Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Décide :
La présente autorisation unique concerne les traitements de données à caractère personnel ayant pour objet de permettre l'échange de données de santé au moyen d'un service de messagerie sécurisée de santé entre professionnels de santé et, plus largement, entre les professionnels des secteurs sanitaire, social et médico-social habilités par une loi à collecter et à échanger des données de santé à caractère personnel.
Ces échanges doivent être réalisés dans des conditions de sécurité respectueuses des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée et de celles du code de la santé publique, notamment ses articles L. 1110-4 et L. 1111-8. En outre, tout service de messagerie sécurisée de santé doit également respecter les référentiels de sécurité et d'interopérabilité mentionnés aux articles précités.
Les utilisateurs finaux des services de messagerie sécurisée de santé sont les professionnels de santé et les professionnels habilités par une loi à collecter et échanger des données de santé à caractère personnel dans le cadre de leurs missions (ci-après dénommés « professionnels habilités »). Une telle habilitation est prévue par l'article 48-IV de la loi n° 2012-1404 du 17 décembre 2012 de financement de la sécurité sociale pour 2013.
La présente autorisation concerne les responsables de traitement qui recourent à un système de messagerie sécurisée de santé, que celui-ci soit développé par le responsable de traitement ou par un opérateur tiers auquel il a recours.
L'utilisation de messageries sécurisées de santé aux fins d'échanges de données de santé à caractère personnel, dans le cadre du suivi ou de la prise en charge de patients, poursuit un intérêt public et relève dès lors des dispositions des articles 8-IV et 25-I de la loi du 6 janvier 1978 modifiée.
Dans ce contexte, la commission décide, en application de l'article 25-II de la loi du 6 janvier 1978 modifiée, que les responsables de traitement de messagerie sécurisée de santé qui lui adressent une déclaration comportant un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en œuvre ces traitements.
Tout traitement de données à caractère personnel qui excéderait le cadre ou les exigences définis par la présente autorisation unique doit, en revanche, faire l'objet d'une demande d'autorisation spécifique.