ÉCLAIRAGE SUR LA NOTION D’INTERET PUBLIC POUR UN TRAITEMENT DE DONNEES DE SANTE A DES FINS DE RECHERCHE, D’ETUDE OU D’EVALUATION - DECISION DU CONSEIL D’ÉTAT DU 30 JUIN 2023, N°469964
Le Conseil d’État s’est récemment prononcé sur ce qui caractérise un intérêt public, condition nécessaire pour que la CNIL autorise la mise en œuvre d’un traitement automatisé de données à des fins de recherche, d’étude ou d’évaluation.
Le Conseil d’État a en effet rendu une décision (CE 30 juin 2023, n° 469964), portant sur une demande d’autorisation de la société d’exploitation de l’hebdomadaire Le Point (SEBDO) soumise à la Commission nationale de l’informatique et des libertés (CNIL) aux fins de mise en œuvre d’un traitement nécessitant l’accès aux données du programme de médicalisation des systèmes d’information (PMSI), une composante du système national des données de santé (SNDS), en vue de la réalisation d’un « palmarès annuel des hôpitaux et des cliniques » pour les années 2022 à 2024.
La demande avait été rejetée par la CNIL le 20 octobre 2022 après avis défavorable du comité éthique et scientifique (CESREES) au motif que le projet serait dépourvu d’intérêt public en raison de ses insuffisances méthodologiques « dès lors que la publication envisagée serait susceptible d’induire en erreur le public en raison de ses insuffisances méthodologiques ».
1. Rappel du cadre juridique applicable
L’accès aux données PMSI du SNDS à des fins de recherche, d’étude ou d’évaluation des établissements de santé est soumis aux dispositions des articles 66 et 76 de la Loi Informatique et Libertés (LIL). Pour pouvoir y accéder et traiter des données de santé du SNDS, une autorisation accordée par la CNIL est requise en vertu de l’article 66 de la LIL précisant que les traitements de données ne peuvent être mis en œuvre qu’en considération de la finalité d’intérêt public qu’ils présentent et après avis du CESREES conformément à l’article 76 de la LIL et tel que défini par l’article 90 du Décret du 29 mai 2019. L’avis du CESREES porte sur la méthodologie, la nécessité du recours aux données personnelles, leur pertinence par rapport à la finalité du traitement, ainsi que leur pertinence scientifique et éthique. De cette façon, bien que l’« organisme de presse » soit expressément visé par les dispositions du Code de la santé publique (CSP) relatives au SNDS (articles L. 1460-1, L. 1461-1 et L. 1461-3 du CSP), il doit néanmoins justifier d’un intérêt public afin de pouvoir traiter des données de santé à des fins de recherche, d’étude ou d’évaluation.
2. Une décision riche en enseignements
Le Conseil d’État précise les critères que la CNIL doit prendre en considération pour évaluer si un traitement de données de santé présente ou non un intérêt public : « pour apprécier si un traitement de données de santé à des fins de recherche, d’étude ou d’évaluation soumis à autorisation présente un intérêt public au sens de ces dispositions, il appartient à la CNIL, sous l’entier contrôle du juge, de tenir compte, notamment, de la nature et des finalités de la recherche, de l’étude ou de l’évaluation sur laquelle porte la demande, de l’importance de sa contribution à l’amélioration des connaissances sur le système de santé, du public auquel la publication s’adresse, du nombre et de la sensibilité des données de santé dont la communication est sollicitée, de la qualité de l’auteur de la demande et des garanties qu’il offre, ainsi que des conditions dans lesquelles ce dernier prévoit de traiter les données, de réaliser et de diffuser ses travaux, en particulier la rigueur de la méthodologie retenue et les efforts de transparence et de publication des résultats vis-à-vis des destinataires de l’étude et des personnes dont les données seraient exploitées ».
Dans cette décision le Conseil d’État met en exergue l’importance de la méthodologie dans l’évaluation d’un traitement de données de santé en particulier lorsqu’il s’agit d’une publication pouvant influencer le public. En l’espèce, le « palmarès » de la SEBDO classait les établissements de santé en les notant entre 0 et 20 et en prenant en compte sept critères que sont l’activité, la spécialisation, la notoriété, le taux d’ambulatoire, la durée de séjour, la technicité et l’indice de gravité des cas traités. Le Conseil d’État souligne que la caractérisation de l’intérêt public ne dépend pas nécessairement de choix méthodologiques étayés par la littérature scientifique mais insiste toutefois sur l’obligation pour le responsable du traitement d’apporter des garanties méthodologiques et de transparence, en particulier lorsqu’il s’agit d’une publication à large diffusion influençant le public destinataire. Le Conseil d’État souligne ainsi la sensibilité particulière liée au choix de l’établissement de santé par le patient, ainsi que l’influence du « palmarès » sur ce choix et considère que « la notice méthodologique à l’attention des lecteurs qui figure dans le palmarès, de même que l’information succincte figurant sur le site internet du journal, n’apportent pas davantage de précision au public, et ne comportent par ailleurs aucune réserve ou mise en garde quant aux limites de la méthodologie retenue et à la valeur du classement ainsi établi ».
Le Conseil d’État confirme également que le refus d’autorisation de la CNIL ne constitue pas une atteinte disproportionnée à la liberté de la presse et à la liberté d’expression, dans la mesure où la CNIL a attentivement considéré le statut d’organisme de presse de la SEBDO et a justement équilibré les droits à la protection des données personnelles avec le droit à la liberté d’expression.
Le Conseil d’État conclut que « la CNIL n’a pas entaché sa délibération d’une erreur d’appréciation en estimant que l’intérêt public des traitements de données envisagés n’était, en l’état du dossier transmis, pas suffisamment caractérisé, en dépit de l’importance qui s’attache à ce qu’un organisme de presse puisse informer le public des conditions de prise en charge des patients par les établissements publics et privés de santé ».