(Demande d’autorisation n° 1852463)
La Commission nationale de l’informatique et des libertés ;
Saisie par l’association réseau périnatal de l’Ile-de-France Sud d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des transferts in utero en Ile-de-France;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6321-1, L. 1110-4, L. 1111-8, L. 6316-1 et R. 6316-1;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est un réseau périnatal territorial, constitué en association, à laquelle adhèrent les professionnels de santé du sud de l’Ile-de-France, acteurs de la prise en charge des femmes enceintes et de leurs nouveau-nés.
Le réseau périnatal de l’Ile-de-France Sud est membre du Groupement de Coopération Sanitaire des Systèmes d’Information partagés en Santé en Ile-de-France (GCS DSISIF).
Sur la finalité
Le traitement envisagé s’inscrit dans le cadre du programme régional HYGIE qui a pour objectif d’améliorer la prise en charge de la périnatalité.
Ce programme commun aux réseaux de périnatalité en Ile de France a été initié à la demande de l’agence régionale de santé (ARS) Ile-de-France qui a confié au GCS DSISIF le déploiement de l’application afin d’améliorer la coordination des soins et la prise en charge des femmes enceintes et de leurs nouveau-nés.
Le traitement poursuit les objectifs suivants :
- identifier les facteurs de risque éventuels afin d’orienter les mères avant l’accouchement vers les structures adaptées en fonction de la pathologie de la mère et/ou de l’enfant (né ou à naître),
- apprécier l’opportunité et le degré d’urgence d’un transfert inter-établissements appartenant aux réseaux périnatals d’Ile-de-France, afin de permettre une prise en charge adaptée et améliorer la sécurité et la qualité des transferts, de la prise de décision, la coordination et la continuité des soins,
-permettre, par la mise en place d’un dossier médical partagé, une mise en commun d’informations médicales, entre ces établissements.
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Concernant les patients, les données traitées et échangées sont :
- données d’identification : nom, prénom, sexe, date de naissance, pays de naissance, commune de naissance, adresse ;
- données médicales collectées par l’établissement qui demande le transfert de la patiente (date de début de grossesse, gestité, diagnostic principal : pré-éclampsie, pathologie fœtale, diagnostic associé, corticothérapie, tocolyse, nombre de fœtus, bilan biologique réalisé, échographie cervicale, longueur du col…) ;
- données médicales collectées par l’établissement qui accueille la patiente (diagnostic à l’arrivée, informations complémentaires après 24h : transfert en réanimation, aggravation de la pathologie menant à une césarienne, issue du transfert : pré-éclampsie, pathologie fœtale, informations sur le nouveau-né…).
Concernant les professionnels de santé chargés du suivi des patients les données traitées et échangées sont des données d’identification : nom, prénom, coordonnées professionnelles et spécialité, établissement d’exercice, réseau de santé d’appartenance, numéro RPPS ou ADELI, nom, prénom, civilité et e-mail professionnel de la secrétaire médicale le cas échéant.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
- Les professionnels de santé exerçant dans les établissements de santé membres du GCS DSISIF, intervenant dans la prise en charge des patients concernés dans la limite de leurs attributions respectives et de la stricte mesure nécessaire à cette prise en charge ;
- L’équipe de coordination du réseau sous la responsabilité du médecin coordinateur ;
- La cellule des transferts in utero régionale, localisée au sein du Centre hospitalier Antoine Béclère à Clamart, est missionnée par l’ARS Ile-de-France depuis 1998. Elle vient en appui des établissements de santé franciliens dans le cas de transferts d’urgence.
Sur les droits des personnes
Le dossier produit à l’appui de la demande prévoit que :
- les patients concernés sont informés des modalités de mise en œuvre du traitement ainsi que des droits qui leur sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’une note d’information, sous format papier, rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée ;
- le consentement des patients à la création d’un dossier médical partagé et à l’hébergement de  données auprès d’un hébergeur de données de santé à caractère personnel sera recueilli par un professionnel de santé en contact avec eux sous la forme « dématérialisée », à l’aide d’une case à cocher par ce professionnel ;
- les droits d’accès et de  rectification s’exercent auprès du coordinateur médical du réseau.
La Commission estime que, dans ces conditions, ces modalités d’information et d’exercice des droits n’appellent pas d’observation.
Sur les mesures de sécurité
Au sein du réseau, le coordinateur médical est responsable de la gestion des comptes utilisateurs et de l’affectation des profils de droits des référents au sein des établissements. Chaque référent est, pour son établissement, responsable de la gestion des comptes utilisateurs et de l’affectation des profils de droits des utilisateurs.
Les professionnels de santé accèdent aux dossiers médicaux des patients qu’ils prennent en charge.
Chaque utilisateur dispose d'un identifiant qui lui est propre.
Le dossier produit à l’appui de la demande prévoit que le contrôle des accès aux dossiers des patients s’effectue par une carte de professionnel de santé (CPS) ou, pour le personnel administratif, une carte  Px ou par le recours à un identifiant et un mot de passe couplé à un mot de passe à usage unique envoyé par SMS ou mail.
La Commission rappelle que conformément aux dispositions de l’article L. 1110-4 du code de la santé publique, les accès aux données de santé doivent s’opérer par l’utilisation d’une carte de professionnel de santé CPS ou d’un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS (l’Agence des systèmes d’information partagés de santé, l’ASIP Santé) et demande au responsable de traitement de s’y conformer avant la mise en œuvre du traitement.
L’application assure la traçabilité des accès et des actions (authentification des utilisateurs, actions effectuées sur les données et formulaires du dossier).
L’application met en œuvre des procédés de chiffrement du transport des données (protocole HTTPS).
Les sauvegardes des données sont chiffrées.
Le système d’information du réseau est hébergé par auprès d’un prestataire qui satisfait aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique, pour le service considéré.
La Commission rappelle que l’exigence de sécurité, prévue à l’article 34 de la loi du 6 janvier 1978 modifiée, nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Le dossier produit à l’appui de la demande prévoit que les données sont conservées pendant une durée de 3 jours correspondant au temps nécessaire à l’organisation de l’opération de transfert d’un établissement à l’autre.
A l’issue de cette période, il est prévu que les données seront archivées conformément à la réglementation en vigueur et pourront être conservées à des fins statistiques. A cet égard, la Commission rappelle qu’il conviendra, dans cette hypothèse, de se conformer aux dispositions des chapitres IX et X de la loi du 6 janvier 1978 modifiée.
S’agissant de l’anonymisation,  pour considérer qu’un jeu de données est effectivement anonyme :
la première solution consiste à évaluer les procédés d’anonymisation mis en œuvre préalablement à la diffusion des résultats du traitement à la lumière des trois critères suivants :
Si le jeu de données obtenu via le processus d’anonymisation respecte ces critères, il peut alors être considéré comme anonyme.
le jeu de données ne comporte pas de données individuelles ;
il n’est pas possible de corréler le jeu de données considéré comme anonyme avec un autre jeu de données ;
il n’est pas possible d’en déduire de nouvelles informations sur des individus.
En revanche, si les trois critères ne sont pas réunis, la seconde solution consiste à mener une étude des risques de ré-identification, qui doit être soumise à la CNIL. Cette étude consiste à démontrer que les risques, liés à la publication du jeu de données anonymisées, n’ont pas d’impact sur la vie privée et les libertés des personnes concernées.
Autorise, conformément à la présente délibération, l’association réseau périnatal de l’Ile-de-France Sud à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN