N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

68
n° 1 ©IDS 2009 Données de Santé : Données de Santé : en France, qui peut en faire en France, qui peut en faire quoi ? quoi ?

Transcript of N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

Page 1: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 1 ©IDS 2009

Données de Santé : Données de Santé : en France, qui peut en faire quoi ?en France, qui peut en faire quoi ?

Page 2: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 2 ©IDS 2009

PLANPLAN

1/ Les données de santé – 1/ Les données de santé – Qu’est-ce que c’est ?Qu’est-ce que c’est ?

2/ Les autorités et organismes compétents – 2/ Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

3/ L’utilisation des données de santé – 3/ L’utilisation des données de santé – Pour quoi faire ?Pour quoi faire ?

4/ La 4/ La protectionprotection des droits des personnes des droits des personnes

5/ Les 5/ Les sanctionssanctions

Page 3: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 3 ©IDS 2009

1/ Les Données de santé : qu’est-ce que 1/ Les Données de santé : qu’est-ce que c’est ?c’est ?

Page 4: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 4 ©IDS 2009

Les différentes définitions légalesLes différentes définitions légales

1.1. Les données Les données anonymesanonymes ou ou anonymisées anonymisées ouou desdes données données à caractère personnelà caractère personnel

2.2. Les Les données à caractère personnel relatives données à caractère personnel relatives à la santéà la santé d’une personne d’une personne

3.3. Les Les données de santé à caractère personneldonnées de santé à caractère personnel

4.4. Les Les informations médicalesinformations médicales

1/ Les Données de santé : qu’est-ce que c’est ?1/ Les Données de santé : qu’est-ce que c’est ?

Page 5: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 5 ©IDS 2009

1.1/ Les données à caractère personnel

Art. 2 de la loi Informatique et Libertés : Constitue une donnée à caractère personnel toute information relative à une personne physique

identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments

qui lui sont propres

.

1/ Les Données de santé : qu’est-ce que c’est ?1/ Les Données de santé : qu’est-ce que c’est ?

Page 6: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 6 ©IDS 2009

1.2/ Les données de santé garantissant l’anonymat

Pas d’identification possible de la personne•Constituent des données anonymes, les données collectées à

la source sans identification de la personne

• Constituent des données anonymisées, les données à caractère personnel ayant fait l’objet d’un procédé

d’anonymisation préalablement reconnu conforme à la loi Informatique, Fichiers et Libertés - Art. 8 de la loi Informatique

et Libertés

1/ Les Données de santé : qu’est-ce que c’est ?1/ Les Données de santé : qu’est-ce que c’est ?

Page 7: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 7 ©IDS 2009

1.3/ Les données à caractère personnel relatives à la santé

Art. 8 de la loi Informatique et Libertés: « Données à caractère personnel (…) qui sont relatives à la santé des

personnes »

1/ Les Données de santé : qu’est-ce que c’est ?1/ Les Données de santé : qu’est-ce que c’est ?

Page 8: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 8 ©IDS 2009

1.4/ Les données de santé à caractère personnel

Art. L.1111-8 du Code de la santé publique : « Données de santé à caractère personnel recueillies ou produites à

l’occasion des activités de prévention, de diagnostic ou de soins »

1/ Les Données de santé : qu’est-ce que c’est ?1/ Les Données de santé : qu’est-ce que c’est ?

Page 9: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 9 ©IDS 2009

1.5/ Les informations médicales

Art. L.1110-4 du Code de la santé publique : « Données concernant une personne pris en charge par un

professionnel de santé, un établissement de santé, un réseau de santé ou tout autre organisme participant à la

prévention et aux soins, (…) venues à la connaissance du professionnel de santé, de tout membre du personnel de ces établissements ou organismes et de toute autre personne en

relation, de par ses activités, avec ces établissements ou organismes ».

1/ Les Données de santé : qu’est-ce que c’est ?1/ Les Données de santé : qu’est-ce que c’est ?

Page 10: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 10 ©IDS 2009

1/ Les Données de santé : qu’est-ce que c’est ?1/ Les Données de santé : qu’est-ce que c’est ?

Identification des personnesPas d’identification

des personnes

DMPDMP DP

SI Acteurs des systèmes de santéAMO/AMC, PMSI, CNSA…

Dossiers médicaux des Professionnels de santé

Données à caractère personnel

Données à caractère personnel relatives à la santé

Données de santé à caractère Personnel –

Informations médicales Données de santé

anonymisées

Données de santé

anonymesPro

céd

és

d’a

non

ymis

atio

n

Page 11: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 11 ©IDS 2009

2/ Les autorités et organismes compétents 2/ Les autorités et organismes compétents – – Qui fait quoi ?Qui fait quoi ?

Page 12: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 12 ©IDS 2009

2.1/ La Commission Nationale de l’Informatique et des Libertés - CNIL

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 13: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 13 ©IDS 2009

2.1.1/ Référentiel légal et réglementaire

• Loi 78-17 du 6 janvier 1978 relative à l’Informatique, aux Fichiers et aux Libertés modifiée par la loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel du 6 août 2004

• Décret 2005-1309 du 20 octobre 2005 modifié par le Décret 2007-451 du 25 mars 2007 pris en application de la loi Informatique et Libertés

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 14: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 14 ©IDS 2009

2.1.2/Missions

• La protection des droits des personnes – Information, consentement, accès, opposition, suppression, modification

• L’encadrement de la mise en œuvre des traitements (formalités préalables obligatoires : déclarations, autorisations, Normes simplifiées, Autorisations uniques, Labellisation…)

• L’appréciation des procédés d’anonymisation

• L’animation du réseau des CIL (correspondants Informatique et Libertés)

• Le conseil aux responsables des traitements

• Les activités de contrôles et de sanctions • La consultation sur les projets de Loi et de Décret

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 15: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 15 ©IDS 2009

2.1.3/ Quelles données de santé ?

Les traitements automatisés de données à caractère personnel

Informatique, électronique, papier

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 16: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 16 ©IDS 2009

2.2/ Le Comité consultatif sur le traitement de l’information en matière de recherche dans le

domaine de la santé - CCTIRS

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 17: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 17 ©IDS 2009

2.2.1/ Référentiel légal et règlementaire

• Loi 78-17 du 6 janvier 1978 relative à l’Informatique, aux Fichiers et aux Libertés modifiée par la loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel du 6 août 2004 – Chapitre IX

• Décret 2005-1309 du 20 octobre 2005 modifié par le Décret 2007-451 du 25 mars 2007 pris en application de la loi Informatique et Libertés

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 18: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 18 ©IDS 2009

2.2.2/ Missions

Pour chaque demande de mise en œuvre d'un traitement de données ayant pour fin la recherche dans le domaine de la santé, et préalablement à la saisine de la CNIL, le CCTIRS émet un avis sur :

• la méthodologie de la recherche au regard de la loi

• la nécessité du recours à des données à caractère personnel

• la pertinence des données à caractère personnel par rapport à l'objectif de la recherche.

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 19: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 19 ©IDS 2009

2.2.3/ Quelles données de santé ?

Les traitements automatisés de données à caractère personnel mis en œuvre dans le cadre des recherches dans le domaine de la santé

Informatique, électronique, papier

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 20: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 20 ©IDS 2009

2.3/ L’Institut des données de santé - IDS

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 21: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 21 ©IDS 2009

2.3.1/ Référentiel légal et règlementaire

• Loi 78-17 du 6 janvier 1978 relative à l’Informatique, aux Fichiers et aux Libertés modifiée par la loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel du 6 août 2004 – Chapitre X

• Article L.161-36-5 du code de la sécurité sociale (issu de la loi du 13 août 2004)

• Décret 2008-833 du 22 Août 2008 pris en application de l’article L 247-2 du Code de l’action sociale et des familles

• Arrêté du 30 avril 2007 portant approbation du groupement d’intérêt public « Institut des données de santé »

• Arrêté mentionné à l’article L 161-28-1 Code de la Sécurité Sociale

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 22: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 22 ©IDS 2009

2.3.2/ Missions

• Mise à disposition de ses membres, de la Haute autorité de santé, des

Unions régionales des médecins exerçant à titre libéral ainsi que

d'organismes désignés par décret en Conseil d'État:

– des données issues des systèmes d'information de ses

membres,

– dans des conditions garantissant l'anonymat,

– à des fins de gestion du risque maladie ou pour des

préoccupations de santé publique.

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 23: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 23 ©IDS 2009

2.3.3/ Quelles données de santé ?

Les données anonymisées issus des systèmes d’informations de ses membres UNOCAM

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 24: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 24 ©IDS 2009

2.4/ L’Agence nationale des systèmes d’information partagés de santé - ASIP

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 25: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 25 ©IDS 2009

2.4.1/ Référentiel légal et règlementaire

• Loi n°2008-1330 du 17 décembre 2008 de financement de la sécurité sociale pour 2009

• Arrêté du 8 septembre 2009 portant approbation de la convention constitutive d’un groupement d’intérêt public

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 26: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 26 ©IDS 2009

2.4.2/ Missions• La maîtrise d’ouvrage des projets qui lui sont délégués  

• La réalisation et le déploiement du DMP, la maîtrise d’ouvrage de l’hébergement du DMP

• La définition, la promotion et l’homologation de référentiels, standards, produits ou services contribuant à l’interopérabilité, à la sécurité et à l’usage des systèmes d’information de santé et de la télésanté, et la surveillance de leur bonne application

• L’accompagnement et l’encadrement des initiatives publiques et privées concourant à son objet, notamment, sous forme de conventions d’assistance à maîtrise d’ouvrage, de conventions de partenariat ou de mise à disposition de services permettant de garantir la bonne utilisation, la cohérence, l’interopérabilité et la sécurité des systèmes d’échange et de partage des données de santé

• La participation à la préparation et à l’application des accords ou projets internationaux dans le domaine des systèmes de partage et d’échange de l’information de santé.

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 27: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 27 ©IDS 2009

2.4.3/ Quelles données de santé ?

Les données de santé à caractère personnel

Les informations médicales

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 28: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 28 ©IDS 2009

2.5/ La Mission pour l’informatisation du système de santé (MISS)

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 29: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 29 ©IDS 2009

2.5.1/ Référentiel légal et règlementaire

• Constitution d’une mission pour l’informatisation du système de santé le 31 décembre 1997 – Décision ministérielle

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 30: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 30 ©IDS 2009

2.5.2/ Missions• Contribuer à la meilleure prise en charge médicale du patient grâce aux

informations contenues dans le dossier médical auxquelles auront accès les médecins

• Permettre l'automatisation du traitement des feuilles de soins et éviter ainsi aux patients d'avoir à remplir et expédier les feuilles de soins offrir aux médecins une information rapide en cas d'alerte sanitaire

• Permettre l'accès des praticiens à des outils d'aide au diagnostic et à la prescription, à des bases de connaissance, à des référentiels sur les protocoles thérapeutiques

• Faciliter les échanges entre professionnels de santé (messagerie des professionnels de santé, possibilité de télémédecine)

• Secrétariat du Comité des Hébergeurs agréés

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 31: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 31 ©IDS 2009

2.5.3/ Quelles données de santé ?

Les données de santé à caractère personnel

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 32: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 32 ©IDS 2009

2.6/ Le Comité national des registres

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 33: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 33 ©IDS 2009

2.6.1/ Référentiel légal et règlementaire

• Loi • Arrêté du 6 novembre 1995 relatif au Comité national des

registres

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 34: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 34 ©IDS 2009

2.6.2/ Missions

• Proposer une politique des registres s'appuyant sur les besoins en matière de santé publique et de recherche épidémiologique

• Donner un avis sur :

- l'opportunité, au regard de la politique des registres préalablement définie, de créer de nouveaux registres ou de maintenir les registres existants,

- l'adéquation entre les moyens envisagés ou mis en oeuvre et les finalités exposées par les registres, en vue de leur qualification ou du renouvellement de celle-ci.

• Élaborer et de participer à un plan annuel de diffusion et de valorisation de l'information produite par les registres qualifiés.

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 35: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 35 ©IDS 2009

2.6.3/ Quelles données de santé ?

Les données de santé à caractère personnel

Les données à caractère personnel issus des traitements mis en œuvre dans le cadre des recherches dans le domaine de la recherche en santé

Les autorités et organismes compétents – Les autorités et organismes compétents – Qui fait quoi ?Qui fait quoi ?

Page 36: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 36 ©IDS 2009

3/ L’utilisation des données de santé – 3/ L’utilisation des données de santé – Pour quoi faire?Pour quoi faire?

Page 37: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 37 ©IDS 2009

Destinataires autorisés par la CNILLe patient

Membres de l'IDSHAS

Unions régionales des médecins libérauxOrgansimes désignés par décret

Organismes de recherche

Les médecins autorisés par le patientLe patient

Les pharmaciens après autorisation du patient

Le patient

Les professionnels de santé en charge de la prise en charge du patient

Le patient

Destinataires autorisés par la CNILLe patient

EtudeNon -

Interventionnelle

ASIP, CNIL

Conseil de l'Ordre des Pharmaciens, CNIL

ASIP, CNIL

AFSSAPSCNIL

CCTIRSComité de protection des personnes

Conseil national de l'ordre des médecins

DossierMédical

Personnel

DossierPharmaceutique

Autres dossiers médicaux

EtudeInterventionnelle

EtudesAnonymisées

Organismes compétents Destinataires des données

Dossiers

Médicaux

CNILCCTIRS

Conseil national de l'ordre des médecins

IDSCNIL

Don

nées I

den

tifi

an

tes

Don

nées

Ano

ny

mis

ées Etudes

L’utilisation des données de santé – L’utilisation des données de santé – Pour quoi faire?Pour quoi faire?

Page 38: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 38 ©IDS 2009

4/ La protection des droits des personnes4/ La protection des droits des personnes

Page 39: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 39 ©IDS 2009

La protection des droits des personnesLa protection des droits des personnes

Droit au secret médical

Droit à l’information

Consentement

Accès, opposition, modification, suppression

Données de santé avec identification de la personne

Droit à la protection de la vie privéeDroit à la sécurité

des données

Page 40: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 40 ©IDS 2009

4.1/ L’information des personnes

La protection des droits des personnesLa protection des droits des personnes

Page 41: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 41 ©IDS 2009

Les personnes auprès desquelles sont recueillies des données de santé doivent être informées (article 32 de la loi Informatique et Libertés) :

• de l’identité du responsable de traitement

• de la finalité poursuivie par le traitement auquel les données sont destinées

• du caractère facultatif ou obligatoire des réponses si questionnaire

• des conséquences éventuelles d’un défaut de réponse

• des destinataires ou catégories de destinataires des données

• de l’existence du droit d’accès, de rectification et d’opposition

• des flux transfrontaliers de données

La protection des droits des personnesLa protection des droits des personnes

Page 42: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 42 ©IDS 2009

Cas particulier : (article 57 de la loi Informatique et Libertés)

Les personnes auprès desquelles sont recueillies des données de santé dans le cadre d’études et recherches dans le domaine de la santé doivent également être informées :

• De la nature des données transmises

• Des personnes physiques et morales destinataires des données

• De l’existence du droit d’opposition à la levée du secret professionnel

La protection des droits des personnesLa protection des droits des personnes

Page 43: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 43 ©IDS 2009

4.2/ Le consentement des personnes

La protection des droits des personnesLa protection des droits des personnes

Page 44: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 44 ©IDS 2009

4.2.1/ Le consentement à la collecte des données à caractère personnel relatives à la santé

PRINCIPE : Article 8 de la loi Informatique et Libertés PRINCIPE : Article 8 de la loi Informatique et Libertés Il est interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci

La protection des droits des personnesLa protection des droits des personnes

Page 45: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 45 ©IDS 2009

EXCEPTIONS : EXCEPTIONS : Avec le consentementAvec le consentement du patient du patient

- Le patient a donné son consentement exprès et préalable au traitement de données de santé à caractère personnel (article 8 – II – 1° de la loi Informatique, Fichiers et Libertés) ;

- En cas de prélèvement biologique identifiant, pour les traitements nécessaires à la recherche dans le domaine de la santé (- article 56 de la loi Informatique, Fichiers et Libertés)

- Les traitements justifiés par l’intérêt public (DMP, DP) (article 8 – IV de la loi Informatique, Fichiers et Libertés).

La protection des droits des personnesLa protection des droits des personnes

Page 46: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 46 ©IDS 2009

EXCEPTIONS : EXCEPTIONS : Sans le consentementSans le consentement du patient du patient

- Pour les traitements nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l’administration des soins ou de traitements, ou de la gestion de services de santé et mis en et mis en œuvre par un membre des professions de santé, ou par une autre œuvre par un membre des professions de santé, ou par une autre personne à laquelle s’impose en raison de ses fonctions l’obligation de personne à laquelle s’impose en raison de ses fonctions l’obligation de secret professionnel (article 8 – II – 6° de la loi Informatique, Fichiers secret professionnel (article 8 – II – 6° de la loi Informatique, Fichiers et Libertés) ;et Libertés) ;

- Les traitements qui font l’objet à bref délai d’un procédé d’anonymisation préalablement reconnu conforme à la loi par la CNIL   (article 8 – III de la loi Informatique, Fichiers et Libertés)  (article 8 – III de la loi Informatique, Fichiers et Libertés) 

La protection des droits des personnesLa protection des droits des personnes

Page 47: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 47 ©IDS 2009

4.2.2/ Le consentement à l’hébergement des données de santé à caractère personnel

PRINCIPE : Article L.1111-8 alinéa 1 du CSP

Un consentement exprès du patient est requis au titre de l’hébergement des données de santé à caractère personnel par un tiers hébergeur.

La protection des droits des personnesLa protection des droits des personnes

Page 48: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 48 ©IDS 2009

EXCEPTIONEXCEPTION : Article L.1111-8 alinéa 5 Code de la Santé Publique

Le consentement du patient n’est pas nécessaire lorsque les professionnels et établissements de santé utilisent leurs propres systèmes ou des systèmes appartenant à des hébergeurs agréés,

dès lors que l’accès aux données détenues est limité au professionnel de santé ou à l’établissement de santé qui les a déposées,

ainsi qu’à la personne concernée dans les conditions prévues par l’article L. 1111-7.

La protection des droits des personnesLa protection des droits des personnes

Page 49: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 49 ©IDS 2009

4.3/ Le droit d’accès aux données de santé à caractère personnel

La protection des droits des personnesLa protection des droits des personnes

Page 50: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 50 ©IDS 2009

• Accès direct du patient ou indirect par l’intermédiaire d’un médecin : article L.1111-7 du code de la santé publique

• Le délai de communication :- 8 jours- 2 mois si les informations médicales datent de plus de 5 ans• Le contenu du dossier médical hospitalier :- L’identification du patient et, le cas échéant la personne de confiance- Les informations formalisées recueillies lors des consultations externes

dispensés dans l’établissement, lors de l’accueil au service des urgences ou au moment de l’admission et au cours du séjour hospitalier

- Les informations formalisées établies à la fin du séjour- Les informations mentionnant qu’elles ont été recueillies auprès de

tiers n’intervenant pas dans la prise en charge thérapeutique ou concernant de tels tiers (non communicables au patient)

La protection des droits des personnesLa protection des droits des personnes

Page 51: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 51 ©IDS 2009

4.4/ Le secret médical

La protection des droits des personnesLa protection des droits des personnes

Page 52: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 52 ©IDS 2009

PRINCIPE : Article L.1110-4 du Code de la Santé Publique

« Toute personne prise en charge par un professionnel, un établissement, un réseau de santé ou tout autre organisme participant à la prévention et aux soins a droit au respect de sa vie privée et du secret des informations le concernant.

Excepté dans les cas de dérogations expressément prévus par la loi, ce secret couvre l’ensemble des informations concernant la personne, venue à la connaissance du professionnel de santé, de tout membre du personnel de ses établissements ou organismes et de toutes autres personnes en relation, de part ses activités, avec ces établissements et organismes.

Il s’impose à tous les professionnels de santé, ainsi qu’à tous les professionnels intervenant dans le système de santé (…) »

La protection des droits des personnesLa protection des droits des personnes

Page 53: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 53 ©IDS 2009

4.4.1/ Les personnes soumises au secret médical

• les professionnels de santé

• les établissements de santé

• les réseaux de santé

• tout organisme participant à la prévention ou aux soins

• les membres des personnels

• les personnes en relation avec ces organismes de par leur activité

• toute personne intervenant dans le système de santé

La protection des droits des personnesLa protection des droits des personnes

Page 54: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 54 ©IDS 2009

4.4.2/ Le champ d’application du secret médical

• Informations médicales/individuelles/vie privée

• Confidentielles ou non par nature

• Constatées ou confiées

• Se rapportant au patient

• Révélation dommageable ou non

La protection des droits des personnesLa protection des droits des personnes

Page 55: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 55 ©IDS 2009

4.4.3/ Le secret médical partagé

PRINCIPE : Article L.1110-4 alinéa 3 du code de la santé publique

«  Deux ou plusieurs professionnels de santé peuvent toutefois, sauf opposition de la personne dûment avertie, échanger des informations relatives à une même personne prise en charge, afin d'assurer la continuité des soins ou de déterminer la meilleure prise en charge sanitaire possible.

Lorsque la personne est prise en charge par une équipe de soins dans un établissement de santé, les informations la concernant sont réputées confiées par le malade à l'ensemble de l'équipe ».

CONDITIONS :

- Deux ou plusieurs professionnels de santé

- Peuvent échanger des informations relatives à un même patient

- Pour la continuité des soins /la meilleure prise en charge sanitaire

La protection des droits des personnesLa protection des droits des personnes

Page 56: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 56 ©IDS 2009

4.4.4/ Le secret médical appliqué aux données des études et recherches en santé – Chapitre IX

• DEROGATION LEGALE AU SECRET (Article 55 de la loi Informatique et Libertés) :

« Nonobstant les règles relatives au secret professionnel, les membres des professions de santé peuvent transmettre les données à caractère personnel qu'ils détiennent dans le cadre d'un traitement de données »

• LIMITE : l’opposition de la personne dûment avertie (Article 56 de la loi Informatique et Libertés) :

« Toute personne a le droit de s'opposer à ce que les données à caractère personnel la concernant fassent l'objet de la levée du secret professionnel rendue nécessaire par un traitement »

La protection des droits des personnesLa protection des droits des personnes

Page 57: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 57 ©IDS 2009

4.4.5/ Le secret médical électronique

TEXTES :

- Article L.1110-4 du Code de la Santé Publique

- Article L.1111-8 du Code de la Santé Publique

- Décret n°2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales conservées sur support informatique ou transmises par voie électronique

La protection des droits des personnesLa protection des droits des personnes

Page 58: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 58 ©IDS 2009

Données de santé à caractère personnel

- Détention, traitement et conservation sur support informatique

- Transmission par voie électronique entre professionnels

- Par un professionnel de santé, un établissement de santé, un réseau de santé, tout autre organisme intervenant dans le système de santé, hébergeurs de données de santé

La protection des droits des personnesLa protection des droits des personnes

Référentiels de sécurité à paraitre

Page 59: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 59 ©IDS 2009

4.5/ Le droit à la sécurité des données de santé

La protection des droits des personnesLa protection des droits des personnes

Page 60: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 60 ©IDS 2009

La protection des droits des personnesLa protection des droits des personnes

Sécurité des données

Hébergement des données par un tiers

Données de santé à caractère personnel

•Détention•Conservation sur support informatique•Transmission par voie électronique

Sanctions pénales

Mesures physiques et logiques de sécurité

Page 61: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 61 ©IDS 2009

5/ Les sanctions5/ Les sanctions

Les sanctionsLes sanctions

Page 62: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 62 ©IDS 2009

Les sanctionsLes sanctions

5.1/ La violation du secret médical

Article 226-13 du Code Pénal : la révélation d’une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire

Article L 1110-4 du Code de la Santé publique: le fait d’obtenir ou de tenter d’obtenir des informations médicales en violation du droit au respect du secret

1 an d’emprisonnement

et

15 000 € d’amende

Page 63: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 63 ©IDS 2009

5.2/ Les traitements de données à caractère personnel

Les sanctionsLes sanctions

ARTICLES DU CODE PENAL OBJET SANCTIONS

226-16 Traitement de données à caractère personnel sans respect des formalités préalables

5 ans d’emprisonnement300 000 € d’amende

226-17 Traitement de données à caractère personnel sans prendre les précautions utiles afin de préserver la sécurité des données

5 ans d’emprisonnement300 000 € d’amende

226-18 Collecte de données à caractère personnel par un moyen frauduleux, déloyal ou illicite

5 ans d’emprisonnement300 000 € d’amende

226-18-1 Traitement de données à caractère personnel malgré opposition de la personne pour motif légitime

5 ans d’emprisonnement300 000 € d’amende

226-19 Conservation de données à caractère personnel relatives à la santé sans le consentement de la personne

5 ans d’emprisonnement300 000 € d’amende

226-19-1 Traitement de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé malgré l’opposition/sans information de la

personne

5 ans d’emprisonnement300 000 € d’amende

226-20 Conservation des données au-delà de la durée légale 5 ans d’emprisonnement300 000 € d’amende

226-21 Détournement de finalités (utilisations) 5 ans d’emprisonnement300 000 € d’amende

Page 64: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 64 ©IDS 2009

5.3/ L’hébergement des données de santé sans agrément

Article L.1115-1 du Code de la Santé publique :

La prestation d'hébergement de données de santé à caractère personnel recueillies auprès de professionnels ou d'établissements de santé ou directement auprès des personnes qu'elles concernent sans être titulaire de l'agrément prévu par l'article L. 1111-8 ou de traitement de ces données sans respecter les conditions de l'agrément obtenu est puni de :

- 3 ans d'emprisonnement

et

- 45 000 € d'amende

Les sanctionsLes sanctions

Page 65: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 65 ©IDS 2009

5.4/ L’utilisation et la commercialisation des données de santé

Article L 4113-7 et L 4163-9 du Code de la Santé Publique: interdiction de la constitution et de l’utilisation à des fins de prospection ou de promotion commerciales de fichiers composés à partir de données issues directement ou indirectement des prescriptions médicales ou des informations médicales mentionnées à l’article L 161-29 du Code de la sécurité sociale, dés lors que ces fichiers permettent d’identifier directement ou indirectement le professionnel prescripteur

2 ans d’emprisonnementet

75 000 € d’amende

Article L 1111-8 du Code de la Santé Publique dernier alinéa: tout acte de cession à titre onéreux de données de santé identifiantes, directement ou indirectement, y compris avec l’accord de la personne concernée est interdit sous peine des sanctions prévues à l’article 222-21 du Code pénal.

5 ans d’emprisonnementet

300 000 € d’amende

Les sanctionsLes sanctions

Page 66: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 66 ©IDS 2009

Les données de santé en FranceLes données de santé en France

TraitementDétention

Hébergement

Conservation sur support informatique

Transmission par voie

électronique

Confidentialité / Secret

Intégrité

Utilisation

Commercialisation

Consentement Information Sécurité

Page 67: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 67 ©IDS 2009

La France dispose du système légal le plus protecteur au Monde

des données de santé et des droits des personnes

ConclusionsConclusions

Page 68: N° 1 ©IDS 2009 Données de Santé : en France, qui peut en faire quoi ?

n° 68 ©IDS 2009

Institut des données de santéInstitut des données de santé

19, rue Arthur Croquette 19, rue Arthur Croquette

94220 Charenton Le Pont 94220 Charenton Le Pont

- Tel : 01 45 18 43 90 - Tel : 01 45 18 43 90

- Fax : 01 45 18 43 99 - Fax : 01 45 18 43 99

- Mail: - Mail: [email protected]@gip-ids.fr

- Site: - Site: www.institut-des-donnees-de-sante.frwww.institut-des-donnees-de-sante.fr