La Commission nationale de l'informatique et des libertés,
Saisie par la société CDM e-Health d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif de télésurveillance médicale dénommé NOMHAD ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, L. 6316-1, R. 6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 6 décembre 2016 portant cahiers des charges des expérimentations relatives à la prise en charge par télésurveillance mises en œuvre sur le fondement de l’article 36 de la loi no 2013-1203 de financement de la sécurité sociale pour 2014 ;
Vu l’arrêté du 25 avril 2017 portant cahier des charges des expérimentations relatives à la prise en charge par télésurveillance du diabète mises en œuvre sur le fondement de l'article 36 de la loi n° 2013-1203 de financement de la sécurité sociale pour 2014  ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société CDM e-Health est le responsable du traitement de données à caractère personnel mis en œuvre dans le cadre de l’utilisation de NOMHAD.
Sur la finalité
Le traitement de données à caractère personnel a pour objectif la réalisation d’actes de télésurveillance médicale à travers la mise en place d’un dispositif, nommé NOMHAD, intégrant les fonctionnalités suivantes :
une application web NOMHADChronic à destination des professionnels de santé ;
une application mobile NOMHADMobile à destination des patients qui permet la remontée d’information et d’alerte auprès du médecin télésurveillant.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de l’article 25-1-6° de la loi du 6 janvier 1978 modifiée (ci-après la loi « Informatique et libertés »), qui soumet à autorisation de la Commission les traitements de données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR).
Sur les données traitées
Concernant les patients, les données traitées sont :
les données d’identification ;

les données d’identification relatives au proche ou au représentant légal ;
les données relatives à la vie personnelle ;
les données relatives à la vie professionnelle ;
les données de santé nécessaires à l’acte de télésurveillance ;
les données de santé nécessaires à la réalisation de l’accompagnement thérapeutique du patient ;
les données techniques de connexion ;
les données relatives à la satisfaction des patients au sujet de l’utilisation NOMHAD.
La Commission prend acte de ce que le NIR des patients ne sera utilisé qu’à des fins de remboursement du dispositif médical et des prestations associées.
Concernant les professionnels de santé participant à la prise en charge du patient et les autres professionnels accompagnant les professionnels de santé, les données traitées sont :
les données d’identification ;
les données relatives à la vie professionnelle.
Sont également collectées les données visées à l’article R. 6316-4 du code de la santé publique (CSP).
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi « Informatique et libertés ».
Sur les destinataires
Les destinataires des données sont les suivants :
les professionnels de santé : le médecin télésurveillant et les autres professionnels de santé prenant en charge le patient et sous réserve d’avoir été expressément et préalablement autorisés par le patient ;
l’équipe infirmière de CDM e-Health ;
l’équipe administrative de CDM e-Health gérant le dossier administratif du patient et assurant la résolution de problèmes techniques dans le cadre du support technique de niveau 1 ;
l’équipe technique de CDM e-Health en charge de gérer la logistique et les éventuelles problématiques liées aux matériels ;
l’éditeur de la solution logicielle afin d’assurer les opérations de maintenance.
Un prestataire sélectionné par CDM e-Health pour la réalisation d’enquêtes de satisfaction aura accès aux seules données identifiantes nécessaires à la réalisation de ces enquêtes.
Les données à caractère personnel seront exclusivement destinées aux personnes authentifiées et habilitées dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la réalisation de leurs missions.
Sur l’information et les droits des personnes
Concernant les patients
Le patient est informé par le biais d’une note d’information qui sera remise par le professionnel de santé qui le prend en charge et qu’il devra transmettre, accompagné du formulaire de consentement, par courrier à la société CDM e-Health. Cette note d’information est rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi « Informatique et Libertés ».
Les patients peuvent exercer leurs droits via différent canaux :
un numéro d’accueil client communiqué aux patients sur l’ensemble des correspondances ;
auprès du service des données à caractère personnel de CDM e-Health ;
auprès du médecin de l’hébergeur agréé.
Lors de l'inclusion du patient, les équipes de CDM e-Health rappellent au patient ses droits. Cette procédure permettra de vérifier la bonne compréhension, par le patient, de l'exercice possible et du périmètre de ses droits.
L’exercice des droits sur les données archivées s’exerce de la même manière.
Concernant les professionnels
Les professionnels sont informés via les conditions générales d’utilisation de l’application.
Les droits d’accès, de rectification et d’opposition s’exercent auprès du service des données à caractère personnel de CDM e- Health.
L’exercice des droits sur les données archivées s’exerce de la même manière.
La Commission considère que ces modalités d’information, de recueil du consentement et d’exercice des droits sont satisfaisantes, au regard notamment des dispositions de la loi « Informatique et Libertés ».
Sur les mesures de sécurité
La Commission recommande que tous les comptes à usage d’administration (comptes nominatifs et comptes génériques) soient utilisés au travers d’un bastion d’administration qui assure leur authentification, l’attribution dynamique des droits d’accès, le cloisonnement des flux réseau d’administration et la traçabilité de l’intégralité de leurs actions.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Des habilitations spécifiques sont prévues pour le personnel non professionnel de santé, afin qu'il ne puisse avoir accès qu'à des données pseudonymisées.
La Commission recommande qu’une revue globale des habilitations soit opérée et que les permissions d'accès soient supprimées pour tout  utilisateur n'étant plus habilité.
La Commission relève que l’appariement entre le terminal et les dispositifs médicaux est exclusif et réalisé, par le personnel de CDM e-Health, lors de la phase de préparation du matériel. Cette mesure est jugée satisfaisante.
En outre, elle relève que l’authentification est assurée par un mécanisme à deux facteurs pour les personnels et les patients.
L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé de données de santé.
Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire.
Les flux de données font également l’objet de mesures visant à chiffrer les canaux de transmissions.
La Commission recommande de chiffrer tout ou partie des données stockées, afin d’assurer qu’un administrateur accédant aux données ne pourra pas identifier directement un individu et d’assurer la confidentialité des données de santé en cas de perte ou de vol d’un support.
Elle recommande également de mettre en œuvre une politique de chiffrement comportant notamment les modalités de chiffrement des données et de gestion des clés de chiffrement.
La Commission relève que le traitement inclut le NIR à des fins de remboursement du dispositif médical et des prestations associées. Elle demande à cet égard que des mesures spécifiques et appropriées à sa sensibilité soient mises en place afin d’éviter que le NIR ne soit diffusé plus que nécessaire.
Par ailleurs, elle recommande d’ajouter aux contrats du personnel des clauses de confidentialité visant les dispositions relatives au secret professionnel évoquées à l’article L. 1111-8 du CSP.
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par la société CDM e-Health est conservé six mois en base active à compter de la fin de la période de prise en charge du patient, puis en base archive pendant dix ans.
A l’issue de cette période, l’ensemble des données à caractère personnel traitées sera supprimé.
Par ailleurs, les données à caractère personnel collectées dans le cadre d’opérations de facturation et la liquidation des droits (NIR) sont conservées pour une durée de deux ans à compter de la fin de la prestation.
Autorise, conformément à la présente délibération, la société CDM e-Health à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS