L’accès aux données médicales, y compris pour informer le public, doit être autorisé par la CNIL.  En l’absence d’urgence, le Conseil d’Etat a refusé de suspendre la délibération CNIL n° 2022-103 du 20 octobre 2022 refusant à l’éditeur du Point à mettre en œuvre son Palmarès des hôpitaux en France (basé sur un  traitement automatisé de données médicales).

Une grosse vente de l’année  

D’une part, si la société SEBDO se prévaut des conséquences graves de la décision de la CNIL sur sa situation financière et soutient que, compte tenu de l’enjeu économique que représente pour l’entreprise la parution de ce numéro, dont les ventes en kiosque font plus que doubler par rapport à celles d’un numéro classique et qui a une forte incidence sur la fréquentation et la visibilité du site LePoint.fr, de même que sur les revenus publicitaires qui sont corrélés à cette fréquentation, elle ne peut attendre le jugement de sa requête tendant à l’annulation de cette décision, les éléments produits par la société quant à l’incidence de cette mesure sur son activité, sur son chiffre d’affaire et sur l’équilibre de ses comptes ne permettent pas d’établir que le refus d’autorisation litigieux mettrait en péril de manière suffisamment grave et immédiate l’équilibre économique de la société. 

L’intérêt du public

D’autre part, si la société SEBDO invoque l’intérêt du public à accéder à l’information sur la qualité des hôpitaux diffusée dans son numéro du Point, il est constant que l’information du public sur la qualité du système de soins peut emprunter de multiples autres canaux. 

Accès aux données de santé

Pour rappel, aux termes de l’article L. 1460-1 du code de la santé publique : « Les données de santé à caractère personnel destinées aux services ou aux établissements publics de l’Etat ou des collectivités territoriales, aux professionnels de santé ou aux organismes de sécurité sociale peuvent faire l’objet de traitements présentant un caractère d’intérêt public, dans le respect de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. 

Ces traitements ne peuvent avoir ni pour objet ni pour effet de porter atteinte à la vie privée des personnes concernées. Ils ne doivent en aucun cas avoir pour fin l’identification directe ou indirecte de ces personnes.  

Les citoyens, les usagers du système de santé, les professionnels de santé, les établissements de santé et leurs organisations représentatives ainsi que les organismes participant au financement de la couverture contre le risque maladie ou réalisant des traitements de données concernant la santé, les services de l’Etat, les institutions publiques compétentes en matière de santé et les organismes de presse ont accès aux données mentionnées au premier alinéa dans les conditions définies par la loi n° 78-17 du 6 janvier 1978 précitée et, le cas échéant, par les dispositions propres à ces traitements ». 

D’autre part, aux termes de l’article L. 1461-1 I 1° du code de la santé publique : 

” I.- Le système national des données de santé rassemble et met à disposition : 1° Les données issues des systèmes d’information mentionnés à l’article L. 6113-7 du présent code (…)  

II.- Le système national des données de santé a pour finalité la mise à disposition des données, dans les conditions définies aux articles L. 1461-2 et L. 1461-3, pour contribuer:

1° A l’information sur la santé ainsi que sur l’offre de soins, la prise en charge médico-sociale et leur qualité ; 

2° A la définition, à la mise en œuvre et à l’évaluation des politiques de santé et de protection sociale ; 

3° A la connaissance des dépenses de santé, des dépenses d’assurance maladie et des dépenses médico-sociales ; 

4° A l’information des professionnels, des structures et des établissements de santé ou médico-sociaux sur leur activité ; 

5° A la surveillance, à la veille et à la sécurité sanitaires ; 

6° A la recherche, aux études, à l’évaluation et à l’innovation dans les domaines de la santé et de la prise en charge médico-sociale “. 

Aux termes de l’article L. 1461-3 du même code: 

I.- Un accès aux données à caractère personnel du système national des données de santé ne peut être autorisé que pour permettre des traitements : 

1° Soit contribuant à une finalité mentionnée au III de l’article L. 1461-1 et répondant à un motif d’intérêt public ; 

2° Soit nécessaires à l’accomplissement des missions des services de l’Etat, des établissements publics ou des organismes chargés d’une mission de service public compétents, dans les conditions définies au III du présent article.

Le responsable de tels traitements n’est autorisé à accéder aux données du système national des données de santé et à procéder à des appariements avec ces données que dans la mesure où ces actions sont rendues strictement nécessaires par les finalités des traitements ou par les missions de l’organisme concerné. 

Seules les personnes nommément désignées et habilitées à cet effet par le responsable du traitement, dans les conditions précisées par le décret en Conseil d’Etat mentionné à l’article L. 1461-7, sont autorisées à accéder aux données du système national des données de santé.  II.- Les traitements de données concernant la santé mentionnés au 1° du I du présent article sont autorisés selon les procédures définies à la section 3 du chapitre III du titre II de la loi n° 78-17 du 6 janvier 1978 précitée (…). « 

Enfin aux termes de l’article 66 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : « I.- Les traitements relevant de la présente section ne peuvent être mis en œuvre qu’en considération de la finalité d’intérêt public qu’ils présentent. La garantie de normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux constitue une finalité d’intérêt public. (…)  

III.- Les traitements mentionnés au I qui ne sont pas conformes à un référentiel mentionné au II ne peuvent être mis en œuvre qu’après autorisation de la Commission nationale de l’informatique et des libertés. 

La demande d’autorisation est présentée dans les formes prévues à l’article 33. (…) ». Aux termes de l’article 72 de la même loi : « Les traitements automatisés de données à caractère personnel dont la finalité est ou devient la recherche ou les études dans le domaine de la santé ainsi que l’évaluation ou l’analyse des pratiques ou des activités de soins ou de prévention sont soumis à la sous-section 1 de la présente section, sous réserve de la présente sous-section ». 

Aux termes de l’article 76 de la même loi : « L’autorisation du traitement est accordée par la Commission nationale de l’informatique et des libertés dans les conditions définies à l’article 66, après avis : (…) 2° Du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé, pour les demandes d’autorisation relatives à des études ou à des évaluations ainsi qu’à des recherches n’impliquant pas la personne humaine, au sens du 1° du présent article ».

Conseil d’État, 29 décembre 2022, 469969, Inédit au recueil Lebon

Vu la procédure suivante :

Par une requête, enregistrée le 23 décembre 2022 au secrétariat du contentieux du Conseil d’Etat, la société d’exploitation de l’hebdomadaire Le Point (SEBDO) demande au juge des référés du Conseil d’Etat, statuant sur le fondement de l’article L. 521-1 du code de justice administrative : 

1°) d’ordonner la suspension de l’exécution de la délibération n° 2022-103 du 20 octobre 2022 de la Commission nationale de l’informatique et des libertés (CNIL) refusant de l’autoriser à mettre en œuvre des traitements automatisés à des fins de recherche, d’étude ou d’évaluation nécessitant un accès aux données du programme de médicalisation des systèmes d’information (PMSI) ; 

2°) d’enjoindre à la CNIL, à titre principal, de lui délivrer à titre provisoire une autorisation lui permettant de réaliser les traitements nécessaires à l’élaboration du Palmarès des hôpitaux en France et, à titre subsidiaire, de réexaminer sa demande d’autorisation dans les plus brefs délais, au besoin sous astreinte. 

Elle soutient que :

 – la condition d’urgence est satisfaite eu égard, d’une part, aux conséquences négatives du refus de la CNIL sur sa situation financière dès lors qu’il fait obstacle à la publication du numéro spécial de son hebdomadaire relatif au palmarès des hôpitaux et cliniques de France, qui constitue habituellement une des meilleures ventes de l’année et, d’autre part, à la nécessité de proposer une information complète et actualisée au public sur l’activité hospitalière, à bref délai ; 

 – il existe un doute sérieux quant à la légalité de la délibération contestée ; 

 – elle est entachée d’un vice de procédure tenant à ce que le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES) n’était pas compétent pour émettre un avis sur la pertinence des traitements mis en œuvre par les journalistes auteurs du palmarès, conformément aux dispositions de la loi du 6 janvier 1978 et du décret du 14 mai 2020 ; 

 – elle est entachée d’une erreur de droit en ce que la CNIL s’est crue à tort liée par les avis du CESREES, alors que, en vertu des articles 72 et 76 de la loi du 6 janvier 1978, les avis rendus par le CESREES sont des avis simples, et non des avis conformes ; 

 – s’il appartenait à la CNIL de contrôler le caractère d’intérêt public des traitements de données considérés ainsi que leurs modalités de mise en œuvre, il ne lui appartenait ni de s’immiscer, ni de remettre en cause la méthodologie retenue par les journalistes, auteurs du palmarès, pour la réalisation de leur dossier ; 

 – la délibération contestée est entachée d’erreurs d’appréciation dès lors que, en premier lieu, la méthodologie utilisée pour établir le palmarès n’est pas dépourvue de pertinence, son succès et son sérieux étant établis depuis vingt ans, en deuxième lieu, les critiques de la CNIL envers cette méthodologie sont sommaires et peu justifiées, ou contestables en ce qu’elles portent sur des choix éditoriaux, en troisième lieu, le palmarès présente une qualité et un intérêt public indéniables et, en quatrième lieu, les conditions et les critères de son établissement font l’objet de la plus grande transparence de la part de ses auteurs ; 

 – elle méconnaît les dispositions de l’article 85, paragraphe premier, du règlement général sur la protection des données (RGPD) du 27 avril 2016 en ce qu’elle porte atteinte à la liberté d’expression et d’information d’un organe de presse par ses exigences et critères d’appréciation ; 

 – elle apporte une atteinte disproportionnée à la liberté d’expression et à la liberté de la presse dès lors que, d’une part, la CNIL fonde son refus d’autorisation sur une erreur de fait en considérant que la méthodologie retenue pour établir le palmarès est incomplète et, partant, fait obstacle à une information des lecteurs qui leur permettrait de constituer leur propre opinion et, d’autre part, elle constitue une ingérence ni suffisamment encadrée, ni nécessaire et proportionnée, dans l’exercice de la liberté d’expression. 

Vu les autres pièces du dossier ;

Vu : 

 – la Constitution, et notamment son Préambule ; 

 – la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ; 

 – le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; 

 – le code de la santé publique ; 

 – la loi n° 78-17 du 6 janvier 1978 ; 

 – le décret n° 2020-567 du 14 mai 2020 ; 

 – le code de justice administrative ;

Considérant ce qui suit :

1. Aux termes de l’article L. 521-1 du code de justice administrative : « Quand une décision administrative, même de rejet, fait l’objet d’une requête en annulation ou en réformation, le juge des référés, saisi d’une demande en ce sens, peut ordonner la suspension de l’exécution de cette décision, ou de certains de ses effets, lorsque l’urgence le justifie et qu’il est fait état d’un moyen propre à créer, en l’état de l’instruction, un doute sérieux quant à la légalité de la décision ». En vertu de l’article L. 522-3 du même code, le juge des référés peut, par une ordonnance motivée, rejeter une requête sans instruction ni audience lorsque la condition d’urgence n’est pas remplie ou lorsqu’il apparaît manifeste, au vu de la demande, que celle-ci ne relève pas de la compétence de la juridiction administrative, qu’elle est irrecevable ou qu’elle est mal fondée.

2. D’une part, aux termes de l’article L. 1460-1 du code de la santé publique : « Les données de santé à caractère personnel destinées aux services ou aux établissements publics de l’Etat ou des collectivités territoriales, aux professionnels de santé ou aux organismes de sécurité sociale peuvent faire l’objet de traitements présentant un caractère d’intérêt public, dans le respect de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Ces traitements ne peuvent avoir ni pour objet ni pour effet de porter atteinte à la vie privée des personnes concernées. Ils ne doivent en aucun cas avoir pour fin l’identification directe ou indirecte de ces personnes. / Les citoyens, les usagers du système de santé, les professionnels de santé, les établissements de santé et leurs organisations représentatives ainsi que les organismes participant au financement de la couverture contre le risque maladie ou réalisant des traitements de données concernant la santé, les services de l’Etat, les institutions publiques compétentes en matière de santé et les organismes de presse ont accès aux données mentionnées au premier alinéa dans les conditions définies par la loi n° 78-17 du 6 janvier 1978 précitée et, le cas échéant, par les dispositions propres à ces traitements ». 

3. D’autre part, aux termes de l’article L. 1461-1 I 1° du code de la santé publique : ” I.- Le système national des données de santé rassemble et met à disposition : 1° Les données issues des systèmes d’information mentionnés à l’article L. 6113-7 du présent code (…) / II.- Le système national des données de santé a pour finalité la mise à disposition des données, dans les conditions définies aux articles L. 1461-2 et L. 1461-3, pour contribuer :1° A l’information sur la santé ainsi que sur l’offre de soins, la prise en charge médico-sociale et leur qualité ; 2° A la définition, à la mise en œuvre et à l’évaluation des politiques de santé et de protection sociale ; 3° A la connaissance des dépenses de santé, des dépenses d’assurance maladie et des dépenses médico-sociales ; 4° A l’information des professionnels, des structures et des établissements de santé ou médico-sociaux sur leur activité ; 5° A la surveillance, à la veille et à la sécurité sanitaires ; 6° A la recherche, aux études, à l’évaluation et à l’innovation dans les domaines de la santé et de la prise en charge médico-sociale “. Aux termes de l’article L. 1461-3 du même code: I.- Un accès aux données à caractère personnel du système national des données de santé ne peut être autorisé que pour permettre des traitements : 1° Soit contribuant à une finalité mentionnée au III de l’article L. 1461-1 et répondant à un motif d’intérêt public ; 2° Soit nécessaires à l’accomplissement des missions des services de l’Etat, des établissements publics ou des organismes chargés d’une mission de service public compétents, dans les conditions définies au III du présent article / Le responsable de tels traitements n’est autorisé à accéder aux données du système national des données de santé et à procéder à des appariements avec ces données que dans la mesure où ces actions sont rendues strictement nécessaires par les finalités des traitements ou par les missions de l’organisme concerné./ Seules les personnes nommément désignées et habilitées à cet effet par le responsable du traitement, dans les conditions précisées par le décret en Conseil d’Etat mentionné à l’article L. 1461-7, sont autorisées à accéder aux données du système national des données de santé. / II.- Les traitements de données concernant la santé mentionnés au 1° du I du présent article sont autorisés selon les procédures définies à la section 3 du chapitre III du titre II de la loi n° 78-17 du 6 janvier 1978 précitée (…). “

4. Enfin aux termes de l’article 66 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : « I.- Les traitements relevant de la présente section ne peuvent être mis en œuvre qu’en considération de la finalité d’intérêt public qu’ils présentent. La garantie de normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux constitue une finalité d’intérêt public. (…) / III.- Les traitements mentionnés au I qui ne sont pas conformes à un référentiel mentionné au II ne peuvent être mis en œuvre qu’après autorisation de la Commission nationale de l’informatique et des libertés. La demande d’autorisation est présentée dans les formes prévues à l’article 33. (…) ». Aux termes de l’article 72 de la même loi : « Les traitements automatisés de données à caractère personnel dont la finalité est ou devient la recherche ou les études dans le domaine de la santé ainsi que l’évaluation ou l’analyse des pratiques ou des activités de soins ou de prévention sont soumis à la sous-section 1 de la présente section, sous réserve de la présente sous-section ». Aux termes de l’article 76 de la même loi : « L’autorisation du traitement est accordée par la Commission nationale de l’informatique et des libertés dans les conditions définies à l’article 66, après avis : (…) 2° Du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé, pour les demandes d’autorisation relatives à des études ou à des évaluations ainsi qu’à des recherches n’impliquant pas la personne humaine, au sens du 1° du présent article ».

5. La société d’exploitation de l’hebdomadaire Le Point (SEBDO) demande la suspension de la décision de la CNIL du 20 octobre 2022 refusant de l’autoriser, sur le fondement des articles 66, 72 et suivants de la loi du 6 janvier 1978, à mettre en œuvre, afin d’établir son palmarès annuel des hôpitaux et des cliniques, des traitements automatisés à des fins de recherche, d’étude ou d’évaluation nécessitant un accès aux données du programme de médicalisation des systèmes d’information (PMSI).

6. Pour établir que l’urgence justifie de suspendre cette décision, la société SEBDO fait état, d’une part, des conséquences négatives du refus de la CNIL sur sa situation financière dès lors qu’il fait obstacle à la publication du numéro spécial de son hebdomadaire relatif au palmarès des hôpitaux de France, qui constitue habituellement une des meilleures ventes de l’année de l’hebdomadaire du Point et, d’autre part, de la nécessité de proposer une information complète et actualisée au public sur l’activité hospitalière, à bref délai. 

7. Toutefois, d’une part, si la société SEBDO se prévaut des conséquences graves de la décision de la CNIL sur sa situation financière et soutient que, compte tenu de l’enjeu économique que représente pour l’entreprise la parution de ce numéro, dont les ventes en kiosque font plus que doubler par rapport à celles d’un numéro classique et qui a une forte incidence sur la fréquentation et la visibilité du site LePoint.fr, de même que sur les revenus publicitaires qui sont corrélés à cette fréquentation, elle ne peut attendre le jugement de sa requête tendant à l’annulation de cette décision, les éléments produits par la société quant à l’incidence de cette mesure sur son activité, sur son chiffre d’affaire et sur l’équilibre de ses comptes ne permettent pas d’établir que le refus d’autorisation litigieux mettrait en péril de manière suffisamment grave et immédiate l’équilibre économique de la société. 

8. D’autre part, si la société SEBDO invoque l’intérêt du public à accéder à l’information sur la qualité des hôpitaux diffusée dans son numéro du Point, il est constant que l’information du public sur la qualité du système de soins peut emprunter de multiples autres canaux. 

9. Il résulte de ce qui précède que la condition d’urgence ne peut être regardée comme remplie. Par suite, la société SEBDO n’est pas fondée à demander la suspension de la décision attaquée. Ses conclusions à fin d’injonction ne peuvent par suite qu’être également rejetées.

O R D O N N E :

——————

Article 1er : La requête de la société SEBDO est rejetée. 

Article 2 : La présente ordonnance sera notifiée à la société d’exploitation de l’hebdomadaire Le Point. 

Fait à Paris, le 29 décembre 2022

Signé : Damien Botteghi