Projet de loi n° 7184 portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Pa

(1)Avant de procéder à l'analyse générale du projet grand-ducal (III), il convient de rappeler le cadre juridique dans lequel le règlement grand-ducal s'insère (II). Une remarque préliminaire s'impose néanmoins (I). I. Remarque préliminaire

(2)Au Grand-Duché de Luxembourg, les travaux préparatifs relatifs aux règlements grandducaux ne sont en principe pas publiés par le gouvernement. Aussi, le présent avis se base sur les documents publiés par différentes autres institutions officiellesl. 1 Documents publiés notamment par les chambres professionnelles sur leur site internet. Page 2 sur 16 Rue d'Eich 31 • L-1461 Luxembourg Téléphone +352 42 60 70 1 • Téléfax +352 42 60 78 • e-mail : evandro.cimetta@edd.tu II. Le cadre juridique

(3)Le projet de règlement grand-ducal en discussion est le Projet de règlement grand- ducal précisant les modalités et conditions de mise en place du dossier de soins partagé (ci-après « le projet de règlement grand-ducal » ou « le règlement grandducal »).

(4)Selon l'exposé des motifs du projet de règlement grand-ducal « le présent projet de règlement grand-ducal a pour objet de déterminer les modalités et les conditions de la mise en place du dossier de soins partag é en exécution de l'article 6oquater

(6)du Code de la sécurité sociale » . 11 s'ensuit que le Code de la sécurité sociale constitue la base légale du projet de règlement grand-ducal.

(5)Etant donné que le dossier de soins partagé (DSP), toujours selon l'exposé des motifs, « sert à regrouper des données de santé nécessaires à un meilleur suivi du patient » , le dossier de soins partagé (et donc le règlement grand-ducal) ne devra pas violer les droits des patients, c'est-à-dire la législation relative aux droits et obligations du patient, d'une part, et la législation relative à la protection des personnes à l'égard du traitement des données à caractère personnel, d'autre part.

(6)Finalement, le dossier de soins partagé étant alimenté par les médecins, les pharmaciens et autres professionnels de santé, il faudra s'assurer que cette « alimentation » ne contrevient pas aux dispositions relatives au secret professionnel auquel ces professionnels sont assuj ettis. III. Analyse

(7)Comme indiqué ci-dessus sous le point II, le cadre juridique du règlement grand-ducal englobe le Code de la sécurité sociale qui constitue la base légale du règlement grand-ducal (C), la législation relative aux droits et obligations du patient et la législation relative à la protection des personnes à l'égard du traitement des données à caractère personnel (D) et la législation relative au secret professionnel (E). L'analyse de ces bases légales conduit à une conclusion au sujet du cadre juridique du DSP (F).

(8)Avant de procéder à l'analyse de la conformité du règlement grand-ducal par rapport aux différentes dispositions légales formant son cadre juridique, il est utile de rappeler brièvement les principales modalités et conditions de la mise en place du dossier de soins partagé (A), ainsi que les objectifs poursuivis par sa mise en place (B). Page 3 sur 16 Rue d'Eich 31 • L-1461 Luxembourg Téléphone +352 42 60 70 1 • Téléfax +352 42 60 78 • e-mail : evandro.cimetta@edd.lu A. Les principales modalités et conditions de mise en place du dossier de soins partagé

(9)Le règlement grand-ducal compte 16 articles et deux annexes.

(10)Les modalités et conditions de mise en place du dossier de soins partagé sont, en substance, les suivantes (outre les modalités techniques reprises aux articles 11 et 12 du règlement grand-ducal et à l'annexe 2) : • dès affiliation à l'assurance maladie, un dossier de soins partagé est créé d'office pour l'assuré nouvellement affilié (article 2, paragraphe 1). Par ailleurs, un dossier de soins partagé est également créé d'office pour chaque assuré affilié à l'assurance maladie au jour de l'entrée en vigueur du règlement grand-ducal (article 15) ; un patient non affilié à l'assurance maladie luxembourgeoise peut demander la création d'un dossier de soins partagé (article 2, paragraphe 2) ; dès la création du dossier de soins partagé, l'assuré et le patient non affilié à l'assurance maladie luxembourgeoise, appelés « le titulaire », obtiennent une série d'informations, dont l'information qu'un dossier de soins partagé vient d'être créé, les informations sur les modalités pour l'activation et la fermeture du dossier, l'information sur le droit de s'opposer au partage des données (article 2, paragraphe 3) ; • le dossier de soins partagé créé n'est pas encore activé. Soit il est activé par le titulaire, soit, à défaut d'activation par le titulaire endéans un délai de 30 jours, il pourra être activé par des professionnels de santé (article 3) ; • le titulaire d'un dossier de soins partagé peut à tout moment fermer son dossier de soins partagé. Dans ce cas, les données y incluses sont rendues inaccessibles (article 4, paragraphe 1) ; le titulaire du dossier de soins partagé peut procéder à la réouverture de son dossier de soins partagé préalablement fermé. La réouverture n'est possible qu'endéans un délai de dix ans à compter de la fermeture du dossier. En cas de réouverture, le dossier contient les données y incluses au moment de la fermeture (article 4, paragraphe 2). A défaut de réouverture dans les dix ans, les données incluses dans le dossier de soins partagé sont définitivement supprimées (article 4, paragraphe 3) ; au décès du titulaire du dossier de soins partagé, le dossier est fermé et les données y incluses sont supprimées un an après la fermeture du dossier (article 4, paragraphe 4) ; • le titulaire d'un dossier de soins partagé peut consulter toutes les données figurant dans son dossier, sauf celles qualifiées de « consultation d'annonce » (article 6, paragraphe i) ; le titulaire d'un dossier de soins partagé peut inscrire certaines Page 4 sur 16 Rue d'Eich 31 • L-1461 Luxembourg Téléphone +352 42 60 70 1 • Téléfax +352 42 60 78 • e-mail : evandro.cimetta@edd.lu informations dans son dossier de soins partagé (article 6, paragraphe 2) ; le titulaire d'un dossier de soins partagé peut aménager les droits d'accès des professionnels de santé à son dossier de soins partagé (article 6, paragraphe 3), voire refuser l'accès à un professionnel de santé exerçant dans un cabinet individuel ou aux professionnels de santé exerçant au sein d'une collectivité de santé ou d'un service d'urgence d'un établissement hospitalier (article 8, paragraphe 3) ; le titulaire d'un dossier de soins partagé peut s'opposer au versement d'une donnée dans son dossier de soins partagé (article 6, paragraphe 3, avant-dernier et dernier alinéas), voire demander à l'introducteur d'une donnée d'en limiter l'accès (article 8, paragraphe 5) ; le titulaire d'un dossier de soins partagé peut demander la rectification des données versées dans son dossier (article 6, paragraphe 5) ; • les droits du titulaire mineur et du titulaire majeur protégé par la loi d'un dossier de soins partagé sont, en règle générale, exercés par les représentants légaux (article 7) ; • les professionnels de santé accèdent aux dossiers de soins partagés via des applications informatiques (article 5) ; le droit d'accès, c'est-à-dire de lecture, et le droit d'écriture des professionnels de santé intervenant dans la prise en charge du titulaire du dossier de soins partagé se déterminent en fonction d'une matrice annexée au règlement grand-ducal (article 8, paragraphes 1 et 2) ; le droit d'accès et d'écriture est retiré au professionnel de santé dès arrêt temporaire ou définitif d'exercer la profession (article 8, paragraphe 6) ; le professionnel de santé verse dans le dossier de soins partagé la donnée qu'il détient et qu'il considère comme utile et pertinente (article 10, paragraphe 1), celle pour laquelle le titulaire lui en fait la demande (article 10, paragraphe 2) et certaines spécialement énumérées par le règlement grand-ducal après la fin de la prise en charge du titulaire du dossier de soins partagé (article 10, paragraphe 3) ; le professionnel de santé peut rendre une donnée versée dans un dossier de soins partagé temporairement inaccessible au titulaire — consultation d'annonce (article 8, paragraphe 4) ; • tous les accès et toutes les actions à un dossier de soins partagé sont traçables (article 9) ; • les données versées dans un dossier de soins partagé actif sont conservées dans le dossier, sauf exceptions, pendant au maximum dix ans (article 10, paragraphe 5). Page 5 sur 16 Rue d'Eich 31 • L-1461 Luxembourg Téléphone +352 42 60 70 1 • Téléfax +352 42 60 78 • e-mail : evandro.cimetta@edd.tu B. Les objectifs poursuivis par la mise en place du dossier de soins partagé

(11)Selon la commission parlementaire de la santé et de la sécurité sociale « l'objectif du dossier de soins partagé consiste à améliorer la qualité de la prise en charge du patient en ce sens que toutes les informations importantes en relation avec les traitements dispensés au patient devront être inscrites et regroupées dans une documentation de base partagée, accessible au patient et, avec l'accord de celui-ci, au médecin référent, aux médecins traitants, ainsi qu'aux autres professionnels de santé impliqués dans la prise en charge du patient. Ainsi, les différents prestataires de soins disposent des informations nécessaires pour dispenser un traitement rapide et adapté, leur permettant donc d'éviter des actes inutiles ou redondants »2.

(12)On peut douter que l'objectif poursuivi par le législateur puisse être atteint. En effet, déjà l'affirmation de la commission parlementaire montre une problématique essentielle dans la mesure où, d'une part, elle indique que toutes les informations importantes en relation avec les traitements dispensés au patient devront être inscrites et regroupées dans une documentation de base partagée et, d'autre part, la documentation est accessible aux prestataires de soins seulement avec l'accord du patient. Ces deux postulats — l'exhaustivité des informations importantes et le possible refus du patient de donner l'accès à son dossier de soins partagé — emportent inévitablement le risque que les dossiers de soins partagés ne seront d'aucune utilité pour une information complète des prestataires. Les différents prestataires de soins ne disposeront donc pas nécessairement des informations nécessaires pour dispenser un traitement rapide et adapté, leur permettant donc d'éviter des actes inutiles ou redondants. Tout au contraire, afin de se prémunir de tout reproche, les prestataires de soins, en raison de l'incertitude qui planera sur l'exhaustivité des informations, auront tout intérêt à ne pas se fier à ces contenus et à réaliser tous les actes qui leur paraissent utiles. C. La base légale du règlement grand-ducal

(13)Les articles 6oter et 6oquater du Code de la sécurité sociale ont été introduits dans le Code de la sécurité sociale par la loi du 17 décembre 2010 portant réforme du système de soins de santé. Ces deux articles traitent du dossier de soins partagé. Le paragraphe 6 de l'article 6oquater du Code de la sécurité sociale indique qu'« un règlement grand-ducal précise les modalités et conditions de la mise en place du dossier de soins partagé ». Ce paragraphe 6 2 Voir page 8 du document parlementaire 6196_11 relatif au projet de loi portant réforme du système de soins de santé ayant abouti à la la loi du 17 décembre 2010 portant réforme du système de soins de santé. Page 6 sur 16 Rue d'Eich 31 • L-1461 Luxembourg Téléphone +352 42 60 70 1 • Téléfax +352 42 60 78 • e-mait : evandro.cimetta@edd.lu de l'article 6oquater du Code de la sécurité sociale constitue donc la base légale du règlement grand-ducal. On peut donc conclure que le règlement grand-ducal repose sur une base légale clairement établie.

(14)Encore faut-il cependant vérifier si différents éléments contenus dans le règlement grandducal ne relèvent pas d'une matière réservée au législateur.

(15)En effet, contrairement au Code de la santé publique français qui, dans sa partie législative3, autorise explicitement les professionnels de santé à échanger avec d'autres professionnels de santé des informations relatives à une même personne prise en charge et instaure et précise les modalités du Dossier médical partag é ainsi que les principaux droits des patients, le Code de la sécurité sociale luxembourgeois se limite à indiquer, à titre de mission de l'Agence nationale des informations partagées dans le domaine de la santé (ci-après « agence eSanté »), que celle-ci tient à disposition des prestataires et des patients un DSP (paragraphe i de l'article 6oquater du Code de la sécurité sociale). Le DSP luxembourgeois est ainsi introduit dans la législation luxembourgeoise de manière indirecte, c'est-à-dire à titre de mission de l'agence eSanté à mettre en place. L'article 6oquater du Code de la sécurité sociale, qui dans la hiérarchie des normes possède le rang de loi, renvoie pour des éléments essentiels du DSP, notamment en ce qui concerne les droits des patients ou les droits et obligations des prestataires de soins, à un règlement grand-ducal, c'est-à-dire à une norme hiérarchiquement inférieure à la loi. Aussi, on peut se poser la question de savoir si ce renvoi ne viole pas différentes dispositions constitutionnelles réservant à la loi le soin de régler la matière. On peut notamment penser au paragraphe 3 de l'article 11 de la constitution qui dispose que « l'Etat garantit la protection de la vie privée, sauf les exceptions fixées par la loi » ou au paragraphe 5 de ce même article qui dispose que « la loi règle quant à ses principes la sécurité sociale, la protection de la santé, ... » . En somme, on peut se poser la question de savoir si le règlement grand-ducal ne dépasse pas les prérogatives accordées par la constitution au pouvoir exécutif qui limite ce droit à l'exécution des lois : « dans les matières réservées à la loi par la Constitution, le Grand-Duc ne peut prendre des règlements et arrêtés qu'en vertu d'une disposition légale particulière qui fixe l'objectif des mesures d'exécution et le cas échéant les conditions auxquelles elles sont soumises » (article 32, paragraphe 3, de la constitution). Ainsi, à notre avis, on ne peut pas exclure que l'article 6oquater du Code de la sécurité sociale ne résiste pas, le cas échéant, à l'analyse de la Cour constitutionnelle. En effet, celle-ci, dans le cadre de l'analyse d'une disposition du Code du Travail, a décidé que « dans les matières réservées par la Constitution à la loi, l'essentiel du cadrage normatif doit résulter de la loi, y compris les 3 Voir notamment les articles L.1110-4 et L.1110-4-1 et articles L.1111-14 et suivants du Code de la santé publique français du Code de la santé publique français Page 7 sur 16 Rue d'Eich 31 • L-1461 Luxembourg Téléphone +352 42 60 70 1 • Téléfax +352 42 60 78 • e-mail : evandro.cimetta@edd.lu fins, les conditions et les modalités suivant lesquelles des éléments moins essentiels peuvent être réglés par des règlements et arrêtés pris par le Grand-Duc >>4;5. Or, au regard des dispositions de l'article 6oquater du Code de la sécurité sociale et des dispositions du règlement grand-ducal, on peut craindre que l'essentiel du cadre normatif ne résulte pas de la loi. D. La législation relative aux droits et obligations du patient et la législation relative à la protection des personnes à l'égard du traitement des données à caractère personnel

(16)Comme indiqué au paragraphe

(5)ci-dessus, le règlement grand-ducal ne devra violer ni la législation relative aux droits et obligations du patient (i), ni la législation relative à la protection des personnes à l'égard du traitement des données à caractère personnel (ii). (i) Le règlement grand-ducal à l'épreuve de la législation relative aux droits et obligations du patient

(17)Les droits et obligations des patients sont régis par la loi du 24 juillet 2014 relative aux droits et obligations du patient.

(18)Le premier alinéa du paragraphe 2 de l'article 18 de la loi du 24 juillet 2014 relative aux droits et obligations du patient dispose que « deux ou plusieurs professionnels de la santé peuvent, sauf opposition du patient dûment averti, échanger des informations relatives à une même personne prise en charge, afin d'assurer la continuité des soins ou de déterminer la meilleure prise en charge possible. Lorsque la personne est prise en charge par une équipe de soins dans un établissement hospitalier ou toute autre personne morale ou entité au sein duquel des soins de santé sont légalement prestés, les informations la concernant sont réputées confiées par le malade à l'ensemble de l'équipe » .

(19)Aucune disposition légale relative au DSP ne semble rernettre en cause ce droit du patient de s'opposer au partage d'informations qui lui est conféré par la disposition précitée de la loi du 24 juillet 2014 relative aux droits et obligations du patient.

(20)Le troisième alinéa du paragraphe 3 de l'article 6 du règlement grand-ducal confirme ce droit légalement conféré au patient de s'opposer à ce qu'une donnée soit versée dans son dossier Arrêt de la Cour constitutionnelle n° 117/15 du 20 mars 2015, publié au Mémorial A — N° 56 du 26 mars

1. Soulignement ajouté par nos soins. Page 8 sur 16 Rue d'Eich 31 • L-1461 Luxembourg Téléphone +352 42 60 70 1 • Téléfax +352 42 60 78 • e-mail : evandro.cimetta@edd.lu de soins partagé. Toutefois, ce droit, qui est protégé par la loi, semble être atténué dans la mesure où le paragraphe 3 de l'article 3 du règlement grand-ducal octroie le droit aux prestataires de soins d'alimenter le DSP même dans les cas où le patient n'a pas activé son DSP. Or, le fait pour un patient de ne pas activer son DSP devrait pouvoir s'expliquer par quatre cas de figure : i. le patient ne veut pas d'un DSP, donc d'un partage de ses données ; ou
2. le patient n'a pas eu l'information qu'un DSP a été mis en place ; ou
3. le patient a eu l'information, mais n'a encore entrepris aucune démarche pour s'opposer à l'activation de son DSP ; ou
4. le patient a eu l'information, mais n'a encore entrepris aucune démarche pour procéder à l'activation de son DSP.

(21)Ainsi, dans les trois premiers cas, on peut s'interroger sur la légalité du paragraphe 3 de l'article 3 du règlement grand-ducal6 autorisant les prestataires de soins à verser des données dans le DSP avant même que le patient n'ait activé son DSP. Comme dit ci-avant, le fait de ne pas avoir activé le DSP peut être la manifestation, exprimée ou encore à exprimer, de l'opposition à ce que des données soient versées dans le dossier, voire la manifestation de l'ignorance du patient qu'un DSP a été mis en place. Dans tous les cas, le paragraphe 3 de l'article 3 du règlement grand-ducal paraît aller à l'encontre du paragraphe 2 de l'article 18 de la loi du 24 juillet 2014 relative aux droits et obligations du patient lui conférant un réel droit d'opposition. (ii) Le règlement grand-ducal à l'épreuve de la législation relative à la protection des personnes à l'égard du traitement des données à caractère personnel

(22)Le paragraphe 3 de l'article 3 du règlement grand-ducal, en disposant qu'à défaut d'activation du DSP par la personne concernée, donc à défaut d'une démarche active de la personne concernée, le DSP peut néanmoins être alimenté et consulté par les professionnels de santé, risque de poser un problème majeur également au regard de la législation relative à la protection des personnes à l'égard du traitement des données à caractère personnel. Qui est une norme inférieure à la loi, donc au premier alinéa du paragraphe 2 de l'article 18 de la loi du 24 juillet 2014 relative aux droits et obligations du patient conférant au patient un droit d'opposition. Page 9 sur 16 Rue d'Eich 31 • L-1461 Luxembourg Téléphone +352 42 60 70 1 • Téléfax +352 42 60 78 • e-mail : evandro.cimetta@edd.lu

(23)Dans la « phase pilote » lancée en juin 2015, dans le cadre de laquelle seules deux catégories de patients peuvent disposer d'un DSP (les patients ayant déclaré un médecin-référent et les volontaires), l'ouverture du DSP nécessite une démarche active de la personne concernée : pour le premier cas le patient décide activement de son suivi médical par un médecinréférent. Ce choix de bénéficier d'un suivi médical par un médecin-référent emporte l'ouverture d'un DSP7. Pour le deuxième cas, la personne concernée décide très consciemment d'ouvrir un DSP. Par contre, selon le paragraphe 3 de l'article 3 du règlement grand-ducal, toute personne peut voir son DSP être activé sans qu'elle n'en ait exprimé le désir. Cette situation risque d'être contraire à la législation relative à la protection des personnes à l'égard du traitement des données à caractère personnel.

(24)La législation relative à la protection des personnes à l'égard du traitement des données à caractère personnel est principalement constituée — à partir du 25 mai 2018 — du règlement (UE) 2016/679 du Parlement Européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « Règlement UE »).

(25)L'article 9 du Règlement UE traite des catégories particulières de données à caractère personnel, dont les données concernant la santé. L'article 9 du Règlement UE pose comme principe l'interdiction de procéder au traitement des données à caractère personnel concernant la santé

1. Cette interdiction de principe connait cependant différentes dérogations, dont la dérogation inscrite au point h, du paragraphe 2 dudit article
2. C'est d'ailleurs à ce point h, du paragraphe 2 de l'article 9 du Règlement UE que renvoie le projet de loi n° 71849 pour lever l'interdiction de principe du traitement des données à caractère personnel relevant de la santélo. II n'y a à proprement parler pas décision d'ouvrir un DSP. Toutefois, en cas de sollicitation du dispositif rnédecinréférent, la personne concernée devrait être informée par son médecin-référent que cette sollicitation emporte l'ouverture d'un DSP. Ainsi, le fait de solliciter le bénéfice du dispositif médecin-référent emportant l'ouverture d'un DSP reste néanmoins une initiative et une démarche de la personne concernée lui laissant la faculté de renoncer à sa demande si elle ne désire pas qu'un DSP soit mis en place. Le droit européen interdit également le traitement des données à caractère personnel concernant d'autres données, dont les donnnées relatives à l'origine raciale ou ethnique, les opinions politiques, et autres. Projet de loi n° 7184 portant création de la Commission nationale pour la protection des données et la mise en ceuvre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, portant modification de la loi du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'Etat et abrogeant la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. 10 Voir notamment l'article 68

(1)du projet de loi n° 7184_10: "Le traitement de catégories particulières de données à caractère personnel tel que définies à l'article 9, paragraphe 1 du règlement (UE) 2016/679 peut être mis en ceuvre par Page 10 sur 16 Rue d'Eich 31 • L-1461 Luxembourg Téléphone +352 42 60 70 1 • Téléfax +352 42 60 78 • e-mail : evandro.cimetta@edd.lu

(26)La disposition du point h du paragraphe 2 de l'article 9 du Règlement UE reprend en substance la dérogation déjà prévue au paragraphe 3 de l'article 8 de la directive 95/46/CE du Parlement Européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après « Directive »).

(27)Concernant la dérogation du paragraphe 3 de l'article 8 de la Directive, le groupe de travail « Article 29 »11, dans un document adopté le 15 février 2007 intitulé « Document de travail sur le traitement des données à caractère personnel relatives à la santé contenues dans les dossiers médicaux électroniques (DME) », document WP 13112, ne semble cependant pas être certain que cette dérogation puisse constituer la base juridique pour le traitement des données concernant la santé dans le cadre du déploiement de dossiers de soins partagés. En effet, selon le groupe de travail « Article 29 », « la garantie principale et traditionnelle prévue à l'article 8, paragraphe 3 (...) est l'obligation de confidentialité imposée aux professionnels de la médecine à l'ég ard des données médicales relatives à leurs patients. Elle peut ne plus être pleinement applicable en cas de DME-I3, puisque l'un des objectifs du DME est de mettre les professionnels qui n'ont pas participé au traitement médical précédent consigné dans un fichier médical en mesure d'accéder aux documents médicaux à des fins de traitement. Par conséquent, le groupe de travail « Article 29 » n'est pas convaincu que, même si l'article 8, paragraphe 3, est utilisé pourjustifier le traitement des données, lobligation de secret professionnel assure à elle seule une protection suffisante en cas de DME »14. La réserve du groupe de travail « Article 29 » quant à la dérogation du paragraphe 3 de l'article 8 de la Directive comme possible base juridique pour le traitement des données concernant la santé dans le cadre du déploiement de dossiers de soins partagés devrait être transposable — mutatis mutandis — à la dérogation du point h du paragraphe 2 de l'article 9 du Règlement UE.

(28)En fait, le groupe de travail « Article 29 », dans le document WP 131, estime que la dérogation du paragraphe 4 de l'article 8 de la Directive pourrait davantage « servir de base des instances médicales s'il est nécessaire aux fins de la médecine préventive, des diagnostics médicaux, de l'administration de soins ou de traitemente. 11 Le groupe de travail Article 29 est institué en vertu de l'article 29 de la directive 95/46/CE ayant un caractère consultatif et indépendant. Parmi ses missions, le groupe de travail Article 29 peut émettre de sa propre initiative des recommandations sur toute question concernant la protection des personnes à l'égard du traitement de données à caractère personnel dans la Communauté. Avec l'entrée en vigueur du Règlement EU, le groupe de travail Article 29 sera remplacé par le Comité européen de la protection des données. 12 http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2007/ wp131 _en.pdf (en anglais) ou https://www.apda.ad/system/files/wp131_fr.pdf (en français) 13 DME = Dossier Médical Electronique 14 Page 13 du "Document de travail sur le traitement des données à caractère personnel relatives à la santé contenues dans les dossiers médicaux électroniques (DME)" Page 11 sur 16 Rue d'Eich 31 • L-1461 Luxembourg Téléphone +352 42 60 70 1 • Téléfax +352 42 60 78 • e-mail : evandro.cimetta@edd.tu juridique à des systèmes de DME, pour autant que toutes les conditions qui y sont mentionnées soient remplies »15. Or, cette dérogation inscrite au paragraphe 4 de l'article 8 de la Directive n'est pas reprise telle quelle par le Règlement UE. D'ailleurs, comme indiqué ci-avant, le projet de loi n° 7184 ne renvoie pas à une disposition du Règlement UE analogue au paragraphe 4 de l'article 8 de la Directive. Le renvoi est fait à l'article 9, paragraphe 2, points h, du Règlement UE16.

(29)La légitimation du déploiement des dossiers de soins partagés sur base du point i du paragraphe 2 de l'article 9 du Règlement UE (qui vise le domaine de la santé publique), voire du point g du paragraphe 2 de ce même article 9, ne semble également pas possible, ces deux dérogations visant en effet des mesures d'intérêt public. Or, le dossier de soins partagé, tel que prévu par le règlement grand-ducal, ne peut certainement pas satisfaire à un quelconque intérêt public dans la mesure où les contenus de ces dossiers de soins partagés sont largement aléatoires (possibilité de fermer le DSP, possibilité de refuser de verser des données dans le DSP, etc., voir également le point III.B. ci-dessus) et ne permettent ainsi pas de poursuivre une quelconque mesure d'intérêt public, telles celles visées aux points i et g du paragraphe 2 de l'article 9 du Règlement UE.

(30)On peut donc craindre que le paragraphe 3 de l'article 3 du règlement grand-ducal, en disposant qu'à défaut d'activation du DSP par la personne concernée, le DSP peut néanmoins être alimenté et consulté par les professionnels de santé, donc sans le consentement préalable de la personne concernée, risque de poser un problème majeur au regard de la législation relative à la protection des personnes à l'égard du traitement des données à caractère personnel.

(31)Cette crainte est encore renforcée dans la mesure où l'article 8 de la Convention européenne des droits de l'homme dispose que « i. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance. 2. Il ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui » . ' Page 14 du "Document de travail sur le traitement des données à caractère personnel relatives à la santé contenues dans les dossiers médicaux électroniques (DME)" ' La CNPD confirme que le traitement des données concernant la santé est couvert par l'article 9, paragraphe 2, points h, du Règlement UE (voir document parlementaire n° 7184_3, page 16) Page 12 sur 16 Rue d'Eich 31 • L-1461 Luxembourg Téléphone +352 42 60 70 1 • Téléfax +352 42 60 78 • e-mail : evandro.cimetta@edd.lu

(32)L'article 6 de la convention n° 108 du Conseil de l'Europe précise au surplus que « les données à caractère personnel révélant l'origine raciale, les opinions politiques, les convictions religieuses ou autres convictions, ainsi que les données à caractère personnel relatives à la santé ou à la vie sexuelle, ne peuvent être traitées automatiquement à moins que le droit interne ne prévoie des garanties appropriées ». On peut craindre que le règlement grand-ducal en discussion ne prévoit pas lesdites garanties appropriées. E. La législation relative au secret professionnel

(33)Le dossier de soins partagé étant alimenté par les médecins, les pharmaciens et certains autres professionnels de la santé, il faut s'assurer que cette « alimentation » ne contrevient pas aux dispositions relatives au secret professionnel auquel ces professionnels sont assujettis.

(34)Etant donné que les membres de la COPAS, dans le cadre de la mise en ceuvre du dossier de soins partagé, agissent principalement à travers leur personnel soignant, c'est-à-dire le personnel soignant soumis à la loi du 26 mars 1992 sur l'exercice et la revalorisation de certaines professions de santé, la présente analyse se limitera à vérifier si les rnodalités envisagées pour la mise en ceuvre du DSP sont compatibles avec les règles relatives au secret professionnel du personnel soignant soumis à la loi du 26 mars 1992 sur l'exercice et la revalorisation de certaines professions de santé.

(35)L'article 15 de la loi du 26 mars 1992 sur l'exercice et la revalorisation de certaines professions de santé dispose que « les personnes exerçant une de ces professions et les étudiants en formation sont tenus au secret professionnel dans les conditions et sous les réserves énoncées à l'article 458 du code pénal » . Le Code pénal précise en son article 458 que « Les médecins, chirurgiens, officiers de santé, pharrnaciens, sag es-femmes et toutes autres personnes dépositaires, par état ou par profession, des secrets qu'on leur confie, qui, hors le cas où ils sont appelés à rendre témoignage en justice et celui où la loi les oblige à faire connaître ces secrets, les auront révélés, seront punis d'un emprisonnement de huit jours à six mois et d'une amende de 500 euros à 5.000 euros ».

(36)De plus, les articles 15 et 16 du règlement grand-ducal du 7 octobre 2010 établissant le code de déontologie de certaines professions de santé précisent encore que « le secret professionnel s'irnpose à chaque professionnel de santé dans les conditions fixées par la loi. Le secret professionnel est un droit dans le chef des personnes prises en charge. Le professionnel de santé doit g arantir le secret total de tout ce dont il a pris connaissance dans l'exercice de sa profession; non seulement ce qui lui a été confié, mais aussi ce qu'il a Page 13 sur 16 Rue d'Eich 31 • L-1461 Luxembourg Téléphone +352 42 60 70 1 • Téléfax +352 42 60 78 • e-mail : evandro.cimetta@edd.lu vu, entendu ou compris. Le secret professionnel s'étend au-delà de la mort des personnes prises en charge. De même, l'obligation au secret professionnel face aux tiers ne peut être considérée comme éteinte par le simple consentement du client » (Article 15) et « le professionnel de santé ne peut déroger au secret professionnel que dans les cas autorisés par la loi » (Article 16). (,» 11 résulte des dispositions rappelées ci-avant que les soignants relevant de la loi du 26 mars 1992 sur l'exercice et la revalorisation de certaines professions de santé sont soumis à un secret professionnel très étroit. Verser des données relatives à la santé des patients dans des DSP risque donc d'enfreindre le secret professionnel. Ce partage des données concernant la santé n'est possible que si la loi l'autorise expressément. Or, le Code de la sécurité sociale, en mettant en place le DSP, ne prévoit aucune dérogation expresse au secret professionnel autorisant les soignants à partager les informations qu'ils détiennent. Le paragraphe 6 de larticle 6oquater du Code de la sécurité sociale semble vaguement indiquer, dans le cadre de la délégation au pouvoir exécutif pour préciser les modalités et les conditions pour la mise en place du DSP, que les prestataires de soins versent les données des patients dans le DSP. On peut craindre que cette indication est insuffisante pour délier les soignants du secret professionnel leur imposé notamment par le Code pénal.

(38)Par ailleurs, la théorie du secret partagé ne devrait pas non plus être en mesure d'atténuer les dispositions du Code pénal dans la mesure où la panoplie des personnes pouvant consulter le DSP est excessivement large et n'est pas nécessairement en lien avec l'intervention du praticien consultér7.

(39)En conséquence, au vu de ce qui précède, on peut craindre qu'il ne sera pas possible d'obliger les soignants à verser des données dans le DSP. F. Conelusion au sujet du cadre juridique du DSP

(40)A titre de conclusion au sujet du cadre juridique du DSP, on peut craindre que le DSP repose sur une base légale formelle insuffisante (les articles 6oter et 6oquater du Code de la sécurité sociale ; voir le point III.C. ci-dessus). De plus, le paragraphe 3 de l'article 3 du règlement grand-ducal autorisant les prestataires de soins à verser des données dans le DSP avant 17 On peut douter que la théorie du secret partagé puisse par exemple admettre que le médecin généraliste et l'ophtalmologue, qui tous les deux sont soumis au secret professionnel, puissent partager des informations concernant la santé d'un patient commun, que par exemple l'ophtalmologue puisse obtenir via le DSP l'information que le patient souffre d'une insuffisance respiratoire (du moins si cette information n'est pas nécessaire pour le traitement ophtalmologique). Page 14 sur 16 Rue d'Eich 31 • L-1461 Luxembourg Téléphone +352 42 60 70 1 • Téléfax +352 42 60 78 • e-mail : evandro.cimetta@edd.lu même que le patient n'ait activé son DSP risque de ne pas satisfaire à certaines autres exigences légales (voir les points III.D. et III.E.).

(41)Aussi, afin de lever tout doutel8, il serait probablement judicieux, d'une part, de compléter les dispositions du Code de la sécurité sociale par les dispositions autorisant explicitement les professionnels de santé à échanger avec d'autres professionnels de santé des informations relatives à une même personne prise en charge et instaurant et précisant les modalités du DSP ainsi que les principaux droits des patients et obligations des prestataires. D'autre part, il paraît également judicieux de supprimer le paragraphe 3 de l'article 3 du règlement grand-ducal autorisant les prestataires de soins à verser des données dans le DSP avant même que le patient n'ait activé son DSP pour ne permettre l'activation du DSP que par la seule volonté de la personne concernée. *** Luxembourg, le 3 mai 2018 Evandro CIMETTA Annexe : Analyse des articles effectuée par la COPAS ' Et prévenir tout litige notamment devant le juge pénal pour des questions de secret professionnel ou devant le juge administratif pour des questions de légalité du règlement grand-ducal. Page 15 sur 16 Rue d'Eich 31 • L-1461 Luxembourg Téléphone +352 42 60 70 1 • Téléfax +352 42 60 78 • e-mail : evandro.cimetta@edd.tu Sommaire L Remarque préliminaire II. Le cadre juridique III. Analyse A. Les principales modalités et conditions de mise en place du dossier de soins partagé B. Les objectifs poursuivis par la mise en place du dossier de soins partagé C. La base légale du règlement grand-ducal D. La législation relative aux droits et obligations du patient et la législation relative à la protection des personnes à l'égard du traitement des données à caractère personnel Le règlement grand-ducal à l'épreuve de la législation relative aux droits (

1. i)et obligations du patient (
2. ii)Le règlement grand-ducal à l'épreuve de la législation relative à la protection des personnes à l'égard du traitement des données à caractère personnel E. La législation relative au secret professionnel F. Conclusion au sujet du cadre juridique du DSP Annexe : Analyse des articles effectuée par la COPAS Page 16 sur 16 Rue d'Eich 31 • L-1461 Luxembourg Téléphone +352 42 60 70 1 • Téléfax +352 42 60 78 • e-mail : evandro.cimetta@edd.lu %COPAS Ole Projet de règlement grand-ducal précisant les modalités et conditions de mise en place du dossier de soins partagé Commentaire des articles (Seuls les articles faisant l'objet d'une observation sont commentés.) Remarque introductive (
3. i)11 semblerait que le règlement grand-ducal ne s'exprime pas sur la question de l'utilisation des données se trouvant dans les dossiers de soins partagés pour les volets « statistiques et épidémiologiques ». A cet égard, il est sans doute utile de savoir si selon les auteurs du projet de règlement grand-ducal, le règlement grand-ducal est également censé détailler le paragraphe 5 de l'article 6oquater du Code de la sécurité sociale. Dans cette hypothèse, le règlement grand-ducal devrait alors se prononcer sur les modalités à mettre en place, notamment sur la question de savoir si les « statistiques » sont élaborées sur base de données anonymisées (qui ne contiennent aucun risque d'identification des personnes concernées) ou sur base de données pseudonymisées (qui contiennent un risque d'identification des personnes concernées). Art.i. Définitions

(2)En ce qui concerne la définition de l'« Agence », le règlement grand-ducal devrait préciser que celle-ci est le « responsable du traitement » au regard de la législation relative à la protection des personnes à l'égard du traitement des données à caractère personnel (à ce stade, seul dans le cadre du commentaire de l'article 11 il est dit que l'Agence eSanté est le responsable du traitement).

(3)De plus, en ce qui concerne la définition du « Titulaire », le règlement grand-ducal devrait préciser que celui-ci est le propriétaire du dossier de soins partagé auquel le dossier de soins partagé est lié. La définition pourrait donc être la suivante : « Titulaire » : « le patient propriétaire du dossier de soins partagé auquel le dossier de soins partagé est lié ».

(4)Finalement, au niveau des définitions figurant à l'article i du règlement grand-ducal, il serait utile que cet article définisse certaines notions supplémentaires, telles les notions de « donnée de niveau privé » et « donnée de niveau restreint » figurant notamment aux articles 6

(3)8

(5); Page 1 sur 8 - « collectivité de santé » (qui devrait comprendre les réseaux d'aides et de soins, les établissements d'aides et de soins, etc.) figurant notamment aux articles 5 et 8 ; - « professionnels de santé » (qui devraient être définis comme « personnes physiques exerçant une des professions figurant à l'annexe i sous le titre Catégories de Prestataires ») figurant à différents endroits du règlement grand-ducal ; - « prestataires » (qui devraient être définis de façon identique à la notion de « professionnels de santé ») figurant à différents endroits du règlement grand-ducal. Art. 2. Création du dossier de soins partagé

(5)En ce qui concerne le principe de la mise à disposition généralisée d'un dossier de soins partagé en dehors de tout consentement de la personne concernée, il est renvoyé aux développements ci-avant sous le point III. Art. 3. Activation du dossier de soins partagé et accès par le titulaire

(6)En ce qui concerne la question de l'activation du dossier de soins partagé en dehors de tout consentement de la personne concernée, il est renvoyé aux développements ci-avant sous le point III.

(7)Nonobstant la critique de principe quant à l'activation du dossier de soins partagé en dehors de tout consentement de la personne concernée, le paragraphe 3 de l'article 3 devrait au moins préciser ce qu'il faut entendre par « conforrnérnent à leurs droits d'accès et décriture ». En effet, selon l'article 8 paragraphe 3 du règlement grand-ducal, le professionnel de santé exerçant dans un cabinet individuel semble nécessiter un identifiant de connexion personnel du titulaire pour accéder au DSP. Est-ce que cela signifie qu'à défaut d'activation du compte, la consultation et l'alimentation du DSP ne peut se faire que par les professionnels de santé ne nécessitant pas l'identifiant de connexion personnel du titulaire, donc par les professionnels de santé exerçant au sein dune collectivité de santé (qui reste par ailleurs à définir — voir sous « Art.i. Définitions » ci-dessus) et les professionnels de santé d'un service durgence d'un établissement hospitalier ? Art. 4. Fermeture et suppression du dossier de soins partagé

(8)Afin déviter toute insécurité juridique, les paragraphes 2 à 5 de l'article 4 devraient être complétés par le renvoi au paragraphe 5 de l'article 10 (texte possible : « sans préjudice des dispositions prévues au paragraphe 5 de l'article lo »). Art. 5. Accès au dossier de soins partagé par les professionnels de santé

(9)Dans la pratique, l'accès au dossier de soins partagé ne pourra pas se faire que par les seuls professionnels de santé (voir la définition des professionnels de santé sous le commentaire de l'article 1). L'accès ne peut ainsi pas se limiter aux seuls professionnels de santé, mais doit Page 2 sur 8 être élargi aux agents administratifs (secrétaires médicaux) et à différents « autres » intervenants sociaux (éducateurs). Art. 6. Droits d'accès, d'écriture et d'opposition du titulaire

(10)Le point (

1. a)du paragraphe 3 de l'article 6 devrait préciser ce qu'il faut entendre par « en interdisant l'accès à son dossier aux professionnels de santé qu'il désigne ». 11 faudrait en effet clarifier ce droit du titulaire : est-ce que le titulaire exclut par cette action toute une catégorie de professionnels (par exemple : aucun kinésithérapeute ne pourra ni consulter ni alimenter le dossier de soins partagé du titulaire) ou est-ce que le titulaire exclut par cette action un professionnel nommément désigné ? (.1) Le point (
2. b)du paragraphe 3 de l'article 6, lorsqu'il vise les professionnels d'un service d'urgence d'un établissement hospitalier, semble être en contradiction avec le point (
3. d)de ce même paragraphe 3 de l'article 6.

(12)Le 3e alinéa du paragraphe 3 de l'article 6 accorde le droit au titulaire de s'opposer au versement d'une donnée à son dossier de soins partagé. Ce droit risque cependant de ne pas trouver une pleine application dans la mesure où l'article 3 de l'amendement de la convention du 13 décembre 1993 telle que modifiée pour les médecins, conclue en application de l'article 61 du Code de la sécurité sociale entre l'Association des médecins et médecins-dentistes et l'UCM (actuellement CNS)1 prévoit que la CNS verse semestriellement au DSP de la personne protégée un résumé des prestations prises en charge par les assurances maladie-maternité, accident et dépendance. Or, parmi ces prestations peuvent figurer des données pour lesquelles le titulaire s'était opposé à leur versement au dossier de soins partagé. En toute cohérence, la disposition figurant dans la convention entre les médecins et la CNS devrait être supprimée. Art. 7. Titulaires mineurs non émancipés et titulaires majeurs protégés par la loi

(13)Selon le paragraphe i de l'article 7, premier alinéa, les droits du titulaire mineur non émancipé sont exercés par ses représentants légaux moyennant les identifiants de connexion personnels des représentants légaux. Cette disposition paraît adaptée à chaque fois que les parents, représentants légaux du mineur, utilisent les identifiants de connexion personnels qui leur ont été communiqués par l'agence eSanté en vertu du paragraphe 3 de l'article 2 pour leur propre dossier de soins partagé. Toutefois, la question se pose de savoir si ces identifiants de connexion restent « actifs » également dans les cas où le représentant légal n'active pas son dossier de soins partagé, voire s'il procède à la fermeture de celui-ci, tout en désirant cependant maintenir un dossier de soins partagé pour son enfant. D'autre part, lorsque l'autorité parentale d'un enfant mineur est exercée par un tiers autre que les parents du mineur, le règlement grand-ducal devrait préciser que les identifiants de connexion de ce (Mémorial A — N° 201 du 21 octobre 2015) Page 3 sur 8 tiers sont différents de ceux que celui-ci possède pour accéder à son propre dossier de soins protégé.

(14)Selon le paragraphe 3 de l'article 7, les droits du titulaire majeur protégé sont exercés pendant la durée du régime de protection par la personne spécialement désignée à cet effet par décision de justice. Pour ce faire, la personne désignée reçoit des identifiants de connexion. Afin d'éviter toute confusion, le règlement grand-ducal devrait préciser que ces identifiants de connexion sont différents de ceux que la personne désignée possède pour accéder à son propre dossier de soins protégé.

(15)Outre la situation des mineurs émancipés et des majeurs protégés, le règlement grand-ducal devrait par ailleurs élargir l'article 7 à d'autres situations (sinon prévoir un article spécifique). Il serait en effet utile de définir le concept de « tiers délégué » et de préciser les droits et devoirs de ces « tiers délégués ». Le « tiers délégué » serait une personne qui agit au nom et pour le compte du titulaire. Ainsi le titulaire du dossier de soins partagé pourrait désigner comme « tiers délégué » : - l'accompagnateur au sens de l'article 7 de loi 24 juillet 2014 relative aux droits et obligations du patient ; - la personne de confiance au sens de l'article 12 de loi 24 juillet 2014 relative aux droits et obligations du patient ; - la personne de confiance au sens de l'article 5 de «loi du 16 mars 2009 relative aux soins palliatifs, à la directive anticipée et à l'accompagnement en fin de vie ; - la personne de confiance au sens de l'article 4 de «loi du 16 mars 2009 sur l'euthanasie et l'assistance au suicide.

(16)En ce qui concerne le droit du titulaire mineur non émancipé de s'opposer au versement des données liées à l'interruption volontaire de grossesse à son dossier de soins partagé, il sernblerait que l'article 7 du règlement grand-ducal ne donne pas toutes les garanties requises. En effet, d'une part, il n'est pas possible d'exclure que le mineur « oublie » de s'opposer au versement de ces données dans son DSP. D'autre part, l'activation automatique du DSP, voire l'activation du DSP par les représentants légaux du mineur, emporte le risque que des résultats, par exemple de laboratoires (test de grossesse spécifique, test hormonal laissant apparaître une grossesse, test en vue d'accorder un contraceptif) sont injectés « automatiquement » dans le DSP (ce risque est d'autant plus réel si les laboratoires sont considérés cornme collectivité de santé, voire s'ils sont considérés comme des cabinets individuels qui sont autorisés à outrepasser la non activation du DSP — voir le commentaire sous l'article 3). Page 4 sur 8 Art. 8. Droits d'accès et d'écriture des professionnels de santé

(17)En ce qui concerne les droits d'accès et d'écriture des professionnels de santé, le règlement grand-ducal devrait préciser que chaque professionnel de santé n'a le droit d'accès qu'aux données pertinentes à la prise en charge qu'il prodigue. Il ne devrait par exemple pas être possible qu'un ophtalmologue puisse obtenir via le DSP l'information que le patient souffre d'une insuffisance respiratoire si cette information n'est pas nécessaire pour le traitement ophtalmologique. Or, en considération de la matrice figurant à l'annexe i du règlement grand-ducal, une large panoplie de prestataires a accès à toutes les informations en relation avec le patient pris en charge.

(18)En relation avec la matrice d'accès qui figure à l'annexe 1, celle-ci ne correspond pas à celle reprise dans la Charte d'utilisation du DSP pilote, matrice qui avait été proposée par la Commission éthique et déontologique de l'agence eSanté à la suite de plus d'un an de travail et de concertations avec tous les professionnels de santé. La matrice d'accès actuellement annexée au règlement grand-ducal est une version largement réduite de celle prémentionnée. La version réduite de la matrice d'accès crée cependant une incertitude juridique par rapport au partage et à la protection des données. La granularité d'accès, qui limite les droits pour les différentes professions, n'est plus visible comme elle l'était dans la matrice d'accès utilisée dans le cadre du DSP pilote. A titre d'exemple on peut citer les « Comptes rendus de prise en charge » qui ne sont repris que dans une seule ligne, ce qui emporte — à titre illustratif - que : - les pharmaciens n'étant a priori pas censés avoir accès aux comptes rendus des séjours d'hospitalisation, ni aux comptes rendus d'actes de diagnostic, ni aux comptes rendus d'actes de prévention, etc. auront accès à ces comptes rendus ; - les sages-femmes qui ne devraient a priori pas avoir de droit d'écriture dans les comptes rendus des actes thérapeutiques réservés aux médecins auraient cependant ce droit ;

(19)D'autre part, le coordinateur national de don d'organes n'est plus renseigné dans la matrice d'accès annexé au règlement grand-ducal, alors que les expressions personnelles à ce sujet sont pertinentes.

(20)En ce qui concerne la notion de « prise en charge », il semblerait que le règlement grandducal en donne une définition au deuxième alinéa du paragraphe 2 de l'article 8. On peut toutefois craindre que cette définition ne couvre pas toutes les réalités. Qu'en est-il par exemple du médecin spécialiste, qui intervient au rythme de tous les six mois, et qui accède au dossier au moment de la consultation en présence de son patient, mais qui désire prescrire une ordonnance médicale pour une radiologie avant la prochaine consultation. Comment peut-il accéder au DSP ? Comment le laboratoire peut-il accéder au DSP du patient dans les cas où le laboratoire n'a aucun contact direct avec le patient ? Page 5 sur 8

(21)En ce qui concerne la consultation d'annonce visée par le paragraphe 4 de l'article 8, on peut se poser la question de l'utilité de verser la donnée dans le DSP et de la masquer jusqu'à l'annonce. Dans la pratique, il suffit de ne pas verser l'information dans le DSP tant que le patient n'a pas eu sa consultation d'annonce. De plus, il parait inadmissible qu'un professionnel de santé, autre que l'introducteur de la donnée, puisse lever la restriction. Art. 9. Traçabilité des accès et des actions

(22)Le règlement grand-ducal ne devrait pas limiter le contrôle des traces d'accès aux accès définis par la matrice d'accès. Le risque ne se limite en effet pas au seul cas de figure qu'une personne n'ayant pas de lien thérapeutique ait consulté le DSP, mais le risque s'étend également à des scénarios d'intrusion par des personnes a priori externes à la plateforme électronique nationale. Artio. Délai de versement des données au dossier de soins partagé

(23)Le paragraphe r de l'article ro semble être très approximatif. D'une part, ce texte indique que le professionnel de santé « verse » la donnée dans le DSP. Or, outre la problérnatique du secret professionnel décrit sous le point III.E. ci-dessus, il paraît surprenant qu'un règlement grand-ducal impose des démarches aux professionnels de santé. Il serait sans doute préférable que cela soit inscrit dans une loi. D'autre part, le règlement grand-ducal fait référence à des données « utiles et pertinentes » et à un « délai raisonnable », sans donner une quelconque indication quant à ces concepts. Quelle est l'interférence avec le paragraphe 3 de ce même article 10 ? De plus, quel dispositif est mis en place pour différencier entre les données utiles et pertinentes non versées dans le DSP en raison du refus du patient de verser la donnée dans son DSP, de celles que le praticien ne verse pas de sa propre initiative (en raison des éventuelles responsabilités en jeu, il est essentiel de pouvoir différencier entre ces deux cas de figure) ? Finalement, le règlement grand-ducal ne se prononce pas sur le statut de l'introducteur de données. Est-ce que l'introducteur de données est à considérer, au regard de la législation sur la protection des personnes à l'égard du traitement des données, comme sous-traitant de l'agence eSanté ?

(24)En ce qui concerne le délai de quinze jours pour verser les données au dossier de soins partagé, ce délai ne semble pas toujours suffisant. En effet, en cas de consultation chez un médecin spécialiste à l'étranger, le délai de quinze jours semble court dans la mesure où le médecin ayant prescrit le transfert vers l'étranger va recevoir le compte rendu et alimenter le DSP de ce compte rendu. Celui qui verse la donnée n'est donc pas celui qui a produit le compte rendu et il n'y a pas de lien temporel entre la consultation et la disponibilité du compte rendu. Le parallélisme entre consultation et versement des résultats ne semble donc pas toujours être en mesure de couvrir les cas de figures du terrain.

(25)En relation avec la durée de conservation des données prévue au paragraphe 5 de l'article ro qui s'exprime sur la durée de conservation « rnaximale », le règlement grand-ducal devrait Page 6 sur 8 également clarifier la question de la gestion des informations se trouvant dans le DSP : qui est responsable pour la suppression, avant l'écoulement du délai de dix ans, des données devenues obsolètes ? La question est d'autant plus pertinente si l'introducteur de la donnée devenue obsolète n'est plus l'interlocuteur du titulaire du dossier de soins partagé ?

(26)D'autre part, dans la mesure où certaines données gardent leur pertinence également après le délai de dix ans, le titulaire devrait pouvoir décider que ces données restent dans son dossier même après l'écoulement dudit délai de dix ans. Art. 11. Sécurité de la plateforme électronique nationale

(27)En ce qui concerne la sécurité de la plateforme électronique, le règlement grand-ducal devrait s'exprimer sur la question des responsabilités des différents intervenants (prestataires, titulaires, agence eSanté) quant à l'utilisation de la plateforme. Art.12. Modalités techniques de versement des données au dossier de soins partagé et interopérabilité

(28)Au sujet des modalités techniques de versement des données au dossier de soins partagé et de l'interopérabilité, le règlement grand-ducal devrait s'exprimer sur la question des responsabilités des différents acteurs. Comment est par exemple réglée la responsabilité des prestataires et « éditeurs de programmes informatiques » ? En cas de problème, qui sera tenu responsable : le prestataire qui a versé la donnée alors que l'interopérabilité n'était plus sécurisée ; l'éditeur du programme informatique qui n'a pas vérifié la sécurité de son produit ; l'agence eSanté qui n'a pas remarqué que les conditions liées à l'attestation de conformité ne sont pas/plus remplies ? Art.13. Coopération et échanges transfrontaliers

(29)Le règlement grand-ducal devrait davantage s'exprimer sur les modalités pratiques/techniques relatives aux éventuels transferts de données de Luxembourg vers l'étranger et vice-versa. Art.14. Dispositions modificatrices

(30)La disposition de l'article 2, alinéa 5 du règlement grand-ducal du 15 novembre 2011 déterminant les modalités de désignation, de reconduction, de changement et de remplacement en cas d'absence du médecin référent, dans sa version actuelle, comme dans sa version selon les voeux des auteurs du règlement grand-ducal en discussion, est étonnante. En effet, l'article 19bis du Code de la sécurité sociale confère un droit aux assurés : le droit de désigner un médecin-référent. Le Code de la sécurité sociale ne pose aucune condition. Or, le règlement grand-ducal du 15 novembre 2011, dans sa version actuelle, comme dans sa version future, ajoute une condition qui n'est pas prévue par la loi, en l'occurrence celle d'interdire de fermer le dossier de soins partagé. Page 7 sur 8 Annexe i - Matrice

(31)Cf. commentaire sous l'article 8. Annexe i — Catégories cle données

(32)La liste des catégories de données ne correspond ni à la liste des « types de documents » ni à la « famille de documents », tels qu'élaborés par la Commission éthique et déontologique de l'agence eSanté à la suite de plus d'un an de travail et de concertations avec tous les professionnels de santé. La granularité des catégories de données est cependant essentielle. A titre d'exemple, on peut citer la catégorie de données intitulée « Expression personnelle du titulaire ». Cette catégorie devrait comporter des sous-catégories permettant de reprendre des inforrnations séparées - pour le « don d'organes » (auquel le coordinateur don d'organe aura accès en lecture seule), pour la « disposition de fin de vie », pour la « directive anticipée » - de sorte à permettre un accès facile et direct vers ces informations sans devoir faire des recherches hasardeuses dans la rubrique « générale » intitulée « Expression personnelle du titulaire » (perte de temps voire abandon de recherche). Annexe i — Durée des accès par défaut

(33)Dans la mesure où le secteur des aides et des soins est effectivement compris dans la définition de « collectivité de santé » (voir commentaire sous l'article 1), la durée d'accès sera d'une durée maximale de 30 jours, reconductible pour des périodes rnaximales et successives de 30 jours. Cette solution n'est pas satisfaisante pour les prises en charge à durée indéterminée, comme cela est le cas dans le secteur des aides et des soins. Pour ces cas, le droit d'accès au DSP devrait perdurer toute la durée de la prise en charge. Page 8 sur 8 S2018/001 ASSOCIATION DES MÉDECINS amm ET MÉDECINS-DENTISTES 29, rue de Vianden L-2680 LUXEMBOURG Tél.:

(352)44 40 33-1 secretariateammd. lu www.am md. lu %COPAS 0(=> rue de Turi L-3378 LIVANGE Tél :

(352)27 17 22 21 www.copas.lu Syndicat des Pharmaciens Luxembourgeois 7, rue Alcide de Gasperi L-1615 LUXEMBOURG Tél :

(352)43 94 44-1 contactepharmacie. I u www.pharmacie.lu Dossier suivi par : AMMD 29, rue de Vianden L-2680 LUXEMBOURG Tél.:

(352)44 40 33-1 Référence : 24421/18/a Monsieur le Président Jean-Claude JUNCKER COMMISSION EUROPEENNE Bâtiment BERL Rue de la Loi 200 1049 Bruxelles/BELGIQUE Luxembourg, le 4 janvier 2018 Concerne : Règlement (UE) 2016/679 du Parlement Européen et du Conseil du 27 avril 2016 Monsieur le Président de la Commission Européenne, Les groupements soussignés, tous actifs dans le domaine médico-social luxembourgeois, aimeraient porter à votre connaissance et entendre votre avis relatif à un avant-projet de règlement grand-ducal (apRGD) « précisant les modalités et conditions de mise en place du dossier de soins partagé (DSP)» (annexe 1), règlement d'exécution d'une disposition de l'article 60quater du Code de la Sécurité Sociale (dont la teneur figure à l'annexe 2). Ce règlement grand-ducal est actuellement en cours de procédure et doit être publié à quelques mois seulement de l'entrée en vigueur du règlement européen 2016/679. Le Conseil de gérance du GIE dont font partie les groupements signataires de la présente, avait été institué par le Ministère de la Santé en vue de le préparer en collaboration avec les acteurs du terrain, mais le règlement en discussion a été soumis au Conseil de k am „,„t ASSOCIADOM DES LIEDECINS mup MÉDECINS•DENTISTES %COPAS Syndicat des Phormaciens Luxembourgeois -2gouvernement sans tenir compte de l'existence du Conseil et de ses travaux, et sans autre information sur une éventuelle urgence actuelle. Ayant pris connaissance du règlement 2016/679 et des commentaires l'accompagnant soulignant à plus d'un titre le caractère sensible des données de santé soumis au traitement informatique, les signataires de la présente ne peuvent que s'interroger plus particulièrement au sujet : 1) des modalités de création ; 2) des modalités relatives à la durée de conservation des données de santé sensibles des assurés ; 3) des modalités concernant les droits d'accès, d'écriture et d'opposition du titulaire. Les modalités de la création : Au cours des discussions du Conseil de gérance, il avait été relevé qu'au vu du caractère sensible des données de santé il serait préférable de procéder à l'établissement du dossier de soins partagé informatisé uniquement sur base d'un consentement préalable et éclairé du patient. En effet, il est actuellement admis que le dossier de soins partagé est la propriété du patient et que son contenu l'est a fortiori. Le Conseil avait de même estimé que le stockage de ces données sensibles, qui seront très vite dépassées, devrait être limité à quelques années. Or, selon le texte du projet de RGD (article 2 alinéa 1), le dossier de soins partagé est créé pour le patient affilié « dès son affiliation à l'assurance maladie » ainsi que sur demande, pour le patient non affilié mais bénéficiant de soins sur le territoire luxembourgeois (art 2 alinéa 2). Le dossier partagé ainsi créé devient consultable par le titulaire et les professionnels de santé dès son activation par le patient (art 3 al

(2)) et peut être alimenté à partir de ce moment par les professionnels. En absence de pareille activation endéans un délai de 30 jours, il peut être consulté et alimenté par les professionnels à son insu. Le système ainsi prévu est donc celui d'une création automatique et de plein droit pour tous les affiliés à l'unique Caisse nationale de santé et une alimentation à partir du 31e jour nonobstant activation ou non. Si corrélativement l'article 6 de l'apRGD prévoit un droit de limitation d'accès à des professionnels ou encore un masquage de certaines données, par contre aucun droit d'effacement n'est prévu. Le patient ne peut que « fermer » c.à.d. rendre inaccessible son dossier partagé (article 4). Le système est spécifique alors qu'il n'est ni opt-in, ni réellement opt-out. Le risque résultant de la collecte de données sensibles reste entier et comme le prouvent les récents piratages de par le monde, dans les plus hautes sphères, il n'est pas nul. L'article 60quater précité qui fournit la base légale du règlement envisagé prévoit une série de finalités du DSP qui sont précisées. Elles ne le sont que de façon exemplative comme ceci résulte de l'expression « il comporte ainsi » utilisée avant l'énumération de ces finalités. Ce qui plus est c'est que l'alinéa

(2)précédant l'énumération exemplative précise que le dossier de soins partagé « regroupe les données médicales et autres informations ,jAssalgromments 'ammu mÉDEnts-ouinsrEs ET %COPAS Oc> Syndicat des Pharmaciens Luxembourgeois -3concemant le patient, utiles et pertinentes afin de favoriser la sécurité, la continuité des soins, la coordination des soins, ainsi qu'une utilisation efficiente des services de soins de santé ». La description très vague des finalités ensemble avec un délai très long, d'au moins de dix ans, de la conservation des données médicales qui généralement sont sans intérêt médical après quelques années, nous posent problème en présence d'une solution opt-out telle que prévue. Nous nous sentons responsables de ceux dont la santé nous est confiée et vis-àvis desquels, en tant que professionnels prestataires, nous sommes tenus d'une obligation d'information portant à notre sentiment également sur les risques encourus par le traitement informatique des données sensibles les concernant. Si nous sommes partisans de l'établissement d'un dossier de soins partagé, nous aurions souhaité quil soit établi non pas de plein droit, mais sur base d'un consentement éclairé du patient qui selon la législation moderne est appelé à participer activement à la sauvegarde de sa santé. En examinant les considérants du règlement (UE) 2016/679, nous constatons qu'il met l'accent sur la nécessité que les personnes physiques gardent le contrôle des données à caractère personnel les concernant (considérant 7) et que le traitement de ces données suive le principe de proportionnalité (considérant 4). En ce qui concerne le consentement, le considérant 32 estime qu'il devrait être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord, notamment par voie de déclaration écrite ou verbale et qu'il ne saurait dès lors y avoir consentement en cas de silence. L'article 4 du règlement UE définit le consentement de la même façon et exige un acte de consentement positif. Selon larticle 9 alinéa 1 du règlement UE le traitement des données concernant la santé, la vie sexuelle ou l'orientation sexuelle d'une personne physique est en principe interdit. Par là le règlement entend souligner l'importance et la sensibilité particulière de ces données. Dès lors les situations d'exception au principe prévues à l'article 9 alinéa 2 ne devraientelles pas être comprises de façon stricte en leur appliquant le principe de proportionnalité, sauf au cas d'un consentement explicite et éclairé ? Dans l'affirmative, n'est-ce pas que le terme de « nécessité » d'un traitement tel qu'il figure dans les différents cas d'exception de l'article 9, doit être compris comme visant une nécessité réelle et non pas une simple utilité voire une utilité éventuelle de traiter ces données en dehors de tout consentement explicite et éclairé ? En d'autres mots, l'exigence d'un consentement explicite tel que décrit par le règlement UE lui-même, rendrait-il impossible la finalité envisagée ? En appréciant cette proportionnalité, ne faudrait-il pas tenir compte également du fait que le patient peut demander à fermer et rendre inaccessible les données du dossier de soins partagé, ce qui contredirait l'exigence d'une nécessité valant exception au principe de l'interdiction du traitement des données particulièrement sensibles. Sous cet angle de vue la solution de traitement de données sensibles par l'établissement de plein droit et automatique pour tout affilié à la Caisse nationale de santé ne constitue-telle pas une spéculation sur l'inertie du public incapable de connaître et d'assumer le risque du traitement et de prévoir les risques d'abus encourus par une finalité trop vaguement décrite et la durée de conservation des données trop longue qui seront vite dépourvues d'intérêt médical ? Finalement, nous nous demandons à quoi servirait l'interdiction du traitement des données de santé, si, sous le simple prétexte d'utilité (ou « nice to have »), elle pourrait être levée. Elle n'aurait alors qu'une fonction alibi. ammd ASSOCIATION DES MÉDECINS ET MEDEC1MS-DENTISTES ‘COPAS Oc> Syndicat des Pharmaciens Luxembourgeois -4La durée de conservation Le considérant 39 souligne que les données à caractère personnel à traiter devraient être adéquates, pertinentes et limitées à ce qui est nécessaire pour les finalités en raison desquelles elles sont traitées. 11 s'ensuit que « cela exige, notamment, de garantir que la durée de conservation des données soit limitée au strict minimum. Les données à caractère personnel ne devraient être traitées que si la finalité du traitement ne peut être raisonnablement atteinte par d'autres moyens. Ni le Code de la Sécurité Sociale ni l'apRGD ne précisent ce qu'il faudrait comprendre comme « données utiles et pertinentes » ni par rapport à leur essence, ni par rapport à leur actualité dans un dossier de soins partagé. Ainsi les prestataires seront enclins — pour éviter d'engager leur responsabilité — de tout apporter au dossier partagé, avec comme conséquence qu'une multitude trop élevée de renseignements rendra le dossier partagé difficile à consulter, surtout dans des situations d'urgence. Or, comme le dit justement l'exposé des motifs du projet (page 2 au milieu), le dossier de soins partagé n'a pas vocation à être exhaustif et ne doit pas remplacer le dossier patient individuel. Du point de vue médical de loin la majorité des données de santé pouvant être collectées seront sans utilité après un bref laps de temps. Alors à quoi bon de les garder pendant le délai de 10 ans au-moins dans un dossier partagé ? En effet, selon le texte actuel de l'apRGD il n'y a pas de date limite au maintien du dossier partagé. Le délai de 10 ans ne concerne que le droit de réouverture du dossier par son titulaire qui l'avait fait fermer (cf article 4 alinéas 2 et 3 du projet). Sinon le dossier pattagé n'est supprimé qu'au décès du titulaire ou au plus tard lorsqu'il aurait eu 115 ans (cf article. 4 alinéas 4 et 5). Droit d'accès, d'écriture et d'opposition du titulaire II est réglé par l'article 6 du projet. Celui-ci prévoit des restrictions d'accessibilité éminemment dangereuses pour la santé et la sécurité du patient. En effet, il est prévu que ce dernier puisse rendre inaccessibles certaines données du dossier de soins partagé à tous les professionnels soit à certains d'entre eux, même pour le service d'urgence. S'il est vrai que ce refus d'accès ne vaut pas pour le professionnel introducteur d'une donnée il n'en reste pas moins que le titulaire peut s'opposer au versement au dossier de cette donnée (cf article 6 alinéas 3 et 4). Pour le professionnel devant donner des soins, le dossier de soins partagé ainsi tronqué constitue un instrument de travail à fiabilité douteuse. On peut dès lors se poser la question, encore une fois, pour quelle raison il devrait être établi de plein droit et nécessairement en dehors d'un consentement préalable, formel et éclairé. Dès lors, nous nous demandons si la disposition de l'Art. 60quater

(6)du Code de la Sécurité Sociale luxembourgeois est compatible avec le droit européen. en kssoorAron DES MÉDEONS arniumETKEDfONS-DEOSTES COPAS OcD. Syndicat des Pharmaciens Luxembourgeois -5- De même, nous nous demandons si le contenu de l'avant-projet de règlement grand-ducal portant exécution de l'Art. 60quater est compatible avec le règlement (UE) 2016/679 qui entrera en vigueur en mai 2018 ? Nous sommes confiants que nos préoccupations concernant ce dossier retiennent toute votre attention. Dans l'attente que vos services donnent suite à la présente, nous vous prions de croire, Monsieur le Président, à l'assurance de notre très haute considération. Pour le conseil d'administration de l'AMMD Dr Alain Schmit -résident Dr Guillaume Steichen Secrétaire général Pour le conseil d'administration de la COPAS M. Marc Fischbach Président Dr Carine Federspiel Vice-Présidente Pour le conseil d'administration du Syndicat des Pharmaciens Luxembourgeois M. Alain De Bourcy Président Mme Becker-Bauer Danielle Vice-Présidente çht m ASSOCIATION DS MÉDECINS MÉDECINS-DEMISTES %COPAS Oc> Syndicat des Pharmaciens Luxembourgeois Copie de la présente a été envoyée, pour information : - à Monsieur le Premier Ministre, Ministre d'Etat, M. Xavier Bettel - à Monsieur le Président du Conseil d'Etat, M. Georges Wivenes - à Madame la Ministre de la Santé, Mme Lydia Mutsch - à Monsieur le Ministre de la Sécurité sociale, M. Romain Schneider - à Madame la Présidente de la Commission Nationale pour la Protection des Données, Mme Tine A. Larsen - à Monsieur le Président du Collège médical, Dr Pit Buchler - à Monsieur le Président de la Chambre des Salariés, M. Jean-Claude Reding - à Monsieur le Président de la Chambre de Commerce, M. Michel Wurth - à Monsieur le Président de la Chambre des Métiers, M. Tom Oberweis - à Monsieur le Président du Conseil de gérance de l'Agence eSanté, M. Paul Schmit Annexes : 1. Avant-projet de règlement grand-ducal précisant les modalités et conditions de mise en place du dossier de soins partagé (DSP) 2. CSS Art. 60ter et 60quater fj ASSOCIATION DES WDECINS .‘ammuETHEDECINS-DENTISTES %COPAS Oc:› -• I Syndkat des Pharmaciens luxembourgeois