La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des affaires sociales et de la santé d’une demande d’avis concernant un projet de décret en Conseil d’Etat relatif au dossier médical partagé;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment les articles L. 113-3, L. 232-3, L. 232-6, L.312-1, L.411-1 ;
Vu le code de la santé publique, notamment ses articles L. 1111-14 à L. 1111-23 ;
Vu le code de la sécurité sociale, notamment ses articles L. 161-36-1 et L. 162-5-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie, le 8 avril 2016, par le ministère des affaires sociales et de la santé (ci-après " le ministère ") d’une demande d’avis sur un projet de décret en Conseil d’Etat relatif au dossier médical partagé (ci-après le " projet ").
Ce projet fixe le cadre réglementaire du dossier médical partagé (ci-après le " DMP "). Il est pris en application des articles L. 1111-14 et suivants du code de la santé publique (ci-après " du CSP ") tels que modifiés par l’article 96 de la loi n° 2016-41 de modernisation de notre système de santé du 26 janvier 2016.
Le présent projet définit les conditions et modalités de création et de mise en œuvre du dossier médical partagé. Il a également pour objet de préciser les modalités de conception, de mise en œuvre et d’administration du DMP par la Caisse nationale de l’assurance maladie des travailleurs salariés (ci-après, la " CNAMTS ") qui assure désormais son pilotage à la place de l’Agence des systèmes d’information partagés de santé (ci-après, " l’ASIP Santé ") et en devient le responsable de traitement.
Il fixe les grands principes applicables à la mise en œuvre du DMP, ses modalités devant être précisées ultérieurement dans le cadre d’un dossier de formalités préalables qui sera présenté à la Commission.
Sur la détermination du responsable de traitement :
Le projet d’article R. 1111-27 désigne expressément la CNAMTS comme responsable de traitement du DMP au sens de l’article 3 de la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés ").
Cet article intervient en application des nouvelles dispositions de l’article L. 1111-14 du CSP, qui prévoit que la CNAMTS "
assure la conception, la mise en œuvre et l’administration du dossier médical partagé, dans des conditions prévues par décret en Conseil d’Etat pris après avis de la Commission nationale de l’informatique et des libertés
La Commission prend acte de cette désignation et de l’engagement du ministère de saisine prochaine de la CNIL par la CNAMTS d’une demande d’autorisation relative à la mise en œuvre du traitement de données à caractère personnel mis en œuvre par elle et qui détaillera les éléments de sécurité non joints au projet de décret.
Sur les finalités du DMP :
L’article L. 1111-14 du CSP précise que le DMP doit permettre de favoriser la prévention, la coordination, la qualité et la continuité des soins.
A cet égard, la Commission rappelle qu’au-delà de l’intérêt qu’il revêt pour les professionnels de santé, le DMP constitue aussi un outil au service des patients. Les informations y figurant doivent pouvoir leur être utiles ce qui implique une bonne appropriation par les titulaires des DMP.
A ce titre, la Commission attire l’attention du gouvernement sur la nécessité que la mise en application du projet d’article 1111-30 c) prévoyant que le titulaire peut consigner des informations dans le dossier puisse effectivement conduire, dans des conditions de sécurité et de conformité à la loi Informatique et Libertés, à la possibilité d’y adjoindre des données produites par d’autres dispositifs numériques, notamment les outils dits de mesure de soi.
Sur les catégories de données du DMP :
L’identifiant du DMP
Le projet d’article R. 1111-32, en son dernier alinéa, précise que l’identifiant du DMP est le numéro d’inscription au répertoire national d’identification des personnes physiques (ci-après, " NIR "), en sa qualité d’identifiant national de santé mentionné à l’article L. 1111-8-1 qui permet l’utilisation du NIR comme identifiant de santé des personnes dans le cadre de leur prise en charge à des fins sanitaires et médico-sociales et dans les conditions prévues à l’article L. 1110-4 du CSP relatives au partage et à l’échange des informations.
Tout en prenant en compte la volonté du législateur de conduire à ce que l’identifiant national de santé se substitue aux identifiants multiples dans le secteur sanitaire aux fins d’amélioration de la coordination du parcours de soins, la Commission observe, d’une part, que l’article L.1111-8-1 du CSP prévoit qu’un décret en Conseil d’Etat pris après avis de la CNIL précise les modalités d’utilisation de cet identifiant et qu’elle n’en a pas encore été saisie et, d’autre part, que dans l’article L.1111-14 de la même loi, le législateur a prévu la création d’un
" identifiant du dossier médical partagé pour l’ensemble des bénéficiaires de l’assurance maladie ".
Le projet d’article R. 1111-32 prévoit la mise en œuvre par la CNAMTS d’un "
traitement de données établissant une correspondance entre le numéro d'inscription au répertoire national d'identification des personnes physiques et les autres éléments d’identification nécessaires à la création du dossier médical partagé
Le ministère a également indiqué que le décret relatif à l’identifiant national de santé prévoira un calendrier d‘application de ces nouvelles dispositions et que le dossier de formalités détaillera les données amenées à être traitées dans la table de correspondance ainsi que ces modalités de fonctionnement.
La Commission en prend acte, tout en renvoyant à ses remarques précédentes concernant le traitement du NIR comme identifiant du DMP.
Les informations contenues dans le DMP :
L’article L. 1111-15 du CSP indique les informations qui devront alimenter le DMP.
Ainsi, chaque professionnel de santé, quel que soit son mode et lieu d’exercice, doit y reporter les éléments diagnostiques et thérapeutiques nécessaires à la coordination des soins de la personne prise en charge. Les professionnels de santé habilités des établissements de santé y reportent un résumé des principaux éléments relatifs au séjour hospitalier. Le médecin traitant verse périodiquement, au moins une fois par an, une synthèse dont le contenu est défini par la Haute autorité de santé.
La loi prévoit également le versement dans le DMP des données nécessaires à la coordination des soins, issues des informations de remboursement ou de prise en charge détenues par l’organisme d’assurance maladie. Il devra également contenir des volets relatifs au don d’organes ou de tissus, aux directives anticipées et à la personne de confiance.
L’article R. 1111-30 du projet énumère les catégories de données figurant dans le DMP. Cette énumération comprend notamment les informations prévues par la loi.
La Commission observe que l’énumération des données relatives au bénéficiaire de l’assurance maladie titulaire du DMP n’est pas limitative et rappelle le principe selon lequel les données contenues dans le DMP devront être adéquates, pertinentes et non excessives au regard de la finalité du DMP.
Elle observe, s’agissant des directives anticipées, que la loi n° 2016-87 du 2 février 2016 créant de nouveaux droits en faveur des malades et des personnes en fin de vie renforce le caractère contraignant des directives anticipées pour le médecin. La loi renvoie à un décret en Conseil d'Etat, pris après avis de la CNIL, le soin de définir "
les conditions d'information des patients et les conditions de validité, de confidentialité et de conservation des directives anticipées
" les directives anticipées sont notamment conservées sur un registre national faisant l'objet d'un traitement automatisé dans le respect de la loi n°

du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Lorsqu'elles sont conservées dans ce registre, un rappel de leur existence est régulièrement adressé à leur auteur. "
La Commission prend acte de ce que le recours au dispositif du DMP et à celui des directives anticipées est laissé à l’appréciation des personnes concernées et de ce que le DMP n’est pas le registre prévu par la loi n° 2016-87 du 2 février 2016.
Le projet d’article R. 1111-30, alinéa 1-d, du projet prévoit également que les données de remboursement ou de prise en charge seront alimentées par la CNAMTS "
qui met en œuvre pour l’ensemble des bénéficiaires de l’assurance maladie ayant créé un dossier médical partagé un traitement de données à caractère personnel visant à recevoir et organiser les données
La Commission prend acte de la création de ce nouveau traitement technique qui sera sous la responsabilité de la CNAMTS.
La CNAMTS a précisé, lors des échanges intervenus entre les services de la CNAMTS, du ministère et de la Commission, que ce traitement sera également hébergé dans des conditions de sécurité conformes aux conditions définies à l’article L. 1111-8 pour les hébergeurs de données de santé et aux référentiels d’interopérabilité et de sécurité mentionnés à l’article L. 1110-4-1. La CNAMTS a également indiqué respecter un principe de cloisonnement des traitements, des données et des flux.
La Commission prend acte de ces engagements et demande que leur mise en œuvre soit précisée lors de l’accomplissement des formalités préalables concernant le traitement du DMP.
Ce dossier devra notamment préciser les catégories de données et les modalités d’alimentation du DMP notamment par les professionnels de santé, par son titulaire, par le dossier pharmaceutique et par l’historique de remboursement ou de prise en charge détenu par l’organisme d’assurance maladie obligatoire.
Enfin, concernant le versement et la restitution d’informations dans le DMP par des services ou logiciels tiers, la Commission propose que le projet d’article R. 1111-30 soit complété d’un 8°) portant la liste actualisée des services et logiciels autorisés à alimenter ou à consulter le DMP.
Sur l’information et le recueil du consentement :
Le projet d’article R. 1111-32 prévoit que "
Le bénéficiaire de l’assurance maladie est informé de la possibilité de création de son dossier médical partagé, de ses finalités, des modalités de création, d’utilisation, de clôture et de destruction du dossier médical partagé, ainsi que de ses droits notamment prévus aux articles L. 1111-15, L. 1111-17 et L. 1111-19
La Commission propose que le projet soit complété afin que l’information délivrée porte également sur le rôle spécifique du médecin traitant qui lui est désormais reconnu par loi à l’article L. 1111-16 du CSP dans la mesure où la loi prévoit désormais que le médecin traitant a accès à l’intégralité des informations du DMP.
Il en résulte que tout bénéficiaire de l’assurance maladie doit être clairement informé du rôle et des prérogatives de son médecin traitant dans le cadre du DMP et de la portée de la désignation d’un médecin traitant.
La Commission prend acte de l’engagement du ministère de compléter le projet sur ce point.
A cet égard, le ministère indique que l’information des proches et de la personne de confiance relève de la publicité de l’acte règlementaire qui liste les données traitées et l’exercice des droits.
La Commission en prend acte au regard de l’article 32-III de la loi Informatique et Libertés qui prévoit une dérogation à l’obligation d’information des personnes lorsque celle-ci se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche. Elle recommande toutefois que les titulaires des DMP soient invités à informer les personnes qu’ils seraient amenés à désigner, de leur inscription au titre de personne de confiance ou de proche dans le DMP qu’ils auraient ouvert.
L’article 2 du projet prévoit que tout DMP créé avant la date de publication du décret est régi par les nouvelles dispositions relatives au DMP. La Commission prend acte de l’engagement du ministère de modifier le projet afin de préciser qu’au-delà de l’information du public prévue à l’article 3 du projet, une information spécifique des titulaires de DMP ouverts préalablement à la publication du décret sera prévue afin que les nouvelles modalités de fonctionnement soient portées à leur connaissance et leur permettre d’exercer leurs droits.
Concernant le recueil du consentement, l’article L. 1111-14 du CSP tel que modifié par l’article 96 de la loi n° 2016-41 de modernisation de notre système de santé du 26 janvier 2016 conforte le caractère facultatif de la création du DMP et subordonne sa création au consentement du bénéficiaire.
Le projet d’article R. 1111-32 rappelle la nécessité d’un consentement en précisant que le recueil du consentement exprès et éclairé du bénéficiaire s’effectue par tout moyen y compris de façon dématérialisée.
Compte tenu de l’enjeu du DMP en termes de protection des données à caractère personnel, du fait notamment de l’envergure nationale du dispositif et des nouvelles facilités d’ouverture prévues par le projet, la Commission estime qu’il est primordial de s’assurer que le recueil du consentement du DMP à sa création soit réel et que le titulaire du DMP puisse clairement apprécier les conséquences de l’accord qu’il donne. La Commission estime que la confiance des patients, inhérente à une bonne compréhension du DMP, participe du succès de celui-ci.
Le projet prévoit également qu’un mineur peut se voir ouvrir un DMP. La Commission relève sur ce point que le projet est silencieux, d’une part, sur les modalités de rattachement du dossier du mineur à ses représentants légaux et, d’autre part, sur le sort réservé au DMP créé pour un mineur qui ne consentirait pas à la conservation de son dossier au moment de sa majorité.
Afin d’éviter toute ambiguïté, la Commission propose que le projet soit complété afin d’y ajouter que le DMP serait alors clôturé et prend acte de l’engagement du ministère de procéder en ce sens.
S’agissant des mineurs, la Commission prend acte de ce que la demande d’autorisation précitée apportera les précisions sur les modalités de mise en œuvre des dispositions relatives aux informations dont les mineurs peuvent, sous certaines conditions, demander qu’elles ne soient pas portées à la connaissance de leurs représentants légaux.
Sur les modalités de création, de modification et de suppression du DMP :
Il est prévu que tout bénéficiaire de l’assurance maladie pourra créer lui-même un DMP en ligne depuis le site internet de la CNAMTS.
Il aura également la faculté de créer un DMP en s’adressant aux professionnels de santé et personnes exerçant sous sa responsabilité, au personnel de l’accueil des établissements de santé, des laboratoires de biologie médicale, des services de santé et des établissements et services sociaux et médico-sociaux énumérés à l’article L. 312-1 I du code de l’action sociale et des familles.
Cette dernière catégorie regroupe près de 16 structures prenant en charge des personnes en difficultés, parmi lesquelles figurent notamment les établissements qui accueillent des personnes âgées, les foyers de jeunes travailleurs et les centres pour demandeurs d’asile. L’ouverture d’un DMP sera également possible par l’intermédiaire des agents des organismes d’assurance maladie obligatoire intervenant directement auprès des bénéficiaires de l’assurance maladie.
Les services du ministère ont indiqué qu’afin de permettre un large déploiement du DMP et éviter l’écueil du faible nombre d’ouvertures du dispositif précédent, la possibilité de création du DMP par l’intermédiaire d’un très large nombre de structures en favoriserait la diffusion.
Tout en comprenant ces raisons, la Commission souligne que ces facilités d’ouverture du DMP doivent s’accompagner de mesures garantissant la réalité du consentement.
Elle appelle l’attention du ministère et de la CNAMTS à être vigilants sur l’information du personnel habilité à créer un DMP notamment sur les modalités de recueil du consentement des personnes.
La Commission prend acte, d’une part, de ce que le titulaire du DMP dispose de la faculté de clôturer son DMP à tout moment soit directement, soit par l’intermédiaire des structures énumérées au projet d’article R. 1111-32 et, d’autre part, de ce que le décès du titulaire entraine la clôture du DMP.
Elle observe, à cet égard, que le projet est muet sur les modalités de clôture du DMP en cas de décès du titulaire, si ce n’est qu’elles sont fixées par la CNAMTS et prend acte de ce que des précisions utiles figureront dans la demande d’autorisation que formulera la CNAMTS auprès de la CNIL.
Le DMP sera alors archivé pendant dix ans, puis supprimé. Le projet prévoit la suspension de ce délai dans l’hypothèse d’un recours en recherche de responsabilité médicale des professionnels de santé ayant accédé au DMP.
La Commission s’étonne de la rédaction du dernier alinéa du projet d’article R. 1111-33, qui prévoit que la CNAMTS pourrait être amenée à détruire un ou plusieurs DMP dans l’hypothèse où elle aurait connaissance d’un événement révélant un dysfonctionnement grave ou une utilisation frauduleuse.
A cet égard, la Commission rappelle qu’en application de l’article 34 de la loi Informatique et Libertés, le responsable de traitement est tenu à une obligation de garantir l’intégrité et la disponibilité des données.
Elle suggère donc que ce projet d’article prévoit que des mesures conservatoires appropriées soient effectivement mises en œuvre afin de faire cesser sans délai le dysfonctionnement ou l’utilisation frauduleuse, lesquelles pourraient si nécessaire conduire à une suspension temporaire des DMP concernés et, dans le cas d'une création abusive, à leur destruction.
Par ailleurs, la Commission relève que le projet d’article R.1111-35 prévoit qu’ " en application de l’article 38 alinéa 3 de la loi du 6 janvier 1978 modifiée ", le bénéficiaire d’un DMP ne puisse plus " s’opposer à ce que ses données à caractère personnel soient traitées pour les finalités " du DMP. Elle s’interroge sur cette disposition alors même que l’ouverture du DMP est subordonnée au consentement du bénéficiaire, qui peut le révoquer à tout moment.
Le projet d’article R.1111-36 prévoit, en outre, que le titulaire peut rectifier lui-même les informations qu’il a consignées dans son dossier, ce qui intègre la possibilité de les effacer.
La Commission prend acte de l’engagement du ministère de modifier le projet pour préciser que si le titulaire ne peut effacer les données reportées par un professionnel de santé dans son dossier médical partagé, il peut demander cet effacement dans le cas où ces données auraient été supprimées du dossier tenu localement par le professionnel ou l’établissement de santé, conformément à l’article 40 de la loi Informatique et Libertés.
Sur les modalités d’accès aux données du DMP:
La Commission prend acte de ce que le projet distingue la création du DMP qui, sous réserve du recueil du consentement de la personne, peut être effectuée par des personnes qui ne sont pas nécessairement des professionnels de santé, de l’accès au DMP, soumis à autorisation préalable du titulaire et intervenant dans le respect des règles de confidentialité de l’article L. 1110-4, alinéa 1, et des référentiels d’interopérabilité et de sécurité de l’article L. 1110-4-1.
Le projet d’article R. 1111-40 prévoit que "
lorsque le titulaire est pris en charge par une équipe de soins (…), l’autorisation d’accès au dossier médical partagé est réputée donnée à l’ensemble des professionnels de santé membres de l’équipe de soins "
Concernant l’accès au dossier médical dans les situations d’urgence prévu au I de l’article L. 1111-7 du CSP, ces accès seront tracés et conservés dans le DMP, ce que prévoit le projet d’article R. 1111-31. La Commission prend acte de l’engagement du ministère de compléter le projet d’article R. 1111-38 afin que cet accès soit notifié au patient et au médecin traitant.
De plus, dans un objectif d’amélioration des conditions de contrôle
a posteriori
Le projet d’article R. 1111-29 renvoie aux "
référentiels d’interopérabilité et de sécurité mentionnés à l’article L. 1110-4-1 du code de la santé publique
Ce projet d’article prévoit également la possibilité d’accès au DMP par son titulaire, soit par voie électronique, soit dans des conditions prévues au projet d’article R. 1111-34 du projet. Ce dernier prévoit que le titulaire accède au dossier soit directement, soit par l’intermédiaire d’un professionnel de santé, soit par l’intermédiaire de l’hébergeur.
Il prévoit également que la CNAMTS définit et met en œuvre les conditions techniques permettant au titulaire d’extraire les données de son DMP, au moyen de logiciels conformes à des spécifications de la CNAMTS et dans des conditions respectant la loi Informatique et Libertés.
La Commission relève que les référentiels portés par l’article L.1110-4-1 ont également vocation à s’appliquer aux accès des patients à leurs données de santé et estime que les logiciels d’extraction de données précités doivent être soumis aux mêmes règles. Elle prend acte de l’engagement du ministère de compléter le projet en ce sens.
La Commission relève également que le projet d’article R.1111-29 reste silencieux sur le rôle de la CNAMTS dans la fourniture d’un accès au titulaire " depuis un site internet ", sur l’articulation entre le site de la CNAMTS et le site "
dmp.gouv.fr
Enfin, la Commission appelle l’attention du ministère et de la CNAMTS sur l’importance, afin de favoriser une bonne appropriation de l’outil par les titulaires, que les éléments techniques concilient une interface ergonomique, appuyée sur des formats de données interopérables et ouverts susceptibles d’encourager la réutilisation par le patient, avec un souci de sécurité et de conformité à la loi.
Sur les conditions dans lesquelles certaines informations peuvent être rendues temporairement inaccessibles :
Dans les cas où une information sur l’état de santé de la personne ne doit pas lui être délivrée sans accompagnement, l’article R. 1111-41 du projet prévoit la possibilité pour un professionnel de santé de rendre cette information provisoirement inaccessible au titulaire du dossier, en attendant qu’elle lui soit délivrée par un professionnel de santé lors d’une consultation.
Dans l’hypothèse où le patient n’a pas rencontré de professionnel de santé, il est alerté dès la fin de la troisième semaine suivant l’alimentation de son DMP d’une mise à jour et invité à consulter tout professionnel de santé, notamment son médecin traitant. Il dispose ensuite de quinze jours pour consulter un professionnel de santé, délai au-delà duquel l’information devient automatiquement accessible.
La Commission relève que ce dispositif d’alerte repose exclusivement sur le patient. Informé d’une "
mise à jour
Elle estime que des mesures d’alerte ou de relance du professionnel de santé ainsi que du médecin traitant pourraient utilement être envisagées.
Sur les mesures de sécurité :
Le projet d’article R. 1111-27 indique que le responsable du traitement doit s’assurer du respect des obligations définies par la loi Informatique et Libertés ainsi que de la conformité du traitement aux conditions de sécurité définies à l’article L.1111-8 pour les hébergeurs de données de santé et de la conformité aux référentiels d’interopérabilité et de sécurité mentionnés à l’article L. 1110-4-1 du CSP.
Les dits référentiels sont issus des travaux de la politique générale de sécurité des systèmes d’information de santé (PGSSI-S) en cours d’élaboration. La Commission relève qu’ils doivent être approuvés par arrêté du ministre en charge de la santé pris après avis de la Commission, et qu’elle n’en a pas été saisie à ce jour.
La Commission relève par ailleurs que la conformité au Référentiel général de sécurité (RGS) devrait également être mentionnée dans le projet et prend acte de l’engagement du ministère de procéder en ce sens.
Elle rappelle que le nouveau responsable de traitement devra s’assurer du renouvellement de l’homologation RGS du système d’information du DMP, prononcée en décembre 2015 par son prédécesseur.
S’agissant de la transition technique du dossier médical personnel au dossier médical partagé, la Commission propose que le projet fixe un principe de transfert sécurisé de l’ensemble des secrets, dont les clés de chiffrement de la base DMP et les modalités d’authentification des administrateurs, de l’actuel responsable de traitement du DMP vers la CNAMTS et, le cas échéant, de renouvellement de ces secrets par la CNAMTS.
La Commission observe que le projet renvoie à plusieurs reprises à des modalités techniques et organisationnelles définies par la CNAMTS, notamment s’agissant des règles et modalités de gestion des droits et des autorisations d’accès, au sujet desquelles la Commission n’est pas en mesure de se prononcer utilement, ne disposant pas d’un dossier technique complet.
En outre, en l’état du dossier, elle n’est pas en mesure de se prononcer sur le respect des dispositions de l’article 34 de la loi Informatique et Libertés.
Enfin, elle demande que l’étude des risques du traitement et notamment ses impacts sur la vie privée, ainsi que l’architecture technique retenue et les mesures de sécurité mises en œuvre ou prévues, notamment au regard des recommandations formulées dans sa délibération 2010-449 du 2 décembre 2010, soient décrites dans le dossier de formalités préalables dont la CNIL sera saisie.
Les autres points du projet n’appellent pas, en l’état, d’observations de la Commission.
La Présidente
Isabelle FALQUE-PIERROTIN