La Commission nationale de l'informatique et des libertés,
Saisie par le Groupement de Coopération Sanitaire (GCS) e-santé Picardie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la création d’un dossier médical informatisé et partagé ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, L. 6321-1 et R. 1111-9 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le GCS e-santé Picardie dans le cadre de ses missions de
développement des systèmes d’information dans le domaine de la santé et du secteur médico-social pour la Picardie.
Sur la finalité
L’application DECLIC, Dossier e-santé Centralisé d'Information et de Coordination, s’inscrit dans le cadre du déploiement des maisons pour l’autonomie et l’intégration des malades d’Alzheimer (MAIA) en Picardie. Les MAIA visent à améliorer l’accueil, l’orientation et la prise en charge des malades atteints de la maladie d’Alzheimer ou d’une maladie apparentée et des personnes âgées en perte d’autonomie. Les mesures de mise en œuvre des MAIA sont définies dans le cahier des charges national publié au Bulletin officiel protection sociale, santé, solidarité n°2011-10 du 15 novembre 2011 et approuvé par le décret n°2011-1210 du 29 septembre 2011. Le dispositif permet à partir d’une structure existante (d’accueil, d’orientation, de coordination) de construire, avec les partenaires institutionnels et les professionnels d’un territoire défini, de nouveaux modes de travail partenarial.
L’application DECLIC a vocation à proposer aux MAIA un outil de partage du dossier patient pour faciliter la coordination de la prise en charge entre les différentes structures.
Le traitement envisagé poursuit les finalités suivantes :
gérer le dossier administratif, sanitaire et médico-social du patient et/ou usager par sa structure de prise en charge ;
gérer la coordination de la prise en charge du patient et/ou usager par différentes structures ;
échanger des données par Messagerie Sécurisée de Santé (MSS) ;
générer des formulaires électroniques de santé pour l’évaluation de l’état de santé ;
gérer la programmation d’un Plan Personnalisé de Santé (PPS) ;
gérer des Plans de Services Individualisés (PSI) utilisés par les  gestionnaires de cas  des MAIA ;
piloter l’activité des équipes de coordination : services d’alertes et de notification (événements indésirables, rappel de rendez-vous…) par sms, e-mail, messagerie instantanée et MSS ;
évaluer l’activité de coordination ;
communiquer avec le Dossier Médical Personnel (DMP) : création et consultation, alimentation ;
analyser les parcours de santé des patients dans le système de santé  au niveau des territoires et de la région .
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Concernant les patients, les données traitées et échangées sont les suivantes :
données d’identification (nom, nom de jeune fille, prénom, adresse, date et lieu de naissance, sexe et identifiant national de santé INS-C) ;
données relatives à la vie personnelle (habitudes de vie, situation familiale, informations relatives aux proches aidants, informations relatives à l’environnement) ;
données relatives à la protection sociale (protection sociale, mutuelle, Affection Longue Durée) ;
données de santé nécessaires à la coordination de la prise en charge (antécédents médicaux, imagerie médicale, handicap, données d’évaluation sanitaire et médico-sociale, données physiologiques) ;
données relatives à l’existence d’un DMP ;
Plan Personnalisé de Santé (PPS) ;
Plan de Service Individualisé (PSI) ;
données relatives à la  facturation (numéro d’inscription au répertoire national d’identification des personnes physiques seulement accessible aux personnes habilitées en charge de la facturation, codification de l’acte, montant, coordonnées bancaires) ;
mesures de justice (démarches en cours, sauvegarde, mandat spécial, curatelle, tutelle, Conseiller d’insertion et de probation) ;
autres données nécessaires à la coordination de la prise en charge (rôle que les professionnels peuvent tenir vis-à-vis de chaque patient,  venues ou épisodes de soins associés , matériels, aides financières, financement des aides).
Concernant les professionnels de santé, les données traitées et échangées sont les suivantes :
données d’identification (nom, prénom, adresse, profession, numéro RPPS, spécialité, téléphone fixe et / ou mobile, adresse e-mail professionnelle) ;
coordonnées de leur secrétaire et données relatives à leurs agendas.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont :
les professionnels de santé, les professionnels paramédicaux, les acteurs sociaux (aide médico-psychologique, psychologues, assistants de service social, aide à domicile, aide à domicile en milieu rural), authentifiés et habilités, dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la prise en charge de leurs patients ;
les secrétaires médicales ;
les coordinateurs de réseaux ou autres profils désignés comme administrateurs des structures utilisatrices ;
les médecins DIM en établissement sanitaire et personnes en charge de la facturation pour les autres structures ;
le médecin de l’hébergeur.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur les droits des personnes
Le dossier produit à l’appui de la demande prévoit que :
Les patients concernés sont informés des modalités de mise en œuvre du traitement ainsi que des droits qui leurs sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’une note d’information, sous format papier, rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
Le  consentement du patient ou de son représentant légal à la création d’un dossier médical partagé et à l’hébergement de données auprès d’un hébergeur de données de santé à caractère personnel sera recueilli par un professionnel de santé en contact avec l’intéressé sous la forme d’un formulaire de recueil du consentement au format papier.
Le droit d’accès et de rectification du patient s’exerce auprès du professionnel de santé qui coordonne sa prise en charge ou auprès du médecin de l’hébergeur.
La Commission estime que, dans ces conditions, ces modalités d’information et d’exercice des droits n’appellent pas d’observation.
Sur les mesures de sécurité
Un référent réseau de coordination gère les habilitations des structures, et au sein des structures utilisatrices, un référent gère les habilitations de sa structure.
Les personnes habilitées à accéder aux données de santé sont les personnes faisant partie de l’équipe de soins, la secrétaire médicale, le médecin de l’hébergeur.
Les administrateurs peuvent accéder aux données non médicales dans les limites de leur fonction, ainsi qu’aux données de santé, dans le cadre de la prise en main à distance du poste de travail, sous le contrôle du professionnel de santé concerné ou du médecin de l’hébergeur.
Ces droits d’accès peuvent selon les profils être limités à un accès en lecture seule (secrétaires médicales pour l’accès aux données, mais droits en écriture pour les comptes rendus du professionnel de santé).
Les professionnels de santé accèdent aux dossiers médicaux par l’intermédiaire d’une carte de professionnel de santé (CPS) ou à défaut d’un identifiant et d’un mot de passe couplé à un mot de passe à usage unique envoyé par courriel.
La Commission rappelle que conformément aux dispositions de l’article L. 110-4 du code de la santé publique, les  accès aux données de santé doivent s’opérer par l’utilisation d’une  CPS ou d’un dispositif équivalent agréé par l’organisme en charge d’émettre la CPS (l’Agence des Systèmes d’Information Partagés de santé, l’ASIP santé) et demande au responsable de traitement de s’y conformer avant la mise en œuvre du traitement.
Toutes les actions sont tracées en base de données en reprenant l’identité du dossier, l’action, l’acteur et l’horodatage.
Une analyse des traces est effectuée mensuellement afin de détecter des comportements déviants ou anormaux. En cas de détection de ce type de comportement, le GCS e-santé Picardie est prévenu et le compte de l’utilisateur est provisoirement suspendu.
Les transferts de données sont sécurisés par l’utilisation du protocole HTTPS.
Un chiffrement est effectué dans toutes les transactions entre le navigateur et l’hébergeur au travers du lien SSL. La Commission recommande de ne plus utiliser SSLv3, mais de préférer la version de TLS la plus à jour possible.
Le système d’information du réseau est hébergé par auprès d’un prestataire qui satisfait aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique, pour le service considéré.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
Le dossier produit à l’appui de la demande prévoit que les données seront conservées jusqu’au terme de la prise en charge du patient.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. Elle rappelle qu’à l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur.
Autorise, conformément à la présente délibération, le Groupement de Coopération Sanitaire (GCS) e-Santé Picardie à mettre en œuvre le traitement susmentionné.
Pour la Présidente                               Le Vice-Président délégué
Marie-France MAZARS