Dans cette affaire, la société d’exploitation de l’hebdomadaire « Le Point » (SEBDO) sollicitait devant le Conseil d’Etat l’annulation de la délibération de la CNIL d’octobre 2022 qui lui avait refusé l’accès au SNDS, et en particulier à la base PMSI (i.e données relatives à l’activité médicale des établissements hospitaliers faisant partie du SNDS). La CNIL avait estimé que l’intérêt public du traitement dont l’autorisation était sollicitée n’était pas suffisamment caractérisé.
Il s’agissait en l’espèce d’un traitement de données de santé ayant pour objet l’évaluation d’établissements pratiquant des activités de soins aux fins d’information du public en l’occurrence dans une publication journalistique (i.e « Palmarès annuel des hôpitaux et des cliniques »).
Rappelons à cet égard que la CNIL avait pourtant considéré par le passé que cet intérêt public ne faisait pas défaut.
En l’espèce, la CNIL avait suivi l’avis défavorable du CESREES (i.e Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé ayant succédé au CEREES), qui avait conclu à un défaut d’intérêt public dès lors que les « insuffisances méthodologiques » de la publication dans l’établissement du classement étaient susceptibles d’induire en erreur le public.
La CNIL, en se référant à l’avis du CESREES, avait aussi évoqué « des choix méthodologiques non étayés par la littérature scientifique », motif de refus qui n’a donc pas manqué d’être contesté par le Point lequel n’a toutefois pas obtenu gain de cause auprès du juge.
Dans sa décision, le Conseil d’État a en effet rejeté la requête de l’hebdomadaire en indiquant que la CNIL pouvait fonder sa décision « sur des insuffisances méthodologiques du projet de nature à influer substantiellement sur les résultats du classement et à affecter la bonne information du public pour conclure à l’absence d’intérêt public du projet. ».
L’arrêt est intéressant à plusieurs titres.
Le traitement de données de santé ayant pour objet l’évaluation d’établissements pratiquant des activités de soins aux fins d’information du public dans une publication journalistique est un traitement à des fins de recherche, à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé soumis à la LIL
Il confirme tout d’abord le cadre juridique applicable en indiquant que l’accès aux données PMSI avait été sollicité pour mettre en œuvre un traitement de données de santé ayant pour objet « l’évaluation d’établissements pratiquant des activités de soins » aux fins d’information du public, traitement régi par les dispositions des articles 66 et 76 de la Loi Informatique et Libertés notamment. Si d’aucuns s’interrogerait sur la légitimité d’un organisme de presse à accéder aux données du SNDS, un tel organisme est expressément visé par les dispositions du Code de la santé publique relatives au SNDS.
Il n’est par conséquent pas exempt de l’obligation de justifier d’un intérêt public pour pouvoir en traiter les données. A cet égard, cet arrêt nous rappelle le périmètre de l’avis du CESREES qui a été fixé par l’article 90 du Décret du 29 mai 2019 en application duquel l’avis du Comité « porte sur la méthodologie retenue par le demandeur, sur la nécessité du recours à des données à caractère personnel, sur la pertinence de celles-ci par rapport à la finalité du traitement et, s’il y a lieu, sur la pertinence scientifique et éthique du projet ».
Il rappelle également que l’avis du CESREES peut, le cas échéant, aussi porter sur l’intérêt public du projet (i.e le CESREES peut se prononcer sur son initiative ou à la demande de la CNIL ou du Ministre de la santé).
Des garanties sur la méthodologie retenue… oui, mais des choix méthodologiques justifiés scientifiquement… non pas forcément !
Dans le même souci pédagogique ou en tout cas dans une volonté de précision, le Conseil d’Etat liste ensuite les critères que la CNIL doit prendre en considération pour apprécier si un traitement de données de santé à des fins de recherche, d’étude ou d’évaluation présente un intérêt public. Il y a par exemple la nature et les finalités du traitement, l’importance de sa contribution à l’amélioration des connaissances sur le système de santé ou encore la qualité de l’auteur de la demande ainsi que les garanties qu’il offre.
C’est notamment le critère de la méthode qui a concentré l’attention (et plus précisément les « conditions dans lesquelles ce dernier prévoit de traiter les données, de réaliser et de diffuser ses travaux, en particulier la rigueur de la méthodologie retenue »).
En effet, le Conseil d’Etat fait un parallèle intéressant et riche d’enseignement entre la publication du Point et la publication scientifique émanant d’un organisme de recherche. Le juge administratif a voulu contrer l’argument de la CNIL qui avait reproché à la SEBDO de ne pas avoir étayé ses choix méthodologiques par la littérature scientifique pour justifier en partie le défaut d’intérêt public. Le juge a considéré que la caractérisation de l’intérêt public n’était pas de facto conditionnée à des choix méthodologiques étayés par la littérature scientifique. En d’autres termes, on comprend aussi qu’un organisme de presse n’étant pas un organisme de recherche, il n’a pas l’obligation de justifier scientifiquement ses choix méthodologiques.
Toutefois, et la Haute juridiction le relève, cette position ne doit en aucun cas conduire un tel organisme à s’exonérer de son obligation en tant que responsable de traitement d’apporter les garanties méthodologiques et de transparence qui s’imposent, a fortiori au regard de la nature de la publication, de sa crédibilité et des conséquences sur le public. Les juges se sont concentrés en particulier sur « la sensibilité particulière qui s’attache au choix de l’établissement de santé par le patient » et à « l’influence qu’est susceptible d’exercer sur celui-ci ce » palmarès » compte tenu de son ancienneté, de sa notoriété, de la large diffusion dont ce dernier fait l’objet, en sus de son utilisation par certains organismes d’assurance maladie », autant d’indices qui justifient la nécessaire rigueur de la méthodologie du traitement retenue mais qui peuvent aussi participer en l’espèce à la caractérisation de l’intérêt public.
On notera que les juges avaient également relevé que le Point faisait même état, pour asseoir scientifiquement la méthodologie retenue, de l’utilisation des données du PMSI et de l’autorisation délivrée par la CNIL (si elle avait été délivrée comme les années précédentes).
En tout état de cause, on retiendra qu’on ne peut d’un côté se prévaloir des données PMSI pour mettre en avant la rigueur du traitement et la valeur du classement, sans de l’autre côté en respecter les conditions d’accès posées par législateur.
Ainsi, si la qualité du responsable de traitement ne doit pas conditionner l’existence d’un intérêt public, tout comme une méthodologie scientifiquement justifiée, cette décision nous rappelle toutefois que tout responsable de traitement souhaitant accéder à des données de santé, et ici aux données du SNDS, doit justifier de la rigueur de la méthodologie retenue, cette obligation étant surement encore plus minutieusement analysée face à une publication journalistique à large diffusion, à un sujet sensible avec des incidences non négligeables sur le public destinataire.
Cet arrêt nous renseigne aussi utilement sur les éléments qui peuvent être certainement pris en compte par tout responsable de traitement de données de santé mis en œuvre à des fins de recherche, d’étude ou d’évaluation pour mettre en place les garanties méthodologiques nécessaires et caractériser l’intérêt public.
L’intérêt public concentre toute la justification en France du traitement des données dont la production est prise en charge par la solidarité nationale et cette décision en montre ici un aspect protéiforme, plus large que la définition donnée par l’article 66 la loi Informatique et Libertés.
(Conseil d’État, 10ème – 9ème chambres réunies, 30/06/2023, 469964)
Source : Site de Légifrance
Remarque : tout ne pouvant être développé dans un seul propos, on s’amusera de la joute verbale qu’a valu ce contentieux dans et que le Conseil d’Etat avait peut-être anticipé en estimant que la CNIL ne se déjugeait pas, ou ne commettait pas d’erreur d’appréciation, en refusant au Point l’accès au PMSI après l’avoir autorisé à plusieurs reprises sans que l’intérêt public ne soit à l’époque problématique…
Publiée dans le JO Sénat du 13/07/2023 – page 6709
⇒ Claire LAURIA, avocate
