Dans une délibération du 23 décembre 2023, la CNIL a donné son avis sur le projet de décret relatif à la mise en œuvre de l’espace numérique de santé (ENS) dont le texte définitif a été publié au Journal Officiel du 26 mai dernier.

Le décret ajoute deux fonctionnalités à l’ENS :

• L’extension des données librement renseignées par les titulaires d’un ENS en vue de la préparation des rendez-vous de prévention ;
• L’envoi de messages de prévention personnalisés au titulaire de l’ENS.

Dans ce contexte, la CNIL recommande :

• Au titre de l’information des personnes : lorsqu’un message de prévention est envoyé à une personne, il doit clairement indiquer que ledit message résulte d’un traitement algorithmique et non de l’analyse personnalisée d’un médecin ;
• En vertu de l’accès aux données de l’ENS en vue de l’élaboration et l’envoi de messages de prévention personnalisés au titulaire : ces messages très spécifiques devront être associés à des mesures humaines de contrôle et d’accompagnement des personnes concernées, étant précisé que de telles mesures sont susceptibles de porter atteinte au principe du secret médical et devront donc être prévues par la loi, le cas échéant.
• Concernant l’accès aux messages de prévention aux représentants légaux de titulaires mineurs ou ceux bénéficiant d’une protection juridique avec représentation : de modifier le décret afin de tenir compte des différents cas dans lesquels un accès à l’ENS est autorisé à une personne autre que le titulaire. Dans ce cadre, la CNIL invite également les responsables conjoints du traitement à s’assurer que l’envoi de messages de prévention ciblés ne puisse révéler des informations que le représentant légal n’a pas à connaître ou que le titulaire a souhaité rendre inaccessible à ses représentants légaux.
• De compléter le projet de décret afin de prévoir la mise à jour de l’AIPD avant chaque nouvelle campagne de prévention.

Aussi, le décret tel que publié encadre :

• L’accès des représentants légaux aux informations de prévention personnalisée concernant le titulaire mineur ou majeur protégé et exige des responsables de traitement qu’ils établissent des règles de gestion adaptées et proportionnées à la stratégie de prévention et en garantissent le respect ;
• L’accès aux données de l’ENS dans le cadre de l’élaboration et la transmission des informations de prévention personnalisée et prévoit par ailleurs un droit d’opposition du titulaire à la réception de tout ou partie de ces informations. Des précisions spécifiques sont de plus mises à la disposition du titulaire d’un ENS concernant les caractéristiques du traitement automatisé permettant l’élaboration des messages de prévention personnalisée et concernant son droit d’opposition à les recevoir.

Consultez ici l’intégralité des documents : Décret n° 2024-468 du 24 mai 2024 relatif à la mise en œuvre de l’espace numérique de santé (JO, 26 mai 2024, texte n° 9) ; Délibération CNIL n° 2023-147 du 21 décembre 2023 portant avis sur un projet de décret relatif à la mise en œuvre de l’espace numérique de santé (JO, 26 mai 2024, texte n° 66)