Loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (www.cnpd.1u) 8 Le projet

LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère d'État Le Ministre aux Relations avec le Parlement Monsieur le Président du Conseil d'État Luxembourg Luxembourg, le 15 octobre 2018 Personne en charge du dossier: Jean-Luc Schleich ir 247 - 82954 SCL : R 5909 - 1973 / ak Objet : Projet de règlement grand-ducal précisant les modalités de gestion de l'identification des personnes et les catégories de données contenues dans les annuaires référentiels d'identification des patients et des prestataires. Monsieur le Président, Jai l'honneur de soumettre à l'avis du Conseil d'État le projet de règlement grand-ducal sous rubrique, élaboré par le Ministre de la Sécurité sociale. Je joins en annexe le texte du projet, l'exposé des motifs, le commentaire des articles ainsi que la fiche d'évaluation d'impact. Monsieur le Ministre de la Sécurité sociale aimerait ajouter l'information que le projet de règlement grand-ducal en question n'a pas d'impact sur le budget de l'État. Les avis des chambres professionnelles ont été demandés et vous parviendront dès réception. Veuillez agréer, Monsieur le Président, l'assurance de ma haute considération. Pour le Premier Ministre Ministre d'État Le Ministre aux Relations avec le Parlement Fernand Etgen 43, boulevard F.-D. Roosevelt Tél. (+352) 247-82952 scl@scl.etat.lu www.gouvernement.lu L-245o Luxembourg Fax (+352) 46 74 58 www.legiluxtu www.luxembourg.lu LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère de la Sécurité sociale Projet de règlement grand-ducal précisant les modalités de gestion de l'identification des personnes et les catégories de données contenues dans les annuaires référentiels d'identification des patients et des prestataires Nous Henri, Grand-Duc de Luxembourg, Duc de Nassau ; Vu l'article 60ter, paragraphe 2 du Code de la sécurité sociale ; Vus les avis des chambres professionnelles; Vu l'avis du Collège médical; Vu l'avis du Conseil supérieur de certaines professions de santé; Vu l'avis de la Commission nationale pour la protection des données; Notre Conseil d'Etat entendu; Sur le rapport de Notre Ministre de la Sécurité sociale et de Notre Ministre de la Santé et après délibération du Gouvernement en conseil ; Arrêtons : Artier. Pour assurer une gestion sécurisée et qualitative de l'identification des personnes dans le cadre des traitements de données visés à l'article 60ter du Code de la sécurité sociale, l'Agence nationale des informations partagées dans le domaine de la santé, désignée ci-après par « l'Agence », met en place une procédure d'identification des personnes et d'administration des annuaires référentiels d'identification des patients et des prestataires de soins de santé qui inclut: 10 des règles d'identification unique sur la plateforme électronique nationale d'échange et de partage de données de santé permettant de garantir la qualité de l'identification des personnes; 2° des règles d'identification unique des personnes dans les échanges électroniques avec les utilisateurs; 3° des règles de gestion des risques permettant de prévenir, d'évaluer et de traiter les risques et erreurs liés à l'identification des personnes ; LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère de la Sécurité sociale 40 des règles de traçage des accès et actions réalisées au sein des annuaires référentiels d'identification ; 5° un référentiel général d'interopérabilité pour les échanges électroniques des données d'identification. Le système informatique par lequel l'accès à la plateforme électronique nationale d'échange et de partage de données de santé est opéré doit être aménagé de sorte que les informations relatives à l'utilisateur ayant procédé à la consultation, les informations consultées, la date, l'heure et la référence du dossier dans le cadre duquel la consultation a été effectuée, ainsi que le motif de la consultation puissent être retracés. Les données de journalisation et de traçabilité doivent être conservées pendant un délai de cinq ans à partir de leur enregistrement, délai après lequel elles sont effacées, sauf lorsqu'elles font l'objet d'une procédure de contrôle. L'Agence établit et maintient une charte de recueil de l'identité, de l'état de l'identité et de rapprochement des identités pour coordonner l'implémentation des principes d'identification des patients et des prestataires de soins de santé. Elle peut au moyen de fichiers électroniques communiquer des informations aux utilisateurs de la plateforme. Art. 2. L'annuaire référentiel d'identification des patients comporte les données suivantes: 10 les nom et prénoms, l'adresse de la résidence habituelle, le numéro d'identification; 2° le sexe, la date et le lieu de naissance, la date et le lieu de décès; 3° la situation de famille ; 4° les numéros d'identification des père et mère à l'égard desquels la filiation est établie ; 5° les numéros d'identification des enfants à l'égard desquels la filiation est établie ; 6° les nom et prénoms, adresse et numéro d'identification du représentant légal des mineurs non émancipés et des personnes majeures protégées par la loi ; 7° les données d'affiliation fournies par le Centre commun de la sécurité sociale. Ces données sont conservées pendant au maximum dix ans à compter du jour où l'identification du patient, respectivement du prestataire de soins devient sans objet 2 LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère de la Sécurité sociale dans le cadre des traitements de données visés à l'article 60ter du Code de la sécurité sociale et ce sans préjudice des dispositions fixant une durée de conservation particulière des données traitées sur la plateforme électronique nationale d'échange et de partage de données de santé par l'Agence. Art. 3. L'annuaire référentiel d'identification des prestataires de soins de santé comporte les données suivantes : 10 les nom et prénoms; 2° les adresses physique et électronique; 3° le sexe, la date et le lieu de naissance; 4° le titre professionnel, la date d'établissement ou de début d'exercice professionnel, l'autorisation d'exercer, la ou les adresse(

1. s)du(
2. es)lieu(
3. x)d'exercice, les numéros de téléphone professionnel, le cas échéant l'agrément auprès d'une collectivité de santé, les codes et les libellés relatifs à la spécialité professionnelle médicale attribués au prestataire par la Caisse nationale de santé; 5° la dénomination ou la raison sociale, le numéro d'immatriculation, l'adresse du siège social, le numéro de téléphone des collectivités de santé et leurs coordonnées. Ces données sont conservées pendant au maximum dix ans à compter du jour où l'identification du patient, respectivement du prestataire de soins devient sans objet dans le cadre des traitements de données visés à l'article 60ter du Code de la sécurité sociale et ce sans préjudice des dispositions fixant une durée de conservation particulière des données traitées sur la plateforme électronique nationale d'échange et de partage de données de santé par l'Agence. Art. 4. Les patients et prestataires de soins de santé sont informés par l'Agence de la nature et de la finalité des données inscrites dans les annuaires respectifs et qu'ils disposent d'un droit d'accès, d'information et de rectification pendant toute la durée du traitement des données. Les patients et les prestataires de soins de santé exercent leurs droits d'accès et d'information à l'égard de leurs données à caractère personnel auprès de l'Agence. Pour l'annuaire référentiel d'identification des patients, l'Agence transmet les demandes des patients au Centre commun de la sécurité sociale et aux instances compétentes prévues par la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques suivant les procédures y prévues. Pour l'annuaire référentiel d'identification des prestataires de soins de santé, l'Agence transmet les demandes des prestataires de soins 3 LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère de la Sécurité sociale de santé au Ministre ayant la Santé dans ses attributions et à la Caisse nationale de santé. La rectification des données inexactes ou incomplètes dans l'annuaire référentiel d'identification des patients peut être sollicitée auprès de l'Agence. Celle-ci transmet les demandes de rectification au Centre commun de la sécurité sociale et aux instances compétentes prévues par la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques suivant les procédures y prévues. La rectification des données inexactes ou incomplètes dans l'annuaire référentiel d'identification des prestataires de soins de santé peut être sollicitée auprès de l'Agence. Celle-ci transmet les demandes de rectification au Ministre ayant la Santé dans ses attributions et à la Caisse nationale de santé. Art. 5. Le présent règlement grand-ducal entre en vigueur le premier jour du mois qui suit sa publication au Journal officiel du Grand-Duché de Luxembourg. Art. 6. Notre Ministre de la Sécurité sociale et Notre Ministre de la Santé sont chargés de l'exécution du présent règlement qui sera publié au Journal officiel du Grand-Duché de Luxembourg. 4 LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère de la Sécurité sociale Exposé des motifs Le présent règlement grand-ducal précise les modalités de gestion de l'identification et les catégories de données contenues dans les annuaires référentiels d'identification comme le prévoit l'article 60ter, paragraphe 2 du Code de la sécurité sociale tel que modifié par la loi du 13 décembre 2017. 5 LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère de la Sécurité sociale Commentaire des articles Article ler Cet article prévoit la nécessité de mettre en ceuvre des règles d'identification et décrit les modalités de gestion de l'identification. La politique d'identification des patients définie par l'Agence s'inscrit dans sa politique globale de management de la sécurité de l'information et se base sur les méthodes et principes d'identification et d'identitovigilance élaborés par l'Agence Nationale d'Appui à la Performance des établissements sanitaires et médicosociaux. Elle se décline au niveau opérationnel dans une charte d'identification et de rapprochement des identités qui décrit la mise en ceuvre technique et organisationnelle. Les principes en vue d'assurer l'identification unique du patient et la qualité de l'identification ont trait à des règles d'identification, à la détermination de critères de qualité et d'indicateurs d'évaluation ainsi qu'à un suivi de la qualité de l'identification. Pour assurer l'identification des professionnels de santé, qui sont ceux visés à l'article 61 du Code de la sécurité sociale, souhaitant se connecter à la plateforme nationale ou à l'application dossier de soins partagé et gérer l'association d'un professionnel de santé à une collectivité de santé, l'Agence attribue un identifiant électronique unique à chaque professionnel de santé et collectivité de santé dans le cadre des échanges électroniques à travers la plateforme nationale. A des fins de transparence et de sécurité, tous les accès et actions dans les annuaires référentiels sont tracés. L'Agence établit des lignes de conduite définies dans une charte pour permettre une certaine coordination dans l'implémentation des principes d'identification pour converger vers une identification unique du patient. Articles 2 et 3 Ces articles précisent les données figurant dans les annuaires référentiels d'identification. Les durées de conservation maximales correspondent à la durée maximale pendant laquelle les professionnels et les établissements de santé utilisant une application de la plateforme pour la gestion de leurs dossiers patients conservent en pratique les données et la traçabilité relative à celles-ci. Eu égard à la finalité de sécurité et de qualité, la durée de conservation des données des annuaires doit y 6 LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Ministère de la Sécuritésociale correspondre. Les données pourront toutefois être supprimées dans un délai plus court si leur conservation n'est plus justifiée au regard des besoins d'interaction de l'annuaire avec les applications de la plateforme. Article 4 Cet article précise les lieux où les personnes peuvent exercer leur droit d'accès, d'information et de rectification. Pour assurer la qualité des données, les demandes de rectification se font auprès de l'Agence qui transmet ensuite ces demandes aux différentes sources officielles. 7 LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG FICHE D'ÉVALUATION D'IMPACT MESURES LÉGISLATIVES, RÉGLEMENTAIRES ET AUTRES Coordonnées du projet Intitulé du projet : Projet de règlement grand-ducal précisant les modalités de gestion de l'identification des personnes et les catégories de données contenues dans les annuaires référentiels d'identification des patients et des prestataires Ministère initiateur : Ministère de la Sécurité sociale Auteur(
4. s): Mme Barbara Rousseau Téléphone : 2478-6317 Courriel : barbara.rousseau@igss.etat.lu Objectif(
5. s)du projet : Le présent règlement grand-ducal précise les modalités de gestion de l'identification et les catégories de données contenues dans les annuaires référentiels d'identification comme le prévoit l'article 60ter, paragraphe 2 du Code de la sécurité sociale tel que modifié par la loi du 13 décembre 2017. Autre(
6. s)Ministère(
7. s)/ Organisme(
8. s)/ Commune(
9. s)impliqué(e)(
10. s)Ministère de la Santé, Agence eSanté, CNPD Date : Version 23.03.2012 16/04/2018 1/ 5 LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Mieux légiférer 1 Oui Partie(
11. s)prenante(
12. s)(organismes divers, citoyens,...) consultée(
13. s): Non Si oui, laquelle / lesquelles : Au sein du comité de gérance de l'Agence eSanté ont été discutées avec tous les acteurs et intervenants les dispositions prévues au présent avant-projet de règlement. Remarques / Observations : 2 Destinataires du projet : - Entreprises / Professions libérales : E - Citoyens : E oui E oui - Administrations : 3 Le principe « Think small first » est-il respecté ? (c.-à-d. des exemptions ou dérogations sont-elles prévues suivant la taille de l'entreprise et/ou son secteur d'activité ?) Oui r] Non n Non E Non E Oui E Non Oui E Non Oui E Non • N.a. 1 Remarques / Observations : 1 N.a. : non applicable. 4 Le projet est-il lisible et compréhensible pour le destinataire ? Existe-t-il un texte coordonné ou un guide pratique, mis à jour et publié d'une façon régulière ? E Remarques / Observations : Le Code de la Sécurité sociale auquel le présent projet de règlement sera intégré est mis à jour annuellement. Le projet a-t-il saisi l'opportunité pour supprimer ou simplifier des régimes d'autorisation et de déclaration existants, ou pour améliorer la qualité des procédures ? Oui IS Non Remarques / Observations : Version 23.03.2012 2/5 LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Le projet contient-il une charge administrative 2 pour le(
14. s)destinataire(
15. s)? (un coût imposé pour satisfaire à une obligation d'information émanant du projet ?) E Oui Non Si oui, quel est le coût administratif approximatif total ? (nombre de destinataires x coût administratif par destinataire) 2 11s'agit d'obligations et de formalités administratives imposées aux entreprises et aux citoyens, liées à l'exécution, l'application ou la mise en ceuvre d'une loi, d'un règlement grand-ducal, d'une application administrative, d'un règlement ministériel, d'une circulaire, d'une directive, d'un règlement UE ou d'un accord international prévoyant un droit, une interdiction ou une obligation. 3 Coût auquel un destinataire est confronté lorsqu'il répond à une obligation d'information inscrite dans une loi ou un texte d'application de celleci (exemple : taxe, coût de salaire, perte de temps ou de congé, coût de déplacement physique, achat de matériel, etc.).
16. a)Le projet prend-il recours à un échange de données interadministratif (national ou international) plutôt que de demander l'information au destinataire ? E Non N.a. Non E N.a. Si oui, de quelle(
17. s)donnée(
18. s)et/ou administration(
19. s)s'agit-il ?
20. b)Le projet en question contient-il des dispositions spécifiques concernant la protection des personnes à l'égard du traitement des données à caractère personnel 4 ? Si oui, de quelle(
21. s)donnée(
22. s)et/ou administration(
23. s)s'agit-il ? oui 11 s'agit de données médicales qui sont mises à disposition des prestataires de soins selon des critères de confidentialité définis et avec la possibilité, pour l'assuré, de limiter l'accès aux données des prestataires. 4 Loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel (www.cnpd.1u) 8 Le projet prévoit-il : [1] Oui E Non fl Non E Non E N.a. fl Oui fl Non E N.a. fl Oui Non E N.a. - une autorisation tacite en cas de non réponse de l'administration ? E oui - des délais de réponse à respecter par l'administration ? fl Oui - le principe que l'administration ne pourra demander des informations supplémentaires qu'une seule fois ? Y a-t-il une possibilité de regroupement de formalités et/ou de procédures (p.ex. prévues le cas échéant par un autre texte) ? N.a. E N.a. Si oui, laquelle : 10 En cas de transposition de directives communautaires, le principe « la directive, rien que la directive » est-il respecté ? Version 23.03.2012 3/5 LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Sinon, pourquoi ? 11 Le projet contribue-t-il en général à une :
24. a)simplification administrative, et/ou à une • oui Oui E Non E Non
25. b)amélioration de la qualité réglementaire ? E Oui E Non E Oui Non Remarques / Observations : 12 Des heures d'ouverture de guichet, favorables et adaptées aux besoins du/des destinataire(s), seront-elles introduites ? 13 Y a-t-il une nécessité d'adapter un système informatique auprès de l'Etat (e-Government ou application back-office) N.a. Si oui, quel est le délai pour disposer du nouveau système ? 14 Y a-t-il un besoin en formation du personnel de l'administration concernée ? E Oui E Non N.a. Si oui, lequel ? Remarques / Observations : Version 23.03.2012 4 /5 LE GOUVERNEMENT DU GRAND-DUCHÉ DE LUXEMBOURG Egalité des chances 15 Le projet est-il : principalement centré sur l'égalité des femmes et des hommes ? oui E Non positif en matière d'égalité des femmes et des hommes ? Oui E Non oui E Non E Oui Non E Oui Non E N.a. Z1 Oui Z1 Non E N.a. Si oui, expliquez de quelle manière : neutre en matière d'égalité des femmes et des hommes ? Si oui, expliquez pourquoi : négatif en matière d'égalité des femmes et des hommes ? Si oui, expliquez de quelle manière : Y a-t-il un impact financier différent sur les femmes et les hommes ? Si oui, expliquez de quelle manière : Directive « services » 17 Le projet introduit-il une exigence relative à la liberté d'établissement soumise à évaluation ? Si oui, veuillez annexer le formulaire A, disponible au site lnternet du Ministère de l'Economie et du Commerce extérieur : www.eco.public.Iu/attributions/dg2/d_consommation/d march int rieur/Services/index.html 5 Article 15 paragraphe 2 de la directive « services » (cf. Note explicative, p.10-11) 18 Le projet introduit-il une exigence relative à la libre prestation de services transfrontaliers 6 ? C Oui Z1 Non N.a. Si oui, veuillez annexer le formulaire B, disponible au site Internet du Ministère de l'Economie et du Commerce extérieur : www.eco.public.lu/attributions/dg2/d_consommation/d march int rieur/Services/index.html 6 Article 16, paragraphe 1, troisième alinéa et paragraphe 3, première phrase de la directive « services » (cf. Note explicative, p.10-11) Version 23.03.2012 5/5