La Commission Nationale de l'Informatique et des Libertés,    Vu la Convention n° 108 du 18 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;    Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment ses articles 15, 19, 26 et 27 ;    Vu l'article 378 du code pénal ;    Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi susvisée ;    Vu la délibération n° 90-102 du 11 septembre 1990 ;    Vu la délibération n° 91-123 du 17 décembre 1991 ;    Vu le projet d'acte réglementaire présenté par l'Assistance Publique - Hôpitaux de Paris ;
Après avoir entendu Monsieur Gérard JAQUET en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;    Considérant que l'Assistance Publique - Hôpitaux de Paris a saisi la Commission d'une demande d'avis concernant un traitement dénommé SDRE dont la finalité principale est la gestion informatisée des demandes et des résultats d'examens ;    Considérant que ce traitement est mis en oeuvre à l'hôpital Saint Antoine et sera ensuite implanté dans les autres établissements de l'Assistance Publique de Paris ;    Considérant que ce traitement reçoit automatiquement du système de gestion administrative (SYGEMAP) les éléments d'identité des patients, les retransmet aux systèmes de gestion des laboratoires qui recommuniquent ensuite à l'application SDRE les demandes d'examens pris en compte puis les résultats afin d'en permettre la consultation et l'édition dans les services de soins prescripteurs ;
Considérant qu'à cet effet, les différents moyens informatiques servant de support à ces applications sont interconnectés par l'intermédiaire d'un réseau local propre à l'établissement ;    Considérant que l'accès à l'application SDRE est protégé par des mots de passe individuels déterminés par les utilisateurs ;    Considérant qu'il importe d'instituer un dispositif interdisant le recours à certains mots de passe trop simples ;    Considérant qu'un dispositif indique systématiquement aux utilisateurs les dates et heures de la dernière connexion sous le même mot de passe ;
Considérant que les patients doivent être dûment informés lors de l'admission ou de la consultation, de la finalité et des conditions d'utilisation des différents traitements automatisés de données nominatives mis en oeuvre dans l'établissement, des destinataires des informations, des conditions d'exercice de leur droit d'accès et de rectification, de façon à ce qu'ils aient la possibilité de s'opposer, pour des raisons légitimes, à l'informatisation de leurs données sous forme nominative ;    Considérant que les patients doivent être informés de la possibilité d'obtenir à l'issue du règlement de leurs frais de séjour ou des consultations, que leurs données nominatives ne soient plus directement consultables et soient donc effacées du serveur d'identités pour faire l'objet d'un archivage ; que des consignes doivent être données en ce sens aux personnels ;
EMET un avis favorable à la mise en oeuvre de cette application sous réserve    . que soit institué un dispositif interdisant le recours à certains mots de passe trop simples ;    . que des mesures d'information des patients soient adoptées selon les indications précitées.    Jacques FAUVET
