La Commission Nationale de l’Informatique et des Libertés, Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, et notamment son article 21, pris ensemble le décret n° 78-774 du 17 juillet 1978 ; Vu le règlement intérieur de la Commission et notamment ses articles 55 et 56 ; Vu la délibération n° 01-025 du 15 mai 2001 de la Commission décidant une mission de contrôle sur place auprès de X afin de vérifier l’ensemble des mesures de sécurité mises en oeuvre pour garantir la confidentialité des données nominatives conservées au sein du département d’information médicale ; Vu le compte-rendu de la mission de vérification sur place adressé le 12 juillet 2002 et les observations en réponse de X reçues par lettre du 16 août 2000 ; Après avoir entendu Monsieur Michel GENTOT, Président, en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ; Saisie par le Conseil national de l’ordre des médecins d’une plainte d’un médecin qui, ayant exercé les fonctions de responsable du département d’informations médicales au sein de X, a fait état d’atteintes à la confidentialité des informations nominatives traitées sur le système informatique de l’hôpital et, en particulier de l’accès, par des personnels administratifs, à des données individuelles recueillies dans le cadre du programme de médicalisation des systèmes d’information (PMSI) mis en place dans les établissements de santé en application des dispositions de l’article L. 6113-11 du code de la santé publique. Aux termes de ces dispositions, les médecins sont tenus de transmettre les données médicales nécessaires à l’analyse de leur activité au médecin responsable du département d’informations médicales qui veille à la qualité des données qu’il peut confronter, en tant que de besoin avec les dossiers médicaux et les fichiers administratifs. Ce médecin est soumis dans le cadre de ses fonctions de médecin DIM au respect du secret médical comme le sont les personnels placés ou détachés auprès de lui et qui travaillent à l’exploitation de données nominatives sous son autorité, ainsi que des personnels intervenant sur le matériel et les logiciels utilisés pour le recueil et le traitement des données. En application de l’article R. 710-5-6 du code de la santé publique, il appartient au directeur de l’établissement de prendre toutes dispositions utiles avec le médecin responsable de l’information médicale et après avis de la commission médicale d’établissement afin de préserver la confidentialité des données médicales nominatives. Ces dispositions concernent notamment l’étendue, les modalités d’attribution et le contrôle des autorisations d’accès ainsi que l’enregistrement des accès. La Commission a décidé, par une délibération du 15 mai 2001, de procéder à une mission de vérification sur place afin de vérifier l’ensemble des mesures de sécurité mises en oeuvre pour garantir la confidentialité des données médicales nominatives traitées et conservées au sein du département d’information médicale. Cette mission de contrôle s’est déroulée le 6 mars 2002 dans les locaux de X. Les investigations de la Commission ont permis de constater que le traitement mis en oeuvre au sein de l’établissement pour assurer la fourniture des informations médicales nécessaires dans le cadre du programme de médicalisation des systèmes d’information, est géré par le directeur informatique qui peut ainsi avoir accès à l’application. S’agissant des mesures de sécurité mises en place, il a été relevé que l’application ne prévoit aucune hiérarchisation des accès et qu’en particulier, la seule possession du mot de passe dont l’attribution et la gestion n’obéissent à aucune règle prédéfinie, permet de consulter l’intégralité du dossier. Il n’existe pas non plus de journalisation des accès tant au système qu’à l’application. Tout utilisateur disposant d’un accès au logiciel sur son poste de travail peut sur simple requête modifier les données de la base sans qu’il soit conservé trace de l’auteur à l’origine de la modification. La Commission prend acte du fait que la direction de l’hôpital ne nie pas l’insuffisance des mesures de sécurité actuellement mises en oeuvre et reconnaît que l’état du système informatique et les modalités actuelles de son fonctionnement ne permettent pas de répondre aux exigences requises en matière de respect de la confidentialité. Par courrier du 16 août 2002, le directeur général de l’hôpital a informé la CNIL qu’une nouvelle application informatique de gestion hospitalière sera mise en oeuvre et qu’elle apportera les garanties de sécurité indispensables. La Commission relève par ailleurs, que les autres applications informatiques mises en oeuvre au sein de l’hôpital n’ont pas encore fait l’objet de formalités préalables auprès de la CNIL. C’est ainsi le cas des applications sur le suivi des prescriptions en chimiothérapie, du PMSI psychiatrie, de la gestion des ressources humaines et de la gestion du temps de travail des salariés et du PMSI moyen et long séjour. En conséquence, DEMANDE à être saisie, dans un délai de trois mois à compter de la présente délibération, d’une demande d’avis établie conformément à l’article 15 de la loi du 6 janvier 1978 et relative à la mise en place du nouveau système de gestion hospitalière. Les mesures de sécurité retenues pour garantir la confidentialité des données devront être décrites en particulier en ce qui concerne les modalités d’accès aux informations, la politique d’attribution et de composition des mots de passe et les modalités retenues pour assurer une journalisation des connexions. DEMANDE à être saisie dans les plus brefs délais des demandes d’avis relatives aux applications informatiques d’ores et déjà mises en oeuvre au sein de l’hôpital ainsi que des mesures prises pour améliorer la sécurité tant physique que logique de celles-ci. DECIDE, faisant application des dispositions de l’article 21-4° de la loi n° 78-17 du 6 janvier 1978 d’adresser à cet effet un avertissement à X.

Le Président,

Michel GENTOT