La Commission nationale de l'informatique et des libertés,
Vu la Convention n'108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8 et 25 ;
Vu le code pénal et notamment les articles 226-13 et 226-14 ;
Vu le code de la sécurité sociale et notamment ses articles L. 161-29 et R. 115-1 et suivants ;
Après avoir entendu M. Jean-Pierre de Longevialle, en son rapport, et Mme Pascale Compagnie, commissaire au Gouvernement en ses observations ;
Formule les observations suivantes :
La société Axa France a saisi la Commission d'une demande d'expérimentation tendant à accéder, sous forme anonymisée, aux données de santé présentes sur les feuilles de soins électroniques.
Par une délibération n° 2005-018 en date du 3 février 2005, la Commission a autorisé l'expérimentation présentée par la société Axa France ayant pour finalité d'accéder, sous forme anonymisée, aux codes des médicaments figurant sur les feuilles de soins électroniques sous réserve notamment que seuls les pharmaciens utilisant un logiciel SESAM Vitale 1.40 participent à l'expérimentation.
La société Axa France, sollicite aujourd'hui une délibération modificative l'autorisant à mettre en oeuvre le traitement avec des pharmaciens disposant d'une version antérieure de ce logiciel.
Cette demande est motivée par l'absence actuelle d'implantation du logiciel 1.40 dans les pharmacies et le fait que les principaux fabricants de logiciels destinés aux pharmacies n'ont pas encore diffusé la version 1.40.
La société Axa France se propose donc de conserver le dispositif existant pour les transferts de feuilles de soins électroniques partant des pharmacies vers l'assurance maladie obligatoire via les organismes concentrateurs techniques et d'ajouter, dans le cadre de l'expérimentation, un chiffrement fort de transport des feuilles de soins électroniques entre les organismes concentrateurs techniques et le système informatique de la société Axa France qui réceptionne les flux liés à l'expérimentation.
Le chiffrement utilisé serait conforme à celui figurant en annexe du cahier des charges du GIE SESAM Vitale qui s'applique aux transferts de données vers les organismes d'assurance maladie obligatoire.  Dans le cadre de ce dispositif, les clés de chiffrement seraient fournies par un organisme tiers, le GIP CPS. L'organisme concentrateur technique, avant toute transmission vers le système informatique d'Axa, vérifierait la validité des clés utilisées auprès du serveur du GIP CPS.  Il chiffrerait ensuite, avec une clé de session unique, le flux destiné à la société Axa France.
Dès que les pharmaciens disposeront de la version 1.40 du logiciel SESAM Vitale, la société Axa France s'engage à utiliser cette nouvelle version.
Le procédé d'anonymisation et le scellement du dispositif seraient évalués par la Direction centrale de la sécurité des systèmes d'information (DCSSI).
Hormis l'utilisation du logiciel SESAM Vitale 1.40, la société Axa respecterait l'ensemble des points visés dans la délibération n° 2005-018 du 3 février 2005.
Autorise, dans ces conditions, la société Axa France à mettre en oeuvre dans les conditions rappelées ci-dessus et dans l'attente du déploiement de la version 1.40 du logiciel SESAM vitale, à titre expérimental, un traitement automatisé de données à caractère personnel ayant pour finalité d'accéder, sous forme anonymisée, aux codes des médicaments figurant sur les feuilles de soins électroniques.
Le président Alex TURK.
