La Commission nationale de l'informatique et des libertés,
Vu la convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;
Vu la demande d'autorisation présentée par le groupement d'intérêt public carte de professionnel de santé tendant au rapprochement des répertoires des professionnels de santé détenus par l'Etat, la direction centrale du service de santé des armées, les ordres professionnels, la CNAMTS et le GIP-CPS afin de déterminer les règles de rapprochement des différents répertoires préalablement à la constitution d'un répertoire partagé des professionnels de santé (RPPS).
Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire du Gouvernement adjoint, en ses observations.
Formule les observations suivantes :
Le GIP-CPS a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité le rapprochement des répertoires des professionnels de santé détenus par l'Etat, la direction centrale du service de santé des armées, les ordres professionnels, la CNAMTS et le GIP-CPS afin de déterminer les règles de constitution d'un répertoire partagé des professionnels de santé.
Le répertoire lors de sa constitution définitive sera alimenté par les différents partenaires notamment lors des changements de situation des professionnels de santé.
Le répertoire aura pour objet d'identifier de façon pérenne et unique les professionnels de santé, d'améliorer la qualité des données des partenaires, d'affiner la connaissance notamment géographique et démographique des professionnels de santé, de simplifier les démarches des professionnels de santé en supprimant les procédures d'enregistrement redondantes, de faciliter la délivrance des cartes et développer des actions de communication.
Le traitement présenté à la Commission constitue la première phase du projet qui tend à comparer les bases de données des partenaires dans lesquels sont enregistrées les informations sur les professionnels de santé afin d'affiner les règles de rapprochement des différents répertoires.
La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25 de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements ayant pour objet l'interconnexion de fichiers.
Chaque partenaire fournira un ou plusieurs CD-Roms cryptés par un algorithme de chiffrement triple DES. Les CD-Roms seront remis en main propre au responsable du projet au sein du GIP-CPS.
Les données seront stockées sur un serveur dédié au rapprochement, également accessible par un mot de passe propre. L'accès à la salle machine est strictement limité et protégé par badge.
Les données envoyées par les partenaires seront détruites une fois que les spécifications de rapprochement seront terminées. En tout état de cause la durée de conservation n'excédera pas deux ans.
Une information écrite et électronique sera diffusée par chaque partenaire auprès des professionnels de santé sur les modalités et le déroulement du traitement.
Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès de chaque partenaire détenteur du fichier d'origine.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité du professionnel de santé, sa date de naissance, sa nationalité, son diplôme, le cas échéant son autorisation d'exercer, des données professionnelles, ses qualifications, son activité, le cas échant la structure dans laquelle il exerce et la carte de professionnel de santé.
Le destinataire des informations sera le GIP-CPS.
Autorise, dans ces conditions, le GIP-CPS à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité le rapprochement des répertoires des professionnels de santé détenus par l'Etat, la direction centrale du service de santé des armées, les ordres professionnels, la CNAMTS et le GIP-CPS afin de déterminer les règles de rapprochement des différents répertoires préalablement à la constitution d'un répertoire partagé des professionnels de santé (RPPS).
Le Président Alex TURK