(Autorisation n°1532748)
La Commission nationale de l’informatique et des libertés,
Vu le code de la santé publique et notamment les articles L. 1110-4, L. 1221-1 et suivants, L. 1222-1 et suivants, L. 1223-1 et suivants, L. 1224-1 et suivants, R. 1223-14 et R. 1221-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés et notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le décret n°2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales conservées sur support informatique ou transmises par voie électronique ;
Après avoir entendu M. Jean Massot, commissaire en son rapport et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations ;
Autorise, dans les conditions figurant dans le tableau ci-dessous, l’établissement français du sang à mettre en œuvre des traitements automatisés de données à caractère personnel ayant pour finalité la gestion des processus métiers et notamment celle des donneurs et receveurs de sang.
Responsable du traitement
L’établissement français du sang (EFS) est un établissement public placé sous la tutelle du ministère de la santé. Il est, aux termes de la loi, l’opérateur unique du service public de la transfusion sanguine en France. A ce titre, il est chargé de l’ensemble des activités liées aux produits sanguins labiles : collecte, préparation, qualification, distribution et délivrance aux établissements de santé des produits sanguins labiles.
L’action de l’EFS et de ses dix-sept représentants régionaux, les établissements de transfusion sanguine (ETS), présente un caractère d’intérêt public.

La présente autorisation concerne l’ensemble des traitements de données à caractère personnel mis en œuvre par l’EFS, dès lors d’une part, qu’ils sont centralisés dans une base de données nationale unique, d’autre part, qu’ils permettent la gestion des activités principales, accessoires et liées de l’EFS, et enfin que leurs finalités sont déterminées comme suit :
Tout traitement qui entre dans ce périmètre doit être conforme à la présente autorisation avant sa mise en exploitation.
la gestion des donneurs de sang, des dons (qualification biologique des dons, gestion de la production et des stocks), des fichiers patients, de l’activité de distribution et de la délivrance aux receveurs, des laboratoires receveurs IHR (immuno-hématologie des receveurs), de la facturation, des patients des laboratoires de biologie médicale de l’EFS, des activités de soins, des activités de laboratoire de biologie médicale (LBM), d’une politique de promotion du don de sang auprès du grand public, de la production de réactifs, des donneurs de produits tissus-cellules, de la production de produits sanguins non thérapeutiques,  de l’activité de distribution et de la délivrance aux patients, de la traçabilité de l’ensemble du processus de production de tissus et de cellules jusqu’à la greffe, des documents liés aux produits et des rapports,
l’hémovigilance, la transmission des données relatives à la sécurité sanitaire des produits sanguins ainsi que des données épidémiologiques aux instances compétentes, et la biovigilance.
Données traitées
- Données relatives aux donneurs : données d’état civil, identité et données d’identification, arrêt de travail, mesure de protection légale, historique des dons, antécédents, contre-indications médicales temporaires ou définitives regroupées par catégories, risque d’agents infectieux transmissibles par voie sanguine ou sexuelle, commentaires associés à ce risque viral strictement nécessaires, origine ethnique, données biologiques et sérologiques, analyse du système HLA (Human Leucocyte Antigens).
- Données relatives aux receveurs : état civil, identité, données d’identification, lieu d’hospitalisation, données biologiques, résultats d’analyses, analyse du système HLA, lien donneur/patient transfusé, date des soins, type d’acte effectué, lien mère-enfant, lien donneur-greffon, facteurs de risques, antécédents, contre-indications médicales, noms et coordonnées des médecins prescripteurs et traitants.
- Données relatives aux patients : état civil, données d’identification, numéro de sécurité sociale, données de santé (date des soins, résultats d’analyses, type d’acte thérapeutique…).
- Données relatives aux prospects : état civil, identité, données d’identification.
- Données relatives au personnel : données de connexion.
Destinataires
Seules les données nécessaires aux tiers autorisés par la loi et aux destinataires suivants leur sont transmises :
- Les personnels individuellement habilités au sein de chaque ETS en fonction de leurs attributions.
La Commission relève que seuls les médecins seront en mesure d’accéder, en lecture et en écriture, aux libellés des contre-indications médicales au don de sang et aux éventuels commentaires associés.
- Les personnels individuellement habilités des établissements de santé prenant en charge le patient ou le receveur en fonction de leurs missions.
- Les agents individuellement habilités par les caisses d’assurance maladie et des complémentaires de santé pour les seules informations nécessaires à la facturation.
- Les personnels individuellement habilités en fonction de leurs missions du centre national de référence des groupes sanguins et de la banque de sang rare.
- Les personnels individuellement habilités des laboratoires d’analyse de biologie médicale partenaires pour les produits sanguins sur lesquelles ils interviennent.
- Les médecins traitants pour les résultats d’analyses pratiquées sur leurs patients.
- Les personnels individuellement habilités au sein du  Laboratoires Français de Fractionnement et des Biotechnologies (LFB) dans le cadre de la fabrication de médicaments dérivés du sang.
- Les personnels individuellement habilités de la Banque de tissu - cellules.
Information et droit d’accès
- Les donneurs, les receveurs et les patients sont informés de la mise en œuvre du traitement par voie d’affichage et sur les formulaires de collecte de données.
- Les prospects sont informés de la mise en œuvre du traitement au moyen du formulaire de collecte des données.
- Les personnels de l’EFS sont informés de la mise en œuvre du traitement au moyen de la charte d’utilisation du système d’information.
- Le droit d’accès des donneurs, receveurs et patients s’exerce auprès du directeur de l’établissement de transfusion sanguine dont dépend le site de collecte ou de réception du sang.
- Le droit d’accès des prospects s’exerce auprès de la Direction Marketing.
- Le droit d’accès des personnels s’exerce auprès de la Direction des Ressources Humaines.
Caractéristiques particulières du traitement
S’agissant des mesures relatives à la sécurité et à la confidentialité, la Commission relève qu’une analyse de risques a été effectuée et que des mesures ont été mises en œuvre pour y faire face que la Commission estime satisfaisantes.
La Commission prend acte des mesures suivantes portant sur les données :
- l’hébergement de l’infrastructure du système informatique national de l’EFS chez un hébergeur de données de santé à caractère personnel préalablement agréé,
- la sécurisation des données stockées (la majeure partie est stockée en base chez un hébergeur de données de santé, celles permettant de mettre à jour la base de données nationale à partir des ordinateurs portables de collecte sont protégées par un mot de passe à l’aide d’un logiciel approprié),
- la gestion des sauvegardes (réalisées quotidiennement et stockées dans un local distinct) et de l’archivage des données,
- l’anonymisation des données de développement et de recette (fonction intégrée dans l’application métier de l’EFS « INLOG »),
- la séparation des environnements de développement et de production.
La Commission prend acte également des mesures suivantes portant sur le système informatique :
-  l’authentification des utilisateurs,
-  la journalisation des accès, des actions et des échanges, notamment via l’application INLOG,
- l’horodatage, géré en interne et reposant sur deux serveurs synchronisés sur la source de temps mise à disposition par l’Observatoire de Paris,
-  la mise en place des antivirus et correctifs de sécurité,
- la sécurisation des bases de données grâce à l’utilisation d’un outil permettant l’inventaire des bases, la gestion des politiques de sécurité, la production d’analyses et de rapports sur les bases, la gestion des vulnérabilités ainsi que la gestion de menaces,
- la protection du réseau informatique interne contre les intrusions,
- la mise au rebut sécurisée des supports de stockage (effacement sécurisé ou destruction physique des disques durs),
- la sécurisation des réseaux Wifi selon leur nature (information du responsable de la sécurité, utilisation du protocole WPA2, cloisonnement des équipements connectés, masquage de l’identifiant du réseau, clés secrètes non triviales, traçabilité, configurations des accès publics sécurisées, existence d’une charte),
- la sécurisation des postes nomades (chiffrement intégral du disque dur, authentification forte à l’aide d’un token à code PIN avec la solution),
- la sécurisation des échanges entre les ETS, ainsi que des échanges avec les destinataires identifiés, en termes de disponibilité, d’intégrité et de confidentialité, notamment par un chiffrement des flux.
La Commission relève également des mesures portant sur l’organisation, les personnes et les locaux :
- la gestion des habilitations (accès aux données par les personnels de chaque établissement, dans la limite de leurs attributions),
- une politique de mots de passe conforme aux recommandations de l’Agence nationale de la sécurité des systèmes d’information (ANSSI),
- la sensibilisation des utilisateurs (charte informatique nationale, campagne nationale sur mesure en e-learning, clause sur le respect du secret professionnel incluse dans les contrats de travail…),
- la gestion de la continuité des activités,
- l’encadrement de la maintenance des logiciels et des équipements (sur place et télémaintenance),
- la gestion des incidents,
- la protection physique des locaux et des équipements.
Par ailleurs, elle prend acte de la conformité du traitement à l’ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, au décret n°2010-112 du 2 février 2010 pris pour application des articles 9, 10 et 12 de l’ordonnance, au référentiel général de sécurité (RGS v1.0) et au référentiel général d’interopérabilité (RGI v1.0).
Le respect des exigences relatives aux téléservices comprend notamment :
- une appréciation des risques de sécurité à l’aide d’EBIOS (méthode de gestion des risques de l’Agence nationale de la sécurité des systèmes d’information),
- l’élaboration d’un plan d’action visant à traiter les risques appréciés,
- la détermination de fonctions de sécurité spécifiées dans le RGS,
- le réexamen régulier de la sécurité,
- le recours à des produits et prestataires de confiance,
- l’intégration de la sécurité dans les projets (étude des risques, mesures types, audit de sécurité…),
- l’homologation de toute nouvelle application par le Président de l’EFS,
- l’élaboration d’une politique nationale de sécurité des systèmes d’information,
- le respect des règles du RGS relatives aux fonctions d’authentification de personnes par identifiants et mots de passe statiques, d’authentification de serveurs par certificat électronique, et de confidentialité.
La Présidente
Isabelle FALQUE-PIERROTIN