(Demande d’autorisation n° 1081129/1596121)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6316-1, L. 1110-4, L. 1111-8, et R. 6316-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, notamment les articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Jean MASSOT, commissaire et après avoir entendu les observations de POZZO-DI-BORGO, commissaire du Gouvernement ;
Sur le responsable du traitement
Association pour le développement des prises en charge des troubles chroniques du sommeil (92)
Sur les finalités
Structurer l’offre de soins autour du patient en apportant formations, aide au diagnostic et aux traitements, disponibilité d’un médecin coordinateur spécialiste des troubles du sommeil, mise à disposition d’outils et d’un dossier médical partagé opérationnel intitulé dossier médical du sommeil (DMS).
Etablir des statistiques anonymes pour évaluer l’activité du réseau.
Les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Structurer l’offre de soins autour du patient en apportant formations, aide au diagnostic et aux traitements, disponibilité d’un médecin coordinateur spécialiste des troubles du sommeil, mise à disposition d’outils et d’un dossier médical partagé opérationnel intitulé dossier médical du sommeil (DMS).
Etablir des statistiques anonymes pour évaluer l’activité du réseau.
La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique.
Toutefois, s’agissant de l’évaluation de l’activité du réseau, la Commission rappelle qu’elle devra être conduite selon des modalités conformes au chapitre X de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
- Concernant les patients : données relatives à l’identité du patient, à sa vie professionnelle, aux caractéristiques des troubles du sommeil, à l’évolution des troubles, aux symptômes, aux habitudes de vie (fumeur ou non, consommation de café, thé, alcool, drogue, activités physiques…), aux antécédents médicaux, aux examens cliniques, aux traitements, aux hypothèses de diagnostic, aux conduites à tenir.
- Concernant les professionnels de santé : nom, prénom, coordonnées professionnelles, spécialité, appartenance à d’autres réseaux, nombre de dossiers patients.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement.
Sur les destinataires
Sont destinataires des données :
Le médecin de l’hébergeur, a, le cas échéant, accès aux données de santé afin d’exercer ses missions, notamment afin de répondre aux demandes de droits d’accès des patients.
les professionnels de santé membres du réseau authentifiés et habilités dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la prise en charge de leurs patients. L’accès aux informations est subordonné à la signature d’une charte par laquelle les professionnels de santé s’engagent à respecter les modalités de mise en œuvre du traitement, notamment l’information et le recueil du consentement du patient ou de son représentant légal le cas échéant.
Les techniciens du prestataire de santé à domicile dans la stricte limite des données nécessaires à l’exercice de leur mission. La Commission rappelle qu’ils doivent être soumis à une clause de confidentialité forte.
En outre, le patient a la possibilité de consulter et de renseigner certaines données dans le DMS.
Sur l’information et le droit d’accès
La note d’information, transmise par le médecin qui est en contact avec le patient, est rédigée dans le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée. Elle rappelle que l’ouverture du DMS est facultative.
La création d’un dossier médical du sommeil requiert le consentement des personnes concernées. Il porte d’une part sur la réalisation de l’acte de télémédecine en  application des dispositions de l’article R6316-2 du code de la santé publique et d’autre part sur l’hébergement de leurs données de santé, conformément aux dispositions de l’article L1111-8 du code précité.
Le consentement du patient est recueilli, sous forme « dématérialisée », par une case à cocher, par le professionnel de santé en contact avec le patient, qui permet l’ouverture du dispositif. Un exemplaire de la note d’information est remis au patient. En outre, la carte Vitale du patient est nécessaire pour la création d’un dossier médical du sommeil.
Le droit d’accès, de rectification, et d’opposition s’exerce auprès du médecin en contact avec le patient ou auprès du médecin de l’hébergeur de données de santé agréé choisi par le réseau MORPHEE. En cas d’archivage des données, ces droits s’exercent auprès du médecin de l’hébergeur.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre.
Des profils d’habilitation permettent de définir les droits d’accès propres à chaque catégorie de données. En outre, les fabricants d’appareils médicaux n’ont pas d’habilitations d’accès aux données stockées chez leurs hébergeurs respectifs.
Le contrôle d’accès des professionnels de santé s’effectue par l’utilisation de la carte CPS ou d’un certificat électronique accompagné d’un login et d’un mot de passe, fourni par l’administrateur de l’hébergeur du dossier médical du sommeil.
Les techniciens du prestataire s’authentifient par l’utilisation d’un certificat ainsi que d’un login et d’un mot de passe.
Les patients souhaitant accéder à leur dossier médical sommeil doivent disposer d’un identifiant et d’un mot de passe.
Les mots de passe ont une longueur minimale de 8 caractères, sont composés de minuscules, majuscules et chiffres et doivent être modifiés par les utilisateurs dès leur première connexion.
Une journalisation des opérations de consultation, création et modification du traitement est réalisée. Une synthèse des traces d’accès non autorisés sera transmise mensuellement au réseau Morphée pour analyse.
Les services web sont sécurisés au moyen du protocole TLS.
Les données sont chiffrées en base de données par une clé propre à chaque patient. Cette clé est enregistrée dans une table différente de celle contenant les données médicales et chiffrée par l’application. En outre, le lien entre les données du patient et l’identité du patient est chiffré, et la clé de chiffrement est différente de celle utilisée pour chiffrer les données de santé.
La Commission juge ces mesures satisfaisantes.
Sur les caractéristiques particulières du traitement
La Commission rappelle que les dispositions relatives à la télémédecine issues des articles R. 6316-1 et suivants du code de la santé publique doivent être respectées et  prend acte de ce qu’un contrat est en cours de signature avec l’Agence régionale de santé d’Ile de France.
En outre, le responsable de traitement doit s’assurer que le traitement est opéré dans des conditions conformes aux dispositions législatives et règlementaires applicables et notamment celles des articles L. 1111-8 et R. 6316-10 du code de la santé publique relatifs à l’hébergement des données de santé.
Les données sont conservées pendant la durée de la prise en charge du patient. Elles sont ensuite archivées conformément à l’article R. 1112-7 du code de la santé publique.
Autorise, conformément à la présente délibération, l’Association pour le développement des prises en charge des troubles chroniques du sommeil à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE PIERROTIN