La Commission Nationale de l'Informatique et des Libertés,    Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;    Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment ses articles 15, 19, 29, 34 et 40 ;    Vu l'article 378 du Code pénal relatif au secret professionnel ;    Vu la loi n° 70-1318 du 31 décembre 1970 portant réforme hospitalière modifiée par la loi du 3 janvier 1984 ;    Vu la loi du 3 janvier 1979 sur les archives ;    Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 ;    Vu le projet de décision présenté par le Directeur Général de l'Assistance Publique de Marseille ;    Après avoir entendu, Monsieur Gérard JAQUET en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que le traitement automatisé SESAME auquel font référence la déclaration ordinaire et la déclaration de modification de l'Assistance Publique de Marseille, constitue l'une des applications du système global de gestion informatique, dénommé filière MISTRAL, proposé aux établissements hospitaliers ;    Considérant que cette application mise en oeuvre dans les services médicaux des hôpitaux de l'Assistance Publique de Marseille permet aux médecins d'établir par service, en fonction de leurs spécialités, des dossiers médicaux spécifiques à partir de questionnaires informatiques qu'ils conçoivent eux-mêmes ;    Considérant que SESAME assure ainsi la gestion des dossiers médicaux, l'édition automatique de lettres personnalisées ainsi que d'états statistiques ;    Considérant que les données enregistrées dans les traitements locaux de SESAME sont définies librement par chaque service ;    Considérant que ces données doivent être pertinentes, adéquates et non excessives par rapport à la finalité médicale des traitements ; qu'afin d'en assurer le contrôle préalable que lui prescrit l'article 15 de la loi du 6 janvier 1978, la Commission devra avoir connaissance de la liste des informations traitées par chaque service ;    Rappelant en particulier que conformément à l'article 31 de la loi du 6 janvier 1978 la mise en mémoire des données faisant apparaître les origines raciales ou les opinions philosophiques, religieuses est interdite sauf accord exprès des intéressés ; qu'en application de l'article 30 de la loi précitée, seules les juridictions et autorités publiques agissant dans le cadre de leurs attributions légales ainsi que, sur avis conforme de la Commission Nationale, les personnes morales gérant un service public peuvent procéder au traitement automatisé des informations nominatives concernant les infractions, condamnations ou mesures de sûreté ;    Considérant, qu'en vertu des dispositions de l'article 18 de la loi précitée, l'enregistrement du numéro de sécurité sociale comme identifiant du dossier médical est subordonnée à la prise d'un décret en Conseil d'Etat pris après avis de la Commission ;    Considérant que cette application utilise des terminaux situés dans les services hospitaliers et reliés par réseau interne, soit à un ordinateur du centre régional d'informatique hospitalière soit à un ordinateur de l'hôpital qui retransmet les données d'état civil des patients extraites du traitement LOGHOS ; qu'en outre, une liaison spécialisée de télémaintenance peut être établie à l'initiative de l'hôpital où est implanté le système ;
Considérant que des mesures strictes de sécurité doivent être mises en place par l'Assistance Publique de Marseille, afin de prévenir tout accès incontrôlé aux fichiers nominatifs du traitement SESAME ; qu'en particulier, il importe d'assurer une gestion plus rigoureuse des mots de passe actuellement choisis par les utilisateurs ;    Estime en conséquence nécessaire de vérifier sur place les conditions d'exploitation du système et d'apprécier ainsi, en fonction des spécificités techniques locales, les mesures de sécurité devant être prescrites ;    Considérant que le système devra comporter un dispositif permettant de suivre les interrogations et accès au système ; qu'il importe également de rappeler aux personnels des hôpitaux concernés leurs obligations de secret ainsi que les dispositions de la loi du 6 janvier 1978 ;    Considérant que le droit d'accès constitue l'une des garanties essentielles de la protection des personnes séjournant à l'hôpital, qu'en conséquence, l'existence et les modalités d'exercice de ce droit, telles que prévues aux articles 34 et 40 de la loi du 6 janvier 1978, devront être portées expressément à la connaissance de ces derniers ou de leurs représentants légaux, par les livrets d'accueil et dans les services hospitaliers ;
Emet sous les réserves précitées, un avis favorable au projet d'acte réglementaire présenté par le Directeur Général de l'Assistance Publique de Marseille étant entendu d'une part, que les hôpitaux qui adopteront cette application, devront présenter à la Commission, une demande d'avis allégée de référence audit traitement, accompagnée d'un projet d'acte réglementaire, et d'un engagement de conformité, d'une annexe sur les sécurités et d'une annexe précisant les informations enregistrées par service, d'autre part que pour les établissements hospitaliers de l'Assistance Publique de Marseille qui adopteront cette application, l'Assistance Publique devra adresser à la CNIL une déclaration de modification.     Le Président, Jacques FAUVET
