Aelk = CNIDD nonoonolssotoa clinnowoon. COMMISSION 1011000l01.011G1 i3l 00 g1Wigg91 n .101GC311C011C..1011 NATIONALE POU

(1)lettre (c) du règlement européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après désigné « le RGPD »), chaque autorité de contrôle a pour mission de conseiller « conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L'article 7 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données prévoit précisément que la Commission nationale pour la protection des données (ci-après désignée « la Commission nationale » ou « la CNPD ») exerce les missions dont elle est investie en vertu de l'article 57 du RGPD. Par courrier du 26 juillet 2019, Monsieur le Ministre de la Sécurité Sociale a fait parvenir à la Commission nationale une série d'amendements au projet de règlement grand-ducal précisant les modalités de gestion de l'identification des personnes et les catégories de données contenues dans les annuaires référentiels d'identification des patients et des prestataires (ci-après « les amendements »), ainsi qu'un texte coordonné dudit projet de règlement grand-ducal. Pour rappel, la CNPD a rendu, le 21 décembre 20181, un premier avis relatif au projet de règlement grand-ducal précisant les modalités de gestion de l'identification des personnes et les catégories de données contenues dans les annuaires référentiels d'identification des patients et des prestataires (ci-après « le projet de règlement grand-ducal ») dans lequel elle a souligné l'importance de conférer une base légale au dispositif d'identitovigilance développé par l'Agence nationale des informations partagées dans le domaine de la santé (ci-après désignée « l'Agence eSanté ») d'une part, et aux annuaires référentiels d'identification des patients et des prestataires de soins de santé, d'autre part, en permettant de garantir les objectifs de sécurité et de qualité de l'information qui sous-tendent la mise en place desdits outils par l'Agence eSanté. Le Conseil d'Etat s'était déjà prononcé sur le projet de règlement grand-ducal dans un avis rendu le 27 novembre

1. La Commission nationale remarque que certaines de ses observations ont été prises en compte par les auteurs des amendements. Elle entend ainsi limiter ses observations aux amendements Délibération n° 491/2018 du 21 décembre
2. [ PÇNPD Avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de règlement grand-ducal précisant les modalités de gestion de l'identification des personnes et les catégories de données contenues dans les annuaires référentiels d'identification des patients et des prestataires. 1/4 du projet de règlement grand-ducal pour lesquels les auteurs n'ont pas suivi les recommandations de la CNPD. Ad amendement 1er Le nouvel alinéa 4 de l'article 1er du projet de règlement grand-ducal, crée par le point 4 de l'amendement 1er, prévoit toujours la mise en place de règles de traçage des accès à la plateforme électronique nationale d'échange et de partage de données de santé (ci-après : « la plateforme »). Néanmoins, au vu du titre du projet sous avis, qui reste inchangé suite aux amendements nous soumis, la CNPD ne peut que réitérer la position du Conseil d'Etat exprimée dans son avis dans du 27 novembre 2018 s'étant demandé si « la disposition sous revue ne dépasse pas le cadre tracé par l'article 60ter, paragraphe 2, du Code de la sécurité sociale dans la mesure où la plateforme constitue le point d'entrée à plusieurs systèmes de traitement de données dont celui qui fait l'objet du règlement grand-ducal en projet. »2 Comme la CNPD l'a relevé dans son avis du 21 décembre 2018, ladite plateforme permet aux professionnels de soins de santé et aux patients d'accéder à un ensemble de services proposés par l'Agence eSanté, comme par exemple le dossier de soins partagé. En ce qui concerne toujours l'amendement I er, point 3, visant à créer un nouvel alinéa 3 de l'article 1er du projet de règlement grand-ducal, la CNPD constate qu'en comparant ledit alinéa à sa version initiale (l'ancien article 1er, alinéa 2), il n'est plus prévu que les données de journalisation et de traçabilité doivent être conservées pendant un délai de cinq ans à partir de leur enregistrement et qu'elles soient effacées après (sauf en cas de procédure de contrôle), mais que lesdites données « régulièrement mises à jour, sont conservées tant que dure la procédure de contrôle ». La CNPD comprend que cette modification se base sur l'avis du Conseil d'Etat du 27 novembre 2018 ayant proposé de préciser dans ce contexte « que les données sont effacées dès que la procédure de contrôle est clôturée et que les données sont régulièrement mises à jour. » La CNPD se demande tout d'abord si des procédures de contrôle de l'Agence eSanté et des prestataires intervenant dans la prise en charge des patients ayant accédé ou consulté les annuaires référentiels d'identification des patients et des prestataires de soins de santé sont déclenchées régulièrement, et si oui, par qui et à quel intervalle. Par ailleurs, la CNPD ne saisit pas la portée de cette modification et elle suggère de maintenir une durée de conservation des données de journalisation et de traçabilité de cinq ans à partir de leur enregistrement, tout en tenant compte du fait qu'une éventuelle procédure de contrôle aurait un effet suspensif et les données seraient dès lors à supprimer uniquement lors de la clôture de cette procédure de contrôle. En effet, la finalité de la conservation des logs relatifs aux accès consiste justement à pouvoir vérifier et constater d'éventuels abus que ce soit par l'Agence eSanté ou par le patient. Finalement, dans le commentaire des articles de la version initiale du projet de règlement grandducale il était précisé qu'afin d'identifier les professionnels de santé souhaitant se connecter à la plateforme, l'Agence eSanté attribuerait un identifiant électronique unique à chaque professionnel de santé et collectivité de santé dans le cadre des échanges électroniques à travers la plateforme. 2 Avis n'CE 53.106 du Conseil d'Etat du 27 novembre
3. Avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de règlement grand-ducal précisant les modalités de gestion de l'identification des personnes et les catégories de données contenues dans les annuaires référentiels d'identification des patients et des prestataires. 2/4 Or, il n'était pas claire si chaque professionnel de santé travaillant dans une collectivité de santé aurait un identifiant personnel, alors que la CNPD a considéré qu'il n'est pas admissible qu'une telle collectivité dispose d'un identifiant en commun. La Commission nationale suppose qu'avec l'ajout du nouvel alinéa 2, premier point, cette problématique est résolue et que chaque prestataire de santé aura son identifiant personnel, ledit alinéa précisant que l'identitovigilance vise, entre autres, à « garantir et certifier l'identité du patient et du prestataire intervenant dans la prise en charge du patient par l'attribution d'un identifiant unique dans chaque annuaire pour chaque identité existante. » Le commentaire dudit amendement renforce ce constat en soulignant qu'afin de « garantir cette qualité et sécurité des soins, chaque utilisateur de la plateforme, qu'il soit patient ou prestataire, doit être identifié de manière univoque, c'est-à-dire sans ambiguïté. » Ad amendement 3 L'amendement 3 vise à remplacer dans le nouvel article 2, alinéa 2 du projet de règlement grandducal les termes « ces données » par « les données contenues dans les annuaires référentiels d'identification ». Par cette modification, l'alinéa 2 en question aura alors la teneur suivante: « Les données contenues dans les annuaires référentiels d'identification sont conservées pendant au maximum dix ans à compter du jour où l'identification du patient, respectivement du prestataire de soins devient sans objet dans le cadre des traitements de données visés à l'article 60ter du Code de la sécurité sociale et ce sans préjudice des dispositions fixant une durée de conservation particulière des données traitées sur la platefonne électronique nationale d'échange et de partage de données de santé par l'Agence. » Quant au fond, le projet de règlement grand-ducal prévoit donc toujours, comme dans sa version initiale, une durée de conservation maximale de 10 ans des données à caractère personnel figurant dans les annuaires référentiels d'identification des patients et des prestataires de soins de santé. Déjà dans son avis du 21 décembre 2018, la Commission nationale a estimé qu'il n'est pas possible de cerner quel est le point de départ exact de ce délai de 10 ans. Elle réitère sa position à cet égard, ainsi que ses remarques générales concernant la durée de conservation de 10 ans: « Ainsi, pour fixer le déclenchement de la durée de conservation maximale de 10 ans, la CNPD se rallie à l'avis du Conseil d'Etat ayant recommandé aux auteurs du projet de règlement grandducal de s'inspirer des points de départ prévus dans le projet de règlement grand-ducal précisant les modalités et conditions de mise en place du dossier de soins partagé pour la suppression des données, à savoir le décès du patient et la fermeture des applications de la plateforme. La CNPD estime donc nécessaire de décrire de manière concise dans le corps du texte du projet de règlement grand-ducal sous avis quel est le point de départ exact du délai de 10 ans. Outre la question du début précis de la période de conservation, la Commission nationale se demande de manière générale si le délai de 10 ans estjustifié par rapport aux finalités poursuivies par la mise en place de l'annuaire référentiel d'identification des patients. Les auteurs du projet de loi n°7061 devenu la loi du 13 décembre 2017 modifiant certaines dispositions du Code de la [ gCNPD Avis complémentaire de la Commission nationale pour la protection des données MO th • ItteUrn. à l'égard du projet de règlement grand-ducal précisant les modalités de gestion de l'identification des personnes et les catégories de données contenues dans les annuaires référentiels d'identification des patients et des prestataires. 3/4 sécurité sociale, décrivaient les finalités dudit annuaire, ainsi que de l'annuaire référentiel d'identification des prestataires de soins de santé de la manière suivante : « Une gestion sécurisée des identités s'impose non seulement pour les accès des patients et des prestataires à la plateforme nationale et au dossier de soins partagé mais, de manière générale, dans tous les projets informatiques à envergure nationale visant un échange sécurisé ou une meilleure utilisation des données relatives à la santé. A cette fin, l'Agence eSanté a mis en place un système de surveillance et de prévention des erreurs et risques liés à l'identification des patients et des prestataires pour gérer la qualité et la fiabilité des informations traitées dans les services déployés. est essentiel de garantir qu'un même patient ou prestataire est identifié de manière unique dans tout l'écosystème de la plateforme et dans les communications réciproques avec les systèmes d'informations des acteurs du domaine de la santé et des soins. »3 Le commentaire des articles du règlement grand-ducal sous avis précise à cet égard que la durée de conservation vise à s'aligner à la durée maximale pendant laquelle les professionnels et les établissements de santé, utilisant une application de la plateforme pour la gestion de leurs dossiers patients, conservent en pratique les données. Le commentaire continue en ce sens que les « données pourront toutefois être supprimées dans un délai plus court si leur conservation n'est plus justifiée au regard des besoins d'interaction de l'annuaire avec les applications de la plateforme. » Or, en considérant que l'annuaire référentiel d'identification des patients ne se substituera pas aux dossiers des patients tenus par /es médecins, établissements hospitaliers et autres professionnels de santé, la Commission nationale considère qu'une durée de conservation de dix ans après le décès d'un patient ou la fermeture des applications de la plateforme apparaît comme excessive au regard des finalités précitées dudit annuaire. » La Commission nationale avait exprimé dans son avis précité les mêmes observations concernant la durée de conservation des données contenues dans les annuaires référentiels d'identification des prestataires de soins de santé. Ainsi décidé à Esch-sur-Alzette en date du 18 octobre
4. La Commission nationale pour la protection des données (t;» 10h) Tine A. Larsen Présidente Thierry Lallemang Chrt6pIîe Buschmann Commissaire Commissaire r Lemmer Commissaire 3 Commentaire des articles du projet de loi n° 7061 modifiant certaines dispositions du Code de la sécurité sociale, déposé le 13 septembre
5. [ CN F PD Avis complémentaire de la Commission nationale pour la protection des données à l'égard du projet de règlement grand-ducal précisant les modalités de gestion de l'identification des personnes et les catégories de données contenues dans les annuaires référentiels d'identification des patients et des prestataires. 4/4