(demande d’autorisation n° 1786189)
La Commission nationale de l'informatique et des libertés,
Saisie par la société CARIANS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un site internet dénommé « deuxiemeavis.fr »;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1111-8, L. 6316-1 et R. 6316-1 et suivants;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Loïc HERVE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie d’une demande d’autorisation présentée par la société CARIANS immatriculée au registre du commerce et des sociétés de Paris.
La demande  d’autorisation porte sur la mise en œuvre d’une plateforme de services de santé dénommée « deuxiemeavis.fr » proposant un avis médical sous deux formes distinctes :
un service dit de téléexpertise permettant à un médecin de recueillir auprès d’un confrère un avis spécialisé pour un de ses patients ;
un service dit de téléconseil personnalisé permettant à une personne (ou à son représentant légal) de solliciter un deuxième avis médical.
Les avis médicaux sont délivrés par des médecins référencés sur le site internet « deuxiemeavis.fr », exerçant en France et ayant conclu une convention avec la société CARIANS.
La Commission prend acte de ce que la société CARIANS a conclu avec l’Agence régionale de santé d’Ile de France (ARS) un contrat de télémédecine aux termes duquel les prestations proposées par la société CARIANS dans le cadre de l’exploitation du site internet « deuxiemeavis.fr » sont les suivantes : le service permettant à un médecin de recueillir auprès d’un confrère un avis spécialisé pour son patient est qualifié d’acte relevant des dispositions prévues à l’article L. 6316-1 relatif à la télémédecine d’une part, et d’autre-part, le service permettant à une personne (ou à son représentant légal) de solliciter un deuxième avis médical est qualifié de « téléconseil personnalisé» n’entrant pas dans le champs d’application des dispositions précitées.
Sur la finalité et la formalité applicable au traitement :
Le traitement a pour finalité la mise en œuvre d’une plateforme de services de deuxième avis médical en ligne permettant  à des patients et à des médecins de solliciter à distance des deuxièmes avis médicaux auprès de médecins libéraux ou de médecins exerçant dans des établissements de santé ou, lorsque c’est un médecin qui est à l’origine de la demande, l’avis spécialisé d’un confère.
Les services s’adressent plus spécifiquement à des patients atteints de pathologies graves, rares et invalidantes.
La Commission estime que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6 de la loi du 6 janvier 1978 modifiée (ci-après loi Informatique et Libertés).
S’agissant d’un traitement de données de santé justifié par un intérêt de santé publique, la Commission considère qu’il y a lieu de faire application des dispositions prévues aux articles 8-IV et 25-I-1° de la loi Informatique et Libertés.
Sur les catégories de données à caractère personnel traitées :
Les données relatives aux utilisateurs particuliers qui font une demande de deuxième avis, portent sur l’identité (civilité, nom(s), prénom(s), date de naissance), les coordonnées (adresse de résidence, courriel, téléphone), la/les langue(s) parlées ainsi que la situation familiale et professionnelle, les informations relatives à leur prise en charge médicale (nom et coordonnées du médecin traitant) ainsi que les informations nécessaires à la prise en charge médicale (origine de la pathologie, premier avis médical obtenu, les antécédents personnels et familiaux, les signes de la pathologie, les traitements entrepris, le poids, la taille et habitudes de vie du patient, le cas échéant, les données génétiques en lien avec la pathologie du patient), le cas échéant les informations attestant de la qualité de représentant légal.
La Commission observe que, dans le dossier qui lui est soumis, le responsable de traitement prévoit également la collecte du nom de la complémentaire santé des personnes faisant appel aux services du site internet « deuxiemeavis.fr ».
La Commission prend acte de ce que cette collecte est justifiée par le responsable de traitement par la mise en œuvre future d’un partenariat avec les organismes d’assurance maladie complémentaire.
Elle rappelle que l’accès aux données de santé par les organismes d’assurance maladie complémentaire doit s’effectuer dans des conditions permettant de garantir le respect de la vie privée des personnes concernées. A cet égard, la Commission considère que, dans la mesure où la demande d’autorisation qui lui est soumise ne comporte pas de précisions ni sur les modalités de mise en œuvre de cette prise en charge, ni sur la nature des données qui seraient alors susceptibles d’être transmises aux organismes complémentaires, il conviendra de la saisir d’une demande de modification dès lors que le dossier sera plus abouti sur ce point.
Les données relatives à l’utilisateur médecin à l’origine d’une demande d’avis spécialisé pour le compte de son patient portent sur l’identité (nom, prénom, date de naissance), l’exercice de son activité professionnelle (spécialité, lieu principal d’exercice, pays et code postal d’exercice, numéro au répertoire partagé des professionnels de santé, ci-après RPPS) et les coordonnées (courriel et téléphone).
Les données relatives aux médecins référencés par le site internet intervenant au titre de l’acte de télémédecine ou de téléconseil personnalisé portent sur leur identité  (nom, prénom, photo, RPPS, date de naissance), la/les langue(s) parlées, leurs coordonnées (adresses mail et postale, numéro de téléphone), leur formation et modalités d’exercice de la médecine (diplômes, formations, spécialités et domaines d’expertise, indicateurs d’activité tels que les honoraires pratiqués et le mode d’exercice, autres lieux d’exercice, intérêts et liens personnels, responsabilités professionnelles au sein de structures et sociétés savantes, travaux de recherche et publications, participations à des congrès) ainsi que les informations relatives à la facturation (données bancaires et numéro URSSAF).
La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur la durée de conservation des données :
La Commission relève que les données à caractère personnel des utilisateurs et des médecins sont conservées pendant la durée de vie de leur compte individuel à l’exception des données de santé.
Le compte rendu de deuxième avis est rendu accessible durant quinze jours à compter de sa mise à disposition. Passé ce délai, ce document ne sera plus disponible en ligne.
Le compte-rendu et les données de santé liées à celui-ci seront stockés sous la forme archivée chez l’hébergeur agréé de données de santé pendant dix ans, correspondant à la durée de la prescription applicable en matière de responsabilité médicale.
La Commission en prend acte.
Sur les destinataires des données :
Les destinataires des données collectées sont exclusivement :
les médecins sollicités au titre de la réalisation de l’acte de télémédecine ou de téléconseil personnalisé ;
les seules personnes habilitées au sein de la société CARIANS et de l’hébergeur agréé de données de santé uniquement à des fins de gestion technique et administrative.
A cet égard, seules les personnes habilitées, dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à l’accomplissement de leur mission, ont accès aux données de santé à caractère personnel.
La Commission prend acte de ce que les médecins et représentants légaux qui sollicitent le service ne peuvent accéder qu’aux données de santé relatives aux personnes pour lesquelles  ils sollicitent un avis médical.
Les médecins partenaires référencés par le site internet n’ont accès qu’aux données des patients pour lesquels ils sont amenés à rendre un deuxième avis.
Les assistants du centre d’appel de la société CARIANS qui reçoivent les appels des utilisateurs peuvent accéder aux données de santé de ceux-ci pour la gestion des demandes d’ordre administratif et technique, sous le contrôle et l’autorité du médecin. Ils exercent des fonctions assimilables à celles de secrétaire médical.
La Commission prend acte de ce que cet accès fait l’objet d’une convention tripartite signée entre la société CARIANS, le médecin partenaire et l’assistant. Cette convention subordonne l’accès aux données des utilisateurs à des conditions garantissant leur confidentialité. Elle rappelle notamment que le médecin et les assistants placés sous sa direction sont personnellement soumis au respect du secret professionnel au sens des dispositions des articles 226-13 du code pénal et L. 1110-4 du code de la santé publique.
La Commission prend acte de ce que l’accès éventuel des administrateurs aux fins d’assurer l’administration et la maintenance de la plateforme s’opère dans les mêmes conditions que celui des assistants.
Sur les droits des personnes :
La Commission prend acte de ce que les modalités d’information et de recueil du consentement diffèrent selon le service proposé.
Dans le cadre du service de téléconseil personnalisé, l’information est délivrée par le biais d’une notice d’information et de consentement dont la lecture est rendue obligatoire au moyen d’un dispositif technique imposant à l’utilisateur d’en prendre connaissance avant de donner son consentement.
Le consentement porte sur le recueil des données de santé, le recours à un hébergeur de données de santé agréé, le partage des données de santé avec le médecin traitant ou un autre médecin expert de la plateforme. Il est matérialisé par des cases à cocher par le patient.
Dans le cadre du service de téléexpertise, l’information est délivrée lors d’un entretien individuel avec le patient par le médecin qui est à l’origine de la demande d’un avis spécialisé pour le compte de son patient.
Le consentement recueilli par le médecin porte sur la prise en charge médicale par le biais de l’acte de téléexpertise tel que proposé par le service « deuxièmeavis.fr », le partage des informations avec des professionnels participant à l’acte de téléexpertise, le traitement des données de santé et le recours à un hébergeur de donnée de santé agréé. Il est matérialisé par la remise par le médecin à son patient d’un document attestant du recueil de son consentement.
La Commission estime ces modalités satisfaisantes.
La Commission observe qu’il est prévu parmi les services proposés que la téléexpertise puisse intervenir dans le prolongement du service de téléconseil personnalisé.
Dans cette hypothèse, le consentement du patient, informé de cette possibilité par la notice d’information et de consentement remise dans le cadre du service de téléconseil personnalisé, est recueilli préalablement à l’acte de téléexpertise.
La Commission rappelle que le consentement des personnes à un acte de télémédecine doit s’opérer dans des conditions conformes à celles prévues à l’article R. 6316-2 du code de la santé publique.
La Commission prend acte, en outre, de ce que les médecins référencés sur le site internet sont informés de leurs droits par une mention d’information figurant sur le site ainsi que sur les formulaires de collecte de leurs données à caractère personnel lorsque les médecins interviennent au titre d’une demande de deuxième avis.
Lorsque les données les concernant ne sont pas collectées directement auprès d’eux, les médecins sont informés du traitement de leurs données et de leurs droits en application de l’article 32 III de la loi Informatique et Libertés par le biais d’un courriel.
Enfin, la Commission prend acte qu’un consentement aux conditions générales du site et à la réception des communications de la part de la société CARIANS est prévu sous la forme de cases à cocher en ligne.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès, de rectification et d’opposition des patients s’exercent auprès du médecin ayant délivré le deuxième avis ou de celui à l’origine de la demande. Il peut également s’exercer auprès du service en charge de la gestion du droit d’accès de la société CARIANS ou du médecin de l’hébergeur.
Les droits d’accès, de rectification et d’opposition des médecins référencés par le site  s’exercent auprès du service en charge de la gestion du droit d’accès de la société CARIANS.
Sur la sécurité des données et la traçabilité des actions :
La Commission relève que de nombreuses mesures de sécurité complémentaires visant à assurer la confidentialité, l’intégrité et la disponibilité des données sont déployées : mise en œuvre de cette plateforme auprès d’un hébergeur agréé, cloisonnement bas niveau, filtrage applicatif actif, lutte contre les logiciels malveillants, hébergements physiques redondés, sauvegardes délocalisées et chiffrées, architecture spécifique, dédiée et centralisée d’accès distant et d’enregistrement des traces fonctionnelles.
Plus précisément, seuls des accès techniques à des fins d’administration seront opérés par des collaborateurs de l’hébergeur de données de santé sur la plateforme d’hébergement.
Elle prend acte de ce que les accès aux données seront régis par une authentification forte composée d’un mot de passe associé à un compte personnel et d’un mot de passe à usage unique de 32 caractères.
La Commission prend acte de ce qu’il s’agit d’une modalité d’authentification dite forte. Elle rappelle cependant que, conformément aux dispositions de l’article L. 1110-4 du code de la santé publique, les accès aux données de santé doivent s’opérer par l’utilisation d’une carte de professionnel de santé (CPS) ou d’un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS (l’Agence des systèmes d’information partagés de santé, l’ASIP Santé).
Dès lors, la Commission demande au responsable de traitement de se conformer aux dispositions précitées pour l’authentification des professionnels accédant aux données relatives à la santé des personnes ayant recours au service.
En ce qui concerne les transmissions des données, la Commission note que des protocoles visant à assurer la confidentialité et l’intégrité de ces dernières seront mis en œuvre.
La Commission relève également que les statistiques opérées dans le traitement seront encadrées par une procédure préalable d’anonymisation permettant d’assurer la stricte confidentialité de l’identité des personnes visées par ces dernières.
Sous réserves des observations précédentes, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société CARIANS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en œuvre d’une plateforme de services de santé à distance dénommée « deuxiemeavis.fr ».
La Présidente
I. FALQUE-PIERROTIN