Luxembourg, Ie 16 octobre 2019. CHAMBRE DE COMMERCE LUXEMBOURG Ministère de la Sécurité sociale u) I An Cabinet du Minis

Luxembourg, Ie 16 octobre 2019. CHAMBRE DE COMMERCE LUXEMBOURG Ministère de la Sécurité sociale

1. u)I An Cabinet du Ministre D I j Entrée le Référence no ---Responsable Transmis à --.---------.. Info Cri examen/avis f= Pour: autre Luxembourg, le Monsieur Romain Schneider Ministre de la Sécurité sociale 26, rue Sainte-Zithe L-2763 Luxembourg .. „„ N.Réf. MEM/DJI Objet : Projet de règlement grand-ducal précisant les modalités de gestion de l'identification des personnes et les catégories de données contenues dans les annuaires référentiels d'identification des patients et des prestataires. Amendements gouvernementaux. (5187bisMEM) Monsieur le Ministre, Répondant à votre saisine, j'ai l'honneur de vous faire parvenir, sous ce pli, l'avis complémentaire de la Chambre de Commerce sur les amendements gouvernementaux au projet de règlement grand-ducal mentionné sous rubrique. Veuillez agréer, Monsieur le Ministre, l'expression de ma haute considération. Le Président, Luc Frieden GAJURIMQUE‘Avis1,201915187bisMEM_Iettres_SECURITE SOCIALE .docx Adresse postale: Bureaux: Chambre de Commerce L-2981 Luxembourg 7, rue Alcide de Gasperi Luxembourg Tél.: (+352) 42 39 39-1 Fax: (+352) 43 83 26 Mail: chamcom@cciu Web: www.cciu CHAMBRE DE COMMERCE LUXEMBOURG Luxembourg, le 16 octobre 2019 Objet : Projet de règlement grand-ducal précisant les modalités de gestion de l'identification des personnes et les catégories de données contenues dans les annuaires référentiels d'identification des patients et des prestataires. Amendements gouvernementaux. (5187bisMEM) Saisine : Ministre de la Sécurité sociale (26 juillet 2019) AVIS COMPLEMENTAIRE DE LA CHAMBRE DE COMMERCE Les six amendements sous avis ont pour objectif d'adapter substantiellement le règlement grand-ducal précisant les modalités de gestion de l'identification des personnes et les catégories de données contenues dans les annuaires référentiels d'identification des patients et des prestataires (ci-après, le « Projet ») 1, à la suite des observations faites par le Conseil d'Etat dans son avis du 27 novembre 20182 (ci-après, « l'avis du Conseil d'Etat ») et par la Commission nationale pour la protection des données (ci-après, la « CNPD ») dans son avis du 21 décembre 2018 (ci-après, « l'avis de la CNPD »). Si la Chambre de Commerce constate avec satisfaction que les amendements sous avis prennent en compte certaines remarques et intègrent certaines modifications proposées dans son avis initial'', elle entend néanmoins formuler des commentaires concernant le troisième et le quatrième amendement. Concernant l'amendement 3 L'amendement 3 modifie le nouvel article 2 du Projet' relatif à la durée de conservation des « données contenues dans les annuaires référentiels d'identification ». Ce délai de conservation est fixé à un maximum de dix ans à compter du jour où l'identification du patient, respectivement du prestataire de soins, devient sans objet dans le cadre des traitements de données visés à l'article 60ter du Code de la sécurité sociale. La Chambre de Commerce se demande à cet égard, si le point de départ du délai de conservation est suffisamment précis au regard de la recommandation du Conseil d'Etat6 qui préconise de s'inspirer de la manière dont les dispositions prévues dans le projet de règlement grand-ducal précisant les modalités et conditions de mise en place du dossier de soins partagé ont été mises en œuvre et de préciser en l'occurrence « les cas de figure qui constituent le point de départ prévu pour la suppression des données, à savoir le décès du patient et la fermeture des applications de la plateforme ». 1 Ce projet de règlement grand-ducal prévoit la mise en place, par t'a Agence nationale des informations partagées dans le domaine de la santé » d'un système de surveillance et de gestion des risques et erreurs liés à l'identification des personnes ainsi que des « annuaires référentiels d'identification » des patients et des prestataires. 2 avis du Conseil d'Etat n°53.106 du 27 novembre 2018 3 avis de la CNPD du 21 décembre 2018, délibération n°491/2018 4 avis de la Chambre de Commerce du 28 janvier 2019 n°5187SBE 5 L'amendement 3 reprend en le modifiant le texte de l'article 3 du Projet. 6 Les recommandations du Conseil d'Etat sont reprises par la CNPD à la page 3 de son avis concernant l'article 2 du Projet. CHAMBRE DE COMMERCE LUXEMBOURG 2 Concernant l'amendement 4 La Chambre de Commerce relève avec satisfaction, que les modifications introduites par le ler point de l'amendement 47 consacre l'Agence en qualité de responsable du traitement au regard du Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données°, conformément à l'avis initial de la Chambre de Commerce°. La Chambre de Commerce est cependant plus réservée quant aux adaptations corollaires introduites au point 2° de l'amendement 4, concernant le nouvel alinéa'° relatif à l'exercice des droits d'accès et d'information des personnes concernées auprès de l'Agence. En effet, si la Chambre de Commerce valide la suppression du mécanisme de transmission des demandes d'exercice des droits de personnes concernées aux organismes se trouvant à l'origine de la transmission des données", elle se demande néanmoins dans quel contexte l'Agence pourrait « recourir aux services » de ces organismes dans le cadre du traitement d'une demande d'exercice des droits, comme le prévoit la nouvelle formulation de l'alinéa 3 du nouvel article 3. Le commentaire de l'amendement précité précise qu'il s'agit de laisser la possibilité pour l'Agence de s'appuyer sur les services qui détiennent les sources des données en cas de besoin. Or, en qualité de responsable de traitement, l'Agence se doit de répondre aux demandes d'exercice des droits concernant les données qu'elle traite, la source de ces données étant indifférente dans ce cadre, sauf à considérer, comme le relève la CNPD dans son avis, que les organismes pouvant être consultés agissent comme sous-traitants de l'Agence. La Chambre de Commerce serait partant d'avis que les modifications introduites par le 2èMe point de l'Amendement 4 n'apportent pas de précision supplémentaire quant au traitement des demandes d'exercice des droits par l'Agence. Elle proposerait par conséquent de modifier le 2ème point de l'Amendement 4, concernant le contenu du nouvel alinéa 3 du nouvel article 3 comme suit : « Les patients et les prestataires de soins de santé exercent leurs droits d'accès et d'information à l'égard de leurs données à caractère personnel auprès de l'Agence. Pour tiu-Gentre-semmun-cle-la-sésurité-sesiale-et-des-instanoes-compétentes-prévues-par-la services-du-Ministre-ayant 4a-Santé-elans-ses-attributions-et-de4a-Caisse-nationale-de santé; » . 7 introduisant un nouvel article 3 du Projet 8 Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) 9 avis de la Chambre de Commerce du 28 janvier 2019 N°5187SBE, spécialement les pages 2 et 3 1° nouvel alinéa 3 de l'article 3 du Projet 11 Selon le point 2° de l'amendement 4 sous avis, ces organismes sont : (
2. i)concernant l'exercice des droits des patients : le Centre commun de la sécurité sociale et les instances compétentes prévues par la loi modifiée du 19 juin 2013 relative à l'identification des personnes physiques suivant les procédures y prévues ; (
3. ii)concernant l'exercice des droits des prestataires de soins de santé : le Ministre ayant la Santé dans ses attributions et la Caisse nationale de santé. -. CHAMBRE DE COMMERCE LUXEMBOURG 3 * Après consultation de ses ressortissants, la Chambre de Commerce est en mesure d'approuver les amendements au projet de règlement grand-ducal sous réserve de la prise en compte de ses remarques. MEM/DJI