Projet de loi sur la déclaration obligatoire de certaines maladies dans le cadre de la protection de la santé publique et modifiant 1. la loi modifiée

(3)a. : N'est-elle pas plutôt du domaine de la pratique médicale que de celle de la biologie médicale ? II en est de même de la participation à l'élaboration de mesures de lutte contre les infections dont est question au point

(4)a. du même article

1. Une telle obligation ne devrait-elle pas être imposée aux médecins également ? II est surprenant de lire à l'article 11 que les infractions à la présente loi justifient des amendes allant jusqu'à 50000 €, voire le double en cas de récidive, alors que les dispositions similaires retenues à l'article 17 et 42 de la Loi du 29 avril 1983 concernant l'exercice des professions de médecin, de médecin-dentiste et de médecin-vétérinaire, n'ont pourtant jamais, à connaissance du Collège médical, donné lieu à des poursuites. Pourquoi tout l'article 17 de ladite loi, et la référence y relative à l'article 42 doivent-ils être supprimés complètement ? II serait plus logique de ne supprimer que le 2Ième alinéa et de d'y introduire une référence au projet-loi actuel sous avis. Le Collège médical propose de maintenir un article 17 avec la teneur suivante : Art
2. Toute personne exerçant la médecine ou la médecine dentaire au Luxembourg est tenue de faire la déclaration des cas de maladies infectieuses ou transmissibles sujettes à déclaration obligatoire conformément à la loi du sur la déclaration obligatoire de certaines maladies dans le cadre de la protection de la santé publique. De même il propose de maintenir le renvoi de l'article 42 à l'article
3. Quant à la liste des maladies à déclaration obligatoire retenue à l'annexe A, le Collège médical tient à formuler les remarques suivantes : La reprise de la maladie de Lyme est une suite logique aux débats récents. Toujours est-il qu'il n'y a obligation de déclaration que pour les cas se manifestant par un érythème migrant ou par une symptomatologie neurologique aiguë. II semble que la CNS ne prend en charge, sauf erreur, la mise en évidence spécifique de certaines maladies (p..ex. :bacillus anthracis, vibrio cholerae, virus de la fièvre jaune, noro virus, ...cfr livre vert de la CNS page 44-51 .1), par méthode de biologie médicale qu'après demande motivée auprès et autorisation de la part du contrôle médical. En l'absence d'une telle autorisation le malade devra prendre en charge lui-même le test y relatif. Cette démarche administrative supplémentaire est peu propice à favoriser la détection de ces maladies. Ne faudrait-il pas intervenir auprès de la CNS pour que les tests de dépistage pour toutes les maladies à déclaration obligatoires soient pris en charge ? Que le signalement des maladies infectieuses à déclaration obligatoire ne relève pas de la responsabilité de tout professionnel en prenant connaissance ne contribue pas non plus à faciliter le recensement. Ne devrait-il pas être de l'obligation d'un chacun, qu'il soit médecin traitant ou responsable de laboratoire, de déclarer toute maladie infectieuse à déclaration obligatoire, au diagnostic de laquelle il a contribué ? Le Collège médical ne voit pas comment le traitement particulier des maladies sexuellement transmissibles avec identification par les seules initiales tout comme la déclaration séparée de la détection de l'HIV par le seul laboratoire et de la forme clinique (SIDA) par le seul médecin ne faciliteraient pas des recensements doubles. Page 2 of 3 Collège médical, 7-9, av. Victor Hugo, L-1750 Luxembourg Tél.: 247-85514, Fax.: 475679, www.collegemedicallu, e-mail : info@collegemedical.lu Quant à l'annexe B il est à remarquer que bien qu'il y ait obligation pour le laboratoire de transmettre le matériel de détection pour les infections par le clostridium difficile et le virus des oreillons au laboratoire de référence, il n'y a pas d'obligation de déclaration de sa part. Afin de faciliter la lecture et la comparaison des deux listes, le Collège médical propose • soit d'adopter le même ordre dans les deux listes afin de pas retrouver p. ex le streptococcus pneumoniae en milieu de liste à l'Annexe A et en début de liste à l'Annexe B, ou encore le Virus West Nile caché sous fièvres hémorragiques au milieu de l'Annexe A et tout à la fin de l'Annexe B ; • soit l'intégration de l'annexe B à l'annexe A moyennant une 51ème colonne. Finalement le projet de loi reste totalement muet sur les modalités de prise en charge financière tant pour les prestataires de soins (médecins et laboratoires) que pour un service spécifique auprès de la Direction de la Santé. Le Collège médical vous prie d'agréer, Madame la Ministre, l'expression de sa parfaite considération. Pour le Collège médical, Le Secrétaire, Dr Roger l-IEFTtlîH Le Président, Dr Pit BUCHLER i http://www.cns.public.hilfr/legislations/textes-coordonnes/livre-verthtml Page 3 of 3 Collège médical, 7-9, av. Victor Hugo, L-1750 Luxembourg Tél.: 247-85514, Fax.: 475679, www.collegemedical.lu, e-mail : info@collegemedical.lu Commission Consultative des Laboratoires Villa Louvigny Allée Marconi L-2120 Luxembourg -------ta: 247-85553 Luxembourg, le 6 février 2017 ....... 1 ..... . uL 5 s Madame la Ministre de la Santé Lydia Mutsch Conc. : avis sur le projet de loi ReL: 81bx55074 Madame la Ministre, Par saisine du 20 décembre 2016, vous avez demandé à la Commission Consultative des Laboratoires d'aviser le projet de loi sur la déclaration obligatoire de certaines maladies dans le cadre de la protection de la santé publique (...) ainsi que le projet de règlement grand-ducal portant exécution de la loi du xxxxx sur la déclaration obligatoire de certaines maladies (...). La Commission Consultative des Laboratoires a discuté des deux projets de textes en réunion le 11 janvier 2017 et émet l'avis suivant : 11111111311111111111111,1111 La Commission reconnait l'importance de ce projet de loi et de règlement pour la protection de la santé publique, et montre sa satisfaction que l'ancien règlement grand-ducal de 2004 sera finalement abrogé et la surveillance des maladies infectieuses adaptée aux besoins actuels et en conformité avec les obligations internationales du pays. L'innovation majeure du projet de loi est l'introduction d'une déclaration de certaines maladies infectieuses à partir du laboratoire en complément de la déclaration déjà existante par le médecin traitant, aboutissant ainsi à une meilleure exhaustivité de la surveillance. Ce double système de déclaration a déjà été introduit dans la plupart des pays européens. La Commission rend attentif au fait qu'il s'agit ici de données de santé, généralement sensibles, et insiste pour que les obligations de protection des données en relation avec ces textes légaux soient clarifiées, de préférence avec le concours de la Commission nationale de protection de données (CNPD). Afm de faciliter la déclaration, la Commission propose que les formulaires évoqués à l'article 5 de la loi soient obligatoirement mis à disposition du corps médical et propose donc le changement de texte suivant : Art.
4. Un règlement grand-ducal peut arrêtef, sur avis du Conseil supérieur des maladies infectieuses, des formulaires spécifiques afin de structurer la transmission des données. Puisque des tests biologiques pour un même patient peuvent être réalisés dans différents laboratoires et/ou successivement dans le temps, un système d'élimination des déclarations multiples devra être mis en place à la Direction de la santé afin d'aboutir à des statistiques fiables. La Commission insiste sur l'établissement de critères clairs et précis pour la déclaration (quels tests ?, à partir de quel seuil de résultat ?, etc ...). Ceci pourrait se faire par l'édition d'un « guide du déclarant », à rédiger par la Direction de la santé et à valider par le Conseil supérieur des maladies infectieuses, à l'image de ce que la Suisse et d'autres pays ont fait. Puisque ces critères de déclaration sont susceptibles d'être adaptés en fonction de l'évolution de la médecine et de la biologie clinique, il ne convient pas d'après la Commission de les introduire directement dans les textes légaux. De même, ce guide devrait préciser les standards à appliquer pour les transferts de matériel biologique aux laboratoires de référence. La Commission demande que, dès la désignation des laboratoires de référence par la Ministre, une liste des laboratoires de référence soit établie, maintenue à jour et diffusée par la Direction de la santé afin que tous les laboratoires sachent à quel laboratoire de référence adresser leurs souches respectivement matériaux biologiques. La Commission fait remarquer que certains délais de déclaration sont très courts, alors qu'il n'existe pas toujours une nécessité de déclaration rapide pour des raisons d'actions immédiates de santé publique. Ainsi, un rallongement de certains délais pourrait faciliter la tâche du déclarant, en évitant que celui-ci se trouve rapidement en infraction avec la loi. La Commission propose également de préciser les catégories d'infractions possibles à la loi et les sanctions pénales y correspondantes. Le texte actuel est très peu précis à cet égard et les peines maximales peuvent ainsi paraître démesurées. La Commission propose également que pour les laboratoires hospitaliers, l'obligation de déclarer puisse être déléguée à une autre instance de l'hôpital (par exemple : l'unité de prévention de l'infection nosocomiale). La Commission remarque que le changement de la loi du 16 juillet 1984, introduit par l'article 14, n'est pas seulement important pour le dépistage du virus HIV comme évoqué dans l'exposé des motifs, mais également pour d'autres maladies pour lesquelles de plus en plus de tests rapides sont développés (exemples : hépatites virales, maladies sexuellement transmissibles, ...). Finalement, la Commission se dit étonnée que la fiche financière de ce projet de loi suppose un impact neutre sur le budget de l'Etat. L'implémentation de cette loi sera inévitablement à l'origine de coûts supplémentaires significatifs pour les laboratoires à la fois pour d'éventuelles adaptations de leurs logiciels de laboratoire en vue de l'exportation des données, mais également pour le conditionnement et le transport des échantillons à envoyer au(x) laboratoire(s) de référence. De même, les examens complémentaires (par exemple : séquençage) demandés au(x) laboratoire(s) de référence, ainsi que la participation à des programmes de contrôles qualité de ces laboratoires, engendra des coûts. On peut estimer raisonnablement que le laboratoire de référence pour la plupart des germes sera le Laboratoire National de Santé, en conséquence, iI faudrait prévoir une adaptation du budget de ce demier. Pour certains germes plus rares, et en absence de compétences spécifiques nationales, le recours à un laboratoire de référence étranger pourrait même devenir nécessaire. A nouveau, les coûts de ce service devront être prévus par le budget de l'Etat. Finalement, produire des résultats et des déclarations sans les évaluer sur le plan épidémiologique et en déduire, éventuellement à brève échéance, les mesures qui s'imposent, ne fait guère de sens. 11 sera important de s'assurer que la Direction de la santé, et notamment l'Inspection Sanitaire, possède les ressources humaines compétentes en nombre suffisant à cet effet. Veuillez agréer, Madarne la Ministre, l'expression de nos sentiments les plus respectueux. tirtnsu1tative #4is Laboratoires Jean-Claude Schmit Président Avis de la Commission nationale pour la protection des données relatif au projet de loi sur la déclaration obligatoire de certaines maladies dans le cadre de la santé publique Délibération n° 401/2017 du 10 mai 2017 Conformément à l'article 32 paragraphe

(3)lettre (

1. e)de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ciaprès désignée « la loi modifiée du 2 août 2002 » ou « la loi »), la Cornmission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») a notamment pour mission d'« être demandée en son avis sur tous les projets ou propositions de loi portant création d'un traitement de même que sur toutes les mesures réglementaires ou administratives émises sur base de la présente loi ». Par courrier en date du 20 décembre 2016, Madame la Ministre de la Santé a invité la Commission nationale à se prononcer sur un projet de loi concernant la déclaration obligatoire de certaines maladies dans le cadre de la protection de la santé publique (ci-après « le projet de loi »)1 . Ce projet de loi est accompagné d'un règlement grand-ducal portant exécution de ladite loi et abrogeant le règlement grand-ducal du 10 septembre 2004 portant désignation des maladies infectieuses ou transmissibles sujettes à déclaration obligatoire. Le projet de loi a pour objectif d'« améliorer le système de surveillance des maladies infectieuses au Grand-Duché de Luxembourg et de regrouper les données portant sur les maladies infectieuses dans un système centralisé »2. 11 entend améliorer la qualité des données nécessaires à la surveillance épidémiologique au niveau national. La Commission nationale entend limiter ses observations aux dispositions du projet de loi ayant une répercussion sur le respect de la vie privée et la protection des données à caractère personnel. l. L'organisation de la surveillance des maladies infectieuses au Grand-Duché de Luxembourg Le projet de loi modifie en profondeur le dispositif de collecte des données individuelles nécessaires à la surveillance des maladies infectieuses au Luxembourg. L'exposé des motifs préc ise que « contrairement à d'autres Etats sur le continent européen, et plus particulièrement au sein de l'Union européenne, qui souvent disposent d'un institut de surveillance de santé publique unique spécialisé en la matière, la fonction de surveillance des maladies infectieuses a jusqu'à présent été remplie par trois institutions au Grand-Duché de Luxembourg Ce projet de loi tend également à modifier la loi modifiée du 29 avril 1983 concernant l'exercice des professions de médecin, de médecin-dentiste et de médecin-vétérinaire ; la loi modifiée du 16 juillet 1984 relative aux laboratoires d'analyses médicales ; la loi rnodifiée du 16 janvier 1990 relative aux dispositifs médicaux. 2 cf Exposé des motifs du projet de loi sous examen, p. 2. Avis de la Commission nationale pour la protection des données relatif au projet de loi sur la déclaration obligatoire de certaines maladies 1/8 le Laboratoire national de santé : le département de microbiologie pour les pathogènes entériques, le bioterrorisme, la tuberculose, la grippe ; la Direction de la Santé (Division de l'Inspection Sanitaire) pour les déclarations obligatoires selon le cadre légal de l'activité médicale ; rancien CRP-Santé : le laboratoire de rétrovirologie et d'immunologie du (‘' Luxembourg Institute of Health » (LIH) pour la surveillance du HIV et de la rougeole/rubéole. » L'exposé des motifs précise en outre que « cette division reposait plutôt sur un arrangement pratique, sans base légale, réglementaire ou ministérielle entre les responsables des services concernés ». Le dispositif actuellement en place et issu de la loi modifiée du 29 avril 1983 concernant l'exercice des professions de médecin, de médecin-dentiste et de médecin-vétérinaire ne permettant pas de collecter l'ensemble des données nécessaires à une surveillance épidémiologique exhaustive et centralisée, le projet de loi entend élargir le cercle des acteurs tenus de fournir les données nécessaires à une surveillance épidémiologique efficace, notamment par une implication des laboratoires de biologie clinique privés et hospitaliers, qui disposent de données microbiologiques indispensables. La CNPD note à cet égard qu'en application de l'article 8 du projet de loi, le ministre ayant la Santé dans ses attributions aura la possibilité de désigner des laboratoires de référence pour certaines souches bactériennes, virales ou parasitaires, afin de permettre l'identification ou la confirmation rapide de la nature d'agents biologiques infectieux spécifiques. Elle relève en outre que le dispositif proposé par les rédacteurs du projet de loi vise à centraliser dans une base de données nationale, gérée par la Direction de la Santé, l'ensemble des données concernant les maladies à déclaration obligatoire. Elle note, à cet égard, que la loi du 24 novembre 20153 a expressément conféré à la Direction de la santé les missions suivantes : protèger et promouvoir la santé en tant que bien-être général sur les plans physique, psychique et social ; étudier et surveiller et évaluer l'état de santé de la population et exécuter des mesures de santé publique, y compris les mesures d'urgence nécessaires à la protection de la santé. » Dès lors que la loi détermine les final ités et les moyens du traitement en cause, dont elle confie la responsabilité à la Direction de la santé, cette dernière doit être considérée comme le responsable de traitement au sens de l'article 2 lettre (
2. n)de la loi modifiée du 2 août 2002. 11. Les finalités du système de surveillance des maladies infectieuses Pour ce faire, l'article 1 du projet de loi instaure un principe de transmission obligatoire de données individuelles au Directeur de la Santé ou à son délégué par les médecins, les médecins- cf. Loi du 24 novembre 2015 modifiant la loi rnodifiée du 21 novembre 1980 portant organisation de la Direction de la santé et la loi modifiée du 16 août 1968 portant création d'un Centre de logopédie et de services audiométrique et orthophonique. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi sur la déclaration obligatoire de certaines rnaladies 2/8 dentistes et les responsables des laboratoires d'analyses de biologie médicale pour les catégories suivantes de maladies à déclaration obligatoire : les maladies qui nécessitent une intervention urgente locale, nationale ou internationale ; les maladies dont la surveillance est nécessaire à la conduite et à l'évaluation de la politique de santé publique ; les maladies qui doivent être rapportées aux organisations internationales dont l'Organisation Mondiale de la Santé (OMS), le Centre européen de prévention et de contrôle des maladies (« European Centre for Disease Prevention and Control » ou « ECDC »)5. La CNPD observe que l'Etat a « une obligation d'organiser un système de prévention, de surveillance, et de contrôle pour protéger ses citoyens contre ces menaces microbiennes »6 et contre le risque infectieux. L'exposé des motifs du projet de loi précise en outre les objectifs de la surveillance centralisée des maladies à déclaration obligatoire instaurée par le projet de loi', à savoir la « surveillance de maladies infectieuses d'un intérêt de santé publique particulier (notamment des maladies pour lesquelles íl existe des activités de surveillance auprès de l'ECDC) », l'« identification d'épidémies ou de problèmes sanitaires touchant un nombre élevé de résidents », l'« identification d'événements rares ou risques infectieux émergents », la « surveillance de l'efficacité des programmes de vaccination la « surveillance de résistance aux antibiotiques » et l'« échange de données pertinentes avec les instances internationales : OMS, ECDC ». La Commission nationale estime que les finalités poursuivies par le traitement de données sousjacents à cette surveillance sont déterminées, explicites et légitimes, conformément à l'article 4 paragraphe

(1)lettre (a) de la loi modifiée du 2 août

2. Les données traitées Les articles 2 et 3 du projet de loi définissent les informations minimales à déclarer ainsi que les modalités de cette déclaration par les médecins et médecins-dentistes, d'une part, et par les responsables de laboratoire d'analyse de biologie médicale, d'autre part. La Commission nationale note, en application des articles 2 et 3 précités du projet de loi, que les informations minimales à transmettre ainsi que les modalités de cette transmission diffèrent selon la catégorie de professionnels de santé visés par le dispositif de déclaration obligatoire. L'article 1 er du projet de loi renvoie à un règlement grand-ducal le soin d'établir la liste précise des maladies à déclaration obligatoire susmentionnées. 5 Le Règlement (CE) n° 851/2004 du Parlement européen et du Conseil du 21 avril 2004 instituant un Centre européen de prévention et de contrôle des maladies a institué une agence européenne indépendante de prévention et de contrôle des maladies, ayant pour mission de déceler, d'évaluer et de communiquer les menaces actuelles et émergentes que des maladies transmissibles représentent pour la santé. 6 cf Exposé des motifs p.
3. cf Exposé des motifs p.
4. CNPID Avis de la Commission nationale pour la protection des données relatif au projet de loi sur la déclaration obligatoire de certaines maladies 3/8 Les catégories de données devant être impérativement transmises par les professionnels de santé susmentionnés dans leurs déclarations sont les suivantes les initiales du patient dans le cas des maladies marquées d'un astérisque dans le projet de règlement grand-ducal8, ou dans les autres cas de maladie son nom, son prénom et son adresse ; les caractéristiques personnelles : date de naissance et sexe les données relatives à la santé des personnes (« diagnostic » ; « date des premiers symptômes », « date du diagnostic », « pays d'origine de la maladie », « source d'infection si connue », « date de prélèvement », « origine du prélèvement ») des souches bactériennes, virales ou parasitaires isolées d'un patient ou du matériel biologique prélevé sur un patiene, dans le cas des laboratoires d'analyses de biologie médicale, La Commission nationale rappelle qu'en application de l'article 4 paragraphe

(1)lettre (b) de la loi modifiée du 2 août 2002, seules doivent être collectées les informations pertinentes et nécessaires au regard des objectifs poursuivis par le traitement. Elle est par ailleurs d'avis que la protection de la confidentialité et la sécurité de leurs données à caractère personnel constituent des enjeux majeurs du dispositif de signalement des maladies à déclaration obligatoire. Elle estime qu'il revient à la Direction de la Santé, chargée de la surveillance d'étudier, de surveiller et d'évaluer l'état de santé de la population, de garantir un niveau particulièrement élevé de protection de la confidentialité et de la sécurité des données des personnes concernées. En l'absence de précisions sur les techniques utilisées, la Commission nationale n'est pas en mesure d'apprécier si le dispositif envisagé satisfait aux exigences de confidentialité et de sécurité des données traitées. Elle estime que des mesures spécifiques de protection de l'identité des patients devraient être mises en ceuvre. Sur ce point, la CNPD observe que les auteurs du projet de loi se sont inspirés pour la rédaction de l'article le. du projet de loi de l'article L. 3113-1 du code de la santé publique français, sans toutefois en reprendre le principe selon lequel l'anonymat des personnes doit être protégé. L'exposé des motifs précise qu'« afin d'éviter les doubles notifications, et de permettre l'investigation d'épidémies ou d'alertes, les déclarations doivent être nominatives, mais la confidentialité et la sécurité du traitement des données personnelles doivent être strictement garanties par l'ensemble des acteurs impliqués » I°. Compte tenu des risques sanitaires encourus, la CNPD peut tout à fait comprendre le souci d'éviter les doublons dans le cadre de la surveillance des maladies infectieuses, l'existence de tels doublons pouvant limiter l'efficacité du dispositif de surveillance. Elle se demande toutefois si le recours aux données nominatives des patients pour écarter les doublons est véritablement proportionné et nécessaire compte tenu des autres données dont dispose déjà la Direction de la Santé. La CNPD note d'ailleurs que dans le cas des maladies sexuellement transmissibles, seules les initiales du patient seront collectées (« pour les maladies marquées d'un astérisque dans le règlement Parmi les maladies à déclaration obligatoire, les maladies sexuellement transmissibles sont marquées d'un astérisque dans le projet de règlement grand-ducal joint au projet de loi. 11 s'agit des maladies suivantes : « Chlamydiose (Chlamydia trachomatis) », « Gonorrhée (Neisseria gonorrhoeae) », « Infection HIV », « SIDA », « Syphilis (Treponema pallidum) y compris Syphilis congénitale ». Les articles 6 et 7du projet de loi encadrent les hypothèses où une souche isolée ou du matériel biologique à partir duquel le diagnostic a été établi doit être transféré par le laboratoire d'analyses de biologie médicale au laboratoire nationale de référence, et ce dans un bref délai. i° cf Exposé des motifs, p. 3. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi sur la déclaration obligatoire de certaines maladies 4/8 grand-ducal visé à l'article 1`" » du projet de loi), alors même que l'impératif d'écarter les doublons demeure dans ces cas de figure. Dès lors, en l'absence de justification de la collecte systématique des nom, prénom et adresse des patients dans le cas des maladies non marquées d'un astérisque dans le projet de règlement grand-ducal et compte tenu du risque important que représente l'association de ces données d'identification à des données sensibles concernant la santé des personnes, la CNPD estime nécessaire que la collecte des données d'identification des patients se Iimite à leurs initiales, ce qui harmoniserait par ailleurs le régime de collecte de l'ensemble des cas de maladies à déclaration obligatoire. Elle considère par ailleurs, s'agissant des maladies non marquées d'un astérisque dans le projet de règlement grand-ducal, que la transmission systématique de l'adresse du patient n'est pas pertinente. Au vu des observations qui précèdent et compte tenu de l'extrême sensibilité des données collectées, la Commission nationale est à se demander si la mise en place de mesures d'anonymisation irréversible des données, passé un certain délai, ne serait pas de nature à garantir une meilleure protection des personnes à l'égard de leurs données à caractère personnel, à l'instar de la procédure de gestion des données prévues par le code de la santé publique français. A cet égard, la CNPD pourrait comprendre la nécessité de pseudonymiser les données, dans un premier temps, afin de pouvoir ré-identifier un patient en cas de besoin particulier lié à la surveillance et au suivi des maladies à déclaration obligatoire. Toutefois, dans un second temps, l'utilisation de données épidémiologiques expurgées de toute donnée directement ou indirectement identifiantes pourrait être suffisante pour permettre à la Direction de la Santé de remplir sa mission de surveillance des maladies infectieuses. Par ailleurs, la Commission nationale se demande, si la collecte de la date de naissance entière (jour/mois/année) est systématiquement nécessaire ou si cette collecte pourrait, au moins dans certaines hypothèses (patients adultes) se limiter à l'année de naissance ou à défaut au mois et à l'année de naissance. En outre, la CNPD observe qu'il ne ressort pas clairement du projet de loi si des données concernant les professionnels de santé déclarants seront collectées dans le cadre du dispositif de déclaration obligatoire. Le cas échéant, la CNPD estime que le projet de loi devrait être complété sur ce point et qu'il devrait détailler les catégories de données traitées s'agissant de ces personnes. Enfin, la CNPD note que l'article 5 du projet de loi précise qu'un règlement grand-ducal peut arrêter, sur avis du Conseil supérieur des maladies infectieuses, des formulaires spécifiques afin de structurer la transmission des données et présume qu'elle sera saisie pour avis en temps utile du projet de règlement grand-ducal susmentionné. IV. La durée de conservation des données Le projet de loi est silencieux sur ce point. La Commission nationale rappelle qu'en application de l'article 4 paragraphe

(1)lettre (d) de la loi modifiée du 2 août 2002, les données traitées doivent être « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées ». S'agissant d'une matière réservée à la loi par la Constitution, l'essentiel du cadrage normatif doit résulter de la loi formelle. Une durée de conservation des données doit, par conséquent, être définie par la loi, au regard des finalités de la surveillance épidémiologique individuelle et collective. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi sur la déclaration obligatoire de certaines maladies 5/8 En cas de recours à des techniques de pseudonymisation ou d'anonymisation des données, la Commission nationale invite également le responsable du traitement à préciser les conditions de conservation des données (le cas échéant, établissement d'une table de correspondance, auprès de qui cette table doit être conservée, pendant combien de temps et dans quelles conditions de sécurité). Sous réserve des observations qui précèdent, la Commission nationale estime que les données collectées dans le cadre du dispositif de surveillance épidémiologique n'appellent pas d'observations particulières. V. L'information et les droits des personnes Le droit à l'information La CNPD rappelle qu'en application de l'article 26 paragraphe

(1)de la loi modifiée du 2 août 2002, toute personne a le droit de savoir si des données la concernant font l'objet d'un traitement et en quoi consiste ce traitement. Elle note que le projet de loi est silencieux sur ce point. Elle estime que le médecin ou le laboratoire qui signale une maladie à déclaration obligatoire devra en informer les personnes concernées, et ce au moment de l'annonce du diagnostic ou au moment qu'il jugera, en conscience, le plus opportun. ll devra notamment leur préciser quelles données seront transmises à l'autorité sanitaire et le caractère anonyme de la transmission. Un document d'information individuelle, dont le modèle pourrait être établi par l'autorité sanitaire, pourrait également être remis aux personnes concernées, expliquant notamment à quoi sert le dispositif de déclaration obligatoire et comportant les mentions requises par l'article 26 précité de la loi modifiée du 2 août

1. Le droit d'accès La CNPD rappelle qu'en application de l'article 28 de la loi modifiée du 2 août 2002, toute personne dispose d'un droit d'accès aux données la concernant. Elle note toutefois que le projet de loi est silencieux sur ce point. La CNPD estime que les personnes concernées devraient pouvoir exercer leur droit d'accès aux données les concernant auprès de la Direction de la Santé pour autant qu'elles ne sont pas anonymisées, et ce par l'intermédiaire des médecins et laboratoires déclarants. VI. S'agissant des destinataires Ont accès aux données traités dans le cadre de la surveillance des maladies infectieuses : les professionnels de santé déclarants les laboratoires d'analyses de biologie médicale et les laboratoires de référence nationaux désignés par l'autorité sanitaire ; la Division de l'Inspection Sanitaire de la Direction de la Santé ; les instances en charge de la surveillance des maladies infectieuses au niveau européen (ECDC) et international (OMS). Avis de la Commission nationale pour la protection des données relatif au projet de loi sur la déclaration obligatoire de certaines maladies 6/8 L'implication du Laboratoire National de Santé (LNS) et du Luxembourg lnstitute of Health (LIH) dans le nouveau dispositif de surveillance des maladies ne ressort pas explicitement du projet de loi. Le cas échéant, la CNPD suggère de préciser ce point dans le projet de loi. La Commission nationale note par ailleurs que le ministre ayant la Santé dans ses attributions rend public le nombre de cas de maladies infectieuses déclarés". L'exposé des motifs précise que cette publication se fera par l'intermédiaire de sites web ou de publications statistiques". La CNPD souligne que cette publication peut uniquement être effectuée sous une forme anonymisée ne permettant pas de révéler l'identité des personnes concernées. VII. Sur la sécurité des données La Commission nationale rappelle qu'en application des articles 22 et 23 de la loi modifiée du 2 août 2002, le responsable de traitement doit adopter les mesures techniques et organisationnelles nécessaires afin d'assurer la sécurité des données, notamment un système de traçage des accès aux données dans la base centralisée de gestion des cas de maladies infectieuses déclarés. Elle estime qu'il conviendrait de rajouter une disposition, à l'instar d'autres lois ou règlements grand-ducaux, qui pourrait avoir la teneur suivante : « Le système informatique par lequel l'accès au fichier est opéré doit être aménagé de sorte que raccès aux fichiers soit sécurisé moyennant une authentification forte, que les informations relatives à la personne ayant procédé à la consultation, les informations consultées, la date, l'heure et la référence du dossier dans le cadre duquel la consultation a été effectuée, ainsi que le motif précis de la consultation puissent être retracés. Les données de journalisation doivent être conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle. ». De manière plus générale, la CNPD recommande que des mesures de sécurité à l'état de l'art soient mises en ceuvre, afin de garantir la confidentialité des données particulièrement sensibles contenues dans le système centralisé. En l'absence de précisions des auteurs du projet de loi, la CNPD n'est pas en mesure d'apprécier dans leur ensemble le niveau des mesures de sécurité envisagées. Elle note toutefois que l'article 4 du projet de loi pose des conditions applicables à la transmission des déclarations « Les déclarations prévues aux articles 2 et 3 peuvent être effectuées, par voie électronique sécurisée, par téléfax, ou par voie postale. En cas de diagnostic, respectivement en cas de suspicion de diagnostic d'une maladie représentant une menace grave pour la santé publique la déclaration est faite sans délais, de jour et de nuit, par téléphone, sinon par tout autre moyen de communication approprié ». La Commission nationale recommande, s'agissant des transmissions par voie électronique, que des mesures de chiffrement à l'état de l'art pour des données sensibles soient mises en ceuvre. Elle recommande, s'agissant des transmissions par voie postale, que ces dernières soient effectuées sous pli confidentiel portant la mention « secret médical ». Enfin, compte tenu de l'extrême sensibilité des données recueillies grâce aux déclarations obligatoires des professionnels de santé et des laboratoires d'analyse médicale, la CNPD insiste Article 10 du projet de loi. ' 2 cf Commentaire des articles, p.
2. CNPli Avis de la Commission nationale pour la protection des données relatif au projet de loi sur la déclaration obligatoire de certaines maladies 7/8 sur la nécessité de prévoir des mesures spécifiques de protection de l'identité des patients, tout en permettant une surveillance et un suivi efficace des cas de maladies infectieuses déclarés. Pour le surplus, la Commission nationale n'a pas d'autres observations à formuler. Ainsi décidé à Esch-sur-Alzette en date du 10 mai
3. La Commission nationale pour la protection des données Tine A. Larsen Présidente CNP15.1 Thierry Lallemang Membre effectif ChIstophe Buschmann Membre effectif Avis de la Commission nationale pour la protection des données relatif au projet de loi sur la déclaration obligatoire de certaines maladies