Sağlık Cihazı Verilerinin İşlenmesi

CETATEXT000038633887 JG_L_2019_06_000000417962 CETAT texte/juri/admin/CETA/TEXT/00/00/38/63/38/CETATEXT000038633887.xml Texte

Conseil d'État, 1ère - 4ème chambres réunies, 17/06/2019, 417962 2019-06-17 Conseil d'État 417962

1ère - 4ème chambres réunies Excès de pouvoir B

SCP GASCHIGNARD M. Thibaut Félix M. Rémi Decout-Paolini ECLI:FR:CECHR:2019:417962.20190617

Vu la procédure suivante :

Par une requête et un mémoire en réplique, enregistrés les 7 février 2018 et 22 mai 2019 au secrétariat du contentieux du Conseil d'Etat, l'Union nationale des associations de santé à domicile (UNASDOM), l'Union nationale des associations d'insuffisants respiratoires défenseurs de la qualité de l'air, le Groupe national des insuffisants respiratoires chroniques (GIRC) et le Syndicat national des associations de malades insuffisants respiratoires (SYNAMAIR) demandent au Conseil d'Etat :

1°) d'annuler pour excès de pouvoir l'arrêté de la ministre des solidarités et de la santé et du ministre de l'action et des comptes publics du 13 décembre 2017 modifiant la procédure d'inscription et les conditions de prise en charge du dispositif médical à pression positive continue pour traitement de l'apnée du sommeil et prestations associées au paragraphe 4 de la sous-section 2, section 1, chapitre 1er, titre I er de la liste prévue à l'article L. 165-1 (LPPR) du code de la sécurité sociale ;

2°) de mettre à la charge de l'Etat la somme de 6 000 euros au titre de l'article L. 761-1 du code de justice administrative.

Vu les autres pièces du dossier ;

Vu :

- la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995 ;

- le code des relations entre le public et l'administration ;

- le code de la santé publique ;

- le code de la sécurité sociale ;

- la loi n° 78-17 du 6 janvier 1978 ;

- la loi n° 2016-1827 du 23 décembre 2016 ;

- le décret n° 2017-809 du 5 mai 2017 ;

- l'arrêté du 27 juillet 2017 fixant la liste des traitements d'affections chroniques mentionnée à l'article L. 165-1-3 du code de la sécurité sociale ;

- le code de justice administrative ;

Après avoir entendu en séance publique :

- le rapport de M. Thibaut Félix, auditeur,

- les conclusions de M. Rémi Decout-Paolini, rapporteur public ;

La parole ayant été donnée, avant et après les conclusions, à la SCP Gaschignard, avocat de l'Union nationale des associations de santé à domicile, de l'Union nationale des associations d'insuffisants respiratoires et de la qualité de l'air, du Groupe national des insuffisants respiratoires chroniques et du Syndicat national des associations de malades insuffisants respiratoires ;

Considérant ce qui suit :

Sur le cadre juridique du litige :

1. D'une part, il résulte des dispositions des articles L. 165-1 et R. 165-1 du code de la sécurité sociale que le remboursement par l'assurance maladie des dispositifs médicaux à usage individuel et des prestations de services et d'adaptation associées est subordonné à leur inscription sur une liste établie par arrêté du ministre chargé de la sécurité sociale et du ministre chargé de la santé et que : " L'inscription sur la liste peut elle-même être subordonnée au respect de spécifications techniques, d'indications thérapeutiques ou diagnostiques et de conditions particulières de prescription et d'utilisation ".

2. D'autre part, l'article L. 165-1-3 inséré dans le code de la sécurité sociale par la loi du 23 décembre 2016 de financement de la sécurité sociale pour 2017 prévoit que dans le cadre de la mise en oeuvre de certains traitements d'affections chroniques, dont la liste est fixée par arrêté, les prestataires de service et les distributeurs de matériels destinés à favoriser le retour à domicile et l'autonomie des personnes malades peuvent recueillir, avec l'accord du patient, les données issues d'un dispositif médical inscrit sur la liste des produits et prestations remboursables qu'ils ont mis à la disposition du patient et qui est nécessaire à son traitement. Les tarifs de responsabilité ou les prix des produits et prestations considérés peuvent alors être modulés en fonction de certaines de ces données, " notamment celles relatives aux modalités d'utilisation du dispositif médical mis à disposition ". Les articles R. 165-75 à R. 165-77 inséré dans le même code par décret du 5 mai 2017 précisent les dispositions relatives au recueil et à la transmission des données issues de tels dispositifs médicaux, en prévoyant notamment, au I de l'article R. 165-76, que : " Le prestataire détermine le niveau d'utilisation du dispositif médical en fonction des données recueillies et des conditions fixées par l'arrêté inscrivant le dispositif sur la liste prévue à l'article L. 165-1 ". Par un arrêté du 27 juillet 2017, la ministre des solidarités et de la santé et le ministre de l'action et des comptes publics ont fixé la liste des traitements concernés, en prévoyant qu'elle se compose du " traitement des apnées et hypopnées obstructives du sommeil par dispositifs médicaux de pression positive continue ".

3. L'Union nationale des associations de santé à domicile, l'Union nationale des associations d'insuffisants respiratoires défenseurs de la qualité de l'air, le Groupe national des insuffisants respiratoires chroniques et le Syndicat national des associations de malades insuffisants respiratoires demandent l'annulation pour excès de pouvoir de l'arrêté du 13 décembre 2017 par lequel les ministres chargés de la sécurité sociale et de la santé ont modifié les conditions d'inscription, sur la liste des produits et prestations remboursables prévue à l'article L. 165-1 du code de la sécurité sociale, du dispositif médical à pression positive continue pour le traitement du syndrome de l'apnée du sommeil et des prestations associées, en précisant les conditions dans lesquelles sont recueillies et transmises, sur le fondement de l'article L. 165-1-3 de ce code, les données issues de ce dispositif médical, qui déterminent les modalités de sa prise en charge par l'assurance maladie.

Sur la procédure préalable :

4. En premier lieu, aux termes de l'article L. 161-41 du code de la sécurité sociale, dans sa rédaction issue de l'ordonnance du 26 janvier 2017 relative à la Haute Autorité de santé : " La Haute Autorité de santé comprend un collège et des commissions spécialisées présidées par un membre du collège et auxquelles elle peut déléguer certaines de ses attributions. / (...) / Les commissions mentionnées aux articles L. 5123-3 du code de la santé publique, L. 165-1 et L. 161-37 du présent code constituent des commissions spécialisées de la Haute Autorité. (...) Les attributions de la commission mentionnée à l'article L. 161-37 peuvent être exercées par le collège à l'exception de celles relatives à l'évaluation des produits de santé (...) ".

5. D'une part, il résulte des dispositions des articles L. 165-1 et R. 165-1 du code de la sécurité sociale que la liste des produits et prestations remboursables est établie par un arrêté pris après avis d'une commission de la Haute Autorité de santé dénommée " commission nationale d'évaluation des dispositifs médicaux et des technologies de santé ".

6. D'autre part, le quatrième alinéa de l'article L. 165-1-3 du code de la sécurité sociale prévoit que dans le cadre de la procédure d'inscription d'un dispositif médical faisant l'objet d'un recueil et d'une transmission de ses données d'utilisation sur la liste mentionnée à l'article L. 165-1, " la commission spécialisée de la Haute Autorité de santé mentionnée au même article L. 165-1 se prononce dans son avis sur les modalités selon lesquelles sont prises en compte les données collectées pouvant, le cas échéant, donner lieu à une modulation du tarif de responsabilité ou du prix, notamment au regard du bon usage des produits ou prestations concernés ". Le II de l'article R. 165-75 du même code précise que cet avis " peut notamment porter, le cas échéant indication par indication, sur les conditions d'utilisation du dispositif médical concerné et de ses accessoires correspondant à un bon usage du dispositif médical, notamment au regard des connaissances médicales avérées, telles qu'elles résultent, le cas échéant, de références médicales ou de recommandations de bonne pratique. Dans ce cadre, et au regard des données collectées, la commission peut recommander un seuil minimal ou une durée minimale d'utilisation du dispositif médical ". Il résulte des dispositions de l'article L. 165-1-3, éclairées par les travaux préparatoires de la loi du 23 décembre 2016 de financement de la sécurité sociale dont elles sont issues, que la commission nationale d'évaluation des dispositifs médicaux et des technologies de santé doit se prononcer, avant leur adoption, sur ces modalités de prise en compte, que les dispositifs médicaux auxquelles elles s'appliquent aient été ou non précédemment inscrits sur la liste des produits et prestations remboursables.

7. Il ressort des pièces du dossier que l'arrêté attaqué, qui détermine les modalités selon lesquelles sont prises en compte les données collectées, a été précédé d'un avis de la commission nationale d'évaluation des dispositifs médicaux et des technologies de santé adopté le 10 octobre 2017. Il est constant que la commission ne s'est pas prononcée sur ces modalités dans cet avis, mais seulement dans un avis du 6 novembre 2012, qui porte notamment sur la durée d'utilisation optimale de la pression positive continue en vue d'une efficacité clinique, ainsi que sur l'observance moyenne à prendre en compte dans le cadre d'une télétransmission des données d'utilisation. L'arrêté attaqué est ainsi intervenu au terme d'une procédure irrégulière.

8. Toutefois, si les actes administratifs doivent être pris selon les formes et conformément aux procédures prévues par les lois et règlements, un vice affectant le déroulement d'une procédure administrative préalable, suivie à titre obligatoire ou facultatif, n'est de nature à entacher d'illégalité la décision prise que s'il ressort des pièces du dossier qu'il a été susceptible d'exercer, en l'espèce, une influence sur le sens de la décision prise ou qu'il a privé les intéressés d'une garantie. En l'espèce, d'une part, le collège de la Haute Autorité de santé a rappelé les conclusions de la commission nationale d'évaluation des dispositifs médicaux et des technologies de santé du 6 novembre 2012, en estimant qu'elles restaient pertinentes, dans son avis du 7 juin 2017 rendu à l'intention des mêmes ministres sur le projet d'arrêté fixant la liste des traitements d'affections chroniques soumis aux nouvelles dispositions de l'article L. 165-1-3 du code de la sécurité sociale et, d'autre part, la commission, saisie du projet d'arrêté attaqué, a estimé implicitement mais nécessairement qu'il n'était pas utile qu'elle se prononce de nouveau sur les modalités de prise en compte des données collectées pouvant donner lieu à une modulation du tarif de responsabilité ou du prix. Dans ces conditions, il ne ressort pas des pièces du dossier que l'irrégularité commise a été susceptible d'exercer, en l'espèce, une influence sur le sens de la décision prise ou a privé les intéressés d'une garantie.

9. En second lieu, s'il résulte des dispositions du a) du 4° de l'article 11 de la loi du 6 janvier 1978, dans sa rédaction alors applicable, que la Commission nationale de l'informatique et des libertés " est consultée sur tout projet de loi ou de décret ou toute disposition de projet de loi ou de décret relatifs à la protection des données à caractère personnel ou au traitement de telles données ", ni ces dispositions, ni aucune autre disposition de la même loi n'imposait la consultation de cette autorité préalablement à l'adoption de l'arrêté attaqué.

Sur les modalités de la prise en charge :

10. Aux termes du quatrième alinéa de l'article L. 165-1-3 du code de la sécurité sociale : " Les tarifs de responsabilité ou les prix mentionnés, respectivement, aux articles L. 165-2 et L. 165-3 peuvent être modulés, sans préjudice des autres critères d'appréciation prévus aux mêmes articles L. 165-2 et L. 165-3, en fonction de certaines données collectées, notamment celles relatives aux modalités d'utilisation du dispositif médical mis à disposition. (...) Cette modulation du tarif de responsabilité ou du prix des produits et prestations mentionnés audit article L. 165-1 ne peut avoir d'incidence sur la qualité de la prise en charge du patient par les prestataires. Une moindre utilisation du dispositif médical ne peut en aucun cas conduire à une augmentation de la participation de l'assuré mentionnée au I de l'article L. 160-13 aux frais afférents à ce dispositif et à ses prestations associées ". Aux termes du III de l'article R. 165-75 de ce code : " Pour l'application de la modulation du tarif de responsabilité ou du prix prévue au quatrième alinéa de l'article L. 165-1-3, le comité économique des produits de santé peut définir, par convention ou à défaut par décision, un tarif de responsabilité de référence ou un prix de référence servant de base à la fixation de décotes sur ces tarifs ou ces prix en fonction du niveau d'utilisation constatée du dispositif médical. Ce tarif de responsabilité de référence ou ce prix de référence est égal au tarif de responsabilité ou au prix retenu par le comité dans le cas d'un bon usage du dispositif médical. Les décotes appliquées ne peuvent conduire à une augmentation de la participation à la charge de l'assuré, par rapport à la participation à sa charge qu'entraîne l'application du tarif de responsabilité de référence et du prix de référence ".

11. En premier lieu, si l'arrêté attaqué détermine différents forfaits de " prestation de pression positive continue " selon, notamment, que le patient a ou non accepté le suivi ou le télésuivi des données d'utilisation du dispositif médical mis à sa disposition et selon le niveau d'observance du traitement, il met ainsi en oeuvre, sans fixer lui-même les tarifs ou les prix correspondants à ces forfaits, les dispositions de l'article L. 165-1-3 du code de la sécurité sociale qui permettent la modulation des tarifs de responsabilité ou des prix des produits et prestations afférents à certains traitements d'affections chroniques en fonction de données relatives aux modalités d'utilisation du dispositif médical mis à disposition du patient, tout en faisant obstacle à ce qu'une moindre utilisation du dispositif médical puisse conduire à une augmentation de la participation de l'assuré aux frais afférents à ce dispositif et à ses prestations associées. Par suite, le moyen tiré de ce que l'arrêté attaqué, en ce qu'il fait peser les conséquences d'une mauvaise observance du traitement sur les seuls prestataires de santé à domicile, méconnaîtrait le principe d'égalité devant les charges publiques qui découle de l'article 13 de la Déclaration des droits de l'homme et du citoyen de 1789 ne peut qu'être écarté.

12. En deuxième lieu, l'arrêté attaqué, conformément à la loi, n'associe une moindre utilisation du dispositif médical à aucune augmentation de la participation de l'assuré aux frais afférents au dispositif et à ses prestations associées. Il ménage une période initiale de quatre mois comportant trois visites à domicile pour assurer la bonne mise en oeuvre du traitement par l'assuré, suivie d'une réévaluation du traitement par le médecin prescripteur et prévoit ensuite, en cas d'observance inférieure à 112 heures par période de 28 jours consécutifs, que le prestataire doit alerter le médecin prescripteur et mettre en oeuvre, en lien avec lui, toutes actions d'accompagnement nécessaires, notamment des visites complémentaires à la visite annuelle de suivi, pour favoriser un meilleur usage du dispositif médical. Enfin, seul le médecin habilité à prescrire l'usage d'un dispositif médical à pression positive continue peut décider la modification ou l'interruption du traitement. Les organisations requérantes ne sont ainsi pas fondées à soutenir que les ministres auraient attaché à une insuffisante observance du traitement des conséquences automatiques susceptibles d'entraîner la dégradation de la qualité de la prestation assurée aux patients et auraient, ce faisant, entaché leur arrêté d'une erreur manifeste d'appréciation.

13. En troisième lieu, l'arrêté prévoit qu'en " cas d'hospitalisation du patient, sa prise en charge au titre de l'un des forfaits de PPC est suspendue pendant la période allant du jour de son hospitalisation jusqu'à la veille du jour de son retour à domicile ". L'arrêté tire ainsi les conséquences de l'inclusion, dans la tarification des prestations d'hospitalisation, de l'ensemble des soins nécessaires aux patients hospitalisés, dispensés sous la responsabilité de l'établissement de santé. Par suite, les organisations requérantes ne sont pas fondées à soutenir qu'en excluant la prise en charge par l'assurance maladie d'une prestation de pression positive continue assurée en établissement de santé au profit des patients hospitalisés, les ministres auteurs de l'arrêté attaqué auraient commis une erreur manifeste d'appréciation.

14. En dernier lieu, en dépit de leur caractère technique, les dispositions de l'arrêté attaqué, qui ne sont pas équivoques, ne méconnaissent pas, contrairement à ce que soutiennent les organisations requérantes, l'objectif de valeur constitutionnelle d'accessibilité et d'intelligibilité de la norme.

Sur l'exception d'illégalité du décret du 5 mai 2017 relatif aux dispositifs médicaux remboursables utilisés dans le cadre de certains traitements d'affections chroniques :

15. En premier lieu, les vices de forme et de procédure dont un acte réglementaire serait entaché ne peuvent être utilement invoqués que dans le cadre du recours pour excès de pouvoir dirigé contre cet acte et introduit avant l'expiration du délai de recours contentieux. Par suite, et alors même qu'à la date à laquelle elles en ont contesté la légalité, par voie d'exception à l'appui de leurs conclusions tendant à l'annulation de l'arrêté attaqué, le décret du 5 mai 2017, qui a fait l'objet d'un recours pour excès de pouvoir rejeté par une décision du Conseil d'Etat statuant au contentieux du 7 décembre 2018, n'était pas devenu définitif, les organisations requérantes ne peuvent utilement soutenir que ce décret aurait été adopté au terme d'une procédure irrégulière, faute de consultation préalable de la Commission nationale de l'informatique et des libertés, sur la base de l'ensemble des éléments devant lui être soumis, en vertu de l'article 30 de la loi du 6 janvier 1978 dans sa rédaction alors en vigueur, à l'appui d'une déclaration ou d'une demande d'autorisation de traitement.

16. En deuxième lieu, si le décret du 5 mai 2017 précise les conditions du recueil et de la transmission des données issues des dispositifs médicaux utilisés dans le cadre des traitements d'affections chroniques inscrits sur la liste prévue par l'article L. 165-1-3 du code de la sécurité sociale, il n'a ni pour objet ni pour effet d'autoriser, par lui-même, la création des traitements que rend nécessaire la mise en oeuvre des dispositions de cet article, dont les responsables sont les prestataires de service en vertu de l'article R. 165-77 qu'il insère dans le code de la sécurité sociale. Dès lors, les organisations requérantes ne peuvent utilement soutenir que ce décret serait illégal faute de préciser la dénomination du traitement qu'il autoriserait, les modalités du droit d'accès ouvert aux personnes physiques dont les données à caractère personnel font l'objet du traitement ou les destinataires de ces données.

17. En dernier lieu, le moyen tiré de ce que le décret du 5 mai 2017 ne prévoirait pas les garanties nécessaires au respect de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés n'est pas assorti des précisions permettant d'en apprécier le bien-fondé.

Sur le respect de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, ainsi que de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés :

18. En premier lieu, aux termes du 1 de l'article 15 de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, alors en vigueur : " Les États membres reconnaissent à toute personne le droit de ne pas être soumise à une décision produisant des effets juridiques à son égard ou l'affectant de manière significative, prise sur le seul fondement d'un traitement automatisé de données destiné à évaluer certains aspects de sa personnalité, tels que son rendement professionnel, son crédit, sa fiabilité, son comportement, etc. ". Ces dispositions ont été transposées par celles du deuxième alinéa de l'article 10 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, qui prévoient, dans leur rédaction alors en vigueur, qu'aucune décision " produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité ". Si les dispositions de l'arrêté attaqué prévoient la prise en charge de la prestation de pression positive continue sur la base de forfaits différant selon l'observance du traitement, appréciée sur la base du traitement des données à caractère personnel relatives aux modalités d'utilisation du dispositif médical mis à disposition de l'assuré social, un tel traitement ne peut être regardé comme destiné à définir son profil ou à évaluer certains aspects de sa personnalité au sens des dispositions du deuxième alinéa de l'article 10 de la loi du 6 janvier 1978. Par suite, le moyen tiré de la méconnaissance des objectifs de l'article 15 de la directive du 24 octobre 1995 et des dispositions de l'article 10 de la loi du 6 janvier 1978 doit être écarté.

19. En deuxième lieu, les données résultant de l'utilisation par les patients de dispositifs médicaux à pression positive continue sont des données à caractère personnel relatives à leur santé et relèvent, dès lors, de l'article 8 de la loi du 6 janvier 1978, dans sa rédaction applicable à la date de l'arrêté attaqué. Toutefois, l'article L. 165-1-3 du code de la sécurité sociale subordonne le recueil et la transmission de ces données à l'accord du patient, de sorte que les traitements impliqués par la mise en oeuvre de ses dispositions sont permis en vertu du II de l'article 8, qui autorise le traitement de telles données, dans la mesure où la finalité du traitement l'exige, si la personne concernée a donné son consentement exprès. Par suite, il résulte des dispositions combinées des articles 8, 22, 25, 26, 27 et 36 de la loi du 6 janvier 1978, dans leur rédaction alors applicable, que ces traitements sont subordonnés soit à l'autorisation de la Commission nationale de l'informatique et des libertés, sans qu'un décret en Conseil d'Etat soit nécessaire, en cas d'utilisation du numéro d'inscription des personnes au répertoire national d'identification des personnes physiques, soit à simple déclaration auprès d'elle, dans l'hypothèse inverse. Dans les deux cas, il incombe aux prestataires, qui en sont les responsables en vertu de l'article R. 165-77 du code de la sécurité sociale, pris sur le fondement de l'article 3 de la loi du 6 janvier 1978, d'accomplir les formalités requises par cette même loi, pour pouvoir mettre en oeuvre légalement ces traitements. En revanche, la légalité de l'arrêté attaqué, qui n'a ni pour objet ni pour effet de les autoriser, n'est pas subordonnée à l'accomplissement de ces formalités et les moyens tirés de la méconnaissance des articles 25 et 27 de la loi du 6 janvier 1978 ne peuvent qu'être écartés.

20. En troisième lieu, aux termes de l'article 6 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : " Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : / (...) / 3° Elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ". Si l'arrêté attaqué prévoit la transmission quotidienne du " nombre d'heures d'utilisation par le patient de l'appareil de PPC sur 24 heures ", alors que la facturation repose sur l'utilisation du dispositif médical par période de 28 jours consécutifs, cette transmission, destinée à permettre un meilleur suivi par le praticien prescripteur et un meilleur accompagnement par le prestataire en vue de favoriser une bonne utilisation du dispositif médical, conformément à l'objectif poursuivi par les traitements mis en oeuvre sur le fondement de l'article L. 165-1-3 du code de la sécurité sociale, ne présente pas, contrairement à ce que soutiennent les organisations requérantes, un caractère excessif, en violation de l'article 6 de la loi du 6 janvier 1978.

21. En quatrième lieu, l'article L. 165-1-3 du code de la sécurité sociale subordonne à l'accord du patient le recueil des données d'utilisation du dispositif médical mis à sa disposition et leur télétransmission au médecin prescripteur, au prestataire et au service du contrôle médical. Les premier et deuxième alinéas du I de l'article R. 165-76 du code de la sécurité sociale imposent, avant le recueil et la transmission des même données, le recueil de son consentement. En application de ces dispositions, l'arrêté attaqué prévoit " la signature d'un consentement libre, éclairé, explicite et documenté " par le patient, ou par ses parents dans le cas d'un patient de moins de seize ans, qui précise " les traitements des données de façon exhaustive en conformité avec les exigences de la Commission nationale informatique et libertés ". Toutefois, l'article 3 de l'arrêté attaqué prévoit qu'un consentement, signé antérieurement avant sa publication, qui ne correspondrait pas à ces exigences puisse permettre la mise en oeuvre du télésuivi du traitement pendant une durée d'un an. Les organisations requérantes sont fondées à soutenir que cette disposition méconnaît les premier et deuxième alinéas du I de l'article R. 165-76 du code de la sécurité sociale et à en demander, pour ce motif, l'annulation.

22. En dernier lieu, aux termes du II de l'article 3 de la loi du 6 janvier 1978 : " Le destinataire d'un traitement de données à caractère personnel est toute personne habilitée à recevoir communication de ces données autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, en raison de leurs fonctions, sont chargées de traiter les données (...) ". L'article L. 165-1-3 du code de la sécurité sociale prévoit que les données résultant de l'utilisation par le patient du dispositif médical " peuvent, avec l'accord du patient, être télétransmises au médecin prescripteur, au prestataire et au service du contrôle médical ". Enfin, le troisième alinéa du II de l'article R. 165-76 du même code prévoit que la transmission de ces données " ne peut en aucun cas conduire à révéler l'identité du patient au fabricant du dispositif médical ". L'arrêté attaqué prévoit que les dispositifs de télésuivi des appareils de pression positive continue, qui sont délivrés par les fabricants aux prestataires, " doivent transmettre les données des appareils des patients vers le serveur du fabricant où les données sont hébergées en conformité avec les exigences réglementaires relatives aux données de santé ". D'une part, l'arrêté n'a, ce faisant, ni pour objet ni pour effet de rendre les fabricants destinataires des données d'utilisation des appareils au sens de l'article 3 de la loi du 6 janvier 1978, en méconnaissance des dispositions de l'article L. 165-1-3 du code de la sécurité sociale déterminant ces destinataires, mais les charge seulement de l'hébergement de ces données, ce qu'ils devront faire, en qualité de sous-traitants des prestataires, dans le respect de l'article L. 1111-8 du code de la santé publique relatif à l'hébergement de données de santé à caractère personnel et des dispositions réglementaires prises pour son application. D'autre part, alors que le ministre fait valoir que l'hébergement, par les serveurs des fabricants, des données d'utilisation, auxquelles est seulement associé un numéro correspondant à la machine ou au dispositif de télésuivi sans permettre l'identification du patient, constitue, en l'état, la solution technique présentant le plus de garanties de fiabilité et de sécurité, tout en limitant les investissements nécessaires pour les prestataires, il ne ressort pas des pièces du dossier que les dispositions de l'arrêté prévoyant l'hébergement des données par les fabricants seraient entachées d'une erreur manifeste d'appréciation ou d'un détournement de pouvoir.

Sur les modalités d'entrée en vigueur de l'arrêté :

23. Aux termes de l'article L. 221-5 du code des relations entre le public et l'administration : " L'autorité administrative investie du pouvoir réglementaire est tenue, dans la limite de ses compétences, d'édicter des mesures transitoires dans les conditions prévues à l'article L. 221-6 lorsque l'application immédiate d'une nouvelle réglementation est impossible ou qu'elle entraîne, au regard de l'objet et des effets de ses dispositions, une atteinte excessive aux intérêts publics ou privés en cause. / Elle peut également y avoir recours, sous les mêmes réserves et dans les mêmes conditions, afin d'accompagner un changement de réglementation ".

24. En l'espèce, alors que l'arrêté attaqué a été publié au Journal officiel de la République française du 16 décembre 2017, son article 19 prévoit son entrée en vigueur au 1er janvier 2018. Or, si son article 13 prévoit des modalités transitoires de transmission des données jusqu'au 31 décembre 2018, dans le cas d'appareils de pression positive continue ne permettant pas le transfert direct et sécurisé des mémoires des appareils des patients non télésuivis vers le serveur du fabricant, les organisations requérantes font valoir que l'application des dispositions de l'arrêté attaqué implique l'aboutissement de diverses démarches et procédures, notamment la conclusion de protocoles entre les fabricants et les prestataires, l'agrément des fabricants en vue de l'hébergement des données de santé, en application de l'article R. 1111-9 du code de la santé publique, dans sa rédaction alors applicable, l'accomplissement par les prestataires des formalités préalables prévues par la loi du 6 janvier 1978, dans sa rédaction applicable, ainsi qu'il a été dit au point 19, ou encore l'adaptation des logiciels de facturation. Si la ministre des solidarités et de la santé se prévaut de la publication d'un avis au Journal officiel du 11 juillet 2017 et des consultations menées avec les professionnels concernés, il n'en résulte pas que ces derniers auraient été informés, avec un délai suffisant, de l'étendue des obligations qui seraient mises à leur charge ainsi que de la date à laquelle entreraient en vigueur les nouvelles modalités de prise en charge des prestations de pression positive continue. Par suite, les organisations requérantes sont fondées à soutenir que l'arrêté attaqué méconnaît le principe de sécurité juridique, rappelé à l'article L. 221-5 du code des relations entre le public et l'administration. Il y a lieu, dès lors, d'annuler l'arrêté attaqué en tant qu'il fait peser de nouvelles obligations sur les fabricants et les prestataires avant le 1er avril 2018.

25. Il résulte de tout ce qui précède que les organisations requérantes sont fondées à demander l'annulation des seules dispositions de l'article 3 de l'arrêté attaqué et de son article 19 en tant qu'il ne diffère pas l'entrée en vigueur des nouvelles obligations qu'il fait peser sur les fabricants et les prestataires au 1er avril 2018.

Sur les frais liés au litige :

26. Il n'y a pas lieu, dans les circonstances de l'espèce, de mettre une somme à la charge de l'État au titre des dispositions de l'article L. 761-1 du code de justice administrative.

D E C I D E :

--------------

Article 1er : L'article 3 de l'arrêté du 13 décembre 2017 modifiant la procédure d'inscription et les conditions de prise en charge du dispositif médical à pression positive continue pour traitement de l'apnée du sommeil et prestations associées au paragraphe 4 de la sous-section 2, section 1, chapitre 1er, titre I er de la liste prévue à l'article L. 165-1 (LPPR) du code de la sécurité sociale et son article 19, en tant qu'il ne diffère pas l'entrée en vigueur des nouvelles obligations qu'il fait peser sur les fabricants et les prestataires au 1er avril 2018, sont annulés.

Article 2 : Le surplus des conclusions de la requête de l'Union nationale des associations de santé à domicile, de l'Union nationale des associations d'insuffisants respiratoires défenseurs de la qualité de l'air, du Groupe national des insuffisants respiratoires chroniques et du Syndicat national des associations de malades insuffisants respiratoires est rejeté.

Article 3 : La présente décision sera notifiée à l'Union nationale des associations de santé à domicile, première requérante dénommée, à la ministre des solidarités et de la santé et au ministre de l'action et des comptes publics.

Copie en sera adressée à la Haute Autorité de santé.

26-07-01-02 DROITS CIVILS ET INDIVIDUELS. - TRAITEMENT DE DONNÉES À CARACTÈRE PERSONNEL RELATIVES AUX MODALITÉS D'UTILISATION D'UN DISPOSITIF MÉDICAL MIS À DISPOSITION DE L'ASSURÉ SOCIAL ET CONDITIONNANT L'INTENSITÉ DE SA PRISE EN CHARGE - CARACTÈRE DE TRAITEMENT DESTINÉ À DÉFINIR LE PROFIL OU À ÉVALUER CERTAINS ASPECTS DE LA PERSONNALITÉ DE L'INTÉRESSÉ (ART. 10 DE LA LOI DU 6 JANVIER 1978) - ABSENCE.

61-04-01-05 SANTÉ PUBLIQUE. PHARMACIE. PRODUITS PHARMACEUTIQUES. DISPOSITIFS MÉDICAUX. - TRAITEMENT DE DONNÉES À CARACTÈRE PERSONNEL RELATIVES AUX MODALITÉS D'UTILISATION D'UN DISPOSITIF MÉDICAL MIS À DISPOSITION DE L'ASSURÉ SOCIAL ET CONDITIONNANT L'INTENSITÉ DE SA PRISE EN CHARGE - CARACTÈRE DE TRAITEMENT DESTINÉ À DÉFINIR LE PROFIL OU À ÉVALUER CERTAINS ASPECTS DE LA PERSONNALITÉ DE L'INTÉRESSÉ (ART. 10 DE LA LOI DU 6 JANVIER 1978) - ABSENCE.

26-07-01-02 Arrêté du 13 décembre 2017 par lequel les ministres chargés de la sécurité sociale et de la santé ont modifié les conditions d'inscription, sur la liste des produits et prestations remboursables prévue à l'article L. 165-1 du code de la sécurité sociale (CSS), du dispositif médical à pression positive continue pour le traitement du syndrome de l'apnée du sommeil et des prestations associées, en précisant les conditions dans lesquelles sont recueillies et transmises, sur le fondement de l'article L. 165-1-3 de ce code, les données issues de ce dispositif médical, qui déterminent les modalités de sa prise en charge par l'assurance maladie,,,Si les dispositions de l'arrêté attaqué prévoient la prise en charge de la prestation de pression positive continue sur la base de forfaits différant selon l'observance du traitement, appréciée sur la base du traitement des données à caractère personnel relatives aux modalités d'utilisation du dispositif médical mis à disposition de l'assuré social, un tel traitement ne peut être regardé comme destiné à définir son profil ou à évaluer certains aspects de sa personnalité au sens du deuxième alinéa de l'article 10 de la loi n° 78-17 du 6 janvier 1978 prévoyant qu'aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité. Par suite, le moyen tiré de la méconnaissance des objectifs de l'article 15 de la directive 95/46/CE du 24 octobre 1995 et des dispositions de l'article 10 de la loi du 6 janvier 1978 l'ayant transposé doit être écarté. 61-04-01-05 Arrêté du 13 décembre 2017 par lequel les ministres chargés de la sécurité sociale et de la santé ont modifié les conditions d'inscription, sur la liste des produits et prestations remboursables prévue à l'article L. 165-1 du code de la sécurité sociale (CSS), du dispositif médical à pression positive continue pour le traitement du syndrome de l'apnée du sommeil et des prestations associées, en précisant les conditions dans lesquelles sont recueillies et transmises, sur le fondement de l'article L. 165-1-3 de ce code, les données issues de ce dispositif médical, qui déterminent les modalités de sa prise en charge par l'assurance maladie,,,Si les dispositions de l'arrêté attaqué prévoient la prise en charge de la prestation de pression positive continue sur la base de forfaits différant selon l'observance du traitement, appréciée sur la base du traitement des données à caractère personnel relatives aux modalités d'utilisation du dispositif médical mis à disposition de l'assuré social, un tel traitement ne peut être regardé comme destiné à définir son profil ou à évaluer certains aspects de sa personnalité au sens du deuxième alinéa de l'article 10 de la loi n° 78-17 du 6 janvier 1978 prévoyant qu'aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité. Par suite, le moyen tiré de la méconnaissance des objectifs de l'article 15 de la directive 95/46/CE du 24 octobre 1995 et des dispositions de l'article 10 de la loi du 6 janvier 1978 l'ayant transposé doit être écarté.