La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des solidarités et de la santé d’une demande d’avis concernant un projet de décret en Conseil d’Etat relatif aux départements d’information médicale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles ;
Vu le code de la santé publique, notamment ses articles L. 6113-7, L. 6145-16 et R. 6113-1 et s. ;
Vu le code du commerce, notamment ses articles L. 823-9 et s. ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie par le ministère des solidarités et de la santé, en application de l’article 11-4°-a) de la loi n° 78-17 du 6 janvier 1978 modifiée, d’une demande d’avis portant sur un projet de décret en Conseil d’Etat relatif aux départements d’information médicale.
En octobre 2013, à la suite d’une série de contrôles menée par la Commission, plusieurs établissements de santé ont fait l’objet de mises en demeure pour avoir organisé, dans le cadre d’une prestation dite d’optimisation du codage, l’accès de prestataires extérieurs aux dossiers médicaux de patients pris en charge dans ces établissements.
Cette série de contrôles a révélé que, dans le cadre de l’analyse de l’activité médicale leur incombant, les établissements de santé, en sollicitant des prestataires extérieurs, avaient recours à des pratiques méconnaissant les dispositions de la loi "Informatique et Libertés" et celles du code de la santé publique relatives à l’organisation du département d’information médicale (DIM).
A l’occasion de l’adoption de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles, une modification a été apportée à l’article L. 6113-7 du code de la santé publique (CSP) pour donner compétence au pouvoir réglementaire de déterminer "
les modes d’organisation de la fonction d’information médicale, en particulier les conditions dans lesquelles des personnels placés sous l’autorité du praticien responsable ou des commissaires aux comptes intervenant au titre de la mission légale de certification des comptes
peuvent contribuer au traitement de données"
Le projet de décret soumis à l’examen de la Commission vise à préciser ces modes d’organisation. En particulier, il autorise et encadre l’accès aux dossiers médicaux des patients au bénéfice, d’une part, des prestataires extérieurs, pour leurs missions d’élaboration du programme de médicalisation des systèmes d’information (PMSI) et d’optimisation du codage des actes et, d’autre part, des commissaires aux comptes.
Sur l’autorisation d’accès des prestataires extérieurs et des commissaires aux comptes aux dossiers médicaux des patients
L’article 1

dans la stricte limite de ce qui est nécessaire à leurs missions ".
La Commission rappelle que les informations contenues dans les dossiers médicaux constituent des donnée de santé à caractère personnel conformément aux dispositions de l’article 4-15) du règlement (UE) 2016/679 susvisé (ci-après RGPD). Elle observe qu’en vertu de l’article L. 1110-4 du CSP, ces catégories de données recueillies par les professionnels des établissements de santé, à l’occasion d’un acte de prévention, de diagnostic ou de soins sont protégées par le secret médical, excepté dans les cas de dérogation expressément prévus par la loi. Elle souligne que seule une mesure législative est de nature à rendre inapplicables les dispositions du code pénal relatives aux sanctions attachées à la divulgation d’une information à caractère secret par une personne qui en est dépositaire soit par état ou profession, soit en raison d’une fonction ou d’une mission temporaire.
La Commission relève que l’article L. 6113-7 du CSP, dans sa rédaction issue de la loi du 20 juin 2018 susvisée, donne une base légale à la détermination, par voie réglementaire, des modalités d’organisation du département d’information médicale.
Par conséquent, elle considère, sous réserve de l’appréciation du Conseil d’Etat, que le projet de décret, en ce qu’il autorise l’accès des prestataires extérieurs et des commissaires aux comptes aux données de santé contenues dans les dossiers médicaux, donne un fondement juridique à cet accès.
La Commission estime que les prestataires extérieurs et les commissaires aux comptes sont dès lors des personnes habilitées à traiter les données de santé et à y accéder exclusivement au titre de leurs missions, dans le respect des dispositions du RGPD et de la loi n° 78-17 du 6 janvier 1978 modifiée.
Sur les modalités d’accès des prestataires extérieurs et des commissaires aux comptes aux données des dossiers médicaux des patients
L’article 1

les prestataires extérieurs et les commissaires aux comptes accèdent aux données, dans la stricte limite de ce qui est nécessaire à l’exercice de leurs missions ;
les traces des éventuels accès et consultations, des créations et des modifications de données relatives aux patients sont conservées pour une durée de six mois par l’établissement.
Concernant l’accès des commissaires aux comptes, le ministère des solidarités et de la santé a précisé que, conformément aux dispositions de l’article L. 823-9 du code de commerce, ceux-ci ont notamment pour mission de certifier, en justifiant de leurs appréciations, que les comptes annuels sont réguliers et sincères. Les commissaires aux comptes doivent, pour la perception des recettes liées au séjour, fonder leur appréciation sur les modalités de mise en œuvre du contrôle interne et, notamment, s’assurer que l’activité facturable est prise en compte de manière exhaustive et qu’elle est valorisée correctement ; du fait de la facturation à l’activité, la prise en charge médicale sert de base au codage des pathologies, ce qui implique un contrôle des dossiers médicaux dans lesquels ces éléments sont colligés. Le ministère a également indiqué que, pour effectuer ces travaux, les commissaires aux comptes pourront se faire assister, sous leur responsabilité par des experts de leur choix et, notamment, faire intervenir un médecin d’information médicale expert, de même qu’un expert en systèmes d’information. Il a également précisé que les commissaires aux comptes ne seront pas habilités à créer et à modifier les données relatives aux patients.
Si la Commission ne remet dès lors pas en cause la nécessité, pour les commissaires aux comptes, de vérifier la juste valorisation de l’activité médicale dans le cadre des missions d’audit qu’ils exercent– et, pour ce faire, d’accéder à des données de santé –, elle s’interroge sur les modalités retenues, notamment l’intérêt que ceux-ci accèdent aux données directement identifiantes figurant dans les dossiers médicaux des patients.
Elle estime qu’au regard du caractère particulièrement sensible des données de santé et du régime particulier institué par l’article 9 du RGPD et la loi du 6 janvier 1978, cet accès n’est pas suffisamment encadré. Elle demande que les commissaires aux comptes n’aient pas accès aux données d’identification du patient (nom, prénom, âge, date de naissance, adresse) et qu’ils n’aient accès qu’à des données pseudonymisées au sens de l’article 4-5) du RGPD.
La Commission demande également que les permissions d’accès mises en place soient effectivement restreintes à la lecture et, par voie de conséquence, que le projet de décret mentionne expressément l’impossibilité pour les commissaires aux comptes de créer et de modifier les données relatives aux patients.
Sur la qualification des prestataires extérieurs et des commissaires aux comptes et de leurs obligations
Le ministère a indiqué que les prestataires extérieurs pour leurs missions d’élaboration du PMSI et d’optimisation du codage des actes, et les commissaires aux comptes pour l’examen du cycle de recettes, peuvent traiter des données de santé à caractère personnel directement ou indirectement identifiantes transmises par les établissements de santé les sollicitant.
L’article 1

une interdiction de conserver les données mises à disposition par l’établissement, au-delà de la durée strictement nécessaire aux missions qui leur ont été confiées dans la limite de leur contrat ;
le recours à un hébergeur de données de santé agréé ou certifié, lorsqu’un hébergement de données de santé a lieu.
S’agissant des prestataires extérieurs, la Commission indique que ceux-ci, en contribuant directement au codage des actes ou à des opérations d’optimisation de ce codage, interviennent pour le compte des établissements de santé. A ce titre, elle considère qu’ils relèvent de la catégorie des sous-traitants au sens de l’article 28 du RGPD. La Commission rappelle que, compte tenu de la sensibilité des données, ils devront mettre en place des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles de manière à ce que les opérations d’analyse de l’activité médicale pour le compte des établissements de santé répondent aux exigences du RGPD et garantissent la protection des droits des patients concernés par le traitement de leurs données.
S’agissant des commissaires aux comptes, dans la mesure où, sur le fondement du nouvel article L. 6113-7 du CSP, le législateur a ouvert la possibilité au ministère de permettre à ces derniers, au titre de leur mission légale de certification des comptes, soit d’accéder aux bases de données médico-administratives des établissements de santé, soit d’en obtenir une extraction, la Commission estime que ceux-ci sont responsables des traitements de données à caractère personnel ainsi mis en œuvre. Néanmoins, elle indique que les opérations de traitement, compte tenu des principes généraux applicables à la protection des traitements de données à caractère personnel, devront prioritairement s’effectuer sous la forme d’une simple consultation des bases de données médico-administratives.
A ce titre, la Commission rappelle que les commissaires aux comptes devront respecter l’ensemble des principes généraux applicables en matière de protection des traitements des données à caractère personnel, tels que ceux-ci résultent de l’article 5 du RGPD, et notamment ceux relatifs à la minimisation et à la sécurité. Conformément aux dispositions des articles 24 et 25 du RGPD, les commissaires aux comptes devront mettre en œuvre toutes les mesures techniques et organisationnelles appropriées, tant au moment de la détermination des moyens qu’au moment de la mise en œuvre du traitement lui-même, afin de répondre aux exigences du RGPD et de protéger les droits des personnes ; ils devront s’assurer que seules des données strictement nécessaires à l’exercice de leurs missions de certification des comptes sont traitées.
Dès lors que les traitements concernés seront susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques, une analyse d’impact sur la protection des données devra être menée par les commissaires aux comptes en application des dispositions de l’article 35 du RGPD.
La Commission attire également l’attention sur le respect des exigences de sécurité suivantes :
le traitement doit être mis en œuvre dans le cadre d’une politique de sécurité des systèmes d’informations ;
les échanges de données doivent être chiffrés ;
le traitement doit prévoir une procédure de gestion du personnel et des habilitations afin de permettre le traitement des seules données strictement nécessaires à la finalité, comme l’exige l’article 32-4 du RGPD ;
les données doivent être supprimées des systèmes lorsqu’elles ne font plus l’objet d’un traitement, conformément à la durée du contrat ;
une procédure de traçabilité doit être mise en œuvre afin de permettre l’identification des personnes ayant accédé aux données sur une période de six mois glissants (il s’agit de permettre la collecte, l’exploitation, la sécurisation des traces, la prise en compte de l’ensemble des événements, la gestion des traces notamment quant à leur intégrité et leur sauvegarde ainsi que leur exploitation de manière régulière).
A ce titre, la Commission note que le projet de décret prévoit que l’hébergement de données par un tiers devra respecter les conditions posées par l’article L. 1111-8 du CSP (recours à un hébergeur de données de santé agréé ou certifié).
Enfin, la Commission constate que le projet de décret mentionne que les commissaires aux comptes ne peuvent conserver les données mise à disposition au-delà de la durée strictement nécessaire aux missions qui leur sont confiées dans la limite de leur contrat. Dans la mesure où le ministère indique que la durée contractuelle de conservation des données peut varier, la Commission s’interroge, au regard du caractère particulièrement sensible des données et de la nécessité de retenir une durée conforme aux exigences de l’article 5-1-e) du RGPD, sur l’opportunité de retenir une durée de conservation plus courte, prévoyant une suppression des données dès l’achèvement de la procédure de certification.
Les autres dispositions du projet de décret n’appellent pas d’observations de la Commission.
Pour La Présidente
Le Vice-Président délégué
Marie-France MAZARS