La Commission nationale de l'informatique et des liberés,
Saisie, le 16 décembre 2004, d'une demande d'autorisation par l'Association de gestion du réseau e-santé Bas-Normand de mise en place d'une plate forme régionale d'information de santé ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;
Après avoir entendu M. François Bernard, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations.
Autorise l'association de gestion du réseau e-santé Bas-Normand à mettre en place une plate forme régionale d'information de santé, dénommée PRISM, afin notamment d'améliorer la qualité des soins et limiter les redondances des prestations médicales, mutualiser des données médico-administratives fiables et permettre l'utilisation d'un dossier médical partagé entre la ville et l'hôpital.
Le système d'information du réseau repose sur internet et un réseau sécurisé santé. Les données appelées à circuler bénéficient d'un haut niveau de sécurité : protocole HTTPS avec un chiffrement des données de type SSL sur 128 bits et un lien de type VPN (Virtual Private Network) entre les établissements et la plate-forme. L'accès au réseau est protégé par la carte de professionnel de santé ou un identifiant plus mot de passe personnel attribué par l'administrateur du réseau dans des conditions strictes de confidentialité. Une traçabilité de l'ensemble des connexions est prévue.
La Commission prend acte du recueil de l'accord préalable du patient à tout échange de données le concernant. Toutefois, en cas d'urgence, justifiée par la sauvegarde de la vie humaine, le recueil préalable du consentement de la personne ne sera pas requis.
Le droit d'accès défini au chapitre V de la loi s'exerce auprès du professionnel de santé en contact direct avec le patient.
Les catégories de données à caractère personnel enregistrées sont relatives à l'identité du patient et aux éléments constitutifs du dossier médical.
Les informations sont conservées dans l'application tant que le patient adhère au réseau. A l'issue de cette période, les données doivent être archivées conformément à la réglementation en vigueur.
La société BULL, hébergeur du site, devra se soumettre à la procédure d'agrément des hébergeurs de données instituée à l'article L. 1111-8 du Code de la santé publique lorsque le décret d'application sera paru.
Les destinataires des données sont les professionnels de santé participant au réseau pour les informations relatives à leurs patients et avec le consentement de ces derniers.
Le président, Alex TURK.
