AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,Saisie par le centre hospitalier d’Arras d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’usage d’un outil de télémédecine dénommé  Teleeg  permettant la réalisation d’actes de téléexpertise dans le domaine neurophysiologique;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le Code civil, notamment son article 16-3 ; 
Vu le code de la santé publique, notamment son article L. 6316-1, L. 1110-4, L. 1111-4, L. 1111-8 et R. 6316-1 à R. 6316-11 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le centre hospitalier d’Arras (CH d’Arras), établissement public de santé qui assure la réponse et la régulation de l’aide médicale d’urgence et accueille la permanence des soins en médecine libérale. 
Sur la finalité
L’outil de télémédecine projeté, dénommé  Teleeg , a pour objectif, conformément aux dispositions de l’article R. 6316-1 du code de la santé publique, d’organiser la réalisation d’actes de téléexpertise d’électroencéphalogrammes (EEG), permettant à un professionnel de santé de solliciter l’avis à distance d’un ou de plusieurs professionnels médicaux en raison de leurs formations ou de leurs compétences particulières. 
L’outil  Teleeg  permet la transmission par le professionnel de santé prenant en charge le patient d’une séquence d’images médicales et de renseignements cliniques au neurophysiologiste référent spécialisé dans la lecture des EGG du service de neurophysiologie clinique du Centre hospitalier régional universitaire de Lille, afin que celui-ci puisse établir un diagnostic. 
Un dossier médical partagé temporaire du patient, dénommé  télédossier , sera créé. 
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes. 
Elle considère qu’il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978, qui soumettent à autorisation de la CNIL les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique. 
Sur les données traitées
S’agissant des patients, les données traitées et échangées sont : 
les données d’identification : nom, prénom, sexe, date et lieu de naissance, âge,  identifiant patient de l’établissement, service et unité de soins ; 
les données de connexion : identifiants des terminaux, identifiants de connexion, information d’horodatage ; 
les données de santé nécessaires aux actes de télémédecine effectués : pathologie, affection, données relatives aux soins, EGG réalisés, enregistrements vidéo, antécédents, traitements actuels, renseignements cliniques, comptes rendus médicaux (audio et écrit retranscrit). 
S’agissant des professionnels de santé, les données traitées et échangées sont : 
les données d’identification : nom, numéro de téléphone ; 
les traces des actions effectuées sur les dossiers. 
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement. 
Sur les destinataires
Les destinataires des données traitées sont les professionnels de santé authentifiés et habilités dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la prise en charge de leurs patients.
L’utilisation de l’outil  teleeg  est subordonnée à la signature d’une convention par laquelle les professionnels de santé s’engagent à respecter les modalités de mise en œuvre de cet outil, et notamment l’information et le recueil du consentement du patient et de son représentant légal le cas échéant. Les professionnels sont informés que l’utilisation de l’outil  teleeg  n’exonère pas le médecin qui procède à l’acte de télémédecine de sa responsabilité en matière de diagnostic ou de traitement. 
Cet outil étant hébergé chez un hébergeur de données de santé agrée, le médecin de l’hébergeur a accès aux données de santé afin d’exercer ses missions, notamment afin de répondre aux demandes de droit d’accès des patients. 
Les administrateurs du GIP e-sis 59/62 et le responsable de la sécurité du CH d’Arras ont accès aux données de connexion. 
Ces destinataires n’appellent pas d’observation de la part de la Commission.  
Sur l’information et le droit d’accès 
Le professionnel de santé en contact avec le patient lui remet une note d’information, rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée. 
Pour chaque acte de télémédecine réalisé, le consentement du patient sera recueilli par écrit. Ce consentement sera ensuite  dématérialisé  par le professionnel de santé via l’utilisation d’une case à cocher et permettra l’ouverture du  télédossier .
En cas d’urgence vitale ne permettant pas le recueil du consentement, le professionnel de santé dispense les soins qui s’imposent compte tenu de l’état du patient, conformément aux dispositions de l’article 16-3 du code civil. Le motif justifiant l’impossibilité de recueillir le consentement du patient à l’acte de télémédecine rendu nécessaire par son état de santé sera précisé au sein d’un champ spécifiquement prévu à cet effet. 
Les droits d’accès, de rectification et de suppression, tels que reconnus par la loi du 6 janvier 1978 modifiée, sont explicités sur la note d’information ainsi que le formulaire de consentement précité et s’exerceront : 
pour le droit d’accès à un dossier médical : par écrit au directeur du CH d’Arras ; 
pour les droits de rectification et de suppression : auprès du correspondant informatique et libertés (CIL) du CH d’Arras. 
Les modalités d’exercice des droits sur les données archivées s’exercent de manière identique. 
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes. 
Sur les mesures de sécurité
Concernant les accès aux données de santé :
Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants. 
Concernant l’authentification : 
Les accès sont réalisés soit par l’usage : 
d’une carte de professionnel de santé (CPS) ;
d’un identifiant et d’un mot de passe. Les mots de passe précités respectent les recommandations de la Commission (huit caractères comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux, modification à la première connexion, puis tous les soixante jours). Par ailleurs, la Commission rappelle que les mots de passe ne doivent pas être conservés en clair en base de données.
La Commission relève que le nouvel article L.1110-4 du code de la santé publique dans sa rédaction issue de la loi du 26 janvier 2016 ne prévoit plus l’authentification par CPS ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL. Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission rappelle que l’authentification des professionnels de santé doit s’opérer dans des conditions conformes au droit en vigueur.
Concernant les transferts : 
Les transferts de données sont opérés sur le réseau INTERMED 59/62. Ce réseau est un réseau privé et les transferts de données sont opérés par l’utilisation de protocoles sécurisés (IPSEC).  
Concernant l’hébergement :
Les données sont hébergées chez un hébergeur de données de santé agréé pour cette solution de télémédecine, conformément à l’article 6316-10 du code de la santé publique.
Concernant les sauvegardes : 
Les données sont sauvegardées quotidiennement. 
Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Le responsable de traitement doit s’assurer que le traitement est opéré dans des conditions conformes aux dispositions législatives et réglementaires applicables, notamment celles des articles L1111-8 et R. 6316-10 du code de la santé publique relatifs à l’hébergement des données de santé. 
Les données collectées et traitées dans le cadre de ce dispositif, les données du télédossier ainsi que les données de connexion,  sont conservés pendant trois ans en ligne. Cette durée correspond aux besoins des professionnels de santé. Passé ce délai, les données seront archivées sur support externe. La durée de conservation et d’archivage n’excédera pas vingt ans conformément à l’article R. 1112-7 du code de la santé publique. 
A l’issue de ce délai, le télédossier et les données de connexion seront supprimés.
Autorise, conformément à la présente délibération, le centre hospitalier d’Arras à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
 
 
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés, Saisie par la ministre des affaires sociales et de la santé d'une  demande d'avis concernant un projet d'arrêté relatif au traitement  automatisé de données à caractère personnel dénommé  Portail de  signalement des événements sanitaires indésirables  ; Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu le  code de la santé publique ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-ll (4°) ; Vu l' ordonnance n° 2005-1516 du 8 décembre 2005  modifiée relative aux échanges électroniques entre les usagers et les  autorités administratives et entre les autorités administratives ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le  décret n° 2016-1151 du 24 août 2016 relatif au portail de signalement des événements sanitaires indésirables ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son  rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses  observations, Emet l'avis suivant : La Commission a été saisie par la ministre des affaires sociales et  de la santé d'un projet d'arrêté relatif au  Portail de signalement des  événements sanitaires indésirables  (ci-après  le projet ), en  application de l' article D. 1413-58 du code de la santé publique ( CSP) créé par le  décret n° 2016-1151 du 24 août 2016  relatif au portail de signalement des événements sanitaires  indésirables. Le projet est par ailleurs accompagné d'un second projet  d'arrêté fixant la liste des systèmes de vigilance, veille et  surveillance sanitaires réglementés pour lesquels la déclaration des  effets ou événements indésirables, manifestations nocives chez la  personne, peut s'effectuer au moyen du Portail de signalement des  événements sanitaires indésirables , qui constitue un téléservice au  sens des dispositions de l'article 27-ll (4°) de la loi du 6 janvier  1978 modifiée (ci-après la  loi Informatique et Libertés ). Sur les finalités du traitement : L'article 1er du projet prévoit que le traitement a pour finalités :  1° De promouvoir le signalement d'événements indésirables  sanitaires en mettant à la disposition du public et des professionnels  un service d'information sur les vigilances, les déclarations et de  manière générale sur la veille et la sécurité sanitaire ; 2° D'orienter le public, les
professionnels des secteurs sanitaire  et médico-social et les industriels vers le formulaire permettant de  déclarer l'événement sanitaire constaté et relevant des systèmes de  vigilances, veille et surveillance réglementés figurant sur la liste  mentionnée au  premier alinéa de l'article D. 1413-58 du code de la santé publique  ou vers le formulaire destiné à recueillir les déclarations  d'événements sanitaires ne relevant pas d'un système de vigilances, de  veille ou de surveillance réglementé et relevant de la compétence des  agences régionales de santé ; 3° De transmettre les signalements ainsi déclarés aux professionnels chargés de leur traitement ou évaluation ; 4° D'assurer l'information des déclarants sur le traitement de leur  déclaration et, s'il s'agit de professionnels de santé, de mettre à leur  disposition un espace personnel comprenant un historique de leurs  déclarations.  La Commission relève que le portail n'a pas pour finalité de  permettre à l'ASIP Santé d'assurer une mission de vigilance, qui reste  ainsi dévolue aux organismes compétents pour connaître des effets et  événements sanitaires indésirables. A ce titre, la Commission rappelle que les traitements réalisés par  les agences et organismes chargés de la gestion des déclarations doivent  faire l'objet de formalités préalables spécifiques auprès d'elle. Elle considère, par ailleurs, que les finalités prévues par le  projet sont déterminées, légitimes et explicites conformément aux  dispositions de
l'article 6-2° de la loi Informatique et Libertés. Sur les données à caractère personnel traitées : L'article 2 du projet envisage le traitement des données à caractère personnel suivantes :  1° Données contenues dans les formulaires de signalement des  événements déclarés dans le cadre des systèmes de vigilances, veille et  surveillance réglementés figurant sur la liste mentionnée à l' article D. 1413-58 du code de la santé publique et comprenant notamment : a) Données relatives à l'identification de la personne faisant  l'objet du signalement de l'événement indésirable ou numéro  d'identification de la personne permettant de garantir son anonymat,  description de l'événement et de sa gravité, de sa cause potentielle et  tout élément nécessaire à assurer l'évaluation ou le traitement de  l'événement ; b) Données relatives à l'identification des déclarants : adresse  électronique et numéro de téléphone, nom, prénoms et numéro  d'inscription au répertoire partagé des professionnels de santé (RPPS),  le cas échéant. 2° Données contenues dans les espaces personnels des utilisateurs : a) Données relatives à l'identification des déclarants mentionnées au b du 1° ; b) Données relatives à l'identification du professionnel chargé de  l'évaluation ou du traitement de l'événement : adresse électronique et  numéro de téléphone, nom, prénoms et numéro d'inscription au répertoire  partagé des professionnels de santé (RPPS), le cas échéant, et structure  de rattachement ; c) Données
relatives à l'identification des gestionnaires de compte  et administrateurs : adresse électronique et numéro de téléphone, nom,  prénoms et structure de rattachement.  La Commission suggère de supprimer le terme  notamment  dans le 1°  de l'article 2, afin que la liste de catégories de données établie par  le projet d'article 2 soit limitative. Elle propose également qu'une  distinction soit opérée entre les données d'identification et les autres  catégories de données susceptibles de faire l'objet d'un traitement et  que le projet soit complété afin d'y voir figurer l'ensemble des  catégories de données pouvant faire l'objet d'un traitement dans le  cadre de la mise en œuvre du portail. La Commission observe en outre que le 1-a de l'article 2 du projet  fait référence à un  numéro d'identification de la personne permettant  de garantir l'anonymat  des personnes concernées. Or, si le portail ne  permet pas un accès à des données directement identifiantes, les  personnes sont identifiées par le biais d'un numéro d'identification  détenu par le déclarant. Elle prend acte de ce que le ministère s'est engagé à remplacer,  dans l'article 2-1-a du projet, le terme d'anonymat par ceux de  protection de la vie privée. En outre, la Commission relève que le 2° de l'article 2 entend  dresser la liste des données contenues dans les espaces personnels des  utilisateurs. Or, les données énumérées par la suite sont relatives à  l'identification du déclarant, à l'identification du
professionnel  chargé de l'évaluation ou du traitement de l'événement et à  l'identification des administrateurs fonctionnels et techniques. Elle suggère de compléter le projet afin que le 2° de l'article 2  mentionne l'ensemble des catégories de données traitées dans les espaces  personnels, en ajoutant les données des formulaires de déclaration  accessibles pour les professionnels de santé chargés de l'évaluation de  l'événement. Sous ces réserves, la Commission considère que ces données sont  adéquates, pertinentes et non excessives au regard des finalités pour  lesquelles elles sont collectées, conformément aux dispositions de  l'article 6-3° de la loi Informatique et Libertés. Sur les destinataires des données : L'article 3 du projet prévoit que sont destinataires des données à  caractère personnel, à l'exception des données relatives à  l'identification des gestionnaires de comptes et des administrateurs,  les agents nommément désignés et habilités par le directeur ou le  responsable des établissements publics et organismes visés par le  projet, soumis au secret professionnel, dans la stricte mesure où elles  sont nécessaires à l'exercice des missions qui leurs sont confiées. Les établissements publics et organismes visés sont les suivants :
- l'Agence nationale de sécurité sanitaire de l'alimentation, de l'environnement et du travail (ANSES) ; - l'Agence nationale de santé publique (ANSP) ; - l'Agence de la biomédecine (ABM) ; - les agences régionales de santé (ARS) ; - l'Agence nationale de sécurité du médicament et des produits de santé (ANSM) ; - les organismes composant le réseau régional de vigilances et d'appui mentionné à l' article L. 1435-12 du code de la santé publique pour le traitement des signalements, composé de : - l'Institut national de veille sanitaire (INVS), qui a fusionné  avec l'Institut national de prévention et d'éducation pour la santé  (LNPES) et l'Etablissement de préparation et de réponse aux urgences  sanitaires (EPRUS) pour constituer I'ANSP ; et - l'ensemble des agences susmentionnées.
Les agents visés sont nommément désignés et habilités à cet effet  par le directeur ou le responsable de chacun de ces organismes, dans la  stricte mesure où l'accès à ces données est nécessaire à l'exercice des  missions qui leur sont confiées. A cet égard, l'article 3 du projet indique que l'accès aux données  intervient dans le respect des règles garantissant la confidentialité  des informations couvertes par le secret médical. Ce même article prévoit en outre que l'ASIP Santé est autorisée à  accéder aux données mentionnées au 2° de l'article 2 relatives aux  utilisateurs possédant un espace personnel, aux données de traçabilité  des actions effectuées dans le portail et aux données nécessaires à  l'élaboration des indicateurs de pilotage et de suivi du fonctionnement  du portail. Ces destinataires n'appellent pas d'observation de la part de la Commission. Sur l'information et les droits des personnes concernées : L'article 6 du projet prévoit que l'ASIP Santé met en œuvre une  information du public sur la création du traitement, ses finalités et  les droits des personnes concernées et précise que les droits d'accès et  de rectification des données s'exercent auprès de l'ASIP Santé. A cet égard, la Commission prend acte de ce que le ministère s'est  engagé à compléter le projet afin qu'il mentionne que les droits d'accès  et de rectification pourront être exercés auprès du correspondant  informatique et libertés de l'ASIP Santé, conformément aux dispositions  de
l'article 29-2° de la loi Informatique et Libertés. L'article 6 du projet précise également que le droit d'opposition  prévu à l'article 38 de la loi du 6 janvier 1978 modifiée relative à  l'informatique, aux fichiers et aux libertés ne s'applique pas au  présent traitement. Sur la conservation des données : L'article 4 du projet prévoit que  les données contenues dans les  formulaires de déclaration des effets ou événements indésirables et les  données relatives à l'identification des déclarants sont conservées  pendant la durée nécessaire à leur transmission au professionnel chargé  de leur évaluation ou de leur traitement, à l'exclusion des données  relatives au numéro RPPS, au type de déclaration, à la date de  déclaration et au service en charge de l'évaluation, qui sont conservées  pendant une durée d'un an afin de permettre au déclarant disposant d'un  espace personnel de consulter l'historique des déclarations qu'il a  effectuées . Les données d'historique sont ensuite archivées à titre de preuve  pendant une durée correspondant à la durée de la prescription en matière  de responsabilité médicale. Concernant les données contenues dans les formulaires de  déclaration, elles ne sont pas conservées par le portail au-delà de sa  fonction de collecte et de transmission. Leur archivage relève, comme  c'est le cas actuellement, de chaque évaluateur, dans le respect du  délai applicable à la vigilance concernée. Concernant la durée de conservation des traces relatives à
l'utilisation du portail, la Commission prend acte de ce que le  ministère s'est engagé à compléter le projet afin qu'il mentionne la  durée de six mois établie dans le dossier technique joint au projet. La Commission considère que ces durées ne sont pas excessives au  regard des finalités du traitement, conformément aux dispositions de  l'article 6-5° de la loi Informatique et Libertés. Sur la sécurité : Compte tenu de la sensibilité des données traitées dans le cadre de  la mise en œuvre du portail, la Commission rappelle qu'il convient  d'être particulièrement vigilant sur les mesures de sécurité envisagées. La Commission rappelle tout d'abord que le traitement étant un téléservice d'une autorité administrative au sens de l' ordonnance n° 2005-1516 du 8 décembre 2005 susvisée, il doit être conforme au référentiel général de sécurité (RGS) prévu par le  décret n° 2010-112 du 2 février 2010 susvisé.  Elle rappelle qu'il revient au responsable de traitement d'attester  formellement de la sécurité de celui-ci au travers d'une homologation  RGS et d'en publier l'attestation d'homologation sur le site du  téléservice. Le portail est un système flexible disposant de plusieurs modes de  fonctionnement structurés par un questionnaire d'orientation du  déclarant. En fonction du type de signalement, déterminé grâce aux  questions, et de l'existence de dispositifs pour sa prise en charge, le  portail a tout d'abord un rôle d'orientation de l'utilisateur vers un  service de
télédéclaration existant ou vers un acteur habilité à  utiliser ce dernier. Dans les autres cas, le portail propose des formulaires de saisie  dédiés et se charge d'acheminer les informations recueillies vers les  acteurs adéquats. Cette transmission peut alors se faire de trois  manières :