La Commission nationale de l'informatique et des libertés,
 Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 Vu le code de la santé publique, notamment son article L. 1111-8 ;
 Vu le code de la sécurité sociale, notamment ses articles R. 165-1 et suivants ;
 Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25 (I, 1°) et 25-II ;
 Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 Vu l'arrêté du 22 octobre 2013 portant modification des modalités d'inscription et de prise en charge du dispositif médical à pression positive continue pour traitement de l'apnée du sommeil et prestations associées au chapitre 1er du titre Ier de la liste des produits et prestations remboursables prévue à l'article L. 165-1 du code de la sécurité sociale ;
 Après avoir entendu M. Jean MASSOT, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
   Formule les observations suivantes :
 En application des dispositions des articles R. 165-1 et suivants du code de la sécurité sociale, l'arrêté du 22 octobre 2013 portant modification des modalités d'inscription et de prise en charge du dispositif médical à pression positive continue (DM à PPC) pour le traitement de l'apnée du sommeil et prestations associées modifie les modalités d'inscription sur la liste mentionnée à l'article L. 165-1 du code de la sécurité sociale des DM à PPC, notamment en organisant une télétransmission automatisée et obligatoire des données d'observance produites par les DM à PPC utilisés dans le cadre du traitement de l'apnée du sommeil.
 En application du texte précité, les prestataires de santé à domicile (PSAD) mettent en place un traitement de données à caractère personnel.
 Par ailleurs, les données d'observance traitées par les PSAD sont des données de santé à caractère personnel qui relèvent de l'article 8 de la loi du 6 janvier 1978 modifiée.
 Dès lors, de tels traitements relèvent de l'article 25 (I, 1°) de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, être autorisés par la CNIL.
 En vertu de l'article 25-II de la loi du 6 janvier 1978 modifiée, la Commission peut autoriser par une décision unique une catégorie de traitements qui répondent aux mêmes finalités, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires.
 Les traitements automatisés de données à caractère personnel mis en œuvre par les PSAD ayant pour finalité la téléobservance, en application de l'arrêté du 22 octobre 2013, sont de ceux qui peuvent, sous certaines conditions, relever de cette définition.
 Les PSAD qui adressent à la Commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à les mettre en œuvre.
 Tout traitement de données à caractère personnel qui excède le cadre ou les exigences définis par la présente autorisation unique doit en revanche faire l'objet d'une formalité spécifique.
Pour la présidente :
Le vice-président délégué,
E. de Givry