Arrêté du 21 avril 2020 complétant l'arrêté du 23 mars 2020 prescrivant les mesures d'organisation et de fonctionnement du système de santé nécessaires pour faire face à l'épidémie de covid-19 dans le cadre de l'état d'urgence sanitaire

JORF n°0098 du 22 avril 2020
texte n° 8




Arrêté du 21 avril 2020 complétant l'arrêté du 23 mars 2020 prescrivant les mesures d'organisation et de fonctionnement du système de santé nécessaires pour faire face à l'épidémie de covid-19 dans le cadre de l'état d'urgence sanitaire

NOR: SSAZ2010104A
ELI: https://www.legifrance.gouv.fr/eli/arrete/2020/4/21/SSAZ2010104A/jo/texte


Le ministre des solidarités et de la santé,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive (UE) 2015/1535 du Parlement européen et du Conseil du 9 septembre 2015 prévoyant une procédure d'information dans le domaine des réglementations techniques et des règles relatives aux services de la société de l'information, et notamment la notification n° 2020/237/F ;
Vu le code de la santé publique, notamment son article L. 3131-16 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 66, 67 et 76 ;
Vu la loi n° 2020-290 du 23 mars 2020 d'urgence pour faire face à l'épidémie de covid-19, notamment son article 4 ;
Vu le décret n° 2020-293 du 23 mars 2020 modifié prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans le cadre de l'état d'urgence sanitaire ;
Vu l'arrêté du 23 décembre 2016 modifié relatif au recueil et au traitement des données d'activité médicale et des données de facturation correspondantes, produites par les établissements de santé publics ou privés ayant une activité en médecine, chirurgie, obstétrique et odontologie, et à la transmission d'informations issues de ce traitement dans les conditions définies à l'article L. 6113-8 du code de la santé publique ;
Vu l'arrêté du 23 mars 2020 modifié prescrivant les mesures d'organisation et de fonctionnement du système de santé nécessaires pour faire face à l'épidémie de covid-19 dans le cadre de l'état d'urgence sanitaire ;
Vu l'avis de la Commission nationale de l'informatique et des libertés en date du 20 avril 2020 ;
Considérant que l'Organisation mondiale de la santé (OMS) a déclaré, le 30 janvier 2020, que l'émergence d'un nouveau coronavirus (covid-19) constitue une urgence de santé publique de portée internationale ;
Considérant que la capacité à mobiliser les données de santé est un axe essentiel de la lutte contre l'épidémie de covid-19 ; qu'il est nécessaire de suivre et d'anticiper les évolutions de l'épidémie, de prévenir, de diagnostiquer et de traiter au mieux la pathologie et d'adapter l'organisation de notre système de santé pour combattre l'épidémie et d'en atténuer les impacts ; que la plateforme des données de santé dispose de moyens informatiques de traitement des données susceptibles d'être mis à disposition à ces fins ; qu'une telle démarche rend nécessaire l'organisation de remontées de données du programme de médicalisation des systèmes d'information (PMSI) simplifiées et accélérées,
Arrête :


Après l'article 10-6 de l'arrêté du 23 mars 2020 susvisé, il est inséré un chapitre 10 ainsi rédigé :


« Chapitre 10
« Mesures concernant le traitement des données à caractère personnel du système de santé


« Art. 10-7.-I.-Aux seules fins de faciliter l'utilisation des données de santé pour les besoins de la gestion de l'urgence sanitaire et de l'amélioration des connaissances sur le virus covid-19, le groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique et la Caisse nationale de l'assurance maladie sont autorisés à recevoir les catégories de données à caractère personnel suivantes :


«-les données issues du système national des données de santé mentionné à l'article L. 1461-1 du même code ;
«-des données de pharmacie ;
«-des données de prise en charge en ville telles que des diagnostics ou des données déclaratives de symptômes issues d'applications mobiles de santé et d'outils de télésuivi, télésurveillance ou télémédecine ;
«-des résultats d'examens biologiques réalisés par les laboratoires hospitaliers et les laboratoires de biologie médicale de ville ;
«-des données relatives aux urgences collectées par l'Agence nationale de santé publique dans le cadre du réseau de surveillance coordonnée des urgences ;
«-des données relatives aux appels recueillis au niveau des services d'aide médicale urgente et des services concourant à l'aide médicale urgente ;
«-des données relatives à l'activité et à la consommation de soins dans les établissements ou services médico-sociaux, notamment dans les établissements d'hébergement pour personnes âgées dépendantes ;
«-des enquêtes réalisées auprès des personnes pour évaluer leur vécu ;
«-des données non directement identifiantes issues du système d'identification unique des victimes mentionné à l'article L. 3131-9-1 du code de la santé publique ;
«-des données cliniques telles que d'imagerie, de pharmacie, de biologie, de virologie, de comptes rendus médicaux de cohortes de patients pris en charge dans des centres de santé en vue de leur agrégation.


« II.-Le groupement d'intérêt public et la Caisse nationale de l'assurance maladie ne peuvent collecter que les données nécessaires à la poursuite d'une finalité d'intérêt public en lien avec l'épidémie actuelle de covid-19. Ils sont responsables du stockage et de la mise à disposition des données. Ils sont autorisés à croiser les données mentionnées au I.
« La Caisse nationale de l'assurance maladie est responsable des opérations de pseudonymisation dans le cadre du croisement des données et peut traiter le numéro d'inscription au répertoire national d'identification des personnes physiques à cette fin.
« Seuls des responsables de traitement autorisés dans les conditions prévues aux articles 66 et 76 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, l'Etat mettant en œuvre des traitements mentionnés au 6° de l'article 65 de cette même loi, la Caisse nationale de l'assurance maladie mettant en œuvre des traitements mentionnés au 3° de l'article 65 de cette même loi, ou les organismes et les services chargés d'une mission de service public mentionnés à l'article 67 de cette même loi, peuvent traiter les données ainsi rassemblées par le groupement d'intérêt public.
« III.-Les données ne peuvent être traitées que pour des projets poursuivant une finalité d'intérêt public en lien avec l'épidémie actuelle de covid-19 et pour la durée de l'état d'urgence sanitaire institué pour faire face à cette épidémie.
« Les données ne peuvent être traitées que sur la plateforme technologique du groupement d'intérêt public et sur la plateforme de la Caisse nationale de l'assurance maladie, et ne peuvent pas en être extraites. Au sein de ces plateformes, les données ci-dessus mentionnées ne peuvent contenir ni les noms et prénoms des personnes, ni leur numéro d'inscription au répertoire national d'identification des personnes physiques, ni leur adresse.
« Le groupement d'intérêt public établit et met à disposition sur son site internet un répertoire public qui recense la liste et les caractéristiques de tous les projets portant sur ces données.
« IV.-Sans préjudice des dispositions de l'article 6 de l'arrêté du 23 décembre 2016 relatif au recueil et au traitement des données d'activité médicale et des données de facturation correspondantes, produites par les établissements de santé publics ou privés ayant une activité en médecine, chirurgie, obstétrique et odontologie, et à la transmission d'informations issues de ce traitement dans les conditions définies à l'article L. 6113-8 du code de la santé publique, les établissements de santé mentionnés à l'article 1er du même arrêté transmettent, selon une périodicité hebdomadaire, les fichiers mentionnés au I de l'article 5 du même arrêté directement à l'Agence technique de l'information sur l'hospitalisation.
« Cette agence traite les données et transmet sans délai à la Caisse nationale de l'assurance maladie les données ayant vocation à alimenter le système national des données de santé.
« Les données ainsi transmises ne peuvent être traitées pour les finalités mentionnées au premier alinéa de l'article L. 6113-8 du code de la santé publique, à l'exception de la veille et la vigilance sanitaires. »


Le présent arrêté sera publié au Journal officiel de la République française.


Fait le 21 avril 2020.


Olivier Véran