La Commission Nationale de l'Informatique et des Libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et notamment son article 6 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés et notamment son article 31 ;
Vu les articles 226-13 et 226-14 du code pénal ;
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 ;
Vu l'arrêté du 27 novembre 1991 autorisant le traitement automatisé des dossiers médico économiques et épidémiologiques de l'immunodéficience humaine dans les centres d'information et de soins de l'immunodéficience humaine (CISIH) et autres établissements hospitaliers ;
Vu la délibération n° 91-071 du 10 septembre 1991 ;
Vu le projet d'arrêté modificatif présenté par le Ministère du travail et des affaires sociales (direction des hôpitaux) ,
Après avoir entendu Monsieur Jean-Pierre MICHEL, en son rapport et Madame Charlotte-Marie PITRAT, en ses observations ;
Considérant que le Ministère du travail et des affaires sociales (direction des hôpitaux) a saisi la Commission d'une demande visant à modifier l'article 4 de l'arrêté du 27 novembre 1991 autorisant le traitement automatisé des dossiers médicaux des patients atteints par le VIH, traitement sur lequel la Commission a émis un avis favorable par délibération n° 91-071 du 10 septembre 1991 ;
Considérant que ce traitement, mis en oeuvre dans les centres d'information et de soins sur l'immunodéficience humaine (CISIH) ainsi que dans certains établissements hospitaliers a pour finalités :
- pour chaque service d'assurer le suivi médical des patients, d'éditer les déclarations obligatoires du SIDA et de permettre la réalisation au niveau local de recherches cliniques et épidémiologiques ;
- de transmettre au ministère du travail et des affaires sociales (direction des hôpitaux, sous une forme "anonymisée", les informations médico économiques nécessaires pour connaître, analyser et évaluer l'activité hospitalière liée à l'infection par le VIH et ainsi, mieux affecter à chaque hôpital, les crédits consacrés à cette pathologie ;
- de transmettre à L'INSERM (service commun n° 4), par l'intermédiaire de la direction des hôpitaux) sous forme anonymisée, les données médicales indispensables afin de réaliser des recherches épidémiologiques et cliniques collaboratives ;
Considérant que la demande de modification, présentée par la direction des hôpitaux, a pour objet de substituer au recueil du consentement écrit du patient, exigé par la CNIL lors de la délibération précitée du 10 septembre 1991, la faculté pour celui-ci de s'opposer à l'informatisation de ses données à caractère personnel ;
Considérant que pour justifier cette demande,la direction des hôpitaux s'appuie en premier lieu sur les dispositions de la loi du 1er juillet 1994 relative au traitement des données nominatives ayant pour fin la recherche dans le domaine de la santé et modifiant la loi du 6 janvier 1978 ; que l'article 40-4 de la loi précitée ne prévoit le recueil du consentement éclairé et exprès des personnes que dans le cas où la recherche nécessite le recueil de prélèvement biologiques identifiants ; qu'en revanche, toute personne a le droit de s'opposer à ce que des données nominatives le concernant fassent l'objet d'un traitement ;
Considérant que la direction des hôpitaux invoque également les dispositions de l'article R. 710.5.7 du code de la santé publique (issu du décret du 27 juillet 1994 relatif aux systèmes d'informations médicales et à l'analyse de l'activité des établissements de santé) en application desquelles les personnes soignées dans ces établissements devront être informées de leur droit de s'opposer pour des raisons légitimes au recueil et au traitement de données nominatives les concernant ;
Considérant cependant que les finalités du traitement DMI2 ne se limitent pas aux seules recherches dans le domaine de la santé et ont également pour objet de contribuer au suivi thérapeutique des patients ; qu'ainsi, les dispositions spécifiques prévues par la loi du 1er juillet 1994 et le décret du 27 juillet 1994 n'ont pas lieu de s'appliquer ;
Considérant qu'aux termes de l'article 6 de la de la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, "les données à caractère personnel relatives à la santé ou à la vie sexuelle ne peuvent être traitées automatiquement à moins que le droit interne ne prévoit des garanties appropriées" ;
Considérant que, compte tenu des objectifs poursuivis, de la nature des informations recueillies qui, pour certaines font apparaître les caractéristiques de la maladie et les moeurs des personnes, la Commission a estimé, lors de la délibération précitée du 10 septembre 1991, que les patients devaient être informés individuellement par leur médecin traitant, de l'enregistrement informatique de leurs données nominatives dans l'application DMI2 de façon à ce qu'ils puissent exprimer, sous forme expresse, un consentement libre et éclairé au traitement informatique de ces données ;
Considérant que seul ce dispositif d'information peut permettre aux patients d'être pleinement avertis des modalités d'utilisation des données à caractère personnel les concernant et d'exercer, en conséquence, librement et en parfaite connaissance de cause, les droits qui leur sont reconnus au titre de la loi du 6 janvier 1978 ;
Considérant enfin, que depuis la loi n° 92-1336 du 16 décembre 1992, l'article 31 de la loi du 6 janvier 1978 interdit de mettre ou conserver en mémoire informatique, sauf accord exprès de l'intéressé, c'est-à-dire écrit, des données nominatives qui, directement ou indirectement, font apparaître les moeurs des personnes ;
Considérant qu'en l'espèce, il est procédé à l'enregistrement, dans le traitement DMI2, de données concernant le mode de transmission de l'infection des patients ; que ces données sont susceptibles de révéler les comportements sexuels des personnes concernées ;
Considérant, en conséquence, que l'accord écrit des patients doit être obtenu préalablement à l'informatisation de ces données, en application de l'article 31 de la loi du 6 janvier 1978 modifiée ;
EMET, en conséquence, un avis défavorable à la demande de modification de l'arrêté du 27 novembre 1991 présentée par la direction des hôpitaux.
Le Président, Jacques FAUVET
