(Demande d’autorisation n° 1543561)
La Commission nationale de l’informatique et des libertés ;
Saisie par la société MDEL d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prise de rendez-vous et l’organisation de consultations médicales en ligne, principalement à destination des ressortissants français vivant à l’étranger et des personnes vivant dans des zones territoriales où l’accès au soin est limité, compliqué ou inadéquat ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1161-1 et R. 1161-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La société MDEL, société à responsabilité limitée enregistrée au registre du commerce et des sociétés de Paris.
Sur la finalité
Le traitement a pour finalité la prise de rendez-vous et l’organisation de consultations médicales en ligne, principalement à destination des ressortissants français vivant à l’étranger et des personnes vivant dans des zones territoriales où l’accès au soin est limité, compliqué ou inadéquat.
Conformément aux dispositions de l’article R.6316-6 du code de la santé publique, la société MDEL a signé un contrat avec l’Agence régionale de santé Ile de France, permettant le développement de téléconsultations entre des médecins spécialistes français et une population vivant dans des pays étrangers, population française ou francophone.
En application de l’article R. 6316-1 du code de la santé publique, ce traitement de données relève du champ d’application des dispositions applicables à la télémédecine dès lors qu’il permet à un professionnel de santé de donner une consultation à distance à un patient.
Dans le cadre de ce service de téléconsultation, le patient s’inscrit sur le site internet www.frenchmedecine.com et pourra bénéficier d’une consultation à distance avec le professionnel de santé de son choix en visioconsultation.
La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique.
La Commission estime que la finalité du traitement est déterminée, explicite, et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Dans le cadre de ce programme de téléconsultation, les données faisant l’objet d’un traitement sont celles relatives aux patients qui s’inscrivent sur le site internet. Elles portent sur l’identité (nom, prénom, adresse email), date et heure du rendez vous. Les données relatives à la santé du patient sont transmises lors de la téléconsultation, sans aucun enregistrement sur le site internet. Seul le professionnel de santé prenant en charge le patient disposera de ces données. Aucune donnée de santé ne sera collectée par le site internet www.frenchmedecine.com. Le patient aura la possibilité de faire analyser des pièces médicales par le professionnel de santé choisi, à charge pour lui de les lui transmettre par courriel, sans passer par le site internet www.frenchmedecine.com.
Les données relatives aux professionnels de santé feront également l’objet d’un traitement (identité, coordonnées).
La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les données d’identification des patients (nom, prénom, adresse email) seront collectées et traitées par la société MDEL le temps d’organiser l’acte de téléconsultation. Passé ce délai, seul le  professionnel de santé ayant pris en charge le patient aura accès à ces données et ce pendant un an.
Aucune autre donnée à caractère personnel ne sera collectée et traitée via le site internet www.frenchmedecine.com.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article R. 6316-2 du code de la santé publique, le consentement du patient sera recueilli, sous forme « dématérialisée », par une case à cocher par le patient, par le patient, permettant d’attester qu’il a bien pris connaissance des conditions générales d’utilisation du service et compris la note d’information spécifique attachée à ce service.
Conformément aux dispositions de la loi du 6 janvier 1978 modifiée, les patients, préalablement à toute prise de rendez vous, sont dûment informés des modalités précises de fonctionnement du site et du traitement de leurs données d’identification.  Sur le site, une page est dédiée à l’information du patient intitulée « informations aux patients », avec un renvoi complémentaire sur une autre page  « questions fréquentes » qui concerne le déroulement de la téléconsultation.
Par ailleurs, les patients  peuvent, pendant l’année qui suit la réalisation du rendez vous, exercer leurs droits d’accès, de rectification et de suppression des données les concernant, en s’adressant à : MDEL, 18 bd des Filles du Calvaire, 75011 Paris.
Les professionnels de santé inscrits sur le site internet www.frenchmedecine.com sont également informés des droits qui leur sont reconnus par la loi précitée.
Sur les mesures de sécurité
Sur le contrôle d’accès et les habilitations :
Lorsque le patient prend rendez-vous avec le professionnel de santé, un courriel contenant ses nom, prénom, adresse électronique, date et heure du rendez-vous, est transmis au professionnel de santé qui pourra le valider en se connectant au site internet.
Le professionnel de santé n’a accès qu’aux données relatives à ses patients. Sur la page dédiée, il a accès aux demandes de rendez-vous en attente de validation ainsi qu’aux rendez-vous du jour.
Le professionnel de santé se connecte à la plateforme par l’intermédiaire d’un couple identifiant / mot de passe.
Le responsable de traitement a mis en place une politique de mots de passe conforme aux recommandations de la Commission. Ils sont composés au minimum de huit  caractères alphanumériques. Le professionnel de santé a la possibilité de modifier son mot de passe.
En revanche, et contrairement aux dispositions du décret du 15 mai 2007 relatif à la confidentialité des informations médicales, le système proposé ne permet pas l’utilisation de la carte CPS (carte de professionnel de santé). La Commission rappelle que l’authentification des professionnels de santé par login/mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret n° 2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. La Commission souhaite que la société MDEL mette en place une authentification forte des professionnels de santé par carte CPS ou dispositif équivalent.
Pour les patients, la connexion se fera par l’utilisation de son adresse électronique ainsi que d’un mot de passe dont la complexité répond aux recommandations de la Commission, à l’exception de la modification à la première connexion. Toutefois, à chaque prise de rendez vous, un mot de passe unique est généré.
Sur la traçabilité :
Les identifiants des utilisateurs sont conservés.
La trace de la dernière connexion du patient est conservée pendant un an par le professionnel de santé l’ayant pris en charge.
Sur les transmissions de données :
Les transferts de données à caractère personnel sont sécurisés par l’utilisation du protocole SSL et les flux vidéo par l’utilisation du protocole HTTPS.
La Commission estime ces mesures de sécurité satisfaisantes
Sur les autres caractéristiques du traitement
La Commission relève que les données d’identification du patient seront conservées pendant un an après que l’acte de téléconsultation a eu lieu, et ne seront consultables que par le professionnel de santé ayant pris en charge le patient.
Dans l’hypothèse où l’acte de télémédecine n’aurait pas eu lieu, aucune donnée ne sera conservée.
Autorise, conformément à la présente délibération, la société MDEL à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN