Délibération nº 2005-296 du 22 novembre 2005 portant adoption d'une norme simplifiée relative aux traitements automatisés de données à caractère personnel mis en oeuvre par les membres des professions médicales et paramédicales exerçant à titre libéral à des fins de gestion de leur cabinet (norme simplifiée nº 50).

La Commission nationale de l'informatique et des libertés,

Vu la convention nº 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, notamment son article 8 ;

Vu la loi nº 78-17 du 6 janvier 1978, modifiée par la loi nº 2004-801 du 6 août 2004, relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11, 22, 23, 24-I et 30 ;

Vu les articles 226-13 et 226-14 du code pénal relatifs au secret professionnel ;

Vu le code de la santé publique, et notamment son article L. 1111-8 ;

Vu les articles L. 161-29, R. 115-1 et suivants et R. 161-47 du code de la sécurité sociale ;

Vu le décret nº 67-671 du 22 juillet 1967 modifié portant code de déontologie des chirurgiens-dentistes ;

Vu le décret nº 91-776 du 8 août 1991 portant code de déontologie des sages-femmes ;

Vu le décret nº 93-221 du 16 février 1993 relatif aux règles professionnelles des infirmiers et infirmières ;

Vu le décret nº 95-100 du 6 septembre 1995 portant code de déontologie médicale ;

Vu le décret nº 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978, modifiée par la loi nº 2004-801 du 6 août 2004 ;

Vu la délibération nº 97-008 du 4 février 1997 portant adoption d'une recommandation sur le traitement des données à caractère personnel ;

En vertu de l'article 24 de la loi du 6 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés est habilitée à établir des normes destinées à simplifier l'obligation de déclaration des traitements les plus courants et dont la mise en oeuvre, dans des conditions régulières, n'est pas susceptible de porter atteinte à la vie privée ou aux libertés ;

Les traitements informatisés de données à caractère personnel mis en oeuvre par les membres des professions médicales et paramédicales exerçant à titre libéral à des fins de gestion de leur cabinet sont de ceux qui peuvent, sous certaines conditions, relever de cette définition,

Décide :

Article 1. Champ d'application.

Peuvent bénéficier de la procédure de la déclaration simplifiée de conformité à la présente norme les traitements mis en oeuvre par les membres des professions médicales et paramédicales exerçant à titre libéral qui répondent aux conditions définies aux articles 1er à 7 ci-après.

La présente norme ne s'applique ni aux traitements mis en oeuvre par les pharmacies ni aux traitements des laboratoires d'analyses de biologie médicale.

En cas de dépôt chez un hébergeur des données de santé, le traitement mis en oeuvre par le professionnel de santé ne peut être déclaré par référence à la présente norme.

Article 2. Finalités du traitement.

Les traitements sont mis en oeuvre pour faciliter la gestion administrative des cabinets et l'exercice des activités de prévention, de diagnostics et de soins.

Ils n'assurent pas d'autres fonctions que :

– la gestion des rendez-vous ;

– la gestion des dossiers médicaux et l'édition des ordonnances ;

– la gestion et la tenue des dossiers individuels de soins ;

– l'établissement et la télétransmission des feuilles de soins ;

– l'envoi de courriers aux confrères ;

– la tenue de la comptabilité ;

– la réalisation d'études statistiques à usage interne.

Les données personnelles de santé ne peuvent être utilisées que dans l'intérêt direct du patient et, dans les conditions déterminées par la loi, pour les besoins de la santé publique. Toute autre exploitation de ces données, notamment à des fins commerciales, est proscrite.

La constitution et l'utilisation à des fins de prospection ou de promotion commerciales de fichiers composés à partir de données issues directement ou indirectement des prescriptions médicales ou des informations médicales sont interdites, dès lors que ces fichiers permettent d'identifier directement ou indirectement un professionnel de santé.

Article 3. Informations collectées et traitées.

Les informations suivantes peuvent être collectées :

a) Identité : nom, prénom, date de naissance, adresse, numéro de téléphone ;

b) Numéro de sécurité sociale : pour l'édition des feuilles de soins et la télétransmission aux caisses d'assurance maladie dans les conditions définies par les articles R. 115-1 et suivants du code de la sécurité sociale ;

c) Situation familiale : situation matrimoniale, nombre d'enfants, nombre de grossesses ;

d) Vie professionnelle : profession, conditions de travail ;

e) Santé : historique médical, historique des soins, diagnostics médicaux, traitements prescrits, nature des actes effectués et tout élément de nature à caractériser la santé du patient et considéré comme pertinent par le professionnel de santé.

Des informations relatives aux habitudes de vie peuvent être collectées avec l'accord du patient et dans la stricte mesure où elles sont nécessaires au diagnostic et aux soins.

Article 4. Destinataires des informations.

Afin d'assurer la continuité des soins et avec l'accord de la personne concernée, les professionnels de santé et dans les établissements de santé, les membres de l'équipe de soins, chargés de la prise en charge du patient peuvent être destinataires des données figurant dans l'application.

Les personnes affectées à la gestion du secrétariat n'ont accès, dans le respect des dispositions sur le secret professionnel, qu'aux informations relatives à la gestion du cabinet et en particulier à la gestion des rendez-vous.

Afin de permettre le remboursement des actes, des prestations et leur contrôle, les personnels des organismes d'assurance maladie ont connaissance, dans le cadre de leurs fonctions et pour la durée nécessaire à l'accomplissement de celles-ci, de l'identité de l'assuré, de son numéro de sécurité sociale et du code des actes effectués et des prestations servies. Outre ces données, les médecins-conseils des caisses accèdent au code des pathologies diagnostiquées dans les conditions définies à l'article L. 161-29 du code de la sécurité sociale.

Les personnels des organismes d'assurance maladie complémentaire sont destinataires, dans le cadre de leurs attributions, de l'identité de leurs assurés, de leur numéro de sécurité sociale et, sous la forme de codes regroupés, aux catégories des actes et prestations effectués.

Les organismes de recherche dans le domaine de la santé et les organismes spécialisés dans l'évaluation des pratiques de soins peuvent être destinataires de données personnelles de santé dans les conditions définies par la loi du 6 janvier 1978 modifiée.

Article 5. Durée de conservation.

Les informations enregistrées ne peuvent être conservées dans l'application au-delà d'une durée de cinq ans à compter de la dernière intervention sur le dossier du patient. A l'issue de cette période, elles sont archivées sur un support distinct et peuvent être conservées pendant quinze ans dans des conditions de sécurité équivalentes à celles des autres données enregistrées dans l'application.

Les doubles des feuilles de soins électroniques doivent être conservées quatre-vingt-dix jours conformément à l'article R. 161-47 du code de la sécurité sociale.

Article 6. Information et droit d'accès.

Conformément aux dispositions à la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004, les personnes dont les données sont enregistrées et conservées dans le fichier du cabinet sont informées, par un document affiché dans les locaux du cabinet médical ou paramédical ou remis en main propre, de l'identité du responsable du traitement, de sa finalité, des destinataires des informations et des modalités pratiques d'exercice de leurs droits, en particulier du droit d'accès aux informations qui les concernent.

Article 7. Politique de confidentialité et sécurités.

Des mesures de sécurité physique et logique sont mises en place afin de préserver la confidentialité des informations couvertes par le secret médical et empêcher qu'elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés.

Le professionnel de santé accède à l'application en utilisant sa carte de professionnel de santé. Les personnels placés sous l'autorité du professionnel de santé doivent également disposer d'une carte d'accès personnelle ou d'un mot de passe personnel.

En cas d'utilisation du réseau internet pour transmettre des données personnelles de santé, un système de chiffrement » fort » de la messagerie doit être mis en place. En outre, un antivirus doit être installé et mis à jour régulièrement afin de se prémunir des risques de captation des données.

Le professionnel de santé précise par écrit, dans un protocole de confidentialité, les mesures effectivement mises en oeuvre. Ce protocole est communiqué à la CNIL à sa demande.

Article 8. La présente délibération sera publiée au Journal officiel de la République française.

Fait à Paris, le 22 novembre 2005.

Le président, A. Türk