Références

NOR : SSAP2125738D
ELI : https://www.legifrance.gouv.fr/eli/decret/2021/12/2/SSAP2125738D/jo/texte
Alias : https://www.legifrance.gouv.fr/eli/decret/2021/12/2/2021-1566/jo/texte
Source : JORF n°0282 du 4 décembre 2021, texte n° 65

Informations

Publics concernés : Usagers du service du numéro national de prévention du suicide ; personnels des centres répondants.

Objet : Modalités de création d’un traitement de données à caractère personnel dénommé « système d’information du numéro national de prévention du suicide ».

Entrée en vigueur : Le décret entre en vigueur le lendemain de sa publication.

Notice : Le décret crée un traitement de données à caractère personnel dénommé « système d’information du numéro national de prévention du suicide » ayant pour objet de permettre aux professionnels répondants au numéro national de prévention du suicide de collecter et d’échanger avec les acteurs concernés les informations nécessaires à l’aide aux usagers de ce numéro d’appel, et dès lors d’améliorer les conditions de leur prise en charge et de leur suivi. Il détermine les finalités du traitement, les catégories de données à caractère personnel enregistrées dans le traitement, les destinataires et la durée de conservation de ces données, ainsi que les modalités d’exercice de leurs droits par les personnes concernées.

Références : Le décret peut être consulté sur Légifrance (https://www.legifrance.gouv.fr).

En-tête

Le Premier ministre,
Vu le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données, dit RGPD), et abrogeant la directive n° 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu l’avis de la Commission nationale de l’informatique et des libertés en date du 16 septembre 2021 ;
Après avis du Conseil d’Etat (section sociale),
Décrète :

Article 1

Il est créé un traitement de données à caractère personnel dénommé Système d’information du numéro national de prévention du suicide (SI-2NPS).
Le SI-2NPS, placé sous la responsabilité conjointe de la direction générale de la santé et du centre hospitalier universitaire de Lille, est mis en œuvre pour l’exécution d’une mission d’intérêt public, conformément au e du 1 de l’article 6 du règlement (UE) n° 2016/679 du 27 avril 2016 susvisé. Le centre hospitalier universitaire de Brest en assure la maîtrise d’œuvre, en qualité de sous-traitant, dans les conditions prévues à l’article 28 du même règlement.
Le SI-2NPS est mis à disposition des centres répondant aux appels au numéro national de prévention du suicide, organisés au sein d’établissements de santé, et dont la liste est fixée par arrêté du ministre chargé de la santé.

Ce traitement a pour finalités :

—1° La réalisation, par les centres répondants, d’activités d’écoute, d’évaluation, de diagnostic et d’orientation de personnes en situation de souffrance psychique appelant le numéro national de prévention du suicide, notamment de celles présentant un risque identifié de suicide, ainsi que l’accompagnement de ces personnes en lien avec les professionnels concourant à leur prise en charge sanitaire et médico-sociale ;

—2° L’accompagnement et le conseil, par les centres répondants, de toute autre personne appelant le numéro national de prévention du suicide, en particulier des proches ou des professionnels prenant en charge des personnes en situation de souffrance psychique, afin de les aider dans l’identification de la crise suicidaire et la prise en charge de ces personnes ;

—3° Le suivi épidémiologique du suicide aux niveaux national et local et le développement de la recherche en santé mentale.

Article 2

Les catégories de données à caractère personnel susceptibles d’être collectées et enregistrées dans le traitement SI-2NPS sont :

—1° Les données d’identité et de contact de l’appelant, lorsqu’il n’appelle pas pour sa situation propre, ainsi que, le cas échéant, son lien avec la personne en situation de souffrance psychique dont il évoque la situation ;

—2° Les données concernant la personne en situation de souffrance psychique :
——a) Les données d’identité, incluant l’identifiant national de santé mentionné à l’article L. 1111-8-1 du code de la santé publique, ainsi que les données de contact ;
——b) Le cas échéant, les données d’identité et de contact de son représentant légal ou du titulaire de l’autorité parentale ainsi que les mesures de protection dont elle fait l’objet ;
——c) Les informations sur la situation familiale et sociale de la personne ;
——d) Les informations relatives aux facteurs de risque et antécédents de la personne vis-à-vis du suicide. Ces informations peuvent notamment porter sur des discriminations, des faits de harcèlement, un isolement, des difficultés financières ou des procédures judiciaires en cours, sur des événements de vie pertinents, sur des antécédents psychiatriques de la personne ou de son entourage, ainsi que sur la facilité d’accès à des moyens létaux ;

—3° Les données d’identité et de contact concernant la famille, les référents, les proches contacts de la personne en situation de souffrance psychique ;

—4° Les données d’identité et de contact des professionnels de santé participant à la prise en charge sanitaire ou médico-sociale de la personne en situation de souffrance psychique ;

—5° Les données relatives à l’évaluation réalisée par le professionnel répondant, aux interventions ou orientations retenues dans le cadre de l’échange avec l’appelant ;

—6° L’enregistrement audio des appels téléphoniques entrants et sortants, ainsi que les données permettant d’en assurer la journalisation ;

—7° Les données d’identité et de contact des utilisateurs du système, ainsi que les données relatives à la traçabilité de leurs accès et actions.

Article 3

I. – Les personnels des centres répondants sont habilités individuellement par le directeur de leur établissement à enregistrer et à consulter les données du SI-2NPS, pour les personnes qu’ils prennent en charge, pour les finalités énoncées aux 1° et 2° de l’article 1er.

II. – Sont destinataires des données enregistrées dans le traitement strictement nécessaire à l’exercice de leurs missions :

—1° Les professionnels de santé et médico-sociaux, s’agissant des catégories de données mentionnées aux 1° à 6° de l’article 2 du présent décret, pour les patients qu’ils prennent en charge ou dont ils assurent le suivi ;

—2° L’Agence nationale de santé publique, dans le cadre de ses missions décrites à l’article L. 1413-1 du code de la santé publique, s’agissant des catégories de données mentionnées aux 2° et 5° de l’article 2 du présent décret, après application de mesures adéquates de pseudonymisation permettant d’assurer la confidentialité de l’identité des personnes ;

—3° Les sous-traitants recrutés, dans les conditions prévues à l’article 28 du règlement (UE) du 27 avril 2016 susvisé, aux fins d’assurer la conception, le développement, la maintenance et l’hébergement du SI-2NPS, ou pour la finalité mentionnée au 3° de l’article 1er du présent décret.

Article 4

Les données traitées sont conservées dans le traitement SI-2NPS, à la disposition des professionnels des centres répondants, pendant une durée de six mois après la dernière consultation du dossier ou l’enregistrement de la dernière pièce.
A l’expiration de cette durée, les données sont conservées pendant une durée de vingt ans aux seules fins de prise en charge du patient ou de preuve dans le cadre de procédures administratives ou juridictionnelles. Toutefois, cette conservation ne peut dépasser une durée de dix ans après la majorité du patient lorsque celui-ci était mineur lors de son dernier appel, ni une durée de dix ans après la date de décès du patient si celui-ci est intervenu moins de dix ans après le dernier appel. Seules les personnes spécialement habilitées, dans les conditions définies par les responsables conjoints du traitement, peuvent y accéder.
Par dérogation aux deux alinéas précédents, les données de contact ainsi que les données de traçabilité des accès et des actions des utilisateurs mentionnées au 7° de l’article 2 sont conservées pendant une durée de trois ans.

Article 5

I. – Les personnes dont les données sont directement recueillies par le centre répondant reçoivent l’information prévue par l’article 13 du règlement (UE) n° 2016/679 susvisé lors de l’enregistrement de leurs données dans le traitement sauf, en application du e et du i du 1 de l’article 23 du même règlement, lorsque la situation de la personne appelante y fait obstacle. Cette information figure sur le site internet du numéro national de prévention du suicide, ainsi que sur tout support d’information le concernant.
En application du c du 5 de l’article 14 de ce règlement, l’exigence d’information prévue au même article 14 n’est pas applicable aux personnes, autres que l’appelant, dont les données sont recueillies à l’occasion d’un appel.

II. – Les personnes dont les données sont traitées peuvent exercer leur droit d’accès aux données les concernant, prévu à l’article 15 du règlement (UE) n° 2016/679 susvisé, à l’exclusion de toute donnée personnelle relative à une autre personne physique.

III. – Les personnes dont les données sont traitées peuvent exercer leur droit d’opposition, pour des raisons tenant à leur situation particulière, conformément à l’article 21 du règlement (UE) n° 2016/679 susvisé. Lorsqu’il est fait droit à leur demande, les données en cause sont effacées, conformément au c du 1 de l’article 17 du même règlement.
Lorsque la demande porte sur l’utilisation de leurs données pseudonymisées à fins de recherche, l’opposition est de droit.

IV. – Sous réserve des dispositions du premier alinéa du III, le droit à l’effacement prévu à l’article 17 du règlement (UE) n° 2016/679 susvisé n’est, en application du b et du c du 3 du même article, pas applicable au traitement SI-2NPS.

V. – Les droits mentionnés aux I, II et III, ainsi que les droits de rectification et de limitation prévus aux articles 16 et 18 du règlement (UE) n° 2016/679 du 27 avril 2016 susvisé, s’exercent auprès du délégué à la protection des données du centre hospitalier universitaire de Brest.

Article 6

Le ministre des solidarités et de la santé est chargé de l’exécution du présent décret, qui sera publié au Journal officiel de la République française.

Date et signature(s)

Fait le 2 décembre 2021.

Jean Castex
Par le Premier ministre :

Le ministre des solidarités et de la santé,
Olivier Véran