AgentPublic/cnil huggingface dataset:
Les professionnels de santé accèdent au traitement après une étape d’authentification forte, à l’aide d’une CPS ou, à défaut, d’un couple identifiant et mot de passe, constitué de huit caractères avec une majuscule, une minuscule et un chiffre (les caractères spéciaux étant acceptés) et complété par un OTP communiqué par courriel ou par SMS.
L’adresse de messagerie électronique et le numéro de téléphone mobile utilisés pour l’OTP sont paramétrés par le professionnel de santé lui-même, après une connexion par CPS, ou par le GCS D-SISIF lors de l’inscription et de la vérification de l’identité du professionnel de santé.
En cas d’indisponibilité du service SSO de l’ENRS, le portail TERR-eSANTE est en mesure d’accepter des connexions directes, authentifiées par CPS uniquement.
Afin de garantir l’authentification forte à deux facteurs, la Commission recommande de sécuriser le paramétrage du canal OTP et du mot de passe, notamment le renouvellement de ce dernier en cas d’oubli, en exigeant la CPS du professionnel ou, à défaut, celle d’un responsable.
En outre, la Commission relève que l’article L. 1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par CPS ou dispositif équivalent agréé par l’ASIP Santé et que l’article L. 1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP Santé.
Les échanges de courriels avec les médecins se font au moyen de messageries sécurisées de santé, dans des conditions conformes à l’autorisation unique n° AU-037, adoptée par la Commission le 12 juin 2014, relative à la mise en œuvre par les professionnels et établissements de santé ainsi que par les professionnels du secteur médico-social habilités par une loi, de traitements de données à caractère personnel ayant pour finalité l'échange par voie électronique de données de santé à travers un système de messagerie sécurisée.
Des notifications et alertes peuvent également être envoyées aux patients sous forme de SMS ou de courriels simples.
Les administrateurs techniques se connectent à la plateforme de l’hébergeur au travers d’un tunnel VPN chiffré entre le poste de travail de l’administrateur et la passerelle de sécurité de l’hébergeur. Tout accès implique une authentification forte et un passage au travers d’un bastion d’administration qui assure la traçabilité des actions. Les accès à la plateforme sont octroyés à l’issue du processus d’habilitation de l’hébergeur, et ceux impliquant des données de santé à caractère personnel sont restreints aux médecins de l’hébergeur.
A cet égard, la Commission rappelle que les permissions d’accès d’administration et de maintenance doivent être attribuées pour une durée déterminée, après validation hiérarchique, et supprimées pour tout utilisateur n'étant plus habilité ; une revue globale des habilitations doit être opérée régulièrement.
Sur l’hébergement de la plateforme :
L’hébergement de la plateforme est assuré par l’opérateur de l’ENRS, CEGEDIM, qui est agréé pour l’hébergement de données de santé (HDS), à travers son offre CEGEDIM Cloud Services comportant une fonctionnalité d’accès direct du patient aux applications hébergées.
La plateforme de l’hébergeur CEGEDIM assure pour TERR-eSANTE une haute disponibilité basée sur la répartition de charge et la redondance pour les composants du portail et de la base de données. Le plan de continuité d’activité repose sur la réplication en temps réel des données vers un site de secours distinct et situé à distance du site principal.
Les données sont sauvegardées quotidiennement sous forme chiffrée, avec une clé de chiffrement propre à la plateforme et séquestrée dans un coffre-fort physique dont l’accès est contrôlé et tracé.
Les sauvegardes ne sont déchiffrées que lors de leur éventuelle restauration. Le plan de reprise d’activité repose sur la transmission quotidienne d’une copie des données de sauvegarde vers un site de secours distinct et situé à grande distance du site principal.
Toutes les données utilisées sur les environnements de développement et de test sont des données fictives, créées par les équipes projet ou bien fondées sur les fichiers de tests issus du Cadre d’Interopérabilité de l’ASIP Santé.
Sur le chiffrement des données :
Les données médicales sont chiffrées afin de restreindre leur accès aux seules personnes autorisées.
A cet égard, et afin d’assurer la confidentialité des données de santé en cas de perte ou de vol d’un support, la Commission recommande que des mesures spécifiques soient mises en œuvre pour assurer la confidentialité des clés de chiffrement.
Sur la traçabilité :
Des traces fonctionnelles sont générées par le portail détaillant les actions des utilisateurs, les patients concernés, les modules applicatifs utilisés et les données accédées. Ces traces sont accessibles pendant six mois, directement sur le portail, pour les utilisateurs habilités et, notamment, le médecin administrateur de la plateforme. Elles sont ensuite archivées pendant dix ans.
A cet égard, la Commission rappelle que différentes durées de conservation peuvent être définies en fonction des typologies de traces, et que la durée de conservation doit être proportionnelle aux finalités poursuivies.
Des traces techniques sont enregistrées, contenant l’ensemble des flux des passerelles inter-réseaux, les rapports des composants de sécurité (pare-feu, sonde de détection d’intrusion, anti-virus, etc.), ainsi que les journaux des applications comprenant les tentatives de connexion et le détail des sites et des comptes accédés par les utilisateurs.
L’intégrité des traces techniques est assurée par leur scellement électronique et leur accès - en lecture seule - est soumis à une autorisation formelle du RSSI de l’hébergeur. Elles sont sauvegardées quotidiennement et conservées pendant soixante jours.
A cet égard, la Commission recommande que la durée de conservation des traces techniques soit portée à six mois afin de permettre l’analyse rétrospective d’un incident de sécurité et, le cas échéant, la fourniture d’éléments de preuve requis dans le cadre d’une procédure.
Enfin, des tests de vulnérabilité et d’intrusion sont menés régulièrement sur les services réseaux et applicatifs.
En complément de ces mesures, la Commission recommande de mettre en œuvre un contrôle automatique des traces, afin de détecter les comportements anormaux et lever des alertes.
Sur l’exploitation des données à des fins de recherche, études et évaluations dans le domaine de la santé :
 
Un outil de pilotage opérationnel est alimenté par les données de la plateforme afin de permettre le calcul d’indicateurs d’activité (par exemple : nombre de professionnels de santé recrutés, nombre de patients recrutés, nombre de documents consultés, services utilisés, etc.).
Les données sont agrégées par mois et :
pour les professionnels de santé, par profil (médecin, coordinateur, infirmier…), commune d’exercice et type de structure de rattachement ;
pour les patients, par sexe, commune de résidence et tranche d’âge. 
Ces indicateurs sont encadrés par les travaux du projet national EVAluation TSN ayant pour objectif l’évaluation des usages et des impacts du programme TSN. Ils sont accessibles au service de pilotage opérationnel du GCS D-SISIF et seront restitués sous forme de tableaux de bord, d’analyses, de simulations et de statistiques simples.
Sur la politique de sécurité :
La politique de sécurité encadrant le traitement s’appuie sur les exigences de l’agrément HDS, la signature d’une charte pour les administrateurs et des conditions générales d’utilisation destinées aux professionnels de santé, à leurs structures d’appartenance et aux patients.
Une analyse des risques du traitement a été opérée et les mesures qui en découlent sont mises en œuvre. A cet égard, la Commission rappelle qu’afin de garantir la sécurité du traitement dans la durée, ces mesures doivent faire l’objet de contrôles et de révisions réguliers au vu des évolutions du traitement, de ses usages et de son environnement.
Dans ces conditions, la Commission autorise le GCS D-SISIF à mettre en œuvre, à titre expérimental et selon les modalités décrites ci-dessus, un traitement de données à caractère personnel ayant pour finalité la mise en œuvre du programme Territoire de soins numérique en Ile-de-France, intitulé le numérique au service de la santé en métropole du Grand Paris (TERR-eSANTE).
Elle demande qu'au terme de l’expérimentation lui soit adressé un bilan des modalités de fonctionnement et d’utilisation de la plateforme. Le bilan devra notamment comporter les éléments suivants :
description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté ;
présentation de la perception des utilisateurs ;
présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ;
suites envisagées par le responsable de traitement sur la base du bilan effectué (axes d’amélioration, abandon du projet, demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre à titre permanent).
 
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés ;
 
Saisie par le centre hospitalier régional universitaire de Tours d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dossier médical informatisé et partagé dans le cadre d’un réseau périnatal ; 
 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
 
Vu le code de la santé publique, notamment ses articles L. 6321-1, L. 1110-4, L. 1111-8 ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1 ;
 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
 
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement ;
 
Formule les observations suivantes :
 
Sur le responsable du traitement
Le centre hospitalier régional universitaire (CHRU) de Tours est la structure juridique promotrice du réseau. A ce titre, il héberge le réseau, en assure la gestion administrative et financière. Adhèrent au réseau grandir en région Centre les professionnels de santé de la région Centre-Val de Loire, acteurs de la prise en charge des enfants nés prématurés.
Sur la finalité
Le traitement poursuit les finalités suivantes :
 
- délivrer aux femmes et aux nouveau-nés l’accès à des soins appropriés ainsi qu’une prise en charge optimale en facilitant les interrelations entre les acteurs de santé, organisant les procédures de transfert vers les lieux de soins les plus adaptés dans un esprit d’optimisation et d’harmonisation des pratiques ;
- améliorer la sécurité et la qualité de la prise en charge, la coordination et la continuité du parcours de santé des enfants prématurés ou atteints d’une pathologie néonatale, de la sortie de néonatologie jusqu’à l’âge de 7 ans, dans le cadre du réseau régional de périnatalité ;
- permettre, par la mise en place d’un dossier médical partagé, une mise en commun d’informations médicales entre l’ensemble des acteurs qui prennent en charge ces enfants en région Centre-Val de Loire.
 
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
 
Sur les données traitées
Concernant les patients, les données traitées et échangées sont les suivantes :
 
- données d’identification : nom, prénom, sexe, date de naissance, pays de naissance, commune de naissance, adresse ;
- données médicales nécessaires à la prise en charge : résumé de l’histoire néo-natale (exploration neurologique, dépistage auditif, corticoïdes ante natals, prématurité provoquée, intervention chirurgicale…), données relatives à la naissance (lieu de naissance, terme, poids, taille…) ;
 - données relatives aux consultations prévues dans le cadre du suivi des enfants ; données relatives aux consultations prévues hors parcours de soin (consultation de psychomotricien, orthoptiste…).
 
Concernant les parents des patients, les données traitées et échangées sont les suivantes :
 
- données d’identification : nom, prénom, date de naissance, adresse, téléphone, adresse e-mail de la mère et du père ;
- données sociales : situation professionnelle, situation de famille (nombre d’enfants vivant au foyer, modification de la structure familiale depuis la naissance, mode de garde envisagé à l’issue du congé de maternité, conditions de logement), situation économique (ressources du foyer, allocations).
 
Concernant les professionnels de santé ou du secteur médico-social et paramédical chargés du suivi des patients, les données traitées et échangées sont les suivantes :
 
- données d’identification : nom, prénom, coordonnées professionnelles et spécialité, établissement d’exercice, réseau de santé d’appartenance, numéro de répertoire partagé des professionnels de santé (RPPS) ou automatisation des listes (ADELI) si le professionnel de santé se connecte avec sa carte de professionnel de santé (CPS).
 
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
 
Sur les destinataires
Les destinataires des données sont :
- les professionnels de santé libéraux et exerçant en établissement de santé publics ou privés ou au sein d’organismes institutionnels ou associations à compétence sanitaire ou médico-sociale, qui intègrent la périnatalité dans leur domaine d’attribution (médecins généralistes, gynécologues-obstétriciens, pédiatres, néonatologistes, échographistes, anesthésistes, sages-femmes, infirmières puéricultrices, orthophonistes, pharmaciens, psychomotriciens, kinésithérapeutes…) , adhérant au réseau, dûment habilités, intervenant dans la prise en charge des patients dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge ;
 
- les acteurs sociaux et médico-sociaux dûment habilités, intervenant dans la prise en charge des patients dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge ;
 
- l’équipe de coordination sous la responsabilité du médecin coordinateur ;
 
- le médecin de l’hébergeur, le cas échéant, a accès aux données de santé afin d’exercer ses missions, notamment afin de répondre aux demandes de droit d’accès des patients.
 
Sur les droits des personnes 
Le dossier produit à l’appui de la demande prévoit que :
- les patients concernés, et le cas échéant leurs représentants légaux, sont informés des modalités de mise en œuvre du traitement ainsi que des droits qui leur sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’un bulletin d’adhésion sous format papier, rédigé notamment pour assurer le respect des dispositions de l’article 32 de la loi ;
 
- le consentement des représentants légaux à la création d’un dossier médical partagé et à l’hébergement de ses données sera recueilli par un professionnel de santé en contact avec eux sous la forme d’un formulaire de recueil du consentement au format papier ;
 
- les droits d’accès et de rectification s’exercent auprès du médecin pilote du réseau, ou sur demande écrite auprès de la coordination du réseau.
 
La Commission estime que ces modalités d’information et d’exercice des droits n’appellent pas d’observation.
 
Sur les mesures de sécurité
Au sein du réseau, le coordinateur médical est responsable de la gestion des comptes utilisateurs et de l’affectation des profils de droits.
Les professionnels de santé accèdent aux dossiers médicaux des patients qu’ils prennent en charge. Les professionnels de santé exerçant dans un établissement disposent d’un accès aux dossiers des patients pris en charge par cet établissement.
Les accès des professionnels de santé sont soumis à une authentification de type identifiant-mot de passe respectant les recommandations de la Commission et complétée par un système de clé d’authentification unique, enregistrée sur le poste de l’utilisateur.
 
La Commission rappelle que conformément aux dispositions de l’article L. 1110-4 du code de la santé publique, les accès aux données de santé doivent s’opérer par l’utilisation d’une CPS ou d’un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS (l’Agence des systèmes d’information partagés de santé, l’ASIP Santé) et demande au responsable de traitement de s’y conformer avant la mise en œuvre du traitement.
 
L’application assure la traçabilité des accès et des actions (authentification des utilisateurs, actions effectuées sur les données et formulaires du dossier).
 
L’application met en œuvre des procédés de chiffrement du transport des données (protocole HTTPS).
 
Un chiffrement est effectué dans toutes les transactions entre le navigateur et l’hébergeur au travers du lien SSL. La Commission recommande d’utiliser la version de TLS la plus à jour possible. 
 
Le système d’information du réseau est hébergé par auprès d’un prestataire qui satisfait aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique, pour le service considéré.
La Commission rappelle que l’exigence de sécurité, prévue à l’article 34 de la loi, nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
 
Sur la durée de conservation des données
Le dossier produit à l’appui de la demande prévoit que les données seront conservées jusqu’au terme de la prise en charge du patient.
 
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. Elle rappelle qu’à l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur.
 
 
Autorise, conformément à la présente délibération, le centre hospitalier régional universitaire de Tours à mettre en œuvre le traitement susmentionné.
 
La Présidente 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des affaires sociales et de la santé d'une demande d'avis concernant un projet de décret relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques comme identifiant de santé ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1110-12 et L. 1111-8-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La Commission a été saisie par le ministère des affaires sociales et de la santé (ci-après le ministère ) d'une demande d'avis sur un projet de décret en Conseil d'Etat relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques ou NIR comme identifiant de santé (ci-après le projet ).
Ce projet est pris en application du I de l'article L. 1111-8-1du code de la santé publique (ci-après CSP ) tel que modifié par l'article 193 de la loi n° 2016-41 de modernisation de notre système de santé du 26 janvier 2016, étant entendu que le II de l'article L. 1111- 8-1 du CSP prévoit que la Commission sera saisie pour avis d'un arrêté encadrant le traitement de l'identifiant de santé à des fins de recherche dans le domaine de la santé.
A titre liminaire, la Commission souhaite attirer l'attention du Gouvernement sur les principales observations suivantes.
En premier lieu, la Commission rappelle que dès 2013 elle s'était montrée ouverte à l'utilisation du NIR comme identifiant dans la sphère de la santé, à la condition que es garanties strictes soient mises en place pour en circonscrire l'utilisation à cette seule finalité.
La Commission est en effet régulièrement sollicitée en vue d'utiliser le NIR comme identifiant administratif de référence. Compte tenu du risque d'interconnexion généralisée du fait d'une utilisation plus grande de ce numéro signifiant, elle considère que l'extension de son utilisation comme identifiant, au-delà des cas déjà admis, doit être cantonnée à la sphère sanitaire et médico-sociale, à l'exclusion de toute autre utilisation.
A cet égard, elle avait appelé l'attention du Gouvernement, dans son avis du 18 septembre 2014 relatif au projet de loi de modernisation de notre système de santé, sur la nécessité de mener une évaluation de l'unicité du NIR et de la possibilité d'en cantonner l'usage à la sphère médico-sociale à l'exclusion de toute nouvelle utilisation, notamment de tout traitement massif de cette donnée en dehors de ces domaines.
La Commission regrette que l'évaluation précitée n'ait porté que sur l'unicité et la stabilité du NIR sans approfondir les risques sur la vie privée, au regard des utilisations déjà admises dans d'autres secteurs.
Elle relève néanmoins que le projet de décret limite strictement les organismes et les finalités de l'utilisation de l'identifiant national de santé (ci-après INS ), ce qui participe au cantonnement du NIR comme identifiant et constitue une garantie importante.
En deuxième lieu, la Commission rappelle l'importance des mesures de sécurité effectives devant encadrer la mise en œuvre du NIR comme INS, compte tenu des risques sur la vie privée et de l'élargissement substantiel du nombre d'organismes et de personnes amenées à traiter du NIR dans ce contexte. A cet égard, elle considère que le référentiel technique encadrant les modalités d'utilisation de l'INS devra prévoir des mesures de sécurité et être publié avant la mise en œuvre effective de l'utilisation du NIR comme INS par les organismes de santé.
En troisième lieu, la Commission relève qu'un téléservice sera mis à la disposition des professionnels du secteur sanitaire et médico-social (soit environ 2 millions de personnes) permettant potentiellement l'accès au NIR et à l'identité de l'ensemble de la population. Elle rappelle qu'elle devra être saisie de la création de ce traitement et sera particulièrement vigilante sur les modalités d'accès par les professionnels, les mesures de sécurité et les risques que pourrait faire peser un tel téléservice sur la vie privée.
Sur le projet d'article R. 1111-8-1 :
Le premier alinéa de cet article énonce que l'identifiant de santé visé à l'article L. 1111- 8-1du CSP est le NIR ou le numéro identifiant d'attente ( NIA ) quand les personnes sont en instance d'attribution d'un NIR.