http://www.cnil.fr

Nathalie BESLAY

27 août 2000

Soucieux du développement des fichiers ayant pour finalité l’évaluation des pratiques de soins et conscient des risques de dérives que de tels fichiers sont susceptibles de générer, le législateur est intervenu pendant l’été 1999 en ajoutant une nouvelle procédure pour certains traitements de données médicales nominatives au dispositif français d’encadrement de la mise en œuvre de fichiers nominatifs.

Rappel du cadre général " Informatique et Libertés "

Et les fichiers d’évaluation des pratiques de soins ont été publiés …

La nouvelle procédure de demande d’autorisation

Sur le fonds

Rappel du cadre général " Informatique et Libertés "

La loi 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés a instauré le système français d’encadrement de la mise en œuvre des traitements automatisés de données nominatives et ce dans un objectif non dissimulé de protection des personnes à l’égard des traitements de données les concernant directement, et dans certains cas touchant à l’intimité de leur vie privée.

Ce dispositif prévoit quelques garde-fous :

• déclaration auprès de la Commission Nationale Informatique et Libertés (CNIL) concernant les traitements de données nominatives et leur finalité ;

• information des personnes concernées de l’existence de certains droits offerts à ce titre : droit d’accès et de rectification, notamment, aux données qui les concernent ;

• mise en œuvre de mesures de sécurité destinées à assurer la confidentialité et l’intégrité des fichiers ainsi réalisés.

Certaines données dites sensibles nécessitent le recueil préalable des personnes concernées avant leur traitement. Tel est le cas des données relatives par exemple aux croyances religieuses, aux appartenances politiques et/ou syndicales, aux mœurs.

En France, les données de santé ne constituent pas des données sensibles au sens de la loi. Toutefois, une transposition de la Directive européenne de 1995 relative à la protection des personnes à l’égard des traitements de données devrait conduire prochainement le législateur français à ériger au rang de donnée sensible toute donnée de santé nominative. Dés lors, les traitements de données de santé nécessiteront le recueil préalable du consentement de la personne concernée.

Dés 1994, le législateur a intégré une procédure spéciale pour les fichiers ayant pour fin la recherche dans le domaine de la santé : il ne s’agit plus d’une procédure de déclaration, mais de demande d’autorisation auprès de la CNIL, précédée de la sollicitation de l’avis d’un Comité spécial dénommé Comité consultatif sur le traitement de l’information en matière de recherche dans le domaine de la santé, et à laquelle s’ajoute le renforcement des protections des personnes (consentement, droit d’opposition…).

Cette procédure exclut de son champs d’application les traitements de données ayant pour fin le suivi thérapeutique ou médical individuel des patients, qui demeurent soumis à la procédure de " droit commun ".

Et les fichiers d’évaluation des pratiques de soins ont été publiés …

Mobilisé par la publication des résultats de fichiers réalisés au sein d’établissements de soins, jusque-là tenus secrets et portant sur l’évaluation des pratiques de soins, le législateur a souhaité que la CNIL contrôle davantage la mise en œuvre de tels fichiers, alors couverts par le champ de la procédure de déclaration. Il a élargi cette procédure aux fichiers relatifs aux pratiques de prévention.

Cette nouvelle procédure ne s’applique ni aux fichiers mis en œuvre par les organismes d’assurance maladie, ni aux fichiers mis en œuvre par les Directeurs de l’information médicale (DIM) dans le cadre des obligations définies à l’article L 710-6 du Code de la santé publique.

Le nouvel article 40-12 de la loi vise les fichiers concernés : il s’agit des fichiers constitués à partir des données issues des traitements effectués dans le cadre de l’informatique hospitalière (article L 710-6 CSP), dans le cadre de l’exercice libéral des professionnels de santé et dans le cadre du système d’information de l’assurance maladie.

Pour définir le périmètre d’application du nouveau dispositif, le législateur s’attache donc à l’origine des données et impose en cas de traitements de ces données :

• une nouvelle procédure ;

• l’interdiction du traitement des données permettant l’identification directe des personnes concernées ;

• l’interdiction de la publication des fichiers en cas d’identification possible des personnes concernées.

La nouvelle procédure de demande d’autorisation

La CNIL instruit chaque demande de mise en œuvre des traitements susvisés en vérifiant :

• les " garanties " présentées par le responsable du traitement : vraisemblablement sa crédibilité et sa notoriété ;

• l’objet social et la mission de l’organisme demandeur ;

• la nécessité de recourir au traitement des données personnelles visées par le demandeur ;

• la pertinence du traitement au regard de sa finalité, c’est-à-dire concrètement le lien nécessaire entre les données traitées et l’objectif poursuivi par le traitement.

La CNIL détermine en outre la durée de conservation et contrôle les mesures de sécurité envisagées.

L’autorisation de la CNIL sera donnée dans les deux mois de sa saisine, son silence gardé durant ce délai valant rejet.

Sur le fonds

En tant qu’élément permettant l’identification directe des personnes physiques, leur nom, prénom et numéro d’inscription au Répertoire national d’identification ne peuvent être traités au sein de tels fichiers.

En outre, en cas de publication, l'identification des personnes concernées ne devra pas être possible. En effet, même si leur nom, prénom et numéro INSEE ne sont pas traités, d’autres éléments d’identification pourront être collectés et traités, mais devront toutefois être anonymisés avant toute publication des fichiers.

En toutes hypothèses, les sanctions pénales demeurent en vigueur en cas de non respect de ces obligations.

Cette nouvelle procédure couvre donc tous les fichiers qui sont réalisés au titre de l’évaluation des pratiques de soins et de prévention, tels que les fichiers mis en œuvre dans le cadre des réseaux de soins ou d’études en économie de santé ou de qualité des prestations de santé.

En l’état, la CNIL n’a pas publié de nouveaux formulaires, et indique de façon informelle qu’il convient d’utiliser les formulaires qu’elle publie au titre des demandes d’autorisation des fichiers en matière de recherche de santé.

Réagissez à cet article.

Retrouvez tous les autres articles de la rubrique e-Droit.