La Commission nationale de l'informatique et des libertés,
Saisie le 8 février 2007 par le Conseil national de l'Ordre des pharmaciens d'une déclaration relative au dossier pharmaceutique, confirmée et actualisée en date du 12 avril suivant ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;
Vu la loi n° 2007-127 du 30 janvier 2007 ratifiant l'ordonnance n° 2005-1040 du 26 août 2005 relative à l'organisation de certaines professions de santé et à la répression de l'usurpation de titres et de l'exercice illégal de ces professions et modifiant le code de la santé publique et notamment son article 25-IV ;
Vu le code de la santé publique et notamment les articles L. 1111-8, L. 1111-8-1 et L. 4231-2 ;
Vu l'article L. 161-36-4-2 du code de la sécurité sociale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le décret n° 2006-6 du 4 janvier 2006 relatif à l'hébergement de données de santé à caractère personnel ;
Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Le Conseil national de l'Ordre des pharmaciens (CNOP) a saisi la Commission nationale de l'informatique et des libertés d'un dossier de déclaration relative à la mise en oeuvre du dossier pharmaceutique (DP).
1. Le dossier pharmaceutique est un dossier informatisé, accessible via Internet, que les pharmaciens d'officines ouvrent avec son accord, à chaque bénéficiaire de l'assurance maladie et qui permettra le regroupement et le partage entre les pharmaciens des informations relatives aux médicaments et produits de santé délivrés à ce patient dans l'ensemble des officines.
La mise en oeuvre du projet concernera 23 000 pharmacies (Métropole et DOM) qui, après remise à jour de leurs logiciels métier, pourront procéder à l'ouverture et à l'utilisation des dossiers pharmaceutiques dans le respect des règles fixées par le CNOP ainsi que le groupement d'intérêt économique (GIE) Santeos qui, après appel d'offres, a été retenu par ce dernier comme unique hébergeur du DP.
Le DP a pour principal objectif de sécuriser la dispensation des médicaments.  Il permettra accessoirement de faciliter une meilleure traçabilité des médicaments et de diffuser des alertes sanitaires à la demande des pouvoirs publics auprès des pharmaciens d'officine.
2. Le DP a aujourd'hui son fondement légal dans les dispositions récemment introduites dans les codes de la sécurité sociale et de la santé publique par la loi n° 2007-127 du 30 janvier 2007 ratifiant l'ordonnance du 26 août 2005 relative à l'organisation de certaines professions de santé.
L'article L. 161-36-4-2 du code de la sécurité sociale dispose désormais :  "Afin de favoriser la coordination, la qualité, la continuité des soins et la sécurité de la dispensation des médicaments, produits et objets définis à l'article L. 4211-1 du code de la santé publique, il est créé, pour chaque bénéficiaire de l'assurance maladie, avec son consentement, un dossier pharmaceutique dont les informations alimentent le dossier médical personnel mentionné à l'article L. 161-36-1 du présent code, dans des conditions précisées par le décret prévu à l'article L. 161-36-4.
Sauf opposition du patient quant à l'accès du pharmacien à son dossier pharmaceutique et à l'alimentation de celui-ci, toutpharmacien d'officine est tenu d'alimenter le dossier pharmaceutique à l'occasion de la dispensation.
La mise en oeuvre du dossier pharmaceutique est assurée par le Conseil national de l'ordre des pharmaciens mentionné à l'article L. 4231-2 du code de la santé publique."
L'article L. 1111-8-1 du code de la santé publique dispose, en outre, que l'identifiant de santé des personnes prises en charge par un professionnel de santé ou un établissement de santé ou dans le cadre d'un réseau de santé "est également utilisé pour l'ouverture et la tenue du dossier médical personnel institué par l'article L. 161-36-1 du code de la sécurité sociale et du dossier pharmaceutique institué par l'article L. 161-36-4-2 du même code".
3. Toutefois, le projet DP - en plein accord d'ailleurs avec les pouvoirs publics et le GIPDMP - a été préparé de longue date par le CNOP et il est aujourd'hui prêt à être expérimenté, alors même que le cadre réglementaire prévu par les dispositions susrappelées n'a pas encore été adopté et que l'échéance de la généralisation du DMP est repoussée à 2008.
Aussi bien, le CNOP prévoit-il :
- La mise en place, dans un premier temps, d'un DP autonome n'alimentant pas le DMP et fonctionnant donc sur le modèle de nombreux autres dossiers médicaux partagés entre professionnels de santé déjà autorisés par la CNIL,
- Le lancement, avant la généralisation du dispositif prévu, d'une phase pilote menée pendant six mois dans six départements (Doubs, Meurthe-et-Moselle, Nièvre, Pas-de-Calais, Rhône, et Seine-Maritime) auprès de pharmaciens volontaires.  Cette expérimentation a pour finalité principale de tester le bon fonctionnement technique du dispositif et d'évaluer l'usage et l'appropriation du DP tant par les pharmaciens que par les patients ; elle permettra aussi de montrer son impact sur les relations des pharmaciens dispensateurs avec les médecins prescripteurs.
La Commission considère dans ces conditions qu'elle peut se prononcer dès à présent sur la phase pilote du dispositif déclaré par le CNOP mais que sa généralisation devra s'inscrire dans le cadre réglementaire qui aura été fixé, en particulier, en ce qui concerne l'articulation du DP avec le DMP.
Sur la détermination du responsable des traitements et la nature des formalités préalables applicables à ces traitements
- Pour les traitements d'hébergement mis en place au niveau national, le CNOP, en tant que maître d'ouvrage (pour le compte des officines collectant les données à héberger) de ces traitements, en a déterminé les finalités et, selon les clauses des cahiers des charges établis par lui, a fixé les spécifications techniques et fonctionnelles dont le respect s'impose à l'hébergeur.  Il est donc responsable des traitements d'hébergement du dossier pharmaceutique au sens de l'article 3 de la loi du 6 janvier 1978 modifiée.
- La Commission considère toutefois que cette responsabilité n'est pas exclusive d'une responsabilité propre du GIE Santeos. qui, en sa qualité de maître d'oeuvre de ces mêmes traitements, détermine les moyens nécessaires pour que ces derniers respectent les spécifications des cahiers des charges.
- Dans la mesure où le lancement dans les conditions précédemment indiquées de la phase pilote du dossier pharmaceutique revêt un intérêt public, la Commission considère qu'il peut être fait application au bénéfice du CNOP des dispositions des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l'autorisation les traitements de données de santé qui poursuivent un intérêt public.
Elle considère par ailleurs que la responsabilité du CNOP n'est pas exclusive d'une responsabilité propre au GIE Santeos en sa qualité de maître d'oeuvre des traitements d'hébergement.
Dans la mesure où le dossier pharmaceutique tel qu'il est aujourd'hui présenté fonctionnera de manière autonome, sans lien avec le dossier médical personnel (DMP), le GIE Santeos est dispensé, conformément à l'article 25-IV de la loi n° 2007-127 du 30 janvier 2007 précitée, de la nécessité d'obtenir un agrément du ministre pour héberger le dossier pharmaceutique.  Il lui appartient toutefois d'effectuer une déclaration auprès de la CNIL indiquant notamment les mesures de sécurité particulières mises en oeuvre "pour préserver la sécurité des données et, notamment, empêcher qu'elles ne soient déformées, endommagées ou que des tiers autorisés y aient accès", conformément aux dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée.
Sur les modalités de recueil du consentement à la création du dossier pharmaceutique et d'information des patients et des professionnels concernés
Le consentement du patient à l'ouverture d'un DP à son nom est légalement nécessaire, en application de l'article L. 161-36-4-2 précité du code de la sécurité sociale et en tant que le DP est un dossier médical partagé (C. santé publique, art.  L. 1110-4), en tant aussi qu'il est un dossier médical hébergé (art.  L. 1111-8).
L'article L. 1111-8 du code de la santé publique précise que le consentement à l'hébergement doit être un consentement exprès.
Il ressort du dossier soumis à la Commission que le consentement du patient à l'ouverture d'un DP à son nom serait recueilli par le biais d'une case à cocher au pied d'un formulaire électronique d'ouverture de dossier pharmaceutique rempli par le pharmacien au nom et pour le compte du patient.
Une copie du formulaire ainsi rempli serait remise au patient, accompagnée d'une note d'information rédigée notamment pour assurer le respect des dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée.  Cette note comporterait des informations relatives respectivement à l'identité du responsable du traitement et de l'hébergeur, à la finalité poursuivie par l'ouverture d'un dossier pharmaceutique, à son contenu, aux modalités de création, d'alimentation et d'utilisation, ainsi qu'aux conditions d'exercice du droit d'accès au dossier.
Cette information serait complétée par l'apposition d'une affichette dans l'officine.
- La Commission observe que les documents communiqués (note d'information et formulaire d'ouverture du dossier pharmaceutique) sont encore à l'état de projet et demande que ces documents, dans leur version définitive, soient rédigés dans un langage clair et précis, accessible à chacun.
La Commission relève avec satisfaction qu'à sa demande, le projet de note d'information, dans le dernier état de sa rédaction, souligne l'absence de conséquence du refus de création ou d'alimentation du dossier pharmaceutique sur le remboursement des prescriptions par l'assurance maladie , elle demande qu'il soit précisé que le refus est également sans conséquence sur la mise en oeuvre de la procédure du tiers payant.
La Commission estime, en outre, que le patient doit être informé de l'alimentation du dossier pharmaceutique à sa création par l'historique local des quatre derniers mois de dispensation.
- Elle estime ensuite que, pour être satisfaisante et conforme aux textes, la procédure décrite doit permettre que le consentement recueilli soit réellement libre et éclairé.
De l'avis de la Commission, cette exigence passe par une distinction plus nette de l'information du patient, laquelle doit être complète et préalable, et du recueil de son consentement.  Il est donc nécessaire que, avant de manifester sa volonté, l'intéressé soit mis en mesure de prendre intégralement connaissance de la note d'information.
La Commission recommande donc qu'en règle générale un délai de réflexion de quelques jours soit laissé au patient entre le moment où la notice lui sera remise et celui où son consentement sera sollicité.
Enfin, la Commission observe que le formulaire électronique d'ouverture du DP sera en fait rempli par le pharmacien.
Dès lors, et afin d'éviter toute ambiguïté ou risque de contestation, le formulaire devrait être libellé en conséquence et non comme s'il émanait du patient lui-même.
En tout état de cause, la Commission estime souhaitable qu'une campagne d'information soit organisée au sein des pharmacies d'officine par la mise à disposition de dépliants sur le DP pendant la phase expérimentale.  Les patients seraient ainsi à même de connaître le dispositif avant que l'ouverture d'un dossier pharmaceutique ne leur soit proposée.  La Commission estime souhaitable également, afin de faire ressortir 1' importance de la démarche, que ce soit le ou les pharmaciens en titre, plus à même de répondre aux questions des patients, qui procèdent à l'ouverture du dossier pharmaceutique.
Les pharmaciens seront, quant à eux, destinataires d'une note les informant en particulier de la conservation par l'hébergeur de données d'identité les concernant, des données relatives à leurs connexions à la plate forme et leurs envois d'informations, ainsi que de leur droit d'accès et de rectification.
Sur le contenu du dossier pharmaceutique et les durées de mise à disposition et de conservation des données enregistrées
Les catégories de données à caractère personnel traitées dans les logiciels d'officine et par la GIE Santeos sont relatives :
- à l'identification du patient (nom, prénom, nom de naissance, sexe, date de naissance, rang gémellaire et numéro de série de la carte Vitale) ;
- à l'identification de l'officine et des pharmaciens (nom, prénom, numéro ADELI, numéro de carte CPS du pharmacien, numéro FINESS de l'officine) ;
- aux médicaments et produits de santé délivrés, avec ou sans prescriptions (désignation, quantités et numéro de série, date de dispensation, opinions pharmaceutiques éventuellement formulées).
Dans le denier état de sa présentation du dossier, le CNOP indique avoir supprimé du DP les champs relatifs aux données de santé (vaccinations, intolérances, allergies, pathologies, résultats biologiques).  La Commission en prend acte avec satisfaction dans la mesure où les précisions nécessaires n'avaient pas été apportées sur les modalités de recueil et de validation de ces informations et où ces informations seront dans la DMP.
Pour associer sans risque d'erreurs (doublons, collisions) les données relatives aux dispensations de médicaments avec les patients qu'elles concernent, un identifiant numérique du dossier pharmaceutique (NDP) sera calculé automatiquement par les logiciels d'officine à partir des traits identifiants de la carte Vitale (dont les nom et prénom du titulaire et numéro de série de la carte). Comme certains de ces traits peuvent changer au cours de la vie des patients, les NDP peuvent devenir NDP 1, NDP 2, etc. mais une table de correspondance existe chez l'hébergeur entre tous ces NDP.
La Commission en prend acte mais constate que la question de l'identifiant du DP devra être réexaminée lorsque aura été pris le décret d'application des dispositions précitées de l'article L. 1111-8-1 du Code de la santé publique, prévoyant la création d'un identifiant numérique commun dans le secteur de la santé.
Les données relatives aux dispensations de médicaments (les historiques de dispensations) accessibles aux pharmaciens pour le contrôle des interactions médicamenteuses sont celles enregistrées au cours des quatre derniers mois.  Un historique de huit mois supplémentaires de dispensations sera conservé chez l'hébergeur pour faciliter la transmission des alertes et le rappel des lots de médicaments non conformes.
La Commission considère que les dispositions prévues concernant les catégories de données traitées et la limitation à quatre mois des historiques accessibles aux pharmaciens satisfont aux exigences du principe de proportionnalité tel qu'il résulte notamment des 3° et 5° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur l'utilisation du dossier pharmaceutique
Les pharmaciens d'officine, qui se connectent à la plate forme de l'hébergeur en utilisant leur carte CPS et la carte Vitale du patient, seront seuls admis à consulter et à alimenter le DP.
Aucun accès en lecture du DP n'est normalement autorisé en l'absence du patient et sans la remise par celui-ci de sa carte Vitale, censée manifester son accord.
L'alimentation du DP requiert également l'accord du patient réputé donné par l'utilisation à cette fin de sa carte Vitale, mais l'alimentation elle-même peut être réalisée en différé.
La Commission a bien noté qu'aucun traitement sur les données du DP n'est autorisé sur la plate forme de l'hébergeur et que durant la phase pilote, les finalités accessoires du DP ne seront pas mises en oeuvre dans la mesure où leurs modalités ne sont pas définies.
Après introduction des deux cartes (CPS et Vitale). le logiciel d'officine télécharge les dispensations effectuées au cours des quatre derniers mois qui ne sont pas présentes en local et procède à une analyse des contradictions éventuelles entre substances, sur la base de l'historique global de la dispensation du patient.  Si un risque est détecté, les informations restent disponibles le temps nécessaire au contrôle et. le cas échéant, à l'émission d'une opinion pharmaceutique.  Après la dispensation, les données centrales téléchargées sont détruites.
Il est précisé qu'en accédant ainsi et dans ces limites aux données du DP non présentes dans ses fichiers, le pharmacien connaîtra les dénomination, quantité, numéro de lots, dates de dispensations de médicaments autres que celles faites par lui-même, mais il n'aura pas connaissance des coordonnées des officines dispensatrices.
La Commission considère que ces modalités réalisent un bon équilibre entre les finalités poursuivies par le DP et la protection des données personnelles de santé.
Sur les droits d'accès et d'opposition du patient
- La Commission relève que le droit d'accès par le patient s'exercera auprès de tout pharmacien d'officine sur présentation de sa carte vitale.  Le DP imprimé sur papier sera remis en main propre par le pharmacien auprès duquel s'exercera le droit d'accès.  Il portera tant sur le contenu du DP que sur le journal des traces.
La Commission prend acte des engagements pris par le CNOP que toutes les précautions nécessaires seront prises pour que ce document soit bien remis à la personne concernée.  Elle relève à cet égard que conformément aux dispositions de l'article 93 du décret 2005-1309 du 20 octobre 2005, il appartient au patient de justifier par tout moyen de son identité.
- Le patient aura également la possibilité de s'opposer à l'alimentation de son dossier pharmaceutique s'il ne souhaite pas qu'une information relative à un médicament y figure.  Dans ce cas, une attestation de refus lui sera remise et le DP comportera l'indication que des informations n'y sont pas mentionnées.  En revanche, le droit de masquer des informations enregistrées n'est pas prévu, à l'égal de celui reconnu dans le cadre de l'expérimentation du DMP.
La Commission estime que si la reconnaissance d'un tel droit d'opposition avec signalement de son exercice apparaît de nature à concilier le respect de la vie privée et l'efficacité du dispositif, pour les mineurs, elle apparaît en revanche difficile à concilier avec la faculté qui leur est reconnue d'opposer le secret médical à leurs parents en application de l'article L. 1111-5 du Code de la santé publique.
Elle considère, en outre, que le droit d'opposition devra être réexaminé par la Commission lorsque le DP alimentera le DMP, en raison de la dualité de régimes juridiques entre "droit de masquage" qui ne serait pas apparent dans le DMP et l'exercice d'un droit analogue dans le DP qui ferait l'objet d'une mention expresse.
Sur les mesures de sécurité du dispositif
Au vu d'une part, des cahiers des charges établis dans le cadre de l'appel d'offres communiqués par le CNOP et d'autre part, de la déclaration normale adressée par le GIE Santeos, la Commission estime que les traitements nécessaires à la mise en oeuvre du DP s'effectueront dans des conditions de sécurité de nature à satisfaire la Commission.
L'accès au DP par les pharmaciens d'officine sera réalisé de manière sécurisée et confidentielle au moyen de la carte de professionnel du pharmacien d'officine.
Les transferts de données entre la base de l'hébergeur et les officines feront l'objet d'un chiffrement "fort". Il existera une journalisation des accès et alimentations des dossiers pharmaceutiques.
L'hébergeur sera dans l'impossibilité d'avoir accès au contenu des dossiers pharmaceutiques.
La Commission, dont c'est une recommandation constante en matière de sécurisation des bases de données sensibles, souligne la nécessité que la base de données de l'hébergeur fasse l'objet d'un chiffrement complet pour assurer de façon satisfaisante la confidentialité des données.  Elle rappelle, en effet, qu'une architecture de sécurité reposant uniquement sur le chiffrement des canaux de télé-transmissions et sur un contrôle d'accès au système informatique n'est pas suffisante au regard de la sensibilité des données médicales.
En conséquence, la Commission demande :
- que les modalités de recueil du consentement à la création du DP soient réexaminées dans le sens d'une distinction plus nette de l'information du patient et de la manifestation de sa volonté ;
- que lui soit adressés la note d'information et le formulaire de création du dossier pharmaceutique modifiés pour tenir compte de ses observations ;
- que lui soit communiqué, à l'appui de la demande de généralisation, le bilan portant sur la faisabilité et l'acceptabilité du projet qui sera établi à l'issue de l'expérimentation.  Il comportera notamment, une évaluation des modalités de recueil de consentement des patients à la création d'un DP, de l'identification des patients, de l'exercice par ces derniers de leurs droits (accès, opposition) et des mesures prises pour assurer la sécurité des données, ainsi qu'une étude spécifique sur le respect de la vie privée des mineurs au regard des dispensations de médicaments dans le cadre du DP.
Dans ces conditions, la Commission autorise la phase expérimentale de mise en oeuvre du dossier pharmaceutique dans six départements (Doubs, Meurthe-et-Moselle, Nièvre, Pas-de-Calais, Rhône, et Seine-Maritime) pendant une durée de six mois à compter de la présente délibération.
Le président, Alex TURK.