La Commission nationale de l'informatique et des libertés,
Saisie par l’Association SPILF  Société de pathologie infectieuse de langue française  d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’une action d’accompagnement dénommée  Programme ENVIES  ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1161-3 et L. 1161-4 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 2 août 2010 relatif aux compétences requises pour dispenser l'éducation thérapeutique du patient ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La SPILF  Société de pathologie infectieuse de langue française  (ci-après SPILF) est une association loi 1901 regroupant des professionnels de santé intéressés par les maladies infectieuses et ayant pour objet de faciliter, coordonner, encourager, stimuler ou mettre en œuvre toute action liée aux maladies infectieuses.
Dans ce cadre, elle crée toute structure ayant pour objet l'étude, la prise en charge et la prévention de l'infection, elle élabore des projets d’évaluation des pratiques professionnelles et de formation médicale continue en infectiologie.
Sur la finalité
Le  Programme ENVIES  a pour finalité la mise en œuvre d’une action d’accompagnement autour des risques de mauvaise observance, adaptée à chaque patient atteint du VIH en fonction de ses caractéristiques.
Le programme consiste en la mise en place d’un service interactif conçu pour permettre aux patients de mieux comprendre les bénéfices de leur traitement, se sentir entourés, se préparer aux différentes consultations, aux examens et devenir acteur de leur parcours de soins et faciliter leur autonomie.
A cet effet, un portail accessible sur Internet propose les fonctionnalités suivantes :
pour les internautes naviguant sur la partie grand public du site internet : des actualités sur le VIH, partage social des contenus (tels que les actualités et articles), des tests de connaissance sur le VIH sous forme de quiz,
pour le patient : questionnaire, des contenus personnalisés et scénarisés en fonction du profil patient, des mini-jeux de validation des acquis, des modules (dossier personnel, suivi d’observance, suivi des connaissances sur la pathologie), des agendas et carnet d’adresse des contacts médicaux,
pour le professionnel de santé : création de compte patient, accès au dossier biologique de ses patients.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé justifiés, comme en l’espèce, par l’intérêt public.
Pour la mise en œuvre de l’action d’accompagnement, la SPILF a confié le financement au laboratoire pharmaceutique JANSSEN-CILAG, impliqué dans la mise sur le marché de produits destinés aux patients atteints du VIH et de la prise en charge globale de ces patients, et la maîtrise d’ouvrage (développement du site internet et de sa déclinaison mobile) à la société INTERACTION, spécialisée dans la construction des stratégies digitales et la conception des outils pour la communication et la formation des patients, du grand-public et professionnels de santé.
L’association ACTIF SANTE, titulaire de l’agrément prévu à l’article L. 1114-1 du code de la santé publique, participe avec des professionnels de santé à la mise en œuvre de l’action, conformément à l’article L. 1161-4 du code de la santé publique.
Sur les données traitées
Les données faisant l’objet d’un traitement sont celles relatives aux patients atteints du VIH ayant consenti à la création d’un compte patient.
Elles portent sur leur identité (nom, prénom, sexe, date et lieu de naissance, code postal, adresse e-mail, numéro de téléphone, identifiant de connexion), leur vie personnelle (habitudes de vie, situation familiale) ainsi que sur des informations relatives à leur santé (pathologie, affection, charge virale, taux de CD4, antécédents, données relatives à l’état physiologique, date de diagnostic, période de mise sous traitement, ordonnances).
La saisie des données relatives à leur santé s’effectue sous la forme de tranches de valeur.
En outre, les données relatives aux professionnels de santé (médicaux et paramédicaux) participant à l’éducation thérapeutique du patient feront également l’objet d’un traitement (nom, prénom, centre ou établissement, code postal, ville, téléphone, email professionnel).
Aucune donnée concernant les internautes naviguant sur la partie grand public du site internet ne sera recueillie.
La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données sont, en fonction des habilitations qui leur sont délivrées, les personnes en charge du patient dans le cadre de son adhésion au programme.
Ces destinataires n’appellent pas d’observation de la Commission.
Sur l’information et le droit d’accès
Afin de garantir le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les patients sont informés du but et des modalités de déroulement de l’action d’accompagnement, lors d’une consultation en établissement, par la remise par leur médecin référent d’un formulaire papier d’information et de consentement à la participation de l’action d’accompagnement, rédigé au format papier.
Le document adressé aux patients indique que leur consentement porte sur la collecte de données à caractère personnel relatives à leur santé, le partage de ces données avec leur médecin et les professionnels de santé de l’équipe de soins de l’établissement, l’anonymisation et/ou à l’agrégation de leurs données afin de réaliser des études médico-économiques ou scientifiques ainsi que sur l’hébergement de leurs données auprès d’un hébergeur agréé de données de santé.
La Commission demande que le formulaire d’information et de consentement soit modifié afin d’indiquer aux patients le caractère facultatif de leur participation à l’action d’accompagnement et leur droit discrétionnaire de retrait sans conséquence pour leur prise en charge ou le remboursement de leurs soins et prestations.
Les droits d’accès et de rectification s’exercent par courrier ou par email auprès du médecin hébergeur.
Les professionnels de santé sont informés par un formulaire de création de compte, un email de confirmation de compte et les mentions légales du site de la mise en œuvre d’un traitement de données les concernant ainsi que des droits d’accès, de rectification et d’opposition dont ils disposent.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Concernant les habilitations d’accès :
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.
La Commission rappelle qu’elles doivent être attribuées après validation hiérarchique, pour une durée déterminée et faire l’objet d’un réexamen périodique. La Commission recommande que les permissions d'accès soient supprimées pour tout utilisateur n'étant plus habilité et qu’une revue globale des habilitations soit opérée régulièrement
Concernant le contrôle d’accès :
Le dossier produit à l’appui de la demande prévoit que l’inscription des professionnels de santé s’effectue par carte de professionnel de santé (CPS).
La Commission relève que le nouvel article L.1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par CPS ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé.
La Commission relève que du fait de la mobilité des médecins et de leurs configurations diverses d'accès à la plateforme, il n’est pas envisagé de les authentifier par CPS. Ainsi, l’authentification des professionnels de santé à la plateforme s’effectue en mode dégradé, fondé sur un mot de passe professionnel à huit caractères comportant au moins un chiffre, une majuscule, une minuscule, une lettre et un caractère spécial, ainsi qu’un OTP généré par la plateforme et envoyé par email.
La Commission recommande que le paramétrage du canal OTP et le renouvellement du mot de passe soient également sécurisés par une authentification forte avec la carte CPS de l’utilisateur ou celle de son responsable s’il n’en dispose pas lui-même.
Le patient s’authentifie par un mot de passe, composé de huit caractères minimum, comprenant chacun des quatre types de caractères parmi les majuscules, les minuscules, les chiffres et les caractères spéciaux. Le mot de passe doit être modifié dès la première utilisation. Il est renouvelé tous les trois mois.
La Commission rappelle à ce titre que ce mot de passe ne doit pas être stocké en clair.
Ni le personnel technique de l’hébergeur, ni l’administrateur n’ont accès à la base de données  Patient .
En cas de télémaintenance permettant l’accès du prestataire à des données à caractère personnel, les opérations sont réalisées sous le contrôle du médecin de l’hébergeur et historisées dans une main courante indiquant la date et l’heure, l’identité du téléopérateur et du médecin hébergeur.
Les personnes ayant un accès physique aux serveurs hébergés sont exclusivement les membres nommés de l’équipe technique de l’hébergeur.
Les administrateurs s’identifient via le back-office avec un accès login / mot de passe composé de dix caractères alphanumériques, dont au moins 1 chiffre, 1 majuscule, 1 minuscule, 1 caractère spécial. Ce mot de passe est à renouveler tous les 3 mois.
Concernant la traçabilité :
Les accès à l’application ainsi qu’aux dossiers sont tracés. Les journaux conservent ces événements sur une période glissante  de six mois.
Les traces des accès utilisateurs à l’application et aux données sont analysées  par le médecin de l’hébergeur des données, sous forme de log anonyme, tous les mois.
Les utilisateurs sont informés de la mise en œuvre d’une telle mesure via les conditions générales d’utilisation.
Le patient pourra accéder aux traces d’accès à son dossier en faisant une demande au médecin de l’hébergeur de ses données.
La Commission rappelle que l’administrateur qui est en mesure de consulter les traces des accès ne doit pas être en mesure d’accéder à des données de santé.
Concernant les transferts de données :
Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et de la destination.
Concernant l’hébergement :
Les données sont hébergées auprès d’un hébergeur agréé conformément aux dispositions prévues aux articles L.1111-8 et suivants du code de la santé publique.
Concernant l’anonymisation :
La Commission relève qu’un module d’analyse de données permet une exploitation statistique. Elle demande que l’outil de requête ne permette que des restitutions anonymes et réduise également le risque de réidentification des personnes en limitant les interrogations ciblées et le niveau de détail des rapports.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données à caractère personnel relatives aux patients et aux professionnels de santé sont conservées pendant une durée de 10 ans (5 ans en base active puis 5 ans en base archive) à compter de la date de création de compte.
La Commission considère que cette durée est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Association Société de pathologie infectieuse de langue française à mettre en œuvre le traitement susmentio
Pour la Présidente
La Vice-Présidente déléguée,
Marie-France MAZARS