CNIL, 19 septembre 2013, 2013-268

(Demande d'autorisation n° 1494224) La Commission nationale de l'informatique et des libertés,

Saisie par

la Caisse nationale de solidarité pour l'autonomie d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l'évaluation des personnes hébergées en Etablissement d'hébergement pour personnes âgées dépendantes (EHPAD) ou en Unité de soins de longue durée (USLD) ;

Vu

la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ; Vu le code de l'action sociale et des familles, notamment son article 314-9 ; Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ; Vu la loi n° 2007-290 du 5 mars 2007 instituant le droit au logement opposable et portant diverses mesures en faveur de la cohésion sociale, et notamment son article 56 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu l'arrêté du 4 juin 2007 relatif aux indicateurs nationaux de référence et à leur prise en compte dans le cadre de la tarification des besoins en soins requis dans certains établissements relevant du I de l'article L. 313-12 du code de l'action sociale et des familles ; Vu le dossier et ses compléments ; Sur la proposition de Madame Laurence DUMONT, Commissaire et après avoir entendu les observations de Mme Rolin, commissaire du Gouvernement ;

Formule les observations suivantes

: Sur le responsable du traitement La Caisse nationale de solidarité pour l'autonomie (CNSA) est un établissement public créé par la loi du 30 juin 2004. Depuis la loi sur l'égalité des droits et des chances des personnes handicapées du 11 février 2005, la CNSA répond aux finalités suivantes : financer les aides en faveur des personnes âgées dépendantes et des personnes handicapées ; garantir l'égalité de traitement sur tout le territoire et pour l'ensemble des handicaps ; assurer une mission d'expertise du service rendu aux personnes âgées dépendantes. En tant qu'agence d'appui technique, la CNSA doit faciliter la mise en œuvre de l'arrêté du 4 juin 2007 relatif aux indicateurs nationaux de référence et à leur prise en compte dans le cadre de la tarification des besoins en soins requis dans des établissements avec services médico-sociaux tels que les établissements d'hébergement pour personnes âgées dépendantes (EHPAD) et les Unités de soins de longue durée (USLD). Les indicateurs nationaux de référence visés par l'arrêté précité correspondent, d'une part, à la grille « Autonomie Gérontologie Groupe Iso-Ressources » (Grille AGGIR), permettant d'évaluer le degré d'autonomie d'une personne, et, d'autre part, à la grille permettant d'identifier une pathologie (Grille PATHOS). Sur la finalité Le traitement soumis à la CNIL, dénommé GALAAD, (Gérontologie, Approche Logistique pour une Aide à l'Analyse et à la Décision) a été conçu pour analyser le système d'offres de services et de soins pour personnes âgées en EPHAD, ou en USDL, et, le cas échéant, améliorer ce système. Il a pour finalité une évaluation des personnes hébergées en EHPAD ou en USLD au moyen des nomenclatures AGGIR et PATHOS. Cette évaluation sera soumise aux médecins des Agences régionales de santé (ARS) afin d'être validée et de garantir, au moyen des statistiques dressées à partir de ces grilles, une qualité et une dotation de soins adaptées aux besoins réels des personnes concernées. Ainsi, dans un souci d'amélioration du service rendu, il permettra de collecter auprès des EPHAD des données relatives aux personnes prises en charge afin que l'agence régionale de santé (ARS) compétente contrôle la cohérence des évaluations proposées par l'EHPAD. La Commission considère que ces finalités sont pertinentes, adéquates et légitimes. Sur les données traitées La plateforme sécurisée et unique de la CNSA, Galaad, permettra la saisie de données indirectement identifiantes. Seul un champ de Galaad permettra indirectement au médecin coordonateur en charge de valider les évaluations saisies d'identifier les personnes concernées, par recoupement avec les fichiers de l'établissement. Cette identification ne sera possible que pendant la durée de la validation des évaluations saisies. Les données traitées seront uniquement des données de santé, à l'exclusion de toute donnée d'identification directe. Elles correspondront : aux données issues de la grille d'évaluation AGGIR (cohérence, orientation, toilette, habillage, alimentation, élimination, déplacement, communication à distance qui indiquent le degré de perte d'autonomie d'une personne à travers 6 nomenclatures); aux données issues de la grille d'évaluation PATHOS (qui propose une nomenclature des différentes natures de pathologies observées) ; aux bilans dressés par le médecin coordonnateur en rapprochant ces grilles au dossier médical individuel des personnes concernées dans l'EPHAD. Ces données apparaissent pertinentes au regard de la finalité poursuivie. Pour éviter l'enregistrement de données inappropriés, et garantir que les données contenues dans les zones commentaires libres sont pertinentes, adéquates et non excessives au regard de la finalité du traitement, la Commission recommande que la mention suivante apparaisse (en filigrane ou en surimpression) dans chacun des champs libres accessible sur le progiciel : « Seules doivent être saisies les informations susceptibles d'être pertinentes au regard du contexte. Elles ne doivent pas comporter d'appréciation subjective, ni faire apparaître, directement ou indirectement, les origines raciales, les opinions politiques, philosophiques ou religieuses, les appartenances syndicales ou les mœurs de la personne concernée ». Sur les destinataires Les destinataires des données sont dans le cadre de leurs fonctions : le médecin coordinateur ; le médecin de l'ARS ; le médecin de la CNSA. les médecins du Conseil Général Ce point n'appelle pas d'observation. Sur l'information et le droit d'accès Conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de leurs droits d'accès, d'opposition, de rectification et de suppression dans le règlement intérieur de l'EHPAD ou de l'USLD. En application de l'article 39 de la loi du 6 janvier 1978 modifiée, le droit d'accès des personnes hébergées s'exerce auprès de l'EHPAD ou de l'USLD concernée. Au regard de ces éléments, la Commission considère que les droits des personnes sont effectivement garantis. Sur les mesures de sécurité La Commission considère que, eu égard à la finalité assignée au dispositif, à la sensibilité des informations appelées à figurer dans le système et aux modalités d'exploitation de celles-ci, la mise en œuvre des mesures garantissant la confidentialité des données est de nature à garantir un risque limité d'atteinte aux données. En particulier, la Commission prend note que l'accès aux fiches médicales est subordonné à une habilitation ad hoc. La Commission relève en outre que le traitement est mis en œuvre chez un hébergeur dont les centres de données sont situés en France. Elle recommande qu'une traçabilité des accès soit effectuée et que le journal de connexion à GALAAD soit conservé 12 mois. Sur les autres caractéristiques du traitement La Commission rappelle que les données traitées dans GALAAD ne sauraient être conservées plus de deux ans à compter de la sortie de l'EPHAD ou de l'USDL concernée. La présente délibération abroge la délibération n° 2012-123 du 19 avril 2012.

Autorise, conformément à la présente délibération

, la Caisse nationale de solidarité pour l'autonomie à mettre en œuvre le traitement susmentionné. La Présidente Isabelle FALQUE-PIERROTIN