La Commission Nationale de l'Informatique et des Libertés ;
Vu la convention n° 108 du conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi du 3 janvier 1979 sur les archives ;
Vu le code de la santé publique et notamment l'article L. 710-5 ;
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 susvisée ;
Vu le décret n° 92-1098 du 2 octobre 1992 relatif à l'Assistance Publique - Hôpitaux de Paris ;
Vu la délibération n° 91-123 du 17 décembre 1991 ;
Vu la délibération n° 93-009 du 2 février 1993 ;
Vu la délibération n° 93-029 du 23 mars 1993 ;
Vu le projet d'acte réglementaire présenté par l'Assistance Publique - Hôpitaux de Paris ;
Après avoir entendu Monsieur Jean-Pierre MICHEL, en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant que dans le cadre du système d'information hospitalier progressivement mis en place dans chaque établissement, l'Assistance Publique - Hôpitaux de Paris a saisi la CNIL d'une demande d'avis concernant un traitement automatisé d'informations médicales dénommé SIMPA qui a pour finalité de recueillir les résumés médicaux de séjour produits par les services cliniques, de vérifier leur cohérence et de produire les statistiques d'activité médicales requises par la loi du 31 juillet 1991, le décret du 27 juillet 1994 et l'arrêté du 20 septembre 1994 ;
Considérant que les informations enregistrées dans l'application concernent l'identité du patient, les modalités de prise en charge, la durée de séjour, les diagnostics et les actes ;
Considérant que la profession et la situation familiale des patients sont enregistrés pour permettre la réalisation d'études épidémiologiques à la demande des services cliniques ;
Prenant acte de la suppression, dans l'application SIMPA de la nationalité des patients ;
Considérant que les destinataires des informations médicales nominatives sont :
- les médecins des services cliniques pour ce qui concerne les données relatives aux patients traités dans leurs services ;
- le médecin responsable de l'information médicale dans chaque hôpital ;
Considérant, qu'aux termes de la demande d'avis, le médecin responsable de l'information médicale au siège de l'AF-HP est destinataire de données anonymes (résumés de sortie anonymes) ; que l'administration hospitalière et les autorités de tutelle ne reçoivent également communication que de données anonymes ;
Considérant que ce traitement est mis en oeuvre sur des moyens informatiques situés dans l'établissement hospitalier et interconnecté par l'intermédiaire d'un réseau local spécifique ;
Considérant que l'accès à l'application est protégé par des mots de passe individuels déterminés par les utilisateurs habilités et changés régulièrement ; qu'il importe en outre que des dispositifs indiquent systématiquement aux utilisateurs les dates et heures de la dernière connexion sous les mêmes codes utilisateurs et mots de passe ;
Considérant que les patients seront informés lors de l'admission ou de la consultation, de la finalité et les conditions d'utilisation du traitement SIMPA des destinataires des informations, des modalités d'exercice de leur droit d'accès et de rectification ;
EMET un avis favorable au projet d'acte réglementaire qui lui a été présenté sous réserve que les mesures de sécurité soient complétées pour qu'un dispositif indiqué systématiquement aux utilisateurs les dates et heures de la dernière connexion sous les mêmes codes utilisateurs et mots de passe.
Le Président, Jacques FAUVET.
