Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie le 15 septembre 2016 par la ministre des affaires sociales et de la santé, puis le 20 janvier 2017 par saisine rectificative, d'une demande d'avis concernant un projet de décret (ci-après le « projet ») relatif au dossier pharmaceutique.
Le projet est pris en application des dispositions de l'article 97 de la loi n° 2016-041 du 26 janvier 2016 de modernisation de notre système de santé (ci-après la « loi de modernisation de notre système de santé ») lequel a notamment modifié l'article L. 1111-23 du code de la santé publique (« CSP ») en permettant la consultation du dossier pharmaceutique (« DP ») par le médecin prenant en charge un patient au sein d'un établissement de santé, sauf opposition du patient dûment informé.
Cet accès était jusqu'alors réservé, à titre expérimental, aux médecins de certains établissements de santé dans le cadre de la prise en charge des patients, et sur autorisation de ces derniers.
Compte tenu de cette généralisation d'accès à tous les médecins d'établissements de santé. Le projet prévoit de nouvelles modalités d'accès en fonction de la qualité des professionnels de santé concernée.
Le projet précise également expressément que le recueil du consentement du patient, nécessaire afin d'ouvrir un DP, s'effectue dorénavant par tout moyen y compris de façon dématérialisée ; le projet prévoit en outre la possibilité pour les bénéficiaires de l'assurance maladie qui ne souhaiteraient pas disposer de DP de le signaler au Conseil national de l'ordre des pharmaciens (CNOP).
Sur les modalités de recueil du consentement à la création du DP :
Les dispositions législatives et réglementaires prévoient qu'un DP est créé dès lors que le patient concerné, dûment informé, y a expressément consenti. Une attestation de création mentionnant son autorisation expresse et son droit à la rectification et à la clôture du dossier doit lui être remise.
La Commission observe que les modalités de création d'un DP ne sont pas modifiées à l'exception du recueil du consentement qui s'effectue par tout moyen, y compris de façon dématérialisée.
L'article R. 1111-20-5 du projet prévoit en effet désormais deux modalités d'authentification au DP, selon qu'il s'agit d'une pharmacie d'officine ou d'un établissement de santé ou hôpital des armées.
Le pharmacien d'officine ou le pharmacien à usage intérieur (« PUI »), seuls habilités à créer un DP, utilisent aujourd'hui conjointement la carte Vitale de la personne et leur carte de professionnel de santé. Ce dispositif implique la remise de la carte Vitale par le patient au pharmacien, signe de son consentement.
Le projet maintient ce dispositif pour les pharmacies d'officine. Il ajoute en revanche la possibilité pour les PUT d'utiliser les données de la carte Vitale de la personne et tout moyen d'authentification conforme au référentiel élaboré par l'ASIP Santé en application de l'article L. 1111-24 du CSP.
La Commission observe que le recueil du consentement du patient ne peut dès lors plus se matérialiser par la remise directe de sa carte Vitale.
Compte tenu des nombreuses plaintes reçues relatives à l'ouverture d'un DP à l'insu des personnes concernées, et de la possibilité de recueillir dorénavant le consentement de la personne par tout moyen y compris de façon dématérialisée, la Commission demande que le projet fasse mention des modalités d'information. Elle préconise que la remise de la note d'information qui devrait être systématiquement effectuée entre les mains du bénéficiaire se double d'une information par voie d'affichage.
Enfin, la Commission prend acte de ce que le projet introduit la possibilité pour le bénéficiaire de l'assurance maladie de saisir le CNOP afin de lui signaler son refus de bénéficier d'un DP. Le signalement entraîne l'impossibilité de création d'un DP pendant une période de 36 mois, correspondant à la durée de conservation des traces de refus de création ou de clôture d'un DP.
La Commission considère cette procédure de signalement auprès du CNOP nécessaire, eu égard aux plaintes évoquées précédemment et à la possibilité de recueillir le consentement de la personne par tout moyen y compris de façon dématérialisée.
Sur les modalités d'accès par le médecin d'un établissement de santé :
La Commission prend acte de ce que, sauf opposition du bénéficiaire ou de son représentant légal, et dans le respect des règles déontologiques et professionnelles applicables, le médecin d'un établissement de santé tel que mentionné à l'article L. 1111-23 du CSP peut consulter le DP de son patient dans le cadre de sa prise en charge.
Dans l'hypothèse d'une opposition, le médecin mentionne l'existence d'un refus qui sera tracé.
Elle prend acte de ce que le médecin accédant au DP de son patient ne peut ni le créer, ni l'alimenter, à l'inverse du pharmacien, que celui-ci exerce en officine ou en établissement de santé.
Enfin, elle prend acte qu'il y accède dans les mêmes conditions que le pharmacien de l'établissement de santé, en utilisant les données de carte Vitale et tout moyen d'authentification conforme au référentiel élaboré par l'ASIP Santé en application de l'article L. 1111-24 du CSP.
Sur les mesures de sécurité :
La Commission observe que le projet prévoit que, pendant la prise en charge du patient au sein de l'établissement, les données de la carte Vitale du bénéficiaire de l'assurance maladie sont conservées au sein du système d'information hospitalier de l'établissement en question.
La Commission relève que dès lors, tout moyen d'authentification conforme à un référentiel définissant l'identification et l'authentification des acteurs de santé, défini par le groupement d'intérêt public chargé du développement des systèmes d'information de santé, permet, dans le cadre défini par le décret, d'accéder aux informations du DP du patient.
La Commission propose de modifier le II.-1° du projet en imposant aux établissements de conserver les données extraites de la carte Vitale de manière sécurisée, en ajoutant au dernier paragraphe du II.-1° du projet la mention suivante : « […] de manière sécurisée, notamment en chiffrant, à l'aide d'un algorithme public réputé fort, les données extraites et en mettant en œuvre une gestion de clé rigoureuse afin que les tiers non autorisés ne puissent y avoir accès, en mettant en œuvre une traçabilité forte à ce données et dans le respect des durées légales de conservation des données concernées ». Enfin, la Commission s'étonne que la solution proposée lors de l'expérimentation, consistant à héberger les données extraites des cartes Vitales au sein d'annuaires dédiés et sécurisés chez l'hébergeur du DP, ne soit pas maintenue et étendue dans le cadre de la généralisation de l'accès au DP en établissement de santé.