La Commission Nationale de l'informatique et des Libertés,
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'Informatique, aux fichiers et aux libertés ;
Vu la loi du 3 janvier 1979 sur les archives ;
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 susvisée ;
Vu le décret n° 61-777 du 22 juillet 1961 modifié, relatif à l'administration générale de l'Assistance Publique - Hôpitaux de Paris ;
Vu la délibération n° 91-123 du 17 décembre 1991 ;
Vu les projets d'actes réglementaires présentés par l'Assistance Publique - Hôpitaux de Paris ;
Après avoir entendu Monsieur Gérard JAQUET en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que dans le cadre du système d'information hospitalier progressivement mis en place dans chaque établissement, l'Assistance Publique Hôpitaux de Paris a saisi la CNIL de trois demandes d'avis concernant respectivement :
- un serveur d'identité dont l'objet est d'assurer, lors de leur admission, l'identification des patients, en particulier par l'attribution de numéros d'identification permanents ;
- une application de gestion de la base d'activités pour saisir les mouvements des malades, gérer les ressources en lits et assurer l'édition de statistiques demandées par les autorités de tutelle ;
- un traitement de gestion des rendez-vous hospitaliers ;
Considérant que les informations, enregistrées dans ces différentes applications sont pertinentes au regard des finalités poursuivies ;
Considérant que ces différents traitements sont mis en oeuvre sur des moyens informatiques situés dans l'établissement hospitalier et interconnectés par l'intermédiaire d'un réseau local spécifique ;
Considérant que l'accès aux applications est protégé par des mots de passe individuels qui sont déterminés par les utilisateurs habilités et qui sont changés régulièrement ; qu'en outre des dispositifs indiquent systématiquement aux utilisateurs les dates et heures de la dernière connexion sous les mêmes code utilisateur et mot de passe et interdisent l'accès simultané à l'application sous les mêmes code utilisateur et mot de passe ;
Considérant que les patients seront informés lors de l'admission ou de la consultation, de la finalité et des conditions d'utilisation des différents traitements automatisés de données nominatives mis en oeuvre dans l'établissement, des destinataires des informations, des conditions d'exercice de leur droit d'accès et de rectification ;
Considérant que les patients seront également informés de la possibilité d'obtenir sur demande motivée et à l'issue du règlement de leur frais de séjour ou de consultation, que leurs données d'identification soient effacées du serveur d'identité, un numéro spécifique leur étant alors attribué, à charge pour le patient de le conserver sous sa responsabilité ; qu'il convient de compléter en ce sens la note d'information et de modifier les projets d'actes réglementaires pour faire mention de l'existence de ce droit et de ses conditions d'exercice ;
EMET sous les réserves précitées DES AVIS FAVORABLES aux projets d'actes réglementaires qui lui ont été présentés.
Jacques FAUVET
