Délibération portant autorisation de mise en oeuvre par l'association réseau 25 d'un traitement automatisé de données à caractère personnel ayant pour finalité la création d'un dossier médical partagé dans le domaine des conduites addictives.
Nature: Autre autorisation

   La Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;   Vu la demande d'autorisation présentée par le Réseau 25 de mise en place d'un dossier médical partagé dans le domaine des conduites addictives ;   Après avoir entendu Monsieur Jean-Pierre de Longevialle, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
   Formule les observations suivantes ;   L'association Réseau 25 a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la création, dans le cadre d'un réseau ville-hôpital dans le département du Doubs, d'un dossier médical partagé afin de mener des actions de prévention et d'améliorer la qualité de la prise en charge des toxicomanes. La participation au réseau sera volontaire et sera matérialisée par la signature de la charte patient.   Des statistiques d'évaluation pourront être effectuées à partir de données préalablement anonymisées.   La Commission considère qu'il y a lieu de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier des articles 8-IV et 25 de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l'intérêt public.   La Commission prend acte que le système d'information du réseau hébergé au centre hospitalier universitaire de Besançon utilisera le réseau internet. Les transmissions de données seront cryptées à un niveau élevé (protocole SSL 1024 bits). Le certificat associé sera délivré par le GIP CPS.   L'accès par le professionnel de santé au dossier s'effectuera en se connectant à l'adresse internet du réseau www.fc-sante.atrium.rss.fr, puis en s'authentifiant avec sa carte de professionnel de santé ou avec un mot de passe personnel et un code utilisateur qui seront attribués par le médecin coordinateur. L'accès au dossier médical d'un patient sera protégé par un mot de passe détenu par le patient.   Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du professionnel de santé en contact direct avec le patient ou auprès du réseau 25 pour les données non médicales.   Une note d'information sera remise au patient à cet effet.   Les catégories de données à caractère personnel enregistrées seront relatives à l'identité du patient, son adresse, sa date de naissance, sa situation familiale, ses antécédents médicaux et l'ensemble des données sociales, morphologiques, cliniques recueillies dans le cadre de la prise en charge, les prescriptions médicamenteuses et concernant les données relatives à l'hospitalisation.   Les informations seront conservées dans l'application tant que le patient adhère au réseau. A l'issue de cette période, les données devront être archivées conformément à la réglementation en vigueur.   Les destinataires des données seront les membres des réseaux professionnels de santé participant au dispositif pour les informations relatives à leurs patients.
   Autorise, dans ces conditions, l'Association Réseau 25 à mettre en place dans le département du Doubs, dans le cadre d'un réseau ville-hôpital, un dossier médical partagé.   Le CHU de Besançon devra, en sa qualité d'hébergeur de données de santé à caractère personnel, satisfaire aux conditions d'agrément telles qu'elles seront définies en application de l'article L. 1111-8 du code de la santé publique.   Le Président, Alex TURK.