organisationnels du DMP et de préparer les orientations qui seront retenues pour la généralisation du DMP.
Les dossiers médicaux personnels seront composés de documents. Outre les éléments d'identification du patient par son nom, son prénom, sa date de naissance et son identifiant, chaque document décrira un acte daté et signé par un professionnel de santé.  Le dossier médical personnel comportera un volet de données générales comprenant les antécédents, l'historique des consultations spécialisées et les allergies, intolérances et vaccinations, un volet de soins qui comportera les résultats d'examens biologiques, les comptes rendus d'acte diagnostique, un bilan autonomie, un bilan fonctionnel, les conclusions de téle-consultation, les comptes rendus d'actes thérapeutiques, les comptes rendus de séjours hospitaliers, les pathologies et traitements en cours, la dispensation médicamenteuse et le suivi de soins.  Un volet prévention comportera les facteurs de risque et un volet images sera composé des images radiologiques ou d'imagerie.
Sur la création d'un numéro identifiant santé
Le GIP-DMP procédera, dans le cadre de l'expérimentation, à la création d'un numéro identifiant santé, dénommé NIS, qui identifiera le patient concerné, garantira contre les doublons et les risques de collisions.
La procédure d'attribution du NIS fera intervenir un tiers de confiance, la Caisse des dépôts et consignations, membre du Conseil d'administration du GIP-DMP.
Le patient enverra son formulaire de demande d'ouverture d'un dossier médical personnel comportant son identité et son numéro de sécurité sociale, numéroté et affecté d'une lettre identifiant l'hébergeur retenu pour le site concerné à un guichet de demande géré par la caisse primaire d'assurance maladie de Marseille qui procédera à la certification du NIR de l'assuré auprès de la CNAVTS. La demande de NIS sera alors adressée à la Caisse des dépôts et consignations avec le numéro de formulaire et le nom de l'hébergeur retenu.  Celle- ci calculera alors le NIS à partir du numéro de formulaire par un algorithme particulier, puis transmettra le couple NIS-n° de formulaire à l'hébergeur, garantissant ainsi l'absence de constitution d'une correspondance entre le NIR et le NIS.
De façon concomitante, le patient enverra à l'hébergeur le contrat signé, que lui aura préalablement remis son médecin, et sur lequel seront portés les mêmes numéros que le formulaire de demande de NIS.  L'hébergeur ouvrira alors le DMP et transmettra au patient son AQS (adresse qualité santé) composé du NIS et de la lettre d'identification de l'hébergeur avec son code d'accès.
La Commission observe que ce dispositif complexe d'identification est limité à l'expérimentation et ne préjuge pas de celui qui sera finalement retenu lors de la généralisation du dossier médical personnel.  Elle rappelle à cet égard qu'elle devra être saisie du projet de décret prévu par l'article 5 de la loi du 13 août 2004, qui déterminera la nature de l'identifiant et ses conditions d'utilisation.
Sur l'information des patients et des professionnels de santé
Dans les régions concernées, les patients volontaires pour participer à cette expérimentation se verront offrir la possibilité d'ouvrir un DMP.  Le patient devra donc consentir à l'ouverture de son dossier médical personnel.
Ce consentement se matérialisera par la signature d'un contrat passé avec l'hébergeur comme le prévoient les dispositions de l'article R. 1111-13 du code de la santé publique.  A cet effet, le patient se verra remettre une note d'information précisant notamment la finalité poursuivie par la création à titre expérimental d'un dossier médical personnel, le processus de création du DMP, le contenu de ce dossier, les différentes modalités d'alimentation et d'utilisation du DMP et les conditions d'accès à son dossier.
Le patient pourra avoir accès directement à son dossier.  Il aura également la possibilité de "masquer" certaines informations de son dossier aux professionnels de santé.
La Commission relève également que la note précise que, conformément à la loi du 13 août 2004, les médecins du travail et ceux des compagnies d'assurance et sociétés mutuelles n'auront pas accès au DMP.
Les professionnels de santé participant à l'expérimentation seront également informés par le GIP-DMP de la conservation par la société hébergeur de données d'identité les concernant ainsi que des informations relatives aux différentes interventions sur le DMP.
La Commission estime souhaitable que la note d'information diffusée par le GIP-DMP aux professionnels de santé soit complétée afin de rappeler le contexte de l'expérimentation et les modalités selon lesquelles la création d'un dossier médical personnel sera proposée au patient par le professionnel de santé.  En effet, l'un des objectifs principaux de l'expérimentation étant de tester l'acceptabilité du dispositif par le patient et le professionnel de santé, il apparaît important que le caractère personnel du dossier médical du patient soit clairement rappelé au professionnel de santé ainsi que le rôle du patient dans la création et la tenue de ce dossier.
Sur la nécessité d'un chiffrement des bases de données des hébergeurs
La Commission, dans les avis qu'elle a rendus le 21 mars 2006 sur les demandes d'agrément formulées par les six candidats à l'hébergement du dossier médical personnel dans le cadre de l'expérimentation, a notamment estimé nécessaire que les bases de données des hébergeurs fassent l'objet d'un chiffrement complet pour assurer de façon satisfaisante la confidentialité des données.
La Commission, dont c'est une recommandation constante en matière de sécurisation des bases de données sensibles, rappelle qu'une architecture de sécurité reposant uniquement sur le chiffrement des canaux de télé-transmissions et sur un contrôle d'accès au système informatique n'est pas suffisante au regard de la sensibilité des données médicales.
La Commission demande en conséquence qu'un tel dispositif de chiffrement soit mis en oeuvre par l'ensemble des hébergeurs concernés pendant le temps des expérimentations.
Sur l'utilisation de la carte de professionnel de santé par chaque professionnel de santé exerçant au sein d'un établissement de santé participant à l'expérimentation et la mise en oeuvre du certificat électronique qui lui est attaché, la Commission réaffirme la nécessité au sein des établissements de soins d'utiliser la CPS ou tout dispositif logiciel équivalent, tout en reconnaissant ainsi qu'elle l'a indiqué dans ses avis du 21 mars 2006 qu'un délai est nécessaire pour la mise en oeuvre pratique de ces exigences.
Autorise, dans ces conditions, le GIP-DMP, dans le cadre des conventions d'expérimentation conclues avec six hébergeurs agréés, à mettre en place les applications informatiques nécessaires à l'expérimentation du dossier médical personnel sur 17 sites pilotes répartis dans treize régions.
Le président, Alex TURK.