Arrêté royal déterminant les règles suivant lesquelles certaines données hospitalières doivent être communiquées au Ministre qui a la Santé publique d

27 AVRIL 2007. - Arrêté royal déterminant les règles suivant lesquelles certaines données hospitalières doivent être communiquées au Ministre qui a la Santé publique dans ses attributions RAPPORT AU ROI Sire, La Commission de la protection de la vie privée s'est prononcée, à deux reprises, sur l'arrêté royal qui vous est soumis. Le premier avis de la Commission de la protection de la vie privée contenait encore une conclusion négative à la suite de laquelle il a été décidé de mettre, autant que possible, l'arrêté en concordance avec l'avis de la Commission et de demander un second avis à cette dernière. Ce second avis était favorable, à quelques remarques près. Nous examinons ci-dessous, en deux parties distinctes, les deux avis de la Commission de la protection de la vie privée. Selon le cas, nous proposons, soit des réponses aux remarques de la Commission, soit un commentaire des modifications apportées à l'arrêté royal pour le mettre en conformité avec l'avis. La structure du Rapport au Roi suit, dans une large mesure, celle des deux avis en ce sens qu'il est chaque fois indiqué à quel point de l'avis se rapporte la réponse donnée. Partie 1 : Avis n° 14/2006 du 24 mai 2006 Objectifs Dans le point 27 de l'avis, la Commission de la protection de la vie privée stipule que les objectifs du traitement des données qui seront demandées conformément au présent arrêté royal, sont décrits comme une série de domaines d'étude et de stratégie considérés au sens large et plutôt divergents. En son point 32, l'avis de la Commission de la protection de la vie privée suggère qu'une répartition en catégories précisant quelles données personnelles seront collectées et dans quel but, apporterait davantage de clarté. Eu égard aux impératifs d'une bonne lisibilité et d'une structure logique et claire de l'arrêté royal, il n'a pas semblé opportun d'expliquer en détails quelles données devront être fournies pour chaque objectif. En outre, pratiquement toute donnée demandée répond aux desiderata de plusieurs objectifs. L'on a dès lors opté pour une description succincte des objectifs à l'article 3 de l'arrêté royal en ce qui concerne les hospitalisations et à l'article 19 pour ce qui est des SMUR. Les articles de l'arrêté qui définissent les données demandées elles-mêmes sont regroupés d'une manière logique en fonction du contenu : - Art. 11 : données administratives concernant le patient et son séjour; - Art. 12 : données médicales relatives aux patients hospitalisés; - Art. 13 : données infirmières; - Art. 14 : données relatives au personnel (concernant les données infirmières); - Art. 23 : données administratives relatives à la fonction SMUR et aux patients traités; - Art. 24 : données médicales concernant les patients traités par le SMUR; Des informations plus détaillées sur les objectifs figurent dans le présent rapport lui-même. Dans le cadre de la détermination des besoins en matière d'établissements hospitaliers et de la description des normes d'agrément qualitatives et quantitatives il est important de pouvoir corréler les pathologies et les traitements subis, de pouvoir identifier les traitements de manière globale, de pouvoir corréler le personnel présent dans les unités de soins et les pathologies traitées, de pouvoir corréler les traitements et les outcomes, de pouvoir élaborer des indicateurs permettant des comparaisons interhospitalières,... Dans le cadre du financement des hôpitaux, il est important de tenir compte de la pathologie traitée par l'hôpital, de la charge en soins infirmiers, du caractère intensif des soins et de pouvoir corréler la durée de séjour globale et par service avec la pathologie traitée,... Dans le cadre de la définition de la politique relative à l'art de guérir, il est important de pouvoir évaluer les traitements subis en fonction des pathologies diverses. Nous voulons faire remarquer qu'il s'agit ici d'une évaluation des hôpitaux eux-mêmes et non des médecins individuels. Il en a déjà été ainsi entre autres avec une série d'indicateurs cliniques ayant fait l'objet d'un feedback aux hôpitaux. Un de ces indicateurs est par exemple le nombre d'accouchements par césarienne parmi les grossesses normales. Dans le cadre de la définition d'une politique épidémiologique, il est également important de pouvoir évaluer l'incidence et la prévalence des pathologies aiguës et chroniques. Pour pouvoir répondre à ces finalités, il est donc indispensable de pouvoir disposer de données à caractère personnel, qu'elles soient médicales, infirmières ou administratives. Il est aussi essentiel de pouvoir disposer de données structurelles et de personnel. En fonction de l'objectif, certaines données doivent de plus pouvoir être corrélées entre elles. A cet effet, des procédures et des règles de sécurité spécifiques ont été élaborées (voir sous « Identification du patient »). En ce qui concerne les données complémentaires (par rapport à l'ancien enregistrement introduit par l'arrêté royal du 6 décembre 1994), il faut remarquer qu'il s'agit uniquement de quelques compléments qui s'imposaient dans la perspective d'une meilleure utilisation de ces données pour les différents objectifs tels qu'énumérés ci-avant : - pour l'organisation du financement des hôpitaux (article 3, § 1er, 3°), il est indispensable de se faire une idée plus précise des patients étrangers et de leur 'assurabilité' (article 11, 2°, d) et e) ); pour les mêmes raisons, l'art. 4 précise également que l'enregistrement vaut pour toutes les admissions (avec et sans nuitée) et pour tous les patients. De plus, les données relatives au personnel sont spécifiées à l'article 14 alors que l'article 11, 3° prévoit la demande d'informations au sujet des associations; - pour la définition d'une politique relative à l'exercice de l'art de guérir (article 3, § 1er, 4°), des données médicales complémentaires sont requises comme le diagnostic d'admission vérifié (article 12, 1°, a) ), la présence ou non d'un diagnostic au moment de l'admission (article 12, 2°), la cause du décès (article 12, 1° c) ) et le résultat d'un examen médical chez des patients avec un infarctus aigu du myocarde (STEMI) (article 12, 4°); - pour la détermination des normes qualitatives et quantitatives d'agrément des hôpitaux et de leurs services (article 3, § 1er, 2°), des données complémentaires sont demandées au service des urgences (Article 12, 2°, b) et c) ) et l'enregistrement SMUR est intégré dans l'enregistrement obligatoire (Titre 2.). Au sujet de la pertinence des données, remarquons que toutes les données infirmières complémentaires et les données relatives au personnel qui s'y rapportent ont été introduites sur la base d'une étude réalisée par 2 universités en collaboration avec le secteur hospitalier, au terme d'une longue mise à l'essai. Commission de surveillance et d'évaluation La Commission de la protection de la vie privée argumente dans son avis de l'opportunité d'un avis complémentaire d'une commission plus spécialisée, étant donné que la Commission de la protection de la vie privée ne dispose pas des connaissances professionnelles nécessaires pour pouvoir évaluer, d'un point de vue technique, l'utilité et la qualité du traitement des données. La Commission de la protection de la vie privée renvoie à cet égard à la commission pour la supervision et l'évaluation des données statistiques qui concernent les activités médicales dans les hôpitaux, créée par l'arrêté royal du 6 décembre 1994. Comme la Commission de la protection de la vie privée le fait remarquer, ladite commission a été entretemps abrogée. En outre, cette commission n'était pas compétente pour évaluer des projets d'arrêtés royaux. Un avis préalable obligatoire de cette commission était donc exclu. La Structure multipartite en matière de politique hospitalière a repris la tâche de l'ancienne Commission pour la supervision et l'évaluation des données. L'article 154, 2° de la loi portant des dispositions sociales précise que le ministre de la Santé publique peut solliciter l'avis de la Structure multipartite sur « l'enregistrement, la collecte, le traitement et l'utilisation des données statistiques relatives aux activités médicales, visées à l'article 86 de la loi sur les hôpitaux, coordonnée le 7 août 1987. » En son point 37, la Commission de la protection de la vie privée ajoute qu'il serait souhaitable de demander l'avis de la "Structure multipartite" au sujet de la pertinence et de la proportionnalité des données à collecter, en fonction des traitements visés. Il faut ajouter que l'article 154 de la loi portant des dispositions sociales prévoit uniquement la possibilité de demander un avis sans toutefois en faire une obligation. Dans ce contexte, la Structure multipartite ne donne jamais d'avis sur des projets d'arrêtés royaux mais bien sur des concepts, sur des systèmes ou sur certaines données demandées. Ainsi, le concept de l'enregistrement adapté a bien été proposé à la Structure multipartite. Ses membres n'ont formulé aucune remarque de principe au cours de la discussion qui a suivi. Le législateur a estimé ne pas devoir inclure l'obligation de solliciter des avis dans l'article 86 de la loi sur les hôpitaux. Remarquons que le législateur a imposé, pour l'exécution de la loi, la sollicitation de certains avis dans plusieurs articles de la loi sur les hôpitaux, ce qui n'est pas le cas à l'article 86. On peut en déduire que le législateur n'a pas jugé que les avis complémentaires était opportuns dans ce contexte. La "Commission pour le contrôle de l'enregistrement des données relatives à l'activité médicale à l'hôpital et pour l'évaluation d'une politique justifiée en matière d'admissions", telle que visée à l'article 86ter de la loi sur les hôpitaux, ne peut être considérée comme un organe donnant des avis sur des projets d'arrêtés. En outre, cette Commission n'est pas compétente pour donner des avis sur le concept d'un enregistrement mais bien sur les modalités de contrôle des données demandées ainsi que sur l'évaluation de la politique en matière d'admission (article 86ter, § 3 de la loi sur les hôpitaux). Le renvoi à cet organe au point 38 de l'avis de la Commission de la protection de la vie privée est par conséquent inopportun. Identification du patient Au point 45 de son avis, la Commission de la protection de la vie privée exprime la crainte que l'on puisse retrouver l'identité du patient à partir d'un certain nombre de données spécifiques à communiquer, telles que la date d'admission (article 11, 3°, a) ), la date de sortie de l'établissement (article 11, 3°, a) ), le lieu de l'intervention (article 23, 2°, e) ) et la résidence principale du patient (article 23, 3°, d) ). Les dates d'admission et de sortie de l'établissement figuraient déjà dans l'arrêté royal initial du 6 décembre 1994. Celui-ci n'imposait de communiquer que le jour de la semaine, son fondement légal ne permettant d'enregistrer que des données anonymes. Depuis le temps relativement long que l'on procède à l'enregistrement des résumés clinique et infirmier, il est apparu que la date exacte de l'admission et de la sortie de l'établissement est une donnée extrêmement importante si l'on veut pouvoir effectuer des études épidémiologiques. L'exemple le plus frappant à cet égard est l'étude des vagues de chaleur. Ce phénomène est susceptible d'entraîner, à une date bien précise, un pic d'admissions ou de décès, lequel est impossible de déceler à partir des données dont l'arrêté royal du 6 décembre 1994 prévoit la communication. En effet, la date exacte ne peut être identifiée et une augmentation temporaire passe inaperçue dans la masse des données. Le fonctionnement des services d'urgences est un autre exemple justifiant l'enregistrement de la date d'admission. En outre, le législateur a entre-temps décidé de modifier l'article 86 de la loi sur les hôpitaux, lequel procure son fondement légal non seulement à l'arrêté royal du 6 décembre 1994, mais également au présent arrêté. Désormais, la collecte de données ne devra plus se limiter aux données anonymes. L'inquiétude que la Commission de la protection de la vie privée nourrit en ce qui concerne « l'adresse du lieu de l'intervention » repose sur un malentendu. Cette information doit en effet permettre d'inventorier les zones où la circulation est dangereuse ou peu sûre. Lorsque le SMUR doit intervenir le long d'une autoroute, l'enregistrement de la borne kilométrique à hauteur de laquelle l'intervention a eu lieu suffira. Pour les autres lieux, l'indication de la commune suffira. Par souci de précision, la définition de cette donnée a toutefois été adaptée dans le texte de l'arrêté royal. Il est désormais question du « lieu codé de l'intervention (sur les sites privés, il s'agira du nom de la commune et, le long des autoroutes, de la borne kilométrique) ». Quant à la « résidence principale du patient » (article 23, 3°, d) ), elle doit s'interpréter comme étant la commune où réside le patient traité par le SMUR. Pour éviter les erreurs d'interprétation, le texte du présent arrêté en fera également état en ces termes. Enfin, force est d'observer que les données permettant théoriquement de retrouver l'identité du patient ne seront analysées conjointement que dans des cas très spécifiques, jamais sur base de la banque de données complète, et uniquement lorsque cela sera absolument nécessaire pour atteindre un objectif déterminé. Les procédures et la structure de l'environnement informatique sont pour cela spécialement adaptées. Ces aspects sont expliqués plus en détail dans le paragraphe suivant. Au sein de la direction Générale Organisation des établissements de soins du SPF Santé Publique, Sécurité de la Chaîne alimentaire et Environnement, la collecte de données se concentre au niveau du service Data Management. Il s'agit d'un service horizontal, chargé de rassembler, contrôler et mettre à disposition des services d'appui stratégique les données des différents systèmes d'enregistrement des établissements de soins (hôpitaux, MRS, MSP, etc.). Ces services d'appui (Hôpitaux aigus, Soins aux personnes âgées, Soins psychosociaux, Comptabilité des hôpitaux) sont responsables de l'analyse et de l'utilisation de ces données dans le cadre de leur domaine de compétence. Pour chaque nouvelle analyse que les services cités ci-dessus doivent exécuter, est créé un fichier spécifique qui ne contient que les données nécessaires à l'application ou à l'exécution de l'analyse que ces services souhaitent effectuer. Pour ce faire, une sélection est toujours opérée parmi les variables présentes, la plupart du temps aussi pour une période donnée (p. ex. un an). Le numéro de séjour et de patient original n'est jamais communiqué. Si une identification de séjour ou de patient est cependant exigée, un nouveau numéro codé est attribué, qui sera différent pour chaque analyse. Le numéro de séjour original n'est utilisé que dans un seul cas, à savoir si un contact doit être pris avec l'hôpital, entre autres dans le cadre d'un contrôle des données par les médecins-auditeurs ou les infirmiers-auditeurs. Dans ce cas, une liste de numéros de séjour est transmise à l'hôpital deux jours à l'avance, afin que les dossiers nécessaires puissent être préparés. Une autre situation possible porte sur le feed-back que le SPF donne aux hôpitaux et qui exige des hôpitaux de disposer du numéro de séjour pour valider eux-mêmes leurs données. Du point de vue informatique, cette procédure s'appuie sur un système de mots de passe et un accès sélectif aux différents fichiers. Le tout est supervisé par un médecin spécialiste en gestion des données de santé. Concrètement, nous distinguons trois parties dans l'environnement informatique (voir schéma) : 1. une partie du serveur est réservée aux hôpitaux, de sorte qu'ils puissent déjà procéder à un premier contrôle des données qu'ils souhaitent envoyer;2. l'environnement de production du service Data Management, où les données sont contrôlées et stockées;3. l'environnement d'analyse, lequel renferme, d'une part, des données agrégées (ex.fréquence d'une pathologie déterminée dans les hôpitaux belges en 2004) accessibles à tout analyste rattaché à la direction générale de l'Organisation des établissements de soins (accès sécurisé par un mot de passe, ce qui veut dire que l'identité des personnes bénéficiant de cet accès est toujours connue), et d'autre part, des fichiers de sélections de données élaborés dans un but précis et uniquement accessibles aux personnes concernées par cette analyse donnée. Les données collectées par le SPF Santé publique, Sécurité de la chaîne alimentaire et Environnement seront donc conservées de manière sécurisée dans une base de données placée sous le contrôle et la responsabilité d'un professionnel des soins de santé. En l'occurrence, il s'agira toujours d'un médecin. Cet élément a également été inscrit dans le texte de l'arrêté royal par souci de clarté. Numéro unique d'enregistrement du patient La référence à un futur numéro de patient unique a été supprimée de l'arrêté royal afin d'éviter toute confusion. Une nouvelle initiative légale devra de toute façon être prise lors de son introduction Organisation intermédiaire Au point 49 de son avis, la Commission de la protection de la vie privée recommande de créer une organisation intermédiaire au sens de l'arrêté royal du 13 février 2001. Celle-ci serait chargée de rassembler, conserver et coder les données collectées, et de mettre ensuite celles-ci à la disposition des personnes qui doivent en assurer le traitement conformément aux objectifs définis. Pour ce qui est du codage des données, la Commission de la protection de la vie privée renvoie par ailleurs également au point 67 de son avis, où elle expose de façon plus détaillée la possibilité de créer une organisation intermédiaire qui assurerait le codage. En ce qui concerne cette remarque, nous pouvons, en grande partie, référer à la procédure qui est exposée au point « Identification du patient ». Nous répétons ici seulement que les établissements hospitaliers procèdent déjà eux-mêmes au codage et au rassemblement des données. Le service Data Management de la direction générale Organisation des établissements de soins remplit au sein du SPF Santé Publique, Sécurité de la Chaîne Alimentaire et Environnement le rôle d'organisation intermédiaire. Le service Data Management prend soin d'assurer, en tout temps, une séparation fonctionnelle entre le stockage et l'analyse des données. Délai de conservation des données La Commission de la protection de la vie privée relève le fait que le présent arrêté royal ne fixe aucun délai de conservation des données. Au point 52 de son avis, elle renvoie à l'article 4, § 1er, 5°, de la loi du 8 décembre 1992, qui prévoit que les données à caractère personnel ne peuvent être conservées que pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont obtenues ou pour lesquelles elles sont traitées ultérieurement. Cette remarque de la Commission de la protection de la vie privée est fondée. Le texte de l'arrêté a donc été adapté et prévoit désormais un délai de conservation de 30 ans. Un tel délai est en effet nécessaire pour pouvoir étudier les tendances à long terme. Le SPF Santé publique, Sécurité de la Chaîne alimentaire et Environnement s'engage néanmoins à détruire déjà après 10 ans la clé permettant de remonter jusqu'à l'hôpital et au dossier du patient grâce aux données. Cette modification répond ainsi à la demande de la Commission de la protection de la vie privée, qui souhaitait davantage de garanties sur le plan de la conservation des données. Transmission des données aux Communautés La Commission de la protection de la vie privée s'est interrogée au sujet de la transmission des données à d'autres pouvoirs publics, telle que prévue autrefois dans l'arrêté royal. Au point 62 de son avis, la Commission de la protection de la vie privée indique que cette transmission doit répondre à une finalité compatible, déterminée, explicite et légitime, compte tenu de tous les facteurs pertinents, notamment des attentes raisonnables de l'intéressé et des dispositions légales et réglementaires applicables. L'article 5, § 1er, I, de la loi spéciale de réformes institutionnelles habilite, en tout état de cause, les Communautés à demander que les données relatives aux soins de santé leur soient communiquées. Ce ne serait cependant pas un gage de bonne administration que d'enregistrer deux fois l'ensemble des données : une fois pour l'autorité fédérale et une fois pour la communauté concernée. La Commission remarque à juste titre qu'une base légale fait défaut pour le moment pour permettre la transmission des données de santé enregistrées aux autorités concernées. La possibilité de transmission des données aux communautés a donc été provisoirement supprimée de l'arrêté. Transmission à des tiers Dans son avis, la Commission de la protection de la vie privée s'inquiète de l'absence de mécanismes permettant d'apprécier la pertinence et la proportionnalité d'une transmission des données à des tiers. Au point 66, elle suggère que l'arrêté royal précise pour quels motifs, quelles données et à quels tiers des données pourront éventuellement être communiquées. Il est cependant impossible de tout définir précisément à l'avance. Cela étant dit, les éléments suivants peuvent néanmoins être fournis. En ce qui concerne les motifs d'une transmission de données à des tiers, on se reportera au texte de l'arrêté, qui précise en son article 10 que les tiers peuvent demander la communication de données dans le cadre d'une « étude unique ». Les tiers qui demanderont la communication de données dans le cadre d'une telle étude devront démontrer en toute hypothèse que l'étude envisagée répond à un élément déterminé de leur mission sociale. Il a de plus été ajouté dans le texte de l'arrêté qu'une telle étude devra être de nature purement scientifique. Il va du reste sans dire que seules les données pertinentes pour la réalisation de l'étude seront transmises. Le SPF Santé publique, Sécurité de la chaîne alimentaire et Environnement garantit par ailleurs que les données ne seront transmises à des tiers que sur autorisation du comité sectoriel compétent. La procédure relative au codage des données transmises à des tiers est exactement la même que celle utilisée en interne au sein du SPF Santé Publique, Sécurité de la Chaîne alimentaire et Environnement. Cette procédure est discutée ci-dessus au point « Identification du patient ». Article 9 de l'arrêté royal Aux points 41 à 43 de son avis, la Commission de la protection de la vie privée relève un emploi inapproprié des termes « données anonymes » à l'article 9 de l'arrêté royal. La formulation de l'article 9 a dès lors été remaniée conformément aux remarques formulées par la Commission de la protection de la vie privée. Mesures de sécurité Au point 58 de son avis, la Commission de la protection de la vie privée rappelle un certain nombre de mesures de sécurité que le professionnel des soins de santé responsable du traitement des données sera tenu de suivre. On peut répondre à cet égard que la plupart des mesures énumérées sont d'ores et déjà mises en oeuvre de façon courante au sein du SPF Santé publique, Sécurité de la chaîne alimentaire et Environnement et que l'on s'attelle à les introduire dans les départements où elles ne sont pas encore appliquées. En tout état de cause, on veillera à ce que les mesures de sécurité en question soient appliquées. Partie 2 : Avis n° 02/2007 du 17 janvier 2007 Dans l'introduction, nous avons déjà signalé que l'avis de la Commission de la protection de la vie privée du 17 janvier 2007 était un avis positif, moyennant un certain nombre de remarques. Il s'agit plus particulièrement de trois remarques qui seront traitées successivement ci-après. Ces remarques portent surtout sur la sécurité des données rassemblées. La Commission de la protection de la vie privée n'a formulé, dans cet avis, aucune remarque sur les données à enregistrer. Objectif et proportionnalité du traitement Dans son premier avis, la Commission de la protection de la vie privée avait fait remarquer que les finalités du traitement devaient être formulées d'une manière beaucoup plus précise afin de permettre l'évaluation de la pertinence et de la proportionnalité des données collectées. Les finalités du traitement et la pertinence des données collectées ont dès lors été exposées de manière bien plus détaillée dans le Rapport au Roi (voir supra) pour les motifs déjà évoqués. La Commission de la protection de la vie privée prend acte, dans le point 18 de son avis, des précisions données mais ajoute que les finalités devraient, en fait, être déterminées 'de manière explicite' dans l'arrêté royal. Comme il a déjà été précisé dans la première partie du présent Rapport au Roi, la détermination détaillée de ces finalités dans l'arrêté royal est irréalisable 'en pratique'. Néanmoins, le traitement des données collectées doit toujours être effectué en tenant compte des finalités qui sont effectivement énoncées aux articles 3 et 19 de l'arrêté proposé; et de l'interprétation donnée aux dites finalités qui est commentée dans le présent Rapport au Roi. Citons comme garantie complémentaire, le fait que le praticien professionnel des soins de santé visé à l'article 8 de l'arrêté tienne à jour un carnet de bord dans lequel il enregistre les finalités de chaque opération et qui fait l'objet d'un rapport annuel destiné aux fournisseurs des données (les hôpitaux). Ré-identification du patient Dans le second avis, la Commission de la protection de la vie privée (point 28) répète son point de vue selon lequel le grand nombre de données collectées fait qu'il reste possible de retrouver l'identité du patient individuel. La Commission de la protection de la vie privée prend cependant acte des procédures et de la structure d'organisation adaptées au sein du service Data Management de la direction générale de l'Organisation des établissements de soins. La Commission estime enfin qu'il faudra veiller à réduire, le plus possible, le risque de ré-identification lors des mises à disposition des données. Elle recommande, entre autres, d'agréger les données, de supprimer certaines données ou de prendre toute autre mesure de protection adéquate. On peut répondre à cette remarque en affirmant que les données sont toujours agrégées dans la mesure du possible. De plus, la première partie du présent Rapport au Roi attire déjà l'attention sur les bases de données distinctes qui seront constituées pour chaque nouveau traitement et ne contiendront que les seules données strictement nécessaires pour le traitement visé. Par ailleurs, il faudra également prendre en compte les mesures complémentaires qui sont décrites dans cette seconde partie du présent rapport au Roi, comme entre autres la tenue à jour d'un carnet de bord (cf. supra) et la surveillance des procédures par un conseiller en sécurité (cf. infra). Organisation intermédiaire Dans la seconde partie de son avis, la Commission de la protection de la vie privée répète sa suggestion de créer une organisation intermédiaire. Cette organisation intermédiaire serait chargée du codage, de l'anonymisation et du couplage des données, ainsi que de la réalisation de contrôles de qualité sur les données regroupées, de leur conservation sécurisée et de l'application correcte de la législation concernant la protection de la vie privée, en particulier le principe de proportionnalité (point 48). Cette organisation intermédiaire devrait être indépendante du responsable du traitement ultérieur (point 47). Selon la Commission de la protection de la vie privée, l'organisation intermédiaire serait, dans un scénario idéal, gérée de manière indépendante par les représentants des hôpitaux (les fournisseurs de l'information) et des patients (les personnes sur lesquelles portent les informations). Selon la Commission de la protection de la vie privée, l'intervention d'une organisation intermédiaire est, en outre, légalement obligatoire, dans le cadre du présent arrêté. Elle renvoie à cet effet, dans son avis, à l'article 10 de l'arrêté royal du 13 février 2001 (point 48). Cet article prévoit que l'intervention d'une organisation intermédiaire est indispensable lorsque plusieurs responsables de traitements de données à caractère personnel, communiquent, au(x) même(s) tiers, des données en vue de leur traitement ultérieur. L'article 10 de l'arrêté royal du 13 février 2001 n'est toutefois pas applicable ici. L'article 1er, § 4 de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel définit comme suit le responsable du traitement : "la personne physique ou morale, l'association de fait ou l'administration publique qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel". En vertu de l'article 86 de la loi sur les hôpitaux, le Roi détermine, par arrêté royal, les règles de la collecte de données (et donc aussi les finalités et les moyens). Conformément au même article, les données doivent être communiquées au ministre qui a la Santé publique dans ses attributions. Le même ministre est également chargé de l'exécution du présent arrêté et, d'une manière plus générale, il est responsable de la politique de santé. Dans cette optique, le ministre doit être considéré comme le responsable du traitement des données et certainement pas comme un tiers. Il ne peut, par conséquent, être question de plusieurs responsables du traitement des données à caractère personnel au sens de l'article 10 de l'arrêté royal du 13 février 2001. L'article 10 de l'arrêté royal du 13 février 2001 vise plutôt une situation spécifique dans laquelle plusieurs bases de données sont rassemblées en une base de données qui chapeaute toutes celles qui la composent, comme dans le cas de la Banque-Carrefour de la sécurité sociale. En outre, aucun couplage de données n'est prévu dans le présent arrêté. Il est possible que la Commission de la protection de la vie privée considère les hôpitaux, en tant que fournisseurs de données, comme les responsables du traitement. En l'occurrence, les hôpitaux ne remplissent pas les exigences de la définition du responsable du traitement, comme prévue par la loi relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel. Les hôpitaux ne déterminent effectivement pas de finalités ou de moyens pour le traitement des données. Les hôpitaux enregistrent les données, en assurent le codage, indépendamment du responsable du traitement. Remarquons par ailleurs qu'ils détiennent à tout moment la clé de ce codage. Le fait que l'article 10 de l'arrêté royal du 13 février 2001 ne soit pas applicable, a comme conséquence que la création d'une organisation intermédiaire ne peut être considérée comme une obligation. Comme la Commission de protection de la vie privée le fait remarquer dans son avis, la création d'une organisation intermédiaire totalement indépendante, avec une gestion distincte, peut avoir des répercussions financières et pratiques importantes. La création d'une organisation intermédiaire qui est hiérarchiquement totalement indépendante du ministre en sa qualité de responsable du traitement, est particulièrement difficile dans une structure administrative fédérale dans laquelle le ministre se trouve toujours au sommet de la hiérarchie. Par ailleurs, il faut également tenir compte de la responsabilité parlementaire du ministre. Un ministre ne peut, en tant que responsable possible du traitement, pas être considéré sans plus comme une personne pour laquelle son intérêt personnel primerait sur celui du citoyen individuel. Pour rencontrer les préoccupations légitimes de la Commission de la protection de la vie privée en termes de protection des données à caractère personnel, le service Data Management de la direction générale Organisation des établissements de soins a été réorganisé, conformément à l'avis de la Commission de la protection de la vie privée. Outre le carnet de bord et le rapport annuel susmentionnés, la présence d'un conseiller en sécurité peut également être évoquée. Au sein du SPF Santé publique, Sécurité de la Chaîne alimentaire et Environnement, le conseiller en sécurité est chargé de définir une stratégie en matière de sécurité et de garantir le développement d'une politique de sécurité homogène. Ce conseiller en sécurité, externe au service Data Management, a été désigné, entre autres à la demande expresse de la Commission de la protection de la vie privée, faisant suite à l'autorisation d'utilisation du numéro d'identification du Registre national (Délibération RN n° 06/2005 du 13 avril 2005). Dans le cadre de sa fonction, cette personne peut veiller à l'application des procédures qui sont mises en oeuvre au sein du service Data Management en vue de la protection des données. Les procédures appliquées dans le contexte du service Data Management, la tâche de contrôle du praticien professionnel des soins de santé (article 8 de l'arrêté), la surveillance exercée par le conseiller en sécurité, la tenue à jour du carnet de bord, l'élaboration d'un rapport annuel,... sont autant de garanties de la protection des données collectées et du respect de la vie privée du patient. Nous avons l'honneur d'être, Sire, de Votre Majesté, le très respectueux et très fidèle serviteur, Le Ministre de la Santé publique, R. DEMOTTE Avis n° 14 / 2006 du 24 mai 2006 Avis relatif au projet d'arrêté royal déterminant les règles suivant lesquelles certaines données hospitalières doivent être communiquées au Ministre qui a la Santé publique dans ses attributions La Commission de la protection de la vie privée; Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après « la LVP »), en particulier l'article 29; Vu la demande de monsieur Rudy Demotte, Ministre des Affaires sociales et de la Santé publique, reçue le 24 février 2006; Vu le rapport de monsieur E. Gheur; Emet, le 24 mai 2006, l'avis suivant : I. OBJET DE LA DEMANDE D'AVIS 1. M.Rudy Demotte, Ministre des Affaires sociales et de la Santé publique, demande l'avis de la Commission au sujet d'un projet d'arrêté royal déterminant les règles suivant lesquelles certaines données hospitalières doivent être communiquées au Ministre qui a la Santé publique dans ses attributions. 1.1 Contexte de la demande 2. Le projet d'arrêté royal vise à déterminer les règles suivant lesquelles certaines données hospitalières doivent être communiquées au Ministre de la Santé publique dans le but de soutenir la politique sanitaire à mener. Les données à communiquer sont énumérées en partie dans le projet en lui-même et en partie dans 2 annexes au projet. 3. Le projet d'arrêté royal implique en fait une révision complète de l'arrêté royal du 6 décembre 1994 déterminant les règles suivant lesquelles certaines données doivent être communiquées au Ministre qui a la Santé publique dans ses attributions. L'arrêté royal du 6 décembre 1994 est dès lors abrogé par le présent projet, notamment par l'article 16. 4. Le projet d'arrêté royal, tout comme le précédent, donne exécution à l'article 86 de la loi sur les hôpitaux, coordonnée le 7 août 1987. Cet article est rédigé comme suit : « Le gestionnaire de l'hôpital est tenu de communiquer au Ministre qui a la Santé publique dans ses attributions, selon les modalités prévues par le Roi, et dans les délais qu'il fixe, la situation financière, les résultats d'exploitation, le rapport visé à l'article 82, et tous renseignements statistiques se rapportant à son établissement et aux activités médicales, ainsi que l'identité du directeur et/ou de la ou des personnes chargées des communications précitées. Les données visées à l'alinéa 1er se rapportant aux activités médicales ne peuvent pas comprendre de données qui identifient directement la personne physique sur laquelle elles portent. Aucun acte ne peut être posé qui viserait à établir un lien entre ces données et la personne physique identifiée à laquelle elles se rapportent, à moins que celui-ci soit nécessaire pour faire vérifier par (les fonctionnaires, les préposes ou les médecins-conseils) désignés dans l'article 115 la véracité des données communiquées. Le Roi peut étendre, en tout ou en partie et moyennant les adaptations qui 'imposeraient, les dispositions des alinéas précédents aux services médicaux ou médico-techniques visés à l'article 44 et créés en dehors d'un contexte hospitalier. » 1.2 Antécédents 5. Le 9 mai 1994, la Commission de la protection de la vie privée a rendu, sous réserve de certaines observations et recommandations, l'avis favorable n° 13/94 concernant le projet d'arrêté royal déterminant les règles suivant lesquelles certaines données doivent être communiquées au Ministre qui a la Santé publique dans ses attributions (adopté le 6 décembre 1994).6. Le nombre de données hospitalières qui devaient être communiquées au Ministre de la Santé publique dans le cadre de cet arrêté royal du 6 décembre 1994 était significativement inférieur au nombre prévu dans le présent projet d'arrêté royal et il n'était pas question d'enregistrement des données dans le cadre de la fonction "service mobile d'urgence".L'objectif, tel que décrit dans l'arrêté royal (article 2 de l'arrêté royal de 1994 et article 3 du présent projet), est néanmoins resté quasiment identique. 7. En 1994, la Commission estimait ce qui suit : « Ces finalités sont légitimes et les données enregistrées dans l'aperçu clinique paraissent adéquates, pertinentes et non excessives au regard de ces finalités. (...) Les données ont un caractère anonyme et ne comportent pas à elles seules de risque décelable d'identification des personnes. (...) Enfin, il conviendrait de préciser que le numéro d'enregistrement unique du patient, prévu par l'article 2, 2.2 du projet ne peut comporter aucun élément d'ordre personnel relatif au patient, tel que sa date de naissance. Rappelons encore qu'il conviendrait de supprimer l'indication de l'année de naissance du patient. La Commission souhaite que les finalités du résumé clinique minimum, exposées dans les considérants du projet d'arrêté royal, fassent l'objet d'une disposition de l'arrêté royal qui pourrait être l'article 1er. Il est en outre recommandé de préciser dans une disposition particulière (par exemple : article 2, 5 que toute identification des patients est interdite. » 8. A cette époque, l'article 86, deuxième alinéa, de la loi sur les hôpitaux stipulait encore ce qui suit : « Les données visées à l'alinéa 1er se rapportant aux activités médicales doivent être anonymes.» 9. La loi du 12 août 2000Documents pertinents retrouvés type loi prom. 12/08/2000 pub. 31/08/2000 numac 2000003530 source services du premier ministre et ministere des finances Loi portant des dispositions sociales, budgétaires et diverses fermer portant des dispositions sociales, budgétaires et diverses(1) a modifié ce deuxième alinéa de l'article 86 de la loi sur les hôpitaux comme suit : « Les données visées à l'alinéa 1er se rapportant aux activités médicales ne peuvent pas comprendre de données qui identifient directement la personne physique sur laquelle elle portent.» Par cette modification, les données anonymes pouvaient donc être remplacées par des données codées, selon les définitions données ultérieurement par l'arrêté royal du 13 février 2001 portant exécution de la loi du 8 décembre 1992. 10. La Commission constate que l'avis n° 13/94 a été rendu sur la base de la LVP en vigueur à l'époque, laquelle a cependant été modifiée ultérieurement par la loi du 11 décembre 1998Documents pertinents retrouvés type loi prom. 11/12/1998 pub. 03/02/1999 numac 1999009051 source ministere de la justice Loi transposant la directive 95/46/CE du 24 octobre 1995 du Parlement européen et du Conseil relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données fermer transposant la directive 95/46/CE du 24 octobre 1995 du Parlement européen et du Conseil relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données. II. EXAMEN DE LA DEMANDE D'AVIS 2.1 Nature des données et des traitements au sens de la LVP 11. Le projet d'arrêté royal mentionne de manière détaillée les données qui feront l'objet du traitement visé.12. Une distinction est tout d'abord faite entre d'une part le "résumé hospitalier minimum" (Titre 1 du projet d'arrêté royal), et d'autre part les "données dans le cadre de la fonction service mobile d'urgence" (Titre 2 du projet d'arrêté royal).13. Le "résumé hospitalier minimum" comprend : - d'une part, des données administratives (article 12), incluant des données d'identification (de l'hôpital, du patient et du séjour au moyen de numéros "uniques"), des données du patient (année de naissance, sexe, commune/pays, nationalité, assurance, réadmission) et des données relatives au séjour (entre autres, admission et départ, journées d'hospitalisation à facturer, instance d'adressage, destination du patient après son départ, mention de la (des) spécialité(s), mention des unités de soins) (2); - d'autre part, des données médicales (entre autres, diagnostic(s), cause du décès, interventions et examens, résultats de laboratoire) (3). Le "résumé hospitalier minimum" à communiquer comprend également des données infirmières (détail des soins infirmiers administrés) (4). Le "résumé hospitalier minimum" à communiquer comprend également des données relatives au personnel, incluant le personnel disponible et le nombre d'heures prestées (5). 14. Les "données dans le cade de la fonction de service mobile d'urgence" comprennent : - d'une part, des données administratives, incluant la fonction SMUR, des données relatives à l'intervention SMUR (entre autres, numéro d'intervention, date et heure de l'appel) et des informations relatives au patient (numéro de fiche SMUR, sexe, année de naissance, résidence principale, hôpital, moment du décès) (6); - d'autre part, des données médicales, incluant la pathologie et le traitement (7). 15. Ces données sont au minimum des données à caractère personnel "ordinaires" (non sensibles) au sens de l'article 1er de la LVP mais de surcroît, nombre d'entre elles sont des données à caractère personnel relatives à la santé au sens de l'article 7 de la LVP et qui, en raison de leur caractère sensible, sont soumises à un régime de protection renforcé.16. Les données précitées sont enregistrées et traitées par les hôpitaux dans le cadre de l'administration des soins de santé, du traitement et de la facturation.Elles doivent ensuite être communiquées au Ministre de la Santé publique afin de soutenir la politique sanitaire à mener. 17. Le traitement prévu dans le projet d'arrêté royal concerne donc un traitement ultérieur de données ordinaires et de données relatives à la santé à des fins statistiques et scientifiques, en appui de la prise de décision publique. 18. L'article 4, § 1er, 2° de la LVP stipule ce qui suit : "Les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités, compte tenu de tous les facteurs pertinents, notamment des prévisions raisonnables de l'intéressé et des dispositions légales et réglementaires (...)". 19. Un traitement ultérieur constitue par conséquent un traitement de données collectées initialement pour une finalité déterminée, en vue d'une autre finalité.L'appréciation de la compatibilité de la finalité ultérieure avec la finalité première se fait in concreto, en tenant compte de tous les facteurs pertinents. La loi mentionne cependant, à titre d'exemple, deux éléments qui pourraient permettre de considérer comme compatibles les finalités de traitements successifs (8). Il s'agit des cas suivants : 1) lorsque le traitement ultérieur est prévu par une disposition légale ou réglementaire ET entre dans le cadre des prévisions raisonnables de l'intéressé (9);2) lorsque le traitement ultérieur vise des finalités historiques, statistiques ou scientifiques et a lieu dans le respect des conditions stipulées au chapitre II de l'arrêté royal du 13 février 2001 et après avis de la Commission.20. Lorsque les données à caractère personnel sont réutilisées à des fins statistiques ou scientifiques et qu'une telle réutilisation n'est pas incompatible avec la finalité initiale, il importe d'appliquer le système général valable pour les traitements de données à caractère personnel (10).21. Une base légale ou réglementaire légitimant un traitement ultérieur de données à caractère personnel ne porte pas préjudice au respect des principes de la LVP. Une base légale ou réglementaire qui ne concrétise pas les garanties telles que précisées dans la LVP ne suffit donc pas à légitimer l'exception prévue à l'article 4, § 1er, 2° de la même loi. 22. La Commission ne peut s'empêcher d'avoir l'impression qu'une contradiction subsiste à l'article 12, 1°, où l'on énumère les données administratives à enregistrer dans le cadre du résumé hospitalier minimum à communiquer, en particulier au point b). L'on parle d'une part du "numéro d'enregistrement du patient, qui doit être unique par hôpital" et l'on mentionne d'autre part ce qui suit : "et qui sera unique pour tous les hôpitaux belges". Il convient au minimum d'éclaircir ce point et d'éliminer toute confusion et contradiction. 2.2 Finalité, légitimité et proportionnalité du traitement 2.2.1 Finalité 23. L'objectif du traitement visé est de soutenir la politique sanitaire à mener.24. En ce qui concerne l'enregistrement du résumé hospitalier minimum, l'article 3 du projet d'arrêté royal définit la finalité du traitement comme suit : « § 1er L'enregistrement du Résumé Hospitalier Minimum a pour objectif de soutenir la politique sanitaire à mener, en ce qui concerne notamment : 1° la détermination des besoins en matière d'établissements hospitaliers;2° la description des normes d'agrément qualitatives et quantitatives des hôpitaux et de leurs services;3° l'organisation du financement des hôpitaux;4° la définition de la politique relative à l'exercice de l'art de guérir;5° la définition d'une politique épidémiologique. § 2 L'enregistrement du Résumé Hospitalier Minimum a également pour objectif de soutenir la politique au sein des hôpitaux, notamment par le biais d'un feed-back général et individuel de sorte que les hôpitaux puissent se positionner et de sorte que les hôpitaux puissent corriger leur politique interne. » 25. En ce qui concerne l'enregistrement des données dans le cadre de la fonction "service mobile d'urgence", l'article 19 du projet d'arrêté royal définit la finalité du traitement comme suit : « L'enregistrement des données SMUR vise à soutenir la politique de la santé à mener, entre autres en ce qui concerne : 1° l'évaluation de la programmation des fonctions "SMUR" agréées, en particulier de sorte que la programmation soit suffisante en fonction de la répartition géographique et en fonction du nombre de "SMUR" qui sont intégrés dans le fonctionnement de l'aide médicale urgente en vertu de l'article 1er de l'arrêté ministériel du 29 janvier 2003 intégrant des fonctions "service mobile d'urgence" agréées dans le fonctionnement de l'aide médicale urgente;2° l'évaluation du fonctionnement des fonctions "SMUR", plus précisément dans le domaine d'une prise en charge adéquate et immédiate des malades ou des victimes d'accidents.» 26. Conformément à l'article 4, § 1er, 2° de la LVP, les données à caractère personnel ne peuvent être collectées que pour des finalités déterminées et explicites.La définition des finalités visées doit par conséquent être la plus précise, la plus détaillée et la plus complète possible, surtout en raison du caractère particulièrement sensible de la plupart des données collectées. 27. A la lecture des articles 3 (et 19) du projet d'arrêté royal, les finalités du traitement semblent être spécifiées comme étant un certain nombre de domaines d'étude et de politique très larges et relativement disparates. Une telle formulation générale et large des "finalités" visées par le traitement ne permet pas d'apprécier facilement et valablement la pertinence et la proportionnalité des données collectées. Une telle formulation légitime en fait le traitement de quasiment toutes les données enregistrées dans un hôpital. 28. En ce qui concerne le droit d'ingérence d'une autorité publique dans le droit au respect de la vie privée en vertu d'une loi (article 8, § 2 CEDH (11)), la Commission a attiré l'attention à plusieurs reprises (12) sur la jurisprudence de la Cour européenne des droits de l'homme qui stipule qu'une telle loi doit être "de qualité", à savoir qu'elle doit déterminer de manière suffisamment précise les conditions et circonstances dans lesquelles les autorités publiques peuvent utiliser et conserver des informations relatives à la vie privée.29. La Commission reconnaît que, dans le cadre de l'appui de la politique, les finalités évoquées, bien que très largement définies, semblent peut-être être légitimes à proprement parler, mais se pose toutefois des questions quant à la pertinence et à la proportionnalité d'une telle quantité de données à caractère personnel à collecter dans le cadre de ces finalités, telles qu'énumérées dans le projet d'arrêté royal. 2.2.2 Proportionnalité 30. L'article 4, § 1, 3° de la LVP stipule que les données à caractère personnel collectées doivent être obligatoirement pertinentes et non excessives au regard des finalités du traitement. 31. Comme déjà mentionné, une telle formulation générale et large des "finalités" visées par le traitement (point 2.2.1, §§ 22 et 23) ne permet pas d'apprécier facilement et valablement la pertinence et la proportionnalité des données collectées. Une telle formulation peut en fait légitimer le traitement de quasiment toutes les données enregistrées dans un hôpital. 32. La Commission comprend que, dans le cadre d'un appui efficace de la politique, une telle quantité de données est indispensable, mais, étant donné le fait que l'on ne doit plus travailler avec des données anonymes (13) et vu l'accroissement (au regard de l'arrêté royal de 1994) du nombre de données collectées, la Commission estime qu'un encadrement et une structure complémentaires s'imposent.Il conviendrait au moins d'indiquer, par une subdivision en catégories par exemple, quelles données à caractère personnel sont collectées pour quelles finalités. Ces finalités définies très largement doivent en effet être appréciées en tenant compte du contexte fortement modifié depuis 1994, tant sur le plan légal que sur le plan des possibilités techniques permettant la réidentification des données. Commission de surveillance et d'évaluation 33. Bien que la Commission estime que l'appréciation de la légalité d'un traitement de données à caractère personnel relève de sa compétence à l'égard des principes de finalité, de proportionnalité, de pertinence et de transparence, elle ne dispose toutefois pas forcément de toutes les connaissances professionnelles nécessaires pour apprécier, d'un point de vue technique, l'utilité et la qualité du traitement de données.Cela vaut d'autant plus pour les traitements effectués dans le cadre de domaines d'expertise complexes. 34. Dans ce contexte, un avis préalable d'une commission spécialisée en la matière pourrait probablement générer plus de clarté de sorte que la Commission puisse apprécier la pertinence et la proportionnalité des données collectées au regard des finalités de l'étude.35. A cet égard, il peut être renvoyé à l'arrêté royal du 6 décembre 1994 établissant une Commission pour la supervision et l'évaluation des données statistiques qui concernent les activités médicales dans les hôpitaux.Cet arrêté royal et la Commission qu'il crée ont cependant été abrogés par l'arrêté royal du 8 avril 2003. 36. L'abrogation de cette Commission de supervision et d'évaluation des données statistiques qui concernent les activités médicales dans les hôpitaux aurait été la conséquence de l'introduction d'une "Structure multipartite en matière de politique hospitalière » par la loi du 29 avril 1996 portant des dispositions sociales, Chapitre XII, articles 153 e.s. (conformément à une explication téléphonique donnée par des collaborateurs du SPF Santé publique). L'article 154 de la loi du 29 avril 1996 dispose en effet ce qui suit : « Les ministres qui ont la Santé publique et les Affaires sociales dans leurs attributions peuvent solliciter l'avis de la Structure multipartite sur : (...) 2° l'enregistrement, la collecte, le traitement et l'utilisation des données statistiques relatives aux activités médicales, visées à l'article 86 de la loi sur les hôpitaux, coordonnée le 7 août 1987; 3° les mesures à prendre afin de garantir la fiabilité et la confidentialité des données visées au 2°, notamment la méthodologie visée a l'article 86ter, § 3, 1° de la loi sur les hôpitaux, coordonnée le 7 août 1987;(...)". 37. Un avis préalable de la "Structure multipartite" précitée pourrait probablement, le cas échéant, contribuer à une évaluation plus fine et plus complète de la pertinence et de la proportionnalité des données collectées.38. Le législateur a également exprimé, à l'article 86ter de la loi sur les hôpitaux, sa préoccupation de soumettre la collecte de données à un organe spécialisé : "Au sein du Service public fédéral Santé publique, Sécurité de la chaîne alimentaire et Environnement, une Commission pour le contrôle de l'enregistrement des données relatives à l'activité médicale à l'hôpital et pour l'évaluation d'une politique justifiée en matière d'admissions peut être créée, ciaprès dénommée 'la Commission'.» 39. La Commission constate également que l'article 18 de la loi sur les hôpitaux prévoit ce qui suit : "Il est institué auprès du Ministère de la Santé publique, un Conseil national des établissements hospitaliers qui a pour mission d'émettre un avis sur tout problème relatif aux hôpitaux [...] Les compétences du Conseil national des établissements hospitaliers, tel que visé dans la présente loi, sont exercées, sous réserve de l'application des articles 154 et 154ter de la loi du 29 avril 1996 portant des dispositions sociales. » 40. Il ressort des considérations exposées ci-dessus qu'il serait souhaitable d'obtenir un avis préalable quant au caractère pertinent et non excessif des données à collecter au regard des traitements visés, et ce par l'organe le plus approprié ou les organes les plus appropriés parmi ceux prévus par la loi. 2.2.3 Des données anonymes aux données à caractère personnel non codées 41. Pour le surplus, la Commission constate encore dans le texte du projet d'arrêté royal une certaine imprécision et même une contradiction dans l'utilisation des termes "anonyme", "code", "identification", notamment à l'article 9 du projet qui stipule ce qui suit : « Les données à caractère personnel incorporées dans la banque de données du Résumé Hospitalier sont enregistrées de manière anonyme au sein du Service public fédéral Santé publique, sécurité de la chaîne alimentaire et Environnement au moyen d'un code électronique.Le praticien professionnel des soins de santé visé à l'article précédent gère ce code. » 42. A toutes fins utiles, la Commission rappelle quelques définitions à cet égard : Données à caractère personnel : "toute information concernant une personne physique identifiée ou identifiable (...); est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale. » (14) Données à caractère personnel codées : "les données à caractère personnel qui ne peuvent être mises en relation avec une personne identifiée ou identifiable que par l'intermédiaire d'un code. » (15) Données à caractère personnel non codées : "les données à caractère personnel qui ne sont pas codées. » (16) Données anonymes : "les données qui ne peuvent être mises en relation avec une personne identifiée ou identifiable et qui ne sont donc pas des données à caractère personnel. » (17) 43. Eu égard aux définitions précitées et dans le cadre du traitement visé par le projet d'arrêté royal, on ne peut pas parler, de "données anonymes" ni de données "enregistrées de manière anonyme au moyen d'un code électronique" (voir article 9 du projet).44. La Commission estime en outre qu'il ne s'agit pas seulement de "données à caractère personnel codées", mais même d'un certain nombre de "données à caractère personnel non codées", soulevant la question de savoir si le projet d'arrêté royal satisfait à l'exigence de l'article 86, deuxième alinéa de la loi sur les hôpitaux, notamment : « Les données visées à l'alinéa 1er se rapportant aux activités médicales ne peuvent pas comprendre de données qui identifient directement la personne physique sur laquelle elle portent.(...)" 45. L'on collecte en effet des données permettant (presque directement) l'identification de l'intéressé, par exemple : date d'admission et date de départ (article 12, 3°, a) ), adresse de l'endroit où l'intervention a eu lieu et résidence principale du patient (article 23, 2°, e) et 3° d) ). Etant donné le nombre très important de données collectées, la combinaison de certaines données permettra (dans certains cas) d'identifier directement l'intéressé, de manière certaine. Ce risque de réidentification avait déjà été souligné par la Commission dans son avis n° 13/94 du 9 mai 1994. 46. A cet égard, la Commission souhaite également rappeler que le principe de proportionnalité, prévu à l'article 4, § 1er, 3° de la LVP, implique que ce n'est que dans la mesure où la finalité du traitement est impossible à réaliser au moyen de données codées que des données à caractère personnel non codées peuvent être utilisées.47. La Commission attire l'attention sur un avis du Conseil national de l'ordre des médecins du 16 juillet 2005 qui reprécise encore et de manière très claire que (I) le respect de la vie privée constitue un principe directeur essentiel tout au long du processus de traitement de données médicales personnelles, (II) tout traitement doit être organisé de manière à répondre aux impératifs stricts fixés par la LVP, (III) le traitement ne peut être effectué au mépris des principes indispensables de confiance mutuelle entre médecin et patient et notamment au mépris du secret professionnel (18).48. La Commission estime dès lors que l'article 9 du projet d'arrêté royal doit être reformulé en tenant compte des remarques précitées et en respectant à cet égard les particularités des définitions de l'arrêté royal du 13 février 2001 portant exécution de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel.49. Afin de garantir le respect des principes susmentionnés de la LVP et de quand même atteindre les finalités souhaitées en matière de politique menée ou de soutien à la politique, l'instauration d'une organisation intermédiaire au sens de l'arrêté royal du 13 février 2001 portant exécution de la LVP pourrait être envisagée.Cette organisation intermédiaire, qui ne traiterait pas les données collectées et conservées sur le plan du contenu, aurait pour mission de les rassembler, de les conserver, de les coder ou de les rendre anonymes et de mettre ces données codées ou anonymes à la disposition de ceux qui doivent les traiter pour les finalités présupposées, tout en respectan …