AgentPublic/cnil huggingface dataset:
La Commission prend acte de ce que le Groupement de coopération sanitaire Caraïbes a conclu avec l’Agence régionale de santé de la Martinique un contrat de télémédecine le 18 janvier 2016 ;
Responsable du traitement
Le Groupement de coopération sanitaire Caraïbes (ci-après, le GCS) est une personne morale de droit privé qui a pour missions de :
faciliter, améliorer ou développer l’activité des membres en organisant ou gérant des activités administratives, logistiques, techniques, médico-techniques, d’enseignement et/ou de recherche en réalisant ou gérant des équipements d’intérêt commun et en permettant des interventions communes ;
mutualiser les moyens humains et techniques, les savoir-faire et les compétences des différents acteurs de la santé et de l’action sociale en Martinique, membres du GCS, pour une prise en charge globale du patient ;
développer et gérer des protocoles de coopération ;
préparer et mettre en œuvre toutes actions visant à atteindre des objectifs de santé publique. 
Sur la finalité
Le traitement mis en œuvre a pour objet de permettre la promotion et le suivi du dépistage de la rétinopathie diabétique (RD) via un outil de télésurveillance.
Il poursuit les finalités suivantes : 
la consultation de dépistage de la RD via un acte de télésurveillance ;
la mise en place d’un dossier patient ophtalmologique partagé, la mise en commun d’informations médicales entre les professionnels de santé   prenant en charge les patients suivis en ophtalmologie (ophtalmologiste, orthoptiste et, le cas échéant, médecin traitant) ;
le suivi et la promotion du dépistage de la rétinopathie diabétique.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes conformément à  l’article 6 de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme par l’espèce, par l’intérêt public.
Sur les données traitées
Concernant les patients, peuvent faire l’objet d’un traitement : 
- les données d’identification (nom, prénom, date de naissance, sexe, adresse postale), les coordonnées des personnes à contacter en cas d’urgence ;
- les données relatives à la santé nécessaires à la prise en charge du patient : 
les données issues du formulaire « interrogatoire And examen »  qui comprend des données médicales obtenues par le professionnel de santé lors de la consultation du patient (antécédents, allergie,  données de biologie,  tension artérielle, acuité visuelle, pression intraoculaire, instillation de tropicamide) ;
les données issues du formulaire « rétinophotos » qui comprend les photographies des fonds de l’œil droit et gauche du patient prises à l’aide d’un rétinographe non mydriatique ;
le formulaire d’évaluation dont l’objet est la saisie des données de l’évaluation des photos du fonds de l’œil faite par l’ophtalmologiste ;
le formulaire des « recommandations » qui comprend les recommandations de l’ophtalmologiste au patient concernant les suites à donner à la consultation de dépistage.
Concernant les professionnels de santé chargés du suivi des patients, peuvent faire l’objet d’un traitement : les données d’identification (titre, nom, prénom), la profession/spécialité, le numéro de la carte de professionnel de santé (CPS), de personnel d’établissement, de personnel autorisé, la langue de travail et les coordonnées professionnelles.
La Commission estime que ces données sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Les destinataires
Les destinataires des informations sont les suivants : - les professionnels de santé authentifiés et habilités membres de l’équipe de soin en charge du patient dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge du patient ;- le personnel paramédical, placé sous la responsabilité du professionnel de santé, authentifié et habilité dans la limite de ses attributions et dans la stricte mesure nécessaire à la prise en charge du patient ;- le directeur du programme au sein du GCS, qui peut accèder aux données statistiques et aux données nominatives nécessaires à la réattribution du dossier d’un patient à un autre ophtalmologiste désigné préalablement par le patient lorsque  l’ophtalmologiste initial n’est pas en mesure d’effectuer la consultation (en cas d’absence, de maladie par exemple).Ces destinataires n’appellent pas d’observations.
Sur les droits des personnes
Le patient est informé des modalités de mise en œuvre du dossier médical partagé, ainsi que des droits qui lui sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’un document d’information, dans des conditions conformes aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée. Le consentement exprès du patient à la constitution de son dossier médical partagé est recueilli, sous forme papier,  préalablement à la mise en œuvre du traitement.Le patient est informé des modalités d’exercice des droits d’accès, de rectification et d’opposition qui lui sont reconnus par la loi.Il est également informé qu’il peut obtenir la traçabilité de l’accès à son dossier.L’exercice des droits s’opère auprès du directeur du programme de dépistage de la rétinopathie diabétique.La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La plateforme centrale est hébergée auprès d’un hébergeur agréé au sens de l’article L.1111-8 du code de la santé publique. Elle fait l’objet des mesures de protection physiques et logiques propres à cet agrément.Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin ; ils sont attribués sur demande écrite des responsables du GCS.Aucune de ces habilitations ne confère automatiquement un accès aux données médicales du dossier patient : cet accès est subordonné au consentement exprès préalable du patient.La Commission recommande qu’une revue des habilitations soit opérée régulièrement et que les permissions d'accès soient systématiquement supprimées pour tout utilisateur n'étant plus habilité.Les accès des professionnels de santé sont soumis à une authentification forte basée sur la CPS ou sur la combinaison d’un identifiant, d’un mot de passe et d’un One Time Password (OTP). L’OTP est adressé par SMS ou par messagerie électronique, ou généré par une application dédiée.Les mots de passe précités respectent les recommandations de la Commission (8 caractères comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux, modification dès la première connexion, renouvellement tous les 6 mois) et font l’objet d’une mesure de verrouillage par seuil avec déverrouillage automatique temporel. La Commission rappelle que les mots de passe ne doivent pas être stockés en clair dans la
base de données.La Commission relève que le nouvel article L.1110-4 du code de la santé publique issu de la loi de modernisation de notre système de santé du 26 janvier 2016 ne prévoit plus l’authentification par CPS ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé.Les opérations de consultation, création, modification et suppression des données sont journalisées.Les administrateurs systèmes, qui pourraient avoir accès aux données des patients, se connectent à distance via un réseau privé virtuel (VPN) et à travers un bastion d’administration, lequel assure leur authentification et trace toutes les opérations effectuées.  A cet égard, la Commission recommande d’effectuer un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et lever des alertes. Elle recommande que des mesures soient mises en œuvre pour assurer l’intégrité de ces traces et que l’administrateur qui est en mesure de consulter les traces des accès n’accède pas aux données de
santé.Sous réserve des précédentes observations, la Commission estime que les conditions de mise en œuvre de ce traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission prend acte de ce que le Groupement de coopération sanitaire Caraïbes a conclu avec l’Agence régionale de santé de la Martinique un contrat de télémédecine le 18 janvier 2016 Les données sont conservées pendant une durée maximale de cinq ans, mentionnée dans le formulaire de consentement du patient. La Commission rappelle que la durée de conservation des traces d’accès aux données de santé ne saurait excéder la durée de conservation de ces dernières.
Autorise, conformément à la présente délibération, le Groupement de coopération sanitaire Caraïbes à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1863939)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Bien-être assistance d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un programme d’apprentissage portant sur la spécialité pharmaceutique Toujeo, et le stylo Toujeo Solostar, exploité par le laboratoire Sanofi France ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1110-4-1, L. 1111-8, L. 1161-1 et R. 1161-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société Bien-être assistance est un opérateur de programmes d’apprentissage au sens de l’article L. 1161-5 du code de la santé publique. Elle a été choisie et conventionnée par le laboratoire Sanofi France pour mettre en œuvre un programme d’apprentissage dans l’objectif de rendre le patient plus autonome en facilitant son adhésion aux traitements prescrits et en améliorant sa qualité de vie. Ce programme a pour dénomination « Toujeo et moi ».
Sur la finalité
Le traitement a pour finalité la mise en œuvre d’un programme d’apprentissage portant sur la spécialité pharmaceutique Toujeo et le stylo Toujeo Solostar exploités par le laboratoire Sanofi France et ayant pour objet l’appropriation par les patients des gestes techniques permettant leur utilisation. La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6 de la loi du 6 janvier 1978 modifiée. Ce traitement relève des dispositions combinées des articles 8-IV et 25-I-1° de la loi Informatique et Libertés qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public, tel que rappelé à l’article R. 1161-24 du code de la santé publique.
Sur les données traitées
Les données faisant l’objet d’un traitement sont celles relatives :
 aux patients qui s’inscrivent au programme d’apprentissage :
l’identité ;
la date de naissance ;
les coordonnées (numéro de téléphone, adresses)
des données de vie personnelle (habitudes de vie, habitudes d’utilisation des appareils) ; 
des informations relatives à la santé (pathologie, antécédents, objectifs et traitements médicaux, informations relatives à la connaissance du patient sur son traitement) ;
aux médecins traitants et prescripteurs :
l’identité ;
l’identifiant professionnel (RPPS) ;
les coordonnées (adresse professionnelle) ;
la spécialité ;
le mode d’exercice (libéral, établissement).
 aux patients qui s’inscrivent au programme d’apprentissage :
l’identité ;
la date de naissance ;
les coordonnées (numéro de téléphone, adresses)
des données de vie personnelle (habitudes de vie, habitudes d’utilisation des appareils) ; 
des informations relatives à la santé (pathologie, antécédents, objectifs et traitements médicaux, informations relatives à la connaissance du patient sur son traitement) ;
aux médecins traitants et prescripteurs :
l’identité ;
l’identifiant professionnel (RPPS) ;
les coordonnées (adresse professionnelle) ;
la spécialité ;
le mode d’exercice (libéral, établissement).
La Commission estime que les données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Selon la réglementation relative aux programmes d’apprentissage, seule l’équipe en charge d’un programme doit pouvoir avoir accéder aux données à caractère personnel relatives aux patients qui y sont inscrits. En effet, la loi prévoit l’interdiction d’accès des laboratoires aux données identifiantes et les dispositions réglementaires précisent que les données doivent être anonymisées par le médecin ou le pharmacien responsable du programme chez l’opérateur avant transmission à ce dernier et au laboratoire. Les mesures telles que décrites ci-dessous satisfont à cette obligation. 
Sur les droits des personnes
Le consentement du patient à participer à ce programme est recueilli par le médecin prescripteur du médicament faisant l’objet du programme. Lorsque le patient manifeste son accord, le formulaire de consentement écrit, dont le patient conserve une copie, est adressé par le médecin prescripteur aux professionnels de santé employés par l’opérateur, conformément à l’article R. 1161-23 du code de la santé publique. La plateforme téléphonique de l’opérateur contacte le patient afin de finaliser son inscription.Les patients inscrits à un programme sont informés des droits qui leur sont reconnus et des modalités d’exercice de ceux-ci, ainsi que de la possibilité de se désinscrire du programme à tout moment, conformément à la loi du 6 janvier 1978 modifiée et aux articles R. 1161-8 à R. 1161-26 du code de la santé publique.Les médecins prescripteurs et les médecins traitants sont également informés des droits qui leur sont reconnus par la loi précitée. La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Sur le contrôle d’accès et les habilitationsDes profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Les permissions d'accès sont supprimées pour tout  utilisateur n'étant plus habilité. A ce propos, la Commission rappelle qu’une revue globale des habilitations doit être opérée régulièrement.Des habilitations spécifiques sont prévues pour le personnel non professionnel de santé, afin qu'il ne puisse avoir accès qu'à des données non identifiantes sur les patients. Chaque habilitation doit être validée par le responsable d’habilitation. Les habilitations pour accéder aux logiciels utilisés pour la gestion du programme d’apprentissage sont réservées à l’équipe dédiée du programme d’apprentissage.Les connexions à l’application se font par l’utilisation d’une combinaison identifiant / mot de passe individuelle. Le responsable de traitement a mis en place une politique de mot de passe exigeant  au minimum huit caractères et comprenant trois types de caractères parmi les quatre possibles (majuscules, minuscules, chiffres et caractères spéciaux), renouvelé au moindre doute de compromission et de manière périodique (tous les six mois). La Commission relève que le nouvel article L.1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par carte de professionnel de santé (CPS) ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article
L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par arrêté du ministre chargé de la santé, pris après avis de la Commission nationale de l'informatique et des libertés.Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé.Sur les échanges de donnéesLes échanges de données et les accès au service sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et de la destination. A ce sujet, la Commission rappelle que les méthodes cryptographiques utilisées doivent être les plus à jour possibles.Sur la traçabilitéLa Commission relève que l’opérateur met en place une traçabilité des actions effectuées sur les données, en consultation, création, modification et suppression. La Commission rappelle qu’il convient d’informer les personnels concernés de la mise en œuvre de cette mesure.Sur la conservation des donnéesLes données à caractère personnel sont conservées pendant la durée d’inscription du patient au programme. La Commission considère que cette durée est adéquate avec les finalités du traitement. Elle rappelle qu’à l’issue de la participation d’un patient à un programme, seules des données anonymisées peuvent être
conservées par l’opérateur, en application de l’article R. 1161-24 du code de la santé publique. Ce même article prévoit que l’opérateur ne peut pas sous-traiter tout ou partie des opérations prévues par le programme d’apprentissage. La Commission estime cependant que ces dispositions ne font pas obstacle à l’hébergement, dans des conditions conformes à l’article L. 1111-8 du code de la santé publique relatif à l’hébergement des données de santé.S’agissant des données de santé à caractère personnel recueillies ou produites à l’occasion des activités de prévention, de diagnostic ou de soins, celles-ci sont hébergées auprès d’un hébergeur agréé, conformément aux dispositions de l’article L. 1111-8 du code de la santé publique. Ces données doivent être sauvegardées et archivées de manière à assurer leur pérennité et leur confidentialité. Sur l’anonymisationL’article R. 1161-23 du code de la santé publique prévoit que le médecin ou le pharmacien responsable du programme, doit procéder à l’anonymisation des informations avant de les transmettre à l’opérateur qui l’emploie et à l’entreprise exploitant le médicament faisant l’objet du programme.La Commission prend acte de ce que les fiches d’apprentissage qui consignent l’ensemble des échanges intervenus entre les professionnels chargés du programme et les patients inscrits font l’objet d’une anonymisation avant transmission à l’opérateur ou au laboratoire pharmaceutique.La Commission rappelle qu’en application de l’article
R.1161-24 du code de la santé publique,  le médecin ou le pharmacien responsable du programme d’apprentissage employé par la société Bien-être assistance ne doit pas exercer de fonctions qui seraient incompatibles avec les exigences du décret relatif aux programmes d’apprentissage. Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. La Commission appelle également l’attention du responsable de traitement sur les méthodes d’anonymisation telles que définies par le G29 dans son avis n°05/2014.
Sur les autres caractéristiques du traitement
La Commission relève que les dispositions réglementaires relatives aux programmes d’apprentissage prévoient que l’entreprise exploitant le médicament ayant fait l’objet d’un programme d’apprentissage doit produire un bilan de suivi à la fin de chaque programme ou au plus tard au moment de son renouvellement. Dès lors, elle rappelle que ces bilans d’évaluation devront faire l’objet de formalités au titre de la loi du 6 janvier 1978 modifiée. 
Autorise, conformément à la présente délibération, la société Bien-être assistance à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1909786)
La Commission nationale de l'informatique et des libertés,
Saisie par la Direction de la recherche, des études, de l’évaluation et des statistiques (DREES) du ministère des affaires sociales et de la santé d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’une enquête sur les délais d’attente en matière d’accès aux soins ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 51-711 du 7 juin 1951 modifiée sur l’obligation, la coordination et le secret en matière de statistiques ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-7° et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’avis de conformité et le label d’intérêt général et de qualité statistique délivré par le comité du label de la statistique publique du Conseil national de l’information statistique le 24 février 2016 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Direction de la recherche, des études, de l’évaluation et des statistiques (DREES) du ministère des affaires sociales et de la santé.La DREES est un service statistique ministériel au sens de la loi n° 51-711 du 7 juin 1951 modifiée sur l'obligation, la coordination et le secret en matière de statistiques.
Sur la finalité