Avis 20192998 Séance du 19/12/2019

Monsieur X a saisi la Commission d'accès aux documents administratifs, par courrier enregistré à son secrétariat le 27 mai 2019, à la suite du refus opposé par le directeur de l'agence technique de l'information sur l'hospitalisation à sa demande de communication, dans le cadre du palmarès des hôpitaux réalisé depuis 1997 pour le magazine Le Point de la base de données des résumés de passage aux urgences (RPU) de l'année 2017 de l'ensemble des établissements de soins publics et privés dont la transmission à l'ATIH a été rendu obligatoire par l'arrêté du 24 juillet 2013. En réponse à la demande qui lui a été adressée, le directeur de l'agence technique de l'information sur l'hospitalisation a informé la commission que le recueil des données des résumés des passages aux urgences comprend des données médicales et administratives sur les patients dont la diffusion nécessiterait une autorisation préalable de la Commission nationale de l'informatique et des libertés (CNIL). La commission relève toutefois que si l’accès des personnes aux données à caractère personnel qui les concernent dans des fichiers est exclusivement régi par les dispositions de la loi du 6 janvier 1978, qu’elle n’a pas compétence pour interpréter, en revanche, les tiers, c’est-à-dire les personnes non autorisées à consulter les fichiers en vertu des textes qui les créent, peuvent se prévaloir du code des relations entre le public et l'administration pour obtenir communication, le cas échéant, des documents extraits de ces fichiers. La commission note qu’en application de l’article L6113-8 du code de la santé publique, « Les établissements de santé transmettent aux agences régionales de santé, à l’État ou à la personne publique qu'il désigne et aux organismes d'assurance maladie les informations relatives à leurs moyens de fonctionnement, à leur activité, à leurs données sanitaires, démographiques et sociales qui sont nécessaires à l'élaboration et à la révision du projet régional de santé, à la détermination de leurs ressources, à l'évaluation de la qualité des soins, à la veille et la vigilance sanitaires, ainsi qu'au contrôle de leur activité de soins et de leur facturation ». En application de ces dispositions, l’arrêté de la ministre des affaires sociales et de la santé du 24 juillet 2013 impose, en son article 1, aux établissements de santé publics et privés ayant une activité autorisée en médecine d'urgence de produire et traiter « des données d'activité médicale en vue de procéder à l'analyse médico-économique de l'activité de médecine d'urgence réalisée en leur sein ainsi que dans un objectif de veille et de sécurité sanitaires ». Le recueil de ces données, qui concernent la prise en charge des patients accueillis dans des services d’urgence, porte le nom de « résumé de passage aux urgences » (RPU). En application de l’article 3 de cet arrêté, un RPU, outre l'identification de l'établissement par ses FINESS juridique et géographique, contient des données relatives à l’identification du patient, aux conditions de son arrivée aux urgences, aux diagnostics et actes réalisés et aux conditions de son départ du service. La commission estime que les RPU sont des documents administratifs au sens du livre III du code des relations entre le public et l'administration. Dès lors que ces documents contiennent des informations médicales au sens des articles L1110-4 et L1111-7 du code de la santé publique, elle estime que si de telles informations mentionnent le nom du patient ou permettent d'identifier celui-ci, elles ne sont communicables qu’aux médecins chargés du patient, à l’intéressé ou à la personne qu’il a dûment mandatée. La commission relève toutefois que conformément au deuxième alinéa de l’article L6113-8 du code de la santé publique, et en vertu des articles 5 et 6 de l’arrêté précité du 24 juillet 2013, ces résumés de passage aux urgences sont transmis quotidiennement à l'agence régionale de santé dont dépend le siège de l'établissement, qui constitue des fichiers anonymisés comportant l'ensemble des informations contenues dans les RPU, à l'exception du nom de la commune de résidence, du code postal, remplacé par un code géographique de résidence et de la date de naissance, remplacée par l'âge exprimé en années et calculé à la date de passage aux urgences. Ces fichiers anonymisés, qui sont transmis mensuellement à l’agence technique de l’information sur l’hospitalisation, sont susceptibles de satisfaire la demande de Monsieur X. Les personnes physiques auxquelles se rapportent ces données ne pouvant ainsi être identifiées, la commission estime toutefois que la communication à des tiers de ces documents, qui revêtent un caractère administratif, doit s'opérer dans le respect des conditions prévues par le code des relations entre le public et l’administration, et en particulier par les dispositions du 1° de son article L311-6 qui prévoient que ne sont notamment pas communicables aux tiers les documents dont la communication porterait atteinte à la protection du secret des affaires. Elle constate que la communication de l'ensemble des données contenues dans les RPU pourrait porter atteinte à la protection du secret des affaires dont bénéficient les établissements de santé privé dans la mesure où elles comportent des informations précises sur la nature de l'activité des services d’urgence de ces établissements. Elle estime ainsi que les documents sollicités ne sont communicables qu’après suppression de toute information permettant d’identifier directement ou indirectement ces établissements. La commission, au vu des éléments dont elle dispose, estime que les opérations d'occultation requises préalablement à la communication pourraient être effectuées au moyen d'un traitement automatisé d'usage courant et n'entraîneraient pas des efforts disproportionnés de la part de l’ATIH. La commission émet donc, sous les réserves qui précèdent, un avis favorable à la demande de Monsieur X.