J.O. 4 du 6 janvier 2004
J.O. disponibles
Alerte par mail
Lois,décrets
codes
AdmiNet
Texte paru au JORF/LD page 00439
Ce document peut également être consulté sur le site officiel Legifrance
Délibération n° 2003-053 du 27 novembre 2003 portant adoption d'une recommandation relative aux traitements de données à caractère personnel mis en oeuvre par les registres du cancer
NOR : CNIX0307031X
La Commission nationale de l'Informatique et des Libertés,
Vu la convention du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46 /CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu les articles 226-13 et 226-14 du code pénal relatifs au secret professionnel ;
Vu le décret no 95-100 du 6 septembre 1995 portant code de déontologie médicale ;
Vu le décret no 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 ;
Vu l'arrêté du 6 novembre 1995 modifié relatif au Comité national des registres ;
Après avoir entendu M. Pierre Leclercq, commissaire, en son rapport et Mme Pozzo Di Borgo, commissaire adjoint du Gouvernement, en ses observations,
Formule les observations suivantes :
Les systèmes d'information mis en oeuvre par les registres du cancer pour assurer le recueil continu, dans une zone géographique déterminée, de données personnelles de santé auprès des structures de soins qui participent au diagnostic de cancer et à la prise en charge des patients concernés constituent un fondement essentiel de la surveillance épidémiologique du cancer et s'inscrivent au coeur de la politique de lutte contre le cancer affirmée par les pouvoirs publics comme une priorité nationale en matière de santé publique.
L'efficacité de ce mode de surveillance épidémiologique implique que tous les professionnels de santé concernés participent à l'enrichissement des données gérées par les registres et qu'ils soient informés régulièrement des résultats de leur contribution.
Pour assurer la fiabilité et la qualité scientifique des statistiques produites, les registres du cancer doivent disposer de données individuelles qui permettent d'éliminer les doubles enregistrements, de rassembler et de vérifier sur un patient déterminé les renseignements obtenus, de suivre, cas par cas, l'évolution d'une pathologie ou d'une thérapeutique et de réaliser, le cas échéant, des enquêtes complémentaires.
A cet égard, la CNIL rappelle que la loi autorise les médecins qui participent au diagnostic et à la prise en charge des patients en cancérologie à transmettre des données nominatives à des personnes nommément désignées et astreintes au secret professionnel tel que défini par l'article 226-13 du code pénal au sein des registres du cancer.
Les données personnelles de santé, parce qu'elles relèvent de l'intimité de la vie privée, doivent faire l'objet d'une protection particulière qu'imposent tant l'article 6 de la convention no 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel que l'article 8 de la directive européenne du 24 octobre 1995.
Après avoir procédé à une évaluation générale auprès des registres du cancer des modalités prévues pour assurer le respect des droits des personnes et des dispositions mises en oeuvre pour garantir la confidentialité des données, la commission estime nécessaire d'adopter les recommandations suivantes.
Sur l'information des personnes concernées :
La commission rappelle qu'en application de l'article 40-5 de la loi du 6 janvier 1978 les personnes dont les données sont transmises aux registres du cancer doivent être, avant le début du traitement de ces données, individuellement informées de la nature des informations transmises, de la finalité du traitement des données, des personnes physiques ou morales destinataires des données et des modalités d'exercice du droit d'accès, de rectification et de leur droit d'opposition.
L'obligation d'une information individuelle et personnalisée
La commission estime qu'il appartient à chaque registre du cancer de définir les mesures appropriées afin que les malades concernés soient individuellement informés des conditions dans lesquelles certaines informations les concernant sont susceptibles d'être transmises au registre.
La commission considère que seul le médecin, responsable de la prise en charge thérapeutique, en contact direct avec le patient est en mesure de procéder, au moment qu'il estimera le plus opportun et en conscience, à cette information.
L'annonce d'un diagnostic de cancer constituant pour le patient un traumatisme grave, il appartient en effet au médecin de délivrer, dans l'intérêt du malade, une information adaptée et personnalisée tenant compte de son état psychologique.
Dans un souci de clarté des textes, la commission estime que la rédaction des dispositions du III de l'article 25-20 du décret no 78-774 du 17 juillet 1978 pourrait utilement être précisée de façon à indiquer que c'est le professionnel de santé en contact direct avec le patient et effectivement chargé de la prise en charge thérapeutique qui procède à l'information exigée par la loi.
Le contenu de l'information
La commission considère que cette information doit permettre au malade de connaître le nom du registre du cancer, son adresse et les objectifs de santé publique qu'il poursuit. Le patient doit également être informé de la nature des informations transmises aux registres et des conditions dans lesquelles il peut refuser cette transmission.
La commission préconise qu'à l'appui de cette information une note reprenant l'ensemble de ces précisions soit remise au patient. La possibilité d'obtenir communication des données doit également lui être rappelée.
La CNIL recommande donc aux registres du cancer de mettre en place une procédure de rappel systématique aux professionnels de santé concernés de la nécessité d'informer individuellement les personnes tout en leur laissant le choix de déterminer le moment qu'ils estimeront en conscience le plus opportun pour le patient.
La commission souhaite que, lorsqu'une prise en charge individualisée est proposée dans le cadre d'un réseau régional de soins en cancérologie, le document d'information qui doit être, à ce titre, remis à la personne et signé par elle mentionne aussi l'activité du registre du cancer.
Elle considère également que des réunions associant l'ensemble des acteurs locaux qui participent au fonctionnement des registres du cancer devraient être organisées afin de procéder à une information sur l'activité épidémiologique du registre, de rappeler la nécessité de l'information individuelle des malades et de définir en concertation les modalités pratiques de celle-ci.
La CNIL rappelle qu'une information générale sur l'existence du registre et ses principes de fonctionnement doit être diffusée dans les établissements de santé où s'exercent des activités de diagnostic et de soins donnant lieu à la transmission de données nominatives.
Sur la confidentialité des données :
S'il est dans l'intérêt de la santé publique de disposer de statistiques fiables sur l'évolution du cancer en France et donc de faire appel à des systèmes fondés sur le recueil à la source de données directement nominatives, il demeure que, eu égard à la sensibilité des informations traitées, toutes garanties doivent être prises pour assurer la confidentialité des informations.
Il convient que des mesures de sécurité physiques appropriées soient prises afin de contrôler l'accès aux locaux du registre et prévoir en particulier que les supports d'information ayant permis la collecte des données soient conservés dans des conditions de nature à garantir leur confidentialité (armoires fermées à clef par exemple).
Les conditions d'accès au système informatique doivent être arrêtées en particulier par une définition précise des modalités d'identification des personnes habilitées à accéder aux données. Dès lors, il importe qu'une politique de gestion des mots de passe individuels soit définie en fonction des habilitations reconnues à chacun et qu'un dispositif de déconnexion automatique en cas d'absence ou de frappes incorrectes du mot de passe soit instauré.
Il convient qu'un système de journalisation des connexions soit mis en place afin de permettre la détection d'éventuelles intrusions dans le système. Ce système devra également permettre de contrôler les éditions de listes effectuées à partir de données directement nominatives.
La base de données nominatives doit être chiffrée par un algorithme public réputé « fort ».
En cas de recours pour la maintenance à un prestataire extérieur au registre, il est nécessaire que le contrat de maintenance comporte une clause spécifique sur la confidentialité des données afin que l'accès à la base de données soit entouré de toutes les garanties. A cet effet, un registre de maintenance devra être mis en place et indiquer les dates et heures d'intervention ainsi que l'identité de la personne ayant effectué l'opération de maintenance et les raisons l'ayant justifiée.
De façon plus générale, il appartient à chaque registre du cancer de formaliser dans une charte de sécurité l'ensemble des mesures prises pour assurer la confidentialité des données. Ce document devrait être porté à la connaissance de chaque personne appelée à travailler au sein du registre.
Le président,
M. Gentot