La réforme sur le traitement
des données de santé à
caractère personnel

Hervé Nabarette

6 novembre 2002
1/2

L’hébergeur de données médicales est la personne physique ou morale qui ayant reçu l’agrément dont parle la loi du 4 mars, propose aux professionnels de santé ou aux établissements de "déposer" des données de santé à caractère personnel aux fins de conservation, de consultation et de restitution.

 La réforme de la loi "Informatique et Libertés"

La réforme en cours de la législation Informatique et Libertés de 1978 donne des moyens et des pouvoirs accrus à la CNIL, notamment en matière d’investigation. Elle généralise le régime d’autorisation pour les informations de santé à caractère personnel.

Toutefois, le régime d’autorisation concernait déjà une partie des traitements mis en œuvre par les opérateurs :

• Traitements mettant en jeu des données personnelles de santé lorsque le promoteur est public ("demande d’avis"). Exemple : dossier médical dans un service hospitalier public ;
• Traitements mettant en jeu des données personnelles de santé ayant pour fin la recherche dans le domaine de la santé ("demandes d’autorisation"). Exemples : essais cliniques ;
• Traitements mettant en jeu des données personnelles de santé à des fins d’évaluation ou d’analyse des pratiques ("demande d’avis"). Exemple : demande d’exploitation des bases PMSI.

Avant que la réforme de la loi de 1978 entre en vigueur, il reste donc sur le régime des déclarations ordinaires :

• Traitements mettant en jeu des données personnelles de santé lorsque le promoteur est privé, et lorsque le traitement ne vise pas la recherche ou l’évaluation. Exemple : dossier médical dans un réseau dont le promoteur est une association.

Mais, pour les déclarations ordinaires, il est d’usage que l’hébergeur attende l’étude du dossier par la CNIL, allant ainsi au-delà des obligations réglementaires, sur des matières complexes où la "jurisprudence" de la Commission s’est renforcée ces dernières années. Sur certains dossiers, les opérateurs sont amenés à rencontrer les attachés juridiques de la CNIL et les responsables du département informatique de la Commission pour approfondir des questions techniques.

La réforme de la loi Informatique représente moins un "durcissement" qu’une homogénéisation des procédures et une adaptation du texte aux pratiques. Sur certains points, il est même prévu des assouplissements, par exemple concernant l’établissement de méthodologies de référence pour la recherche dans le domaine de la santé (simple engagements de conformité).

Suite (2/2)