La Commission Nationale de l'Informatique et des Libertés,    Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;    Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment ses articles 15, 19, 29, 34, et 40 ;    Vu l'article 378 du Code pénal relatif au secret professionnel ;    Vu la loi n° 70-1318 du 31 décembre 1970 portant réforme hospitalière ;    Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;    Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 ;    Vu le projet de décision présenté par le Directeur Général du Centre Hospitalier Régional de Rennes ;    Après avoir entendu Monsieur Gérard JAQUET en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant que le traitement automatisé SAUPHIE auquel fait référence la demande d'avis présentée par le Centre Hospitalier Régional de Rennes, constitue une des applications du système global de gestion informatique dénommé "filière PROFILS" conçues pour des établissements hospitaliers de taille moyenne ;    Considérant qu'à cette fin, il a pour objet d'assurer la dispensation des produits pharmaceutiques en milieu hospitalier, permettant la saisie des ordonnances, leur analyse pharmacologique, l'édition d'états récapitulatifs de produits à distribuer et d'ordonnances nominatives, la production de statistiques de consommation médicamenteuse par service ;    Considérant que cette application utilise des terminaux situés dans le service de la pharmacie et reliés à un miniordinateur implanté également dans ce service ;    Considérant que l'accès au traitement et aux informations nominatives doit être protégé par une procédure de mots de passe individuels gérés par le système, sous la responsabilité du pharmacien, chef du service ;    Considérant qu'il doit être procédé au changement régulier de ces mots de passe ;
Considérant que les données médicales nominatives ainsi enregistrées sont exclusivement destinées au pharmacien, chef du service, aux préparateurs et secrétaires médicales habilités par ce pharmacien ainsi concerné ainsi qu'aux médecins prescripteurs, pour les informations concernant leurs patients ;    Considérant que le droit d'accès tel qu'il est défini aux articles 34 et 40 de la loi du 6 janvier 1978 constitue l'une des garanties essentielles de la protection des malades ;    Prenant acte des mesures envisagées afin d'informer les patients de l'objet du traitement et des modalités d'exercice de leur droit d'accès ;    Considérant que les données figurant dans l'ordonnancier doivent, conformément à l'article R5092 du code de la santé publique, être conservées pendant une durée de dix ans ; que l'article 3 du projet d'acte réglementaire doit être modifié en conséquence ;
Emet, sous les réserves précitées, un avis favorable au projet de décision du Directeur Général du Centre Hospitalier Régional de Rennes étant entendu que les hôpitaux qui adopteront cette application, pourront présenter à la CNIL une demande d'avis allégée comportant un projet d'acte réglementaire et un engagement de conformité y compris sur les mesures de sécurité et les modalités d'information des patients ;    Demande à être saisie d'une déclaration de modification en cas de changement de configuration informatique.     Jacques FAUVET
