Délibération n° 2018-005 du 18 janvier 2018 portant avis sur un projet de décret relatif à l’établissement des listes nominatives des infirmiers et des pédicures-podologues salariés en vue de leur inscription au tableau de l’ordre et modifiant le décret n° 2016-746 du 2 juin 2016 relatif à l’établissement des listes nominatives des masseurs kinésithérapeutes salariés en vue de leur inscription au tableau de l’ordre (demande d’avis n° 17023298)
Nature: Avis

La Commission nationale de l'informatique et des libertés,
Saisie par la ministre des solidarités et de la santé d’une demande d’avis concernant un projet de décret relatif à l’établissement des listes nominatives des infirmiers et des pédicures-podologues salariés en vue de leur inscription au tableau de l’ordre et modifiant le décret n° 2016-746 du 2 juin 2016 relatif à l’établissement des listes nominatives des masseurs kinésithérapeutes salariés en vue de leur inscription au tableau de l’ordre ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 4311-15, L. 4321-10 et L. 4322-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-4°-a ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie, le 20 novembre 2017, pour avis par la ministre des solidarités et de la santé d’un projet de décret (ci-après le " projet ") relatif à l’établissement des listes nominatives des infirmiers et des pédicures-podologues salariés en vue de leur inscription au tableau de l’ordre et modifiant le décret n° 2016-746 du 2 juin 2016 relatif à l’établissement des listes nominatives des masseurs kinésithérapeutes salariés en vue de leur inscription au tableau de l’ordre.
Le projet est pris en application des articles L. 4311-15, L. 4321-10 et L. 4322-2 du code de la santé publique (CSP) selon lesquels les listes nominatives des infirmiers, des masseurs-kinésithérapeutes et des pédicures-podologues salariés des structures publiques et privées peuvent être communiquées aux conseils nationaux de l’ordre compétent, notamment pour procéder à l’inscription automatique de ces professionnels au tableau tenu par l’ordre.
Dans la mesure où le projet contient les mesures relatives au traitement des données à caractère personnel des infirmiers et pédicures-podologues collectées et modifie certaines dispositions du décret n° 2016-746 du 2 juin 2016 des masseurs-kinésithérapeutes, la Commission a été saisie d’une demande d’avis sur le fondement de l’article 11-4°-a) de la loi du 6 janvier 1978 modifiée (ci-après " loi Informatique et Libertés ").
Sur la finalité du traitement :
Le projet vise à encadrer la transmission des listes nominatives des infirmiers et des pédicures-podologues employés par des structures publiques ou privées, et tenues par ces structures, aux conseils nationaux compétents, tel que cela est prévu par les articles L. 4311-15 et L. 4322-2 du CSP.
A partir des listes nominatives transmises par les structures publiques ou privées employeurs au conseil national, les conseils départementaux ou interdépartementaux pour les infirmiers, les conseils régionaux ou inter-régionaux pour les pédicures-podologues, identifient ceux des infirmiers et pédicures-podologues qui ne sont pas encore inscrits au tableau de l’ordre et procèdent à leur inscription provisoire, dans l’attente de la communication des pièces nécessaires à l’instruction du dossier.
Ce dispositif vise à faciliter l’inscription au tableau de l’ordre des professionnels salariés, non encore inscrits, et des nouveaux entrants dans la profession qui exerceront à titre salarié.
La Commission estime que la finalité est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi Informatique et Libertés.
 
Sur la nature des données traitées :
Les articles 1 et 2 du projet indiquent les données d’identification figurant sur les listes nominatives d’infirmiers et de pédicures-podologues transmises par les structures publiques et privées employeurs aux conseils nationaux de l’ordre compétent :
noms et prénoms du professionnel concerné ;
dernière adresse personnelle de correspondance du professionnel détenue par l’établissement ou la structure ;
date et lieu de naissance du professionnel ;
intitulé, date et lieu d’obtention du titre de formation ou de l’autorisation d’exercice délivrée au professionnel ;
adresse électronique à laquelle le professionnel souhaite être joint par l’ordre pour la transmission des informations prévues aux 2ème et 3ème alinéas du II du présent article (information sur son inscription provisoire, sur la liste des pièces à fournir pour son inscription définitive au tableau et sur les conséquences de la non transmission de ces pièces) et pour répondre aux exigences de l’article L. 4001-2 du CSP (information concernant les messages de sécurité diffusés par les autorités sanitaires).
 
Les articles 1 et 2 du projet précisent quelles sont les pièces complémentaires que les infirmiers et pédicures-podologues, inscrits de manière provisoire au tableau de l’ordre, doivent transmettre pour finaliser leur procédure d’inscription :
une photocopie d'une pièce d'identité en cours de validité ;
le cas échéant, une attestation de nationalité délivrée par une autorité compétente ;
une copie de l’un des diplômes, certificats, titres ou autorisations exigées pour l’exercice de la profession ;
pour les ressortissants d’un Etat étranger, un extrait de casier judiciaire ou un document équivalent ;
une déclaration sur l'honneur du demandeur certifiant qu'aucune instance pouvant donner lieu à condamnation ou sanction susceptible d'avoir des conséquences sur l'inscription au tableau n'est en cours à son encontre ;
un certificat de radiation d’inscription ou d’enregistrement délivré par l’autorité auprès de laquelle le demandeur était antérieurement inscrit ou enregistré ou, à défaut, une déclaration sur l’honneur du demandeur certifiant qu’il n’a jamais été inscrit ou enregistré ;
tous éléments de nature à établir que le demandeur possède les connaissances linguistiques nécessaires à l'exercice de la profession ;
un curriculum vitae.
L’article 3 du projet crée une procédure simplifiée d’inscription, pour les infirmiers et pédicures-podologues déjà salariés d’une structure publique ou privée mais non inscrits au tableau de l’ordre, au moment de la publication du décret. Pour ces professionnels, les pièces suivantes doivent être communiquées :
une photocopie d'une pièce d'identité en cours de validité ;
une copie des titres de formation ou de l’autorisation d’exercice ;
une déclaration sur l’honneur certifiant qu'aucune instance pouvant donner lieu à condamnation ou sanction susceptible d'avoir des conséquences sur l'inscription au tableau n'est en cours à son encontre.
La Commission estime que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés.
Sur les destinataires des données :
Le projet prévoit que les informations sont transmises par les structures publiques ou privées employeurs, pour les infirmiers, au conseil national de l’ordre des infirmiers et, pour les pédicures-podologues, au conseil national de l’ordre des pédicures-podologues par voie électronique. Le conseil national communique ensuite ces informations, pour l’ordre des infirmiers, à chaque conseil départemental ou interdépartemental compétent et, pour l’ordre des pédicures-podologues, à chaque conseil régional ou inter-régional.
Afin de garantir la sécurité des données ainsi transmises, la Commission recommande que seuls les personnels habilités à gérer le tableau des ordres compétents soient destinataires des données au sein des conseils nationaux, départementaux, interdépartementaux, régionaux et interrégionaux visés par le projet.
Sur l'information et les droits des personnes :
Les articles 1 et 2 du projet prévoient que la transmission des données d’identification des infirmiers et des pédicures-podologues figurant dans les listes nominatives transmises par les structures publiques et privées employeurs fait l’objet d’une information préalable du professionnel par ces structures.
Par ailleurs, la Commission relève que les articles 1 et 2 du projet énoncent que les droits d’accès et de rectification s’exercent, pour les infirmiers, auprès des conseils départementaux ou interdépartementaux territorialement compétents et, pour les pédicures-podologues auprès du conseil départemental compétent.
La Commission relève que l’ordre des pédicures-podologues ne dispose pas de niveau départemental. De ce fait, les pédicure-podologues sont privés de l’exercice effectif de leurs droits d’accès et de rectification. Le ministère s’est toutefois engagé à modifier le texte pour permettre l’exercice de ces droits auprès du conseil régional et inter-régional.
La Commission constate que les articles 1 et 2 ne visent pas le droit d’opposition et que l’exclusion de l’exercice de ce droit, initialement prévue pour les kinésithérapeutes, est supprimée par l’article 6 du projet de décret. Elle rappelle que le droit d’opposition prévu par l’article 38 de la loi Informatique et Libertés ne s’applique pas lorsque le traitement répond à une obligation légale. Tel est le cas en l’espèce.
La Commission estime que les dispositions prévues dans le projet, en ce qui concerne l’information et l’exercice des droits des infirmiers et des pédicures-podologues, sont conformes à la loi Informatique et Libertés.
Sur la durée de conservation des données :
Le projet de décret prévoit que les informations collectées et triées par l’ordre des infirmiers et des pédicures-podologues sont conservées par l’ordre compétent pour une durée correspondant à la période d’inscription provisoire.
La Commission estime que les données sont conservées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 6-5° de la loi Informatique et Libertés.
Sur la sécurité des données et la traçabilité des actions :
L’article 1er du projet prévoit que la transmission trimestrielle des informations par les employeurs au conseil national de l’ordre des infirmiers s’opère, par voie électronique, à une adresse communiquée par le conseil national, dans des conditions garantissant la confidentialité des données recueillies.
Le format du fichier contenant ces informations est validé par l’Agence des Systèmes d’Information Partagés en Santé (ASIP Santé). L’article 2 du projet prévoit des modalités similaires pour les pédicures-podologues, sans la mention d’une adresse communiquée par le conseil national.
A cet égard, la Commission prend acte de ce que le format d’échange a été validé par l’ASIP Santé en termes d’interopérabilité et d’uniformisation des remontées.
L’article 3 prévoit que " les infirmiers et pédicures-podologues […] non inscrits au tableau de l’ordre à la date de publication du présent décret " fournissent les pièces de leur dossier d’inscription " le cas échéant au moyen d’un portail Internet sécurisé ".
A cet égard, la Commission considère que la formulation " le cas échéant " est trop large. Interrogé par ses services, le ministère a précisé que les alternatives au portail sécurisé sont celles des textes en vigueur, qui prévoient une transmission par courrier papier. La Commission prend acte de ce que le projet de décret a été modifié par le ministère pour encadrer explicitement ces possibilités de transmission.
Globalement pour ces trois articles, la Commission rappelle qu’en application de l’article 34 de la loi Informatique et Libertés le responsable du traitement doit prendre toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
S’agissant d’échanges par voie électronique, la Commission recommande que des mesures de sécurité appropriées soient prises, telles que le chiffrement et la signature électronique des données échangées, par un algorithme réputé fort et avec une gestion sécurisée des clés, afin de garantir la confidentialité, l’intégrité et l’imputabilité des échanges.
Elle recommande également que des règles d’habilitation soient mises en place pour les destinataires, qu’une revue globale des habilitations soit opérée régulièrement, notamment pour tenir compte des départs de collaborateurs, et que la traçabilité des transmissions, consultations et modifications de données soit assurée par la mise en place d’une journalisation automatique.
En outre, elle rappelle que les portails de téléservice doivent être conformes au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010 susvisé, et doivent à ce titre faire l'objet d'une analyse de risque incluant les risques pesants sur les personnes concernées. La Commission rappelle également qu’il revient au responsable de traitement d’attester formellement de l'acceptation du niveau de sécurité du téléservice au travers d’une homologation RGS et d'en publier l'attestation d'homologation sur son site.
Enfin, la Commission rappelle que l’obligation de sécurité prévue par l’article 34 précité nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Les autres points du projet de décret n’appellent pas, en l’état et au regard de la loi Informatique et Libertés, d’autres observations de la Commission.
 
Pour La Présidente
Le Vice-Président Délégué
Marie-France MAZARS