(Demande d’autorisation n° 1534393)
La Commission nationale de l’informatique et des libertés,
Saisie par la Croix-Rouge Française d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi médico-social de patients en grande précarité atteints de maladies infectieuses;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1°et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La Croix-Rouge Française est une association à but non lucratif reconnue d’utilité publique.
Sur la finalité
La finalité du présent traitement, dénommé DIAMM, est le suivi médico-social des patients en grande précarité atteints de maladies infectieuses. La Croix-Rouge Française, via notamment son centre de consultation médicale et de soins infirmiers du Moulin Joly, accueille des patients en grande précarité, exclus du système sanitaire classique (la majorité des patients traités n’ont pas de papier d’identité, relèvent des régimes d’aide médicale de l’Etat, ou de la couverture médicale universelle ou ne disposent pas de couverture sociale).
Certains centres relevant de la Croix-Rouge Française exercent le rôle de sentinelle sur le plan sanitaire, en ce qu’ils appartiennent au réseau COREVIH (coordination régionale de la lutte contre le virus de l’immunodéficience humaine). A ce titre, des données médicales et épidémiologiques codées, destinées à la mise en place d’un suivi national de la contamination par le virus de l’immunodéficience humaine sont transmises afin d’alimenter les bases COREVIH régionales et la base de données DOMEVIH administrée par le Ministère des affaires sociales et de la santé (dossier médico-épidémiologique du VIH).
Dans ce cadre, le traitement DIAMM a pour objectif la mise en place d’un dossier informatisé de suivi médico-social répondant aux missions suivantes:
La Commission considère la finalité poursuivie comme déterminée, légitime et explicite.
assurer les consultations médicales et de soins infirmiers,
orienter les patients le cas échéant, vers d’autres structures de soins notamment des hospitalisations,
mettre en place des actions de prévention et de dépistage,
assurer un suivi psychologique,
et mener des actions d’aides à la réinsertion.
Dans ce contexte, la Commission considère qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° et 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements de données de santé et de données comportant des appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les données collectées sont relatives à :
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
l’identification (prénom ou pseudonyme, date et lieu de naissance) ;
la vie personnelle (habitudes de vie, situation familiale, statut marital, type d’hébergement) ;
la vie professionnelle (situation professionnelle, scolarité, formation) ;
la situation économique et juridique (revenus, situation financière, seuil de pauvreté) ;
l’appréciation des difficultés sociales des personnes (sans domicile fixe, absence de titre de séjour, langue française parlée et/ou écrite) ;
la santé (pathologie, affection, données relatives aux soins, situations ou comportements à risques, résultats d’analyses biologiques codés) ;
et la vie sexuelle des patients.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités :
Les données transmises aux COREVIH régionales et aux personnels habilités gérant la base DOMEVIH seront pseudonymisées préalablement à leur transmission, via l’attribution du numéro « d’anonymat » généré lors de l’enregistrement du dossier du patient accueilli dans l’un des centres de la Croix-Rouge Française.
des centres de la Croix Rouge Française exerçant les missions précitées ;
des COREVIH régionales ;
du Ministère des affaires sociales et de la santé ayant en charge le renseignement de la base DOMEVIH ;
et les médecins généralistes ayant vocation à suivre les patients accueillis dans les centres précités de la Croix-Rouge Française.
La Commission prend acte que l’habilitation permettant la  consultation des données de santé ne peut être attribuée qu’à des personnes soumises au secret médical, et dans la stricte limite de leurs missions.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, du traitement de leurs données conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par voie d’affichage, dans les centres les accueillant.
Leur consentement, concernant la mise en place d’un dossier médical informatisé, et la transmission codée de leurs données aux COREVIH régionales  et aux personnels habilités gérant la base DOMEVIH, est recueilli par écrit.
Les droits d’accès et de rectification s’exercent auprès du médecin du centre accueillant le patient.
Ces modalités d’information, de recueil du consentement et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Concernant les modalités d’accès aux données, les utilisateurs ayant accès à l’application sont authentifiés au moyen d’un login et d’un mot de passe conforme aux exigences de la Commission en la matière.
Toutefois, la Commission rappelle que l’authentification des professionnels de santé par identifiant et mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret n° 2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou d’un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS, et ce pour toute transmission ou tout accès à des données de santé. La Commission rappelle que le responsable de traitement devra se conformer à ces exigences.
Par ailleurs, des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les utilisateurs.
Concernant les mesures de traçabilité, l’ensemble des accès en consultation, modification et création sont tracés et conservés au sein du dossier du patient.
Concernant les réseaux au travers desquels sera accessible le traitement, ceux-ci sont reliés entre eux par un réseau VPN (Virtual Network Computer) présentant un niveau de sécurité suffisant.
Enfin, les supports de stockage usagés seront détruits par un prestataire spécialisé.
Les mesures de sécurité mises en place apparaissent dès lors satisfaisantes.
Sur les autres caractéristiques du traitement
Les données collectées sont conservées pendant deux ans, puis elles sont archivées pendant trente ans.
Cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la Croix-Rouge Française à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN