AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1653314)
La Commission nationale de l'informatique et des libertés,
Saisie par le réseau Rhumatismes inflammatoires chroniques (RIC) du Nord-Pas-de-Calais d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un dossier médical informatisé et partagé ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6321-1, L. 1110-4 et L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le réseau Rhumatismes inflammatoires chroniques (RIC) du Nord-Pas-de-Calais, association relevant du régime de la loi du 1er juillet 1901, œuvre pour l’amélioration de la prise en charge coordonnée et pluridisciplinaire des patients atteints de rhumatismes inflammatoires chroniques et en particulier de polyarthrites rhumatoïdes et de spondylarthropathies.
Sur la finalité
Le traitement projeté poursuit les finalités suivantes :- permettre, par la mise en place d’un dossier médical partagé, un échange sécurisé d’informations médicales entre les acteurs de santé qui prennent en charge les patients atteints de rhumatismes inflammatoires chroniques dans la région Nord-Pas-de-Calais ;- améliorer, ainsi, la qualité de la prise en charge, de la prise de décision et la coordination et la continuité des soins entre tous les intervenants dans le cadre du réseau ;- gérer un annuaire de professionnels de santé partenaires du réseau, réservé à l’usage interne du réseau ;- établir des statistiques à partir de données préalablement anonymisées afin de produire des indicateurs d’activité et épidémiologiques. La Commission rappelle qu’il conviendra, le cas échéant, de se conformer aux dispositions des chapitres IX et X de la loi du 6 janvier 1978 modifiée.La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Concernant les patients, les données suivantes sont traitées : des données d’identification (nom, prénom, date de naissance) ; situation familiale ; les coordonnées du patient, des proches pouvant être contactés, de la personne de confiance, du médecin traitant ; les données médicales et médico-sociales nécessaires à la prise en charge : état général du patient, antécédents médicaux, examens cliniques, douleurs, caractéristiques de la pathologie, traitements en cours ; les données relatives aux habitudes de vie et comportements utiles à la prise en charge.Concernant les professionnels de santé chargés du suivi du patient, les données suivantes sont traitées : des données d’identification (nom, prénom), les coordonnées professionnelles et la spécialité.La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des informations sont les suivants :- les professionnels de santé (médecins spécialistes et généralistes) adhérant au réseau, dûment habilités et intervenant dans la prise en charge des patients ;- l’équipe de coordination du réseau sous la responsabilité du médecin coordinateur.Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Le consentement exprès du patient à la constitution de son dossier médical partagé est recueilli préalablement à sa mise en œuvre.A cet effet, le patient est informé des modalités de mise en œuvre du dossier médical partagé, ainsi que des droits qui lui sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’un document d’information et de recueil du consentement, et dans des conditions conformes aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.Le consentement du patient porte également sur l’hébergement de ses données auprès du Syndicat inter-hospitalier d'informatique hospitalière du Nord-Pas-de-Calais (SiiH 59/62), agréé pour l’hébergement de données de santé.Le patient peut exercer ses droits d’accès et de rectification au dossier et à la liste des personnes qui y ont eu accès auprès du médecin coordinateur du réseau.Le patient a la possibilité de quitter le réseau à tout moment sans conséquence sur la qualité des soins qui lui sont dispensés et en est clairement informé sur le support d’information précité.La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Les habilitations d’accès au dossier médical partagé sont définies par le patient.Le contrôle des accès aux dossiers des patients s’effectue par l’utilisation d’une carte de professionnel de santé.L’ensemble des accès en création, modification, mise à jour et suppression sont tracés et conservés.Le système d’information du réseau est hébergé par le SiiH 59/62 qui satisfait aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la période de prise en charge du patient. A l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur et pourront être conservées, sous une forme anonymisée, à des fins statistiques.
Autorise, conformément à la présente délibération, le réseau Rhumatismes inflammatoires chroniques (RIC) du Nord-Pas-de-Calais à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1670089)
La Commission nationale de l'informatique et des libertés,
Saisie par la société SANOFI-AVENTIS FRANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité d’évaluer le risque thromboembolique veineux chez des personnes âgées au moyen d’une application pour tablette tactile ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4 et L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
SANOFI-AVENTIS FRANCE, société anonyme spécialisée dans le commerce de produits pharmaceutiques.
Sur la finalité
La finalité du traitement est d’évaluer le risque thromboembolique veineux chez des personnes âgées au moyen d’une application pour tablette tactile. Cette application permet à un infirmier de créer un dossier pour chacun de ses patients et de répondre à un questionnaire d’évaluation de risque thromboembolique. Le médecin qui suit habituellement le patient pourra accéder aux données grâce à cette application.
Ce traitement sera mis en œuvre à titre expérimental pendant une durée de quatre mois.La Commission considère la finalité poursuivie comme déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Concernant les patients, les données traitées sont  les données d’identification (nom, prénom, date et lieu de naissance), les coordonnées (adresse et numéro de téléphone) et les données de santé relatives au risque thromboembolique veineux.Un champ libre destiné à recueillir des informations complémentaires est prévu.A cet égard, la Commission recommande que les infirmiers soient sensibilisés sur la nature des informations à collecter, afin que ces dernières restent objectives et non excessives au regard de la finalité pour laquelle elles sont collectées et de leur traitement ultérieur.Concernant les professionnels de santé, les données traitées sont les données d’identification et les coordonnées.La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seuls les professionnels de santé utilisateurs de l’application auront accès aux données des patients dans la stricte mesure nécessaire à la prise en charge de leurs patients.Il n’est pas prévu d’accès aux données par le personnel de SANOFI-AVENTIS FRANCE ou par des prestataires techniques.Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les patients sont informés par la remise en mains propres, par les infirmiers qui les prennent en charge, d’une note d’information individuelle et leur consentement est recueilli préalablement à la mise en œuvre de l’expérimentation et du traitement de leurs données de santé à caractère personnel.
Les professionnels de santé concernés sont informés du traitement de leurs données à caractère personnel par une clause spécifique du contrat qu’ils signent avec la société SANOFI-AVENTIS FRANCE en vue de leur participation à l’expérimentation.
Les personnes concernées par les données traitées expriment leur consentement au traitement de leurs données à caractère personnel et à leur transmission à leur médecin selon les modalités suivantes :
s’agissant des utilisateurs, par la signature du contrat avec la société SANOFI-AVENTIS FRANCE ;
s’agissant des patients, par la signature du formulaire de recueil du consentement qui leur est remis par un infirmier.
l’infirmier qui saisit les informations pour les patients ;
SANOFI-AVENTIS FRANCE pour les professionnels de santé.
La Commission demande que le formulaire de recueil du consentement des patients soit adapté, afin de prévoir une case à cocher spécifique en vue de l’hébergement de leurs données de santé auprès d’un hébergeur agréé. 
Les droits d’accès, de rectification et d’opposition tels que reconnus par la loi du 6 janvier 1978 modifiée, explicités sur les supports d’information précités, s’exerceront auprès de :
s’agissant des utilisateurs, par la signature du contrat avec la société SANOFI-AVENTIS FRANCE ;
s’agissant des patients, par la signature du formulaire de recueil du consentement qui leur est remis par un infirmier.
l’infirmier qui saisit les informations pour les patients ;
SANOFI-AVENTIS FRANCE pour les professionnels de santé.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Une gestion des habilitations d’accès est prévue.Les accès à l’application seront réalisés par l’utilisation d’un identifiant et d’un mot de passe. Le mot de passe doit comporter un minimum de huit caractères et comporter des minuscules, majuscules, chiffres et caractères spéciaux. Le mot de passe est initialisé par l’utilisateur lorsque la tablette lui est remise.La Commission rappelle qu’en application de l’article L. 1110-4 du code de la santé publique, une authentification forte des professionnels de santé doit être mise en œuvre, par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS, pour toute transmission ou tout accès aux données de santé. Elle demande à ce que le responsable de traitement se conforme à ces obligations.Elle rappelle que les sessions utilisateurs doivent être verrouillées automatiquement après une période d’inactivité, ne dépassant pas vingt minutes.Les accès aux données et opérations effectuées sont tracés.Les transferts de données sont sécurisés par le recours au protocole HTTPS (SSL).Les données sont conservées localement puis synchronisées avec un serveur de la société Orange Business Services, agréée pour l’hébergement des données de santé.Les données de santé à caractère personnel sont conservées chiffrées.Sous réserve des observations précédentes, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par
Sur les autres caractéristiques du traitement
Les données sont conservées au maximum deux mois après la fin de l’expérimentation à des fins d’évaluation technique et statistique.La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.Elle rappelle que les données devront être supprimées ou conservées sous une forme anonyme à l’expiration du délai susmentionné.La Commission demande à être informée des résultats de cette expérimentation et à être saisie en cas de généralisation du dispositif.
Autorise, conformément à la présente délibération, la société SANOFI-AVENTIS FRANCE à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1788336)
La Commission nationale de l'informatique et des libertés,
Saisie par le laboratoire Abbvie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des personnes atteintes d’hépatite C chronique et traitées avec un médicament sous autorisation temporaire d’utilisation (ATU) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5121-12, R. 5121-68 à R. 5121-76 et R. 5121-152 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le laboratoire Abbvie est une société spécialisée dans le commerce de produits pharmaceutiques.Abbvie met à disposition le traitement médicamenteux « OMBITASVIR/ABT-450/RITONAVIR en association ou pas avec DASABUVIR » dans le cadre d’une autorisation temporaire d’utilisation (ATU), dite de cohorte, accordée par l’Agence nationale de sécurité du médicament et des produits de santé (ANSM). Pour rappel, une ATU permet, en l’absence d’alternative thérapeutique appropriée, la mise à disposition précoce d’un médicament ne disposant pas encore d’une autorisation de mise sur le marché (AMM). Ce produit est par conséquent soumis à une procédure de surveillance étroite par l’ANSM portant notamment sur les effets indésirables qu’il peut provoquer.En l’espèce, le traitement médicamenteux « OMBITASVIR/ABT-450/RITONAVIR en association ou pas avec DASABUVIR » est indiqué pour les patients atteints d’hépatite C chronique.
Sur la finalité
La finalité du traitement est de permettre le recueil d’informations relatives aux caractéristiques des patients, à l’utilisation effective du médicament et aux effets indésirables graves ou inattendus résultant de cette utilisation. Cette surveillance particulière, prévue par l’article L. 5121-12 du code de la santé publique, s’effectue conformément à un protocole d’utilisation thérapeutique visé par l’ANSM.La Commission considère que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.L’ATU « OMBITASVIR/ABT-450/RITONAVIR en association ou pas avec DASABUVIR » répond à un besoin thérapeutique en permettant la délivrance et la prise en charge d’un médicament utile aux patients tout en fournissant un cadre qui apporte des garanties de sécurité d’emploi.La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données traitées concernent les patients auxquels le médicament sous ATU a été prescrit. Ces données sont collectées, par l’intermédiaire des professionnels de santé dispensateurs du médicament, à l’occasion du suivi médical des patients. Il s’agit de :
Les destinataires des données sont les personnels dûment habilités de la société Abbvie, à savoir des membres des départements en charge de la pharmacovigilance, des affaires médicales et des affaires pharmaceutiques.L’habilitation à consulter des données de santé à caractère personnel ne peut être attribuée qu’à des personnes soumises au secret médical et dans la stricte limite de leurs missions.Peuvent également être destinataires de données, sous une forme agrégée (rapports périodiques), les organismes publics nationaux ou locaux en charge de la surveillance des médicaments sous ATU dans le cadre de l'exercice de leurs missions telles que définies par les textes : l’ANSM, les centres régionaux de pharmacovigilance, les centres anti-poison.Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les professionnels de santé prescripteurs ont l’obligation d’informer les patients des modalités de mise à disposition exceptionnelle du médicament, des caractéristiques du médicament (notamment des bénéfices, risques et contraintes) et des modalités de surveillance auxquelles la prescription est soumise.Une note d’information sera remise au patient par son médecin prescripteur. Cette note d’information précisera les objectifs de l’ATU, les données recueillies et les droits reconnus aux patients, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée.S’agissant des professionnels de santé, une mention, reprenant les différentes informations devant être communiquées aux personnes dont les données à caractère personnel sont traitées, est insérée dans un courrier qui leur est adressé par le laboratoire Abbvie.Les professionnels de santé peuvent exercer leurs droits d'accès et de rectification auprès d’Abbvie.S’agissant des patients, ces droits s’exercent auprès du professionnel de santé qui leur prescrit le traitement médicamenteux.Les patients sont libres d’accepter ou de refuser leur traitement par un médicament prescrit sous ATU. En cas d’acceptation des soins, les dispositions légales susvisées imposent le recueil de données de santé à caractère personnel. Les patients ne peuvent donc pas s’y opposer en application de l’article 38 de la loi du 6 janvier 1978 modifiée.La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Un code alphanumérique est attribué à chaque patient suivi dans le cadre de la mise en œuvre de l’ATU dont est titulaire le laboratoire Abbvie. L’accès aux données nominatives des patients est strictement limité au médecin les prenant en charge. 
Les informations relatives aux patients sont renseignées par le médecin prescripteur dans des formulaires de recueil d’informations transmis par fax.
La Commission rappelle, s’agissant des transmissions par fax, que les mesures de sécurité suivantes doivent être mises en place :
le fax doit être situé dans un local physiquement contrôlé et accessible uniquement au personnel habilité ;
l’impression des messages doit être subordonnée à l’introduction d’un code d’accès personnel ;
lors de l’émission des messages, le fax doit afficher l’identité du fax destinataire afin d’être assuré de l’identité du destinataire ;
le carnet d’adresses des fax doit préenregistrer, dans la mesure du possible, les destinataires potentiels.
Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les personnels dûment habilités du laboratoire Abbvie.
Le contrôle d’accès aux données est opéré par l’usage d’un identifiant et d’un mot de passe. La Commission recommande des mots de passe d’une longueur minimale de huit caractères, composés de trois types de caractères distincts parmi les minuscules, majuscules, chiffres et caractères spéciaux. Le mot de passe doit être choisi par l’utilisateur, ou modifié dès sa première connexion, puis modifié régulièrement. Le mot de passe ne doit pas être conservé en clair dans un fichier ou une base de données.
Le laboratoire Abbvie prévoit des mesures de sécurisation physique des matériels et des locaux où sont conservées les données, ainsi que des dispositifs de sauvegarde des fichiers. 
Concernant les mesures de traçabilité, l’ensemble des accès aux données, par les personnels du laboratoire Abbvie, en consultation, modification et création est tracé.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données seront conservées jusque deux années après la fin de l’autorisation temporaire d’utilisation.A l’expiration de ce délai, les données doivent être supprimées ou archivées sous une forme anonyme.La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le laboratoire Abbvie à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN