(demande d’avis n° 1802540)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Assistance publique-hôpitaux de Paris (AP-HP) d’une demande d’avis concernant un projet d’arrêté du directeur général de l’Assistance publique-hôpitaux de Paris (AP-HP) portant création d’un téléservice et d’un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des demandes de paiements en ligne par carte bancaire ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L. 6143-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 27-II-4°, 28 et 29 ;
Vu l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 décembre 2009 portant création d’un traitement automatisé de données à caractère personnel dénommé « TIPI » (titres payables par internet) ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Catherine POZZO di BORGO, commissaire adjoint du Gouvernement,
Émet l’avis suivant :
La Commission a été saisie, le 15 octobre 2014, par l’Assistance Publique-Hôpitaux de Paris d’une demande d’avis concernant un projet d’arrêté du directeur de l’Assistance publique-hôpitaux de Paris (AP-HP) portant création d’un téléservice et d’un traitement automatisé de données relatifs à la gestion des demandes de paiement en ligne par carte bancaire.
Les dispositions de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives s’appliquent à ce téléservice de l’administration électronique.
En outre, ce traitement mis en œuvre par une personne morale de droit public aux fins de mettre à la disposition des usagers de l’administration un téléservice de l’administration électronique, dans la mesure où il porte sur des données parmi lesquelles figure un identifiant des personnes physiques autre que le numéro d’inscription des personnes au répertoire national d’identification (NIR), relève à ce titre des dispositions de l’article 27-II-4° de la loi du 6 janvier 1978 modifiée (ci-après loi « Informatique et Libertés »). Il doit, dès lors, en présence d’un traitement opéré pour le compte d’un établissement public, être autorisé par décision de l’organe délibérant chargé de leur organisation, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés.
Sur la dénomination et les finalités du traitement :
L’article 1er du projet d’arrêté directorial (ci-après « le projet ») prévoit la création par l’AP-HP d’un traitement ayant pour finalité la gestion des demandes de paiement en ligne par carte bancaire. A cette fin, une interconnexion du présent traitement avec, d‘une part, le fichier de gestion des clients, des patients et usagers issus du système de gestion économique et financière de l’AP-HP dénommé « EIFEL » (Economie, Investissement, Finance et Logistique) et, d’autre part, le service d’encaissement des titres payables sur internet (TIPI) de la Direction générale des finances publiques (DGFIP) sera opérée.
La Commission considère que la finalité poursuivie par le traitement est déterminée, explicite et légitime. Elle demande, en application de l’article 29-1° de la loi Informatique et Libertés, que la dénomination du traitement soit précisée.
Sur les catégories de données à caractère personnel enregistrées :
L’article 2 du projet prévoit le traitement des données ou catégories de données à caractère personnel suivantes :
les données d’identification des clients, patients et usagers recourant au téléservice de paiement en ligne (nom, prénom, civilité, adresse électronique) et leur référence client (« numéro d’identification permanent » du patient, « identifiant permanent patient » ou identifiant de compte client) ;
les informations d’ordre économique et financier relatives à leurs dettes vis-à-vis de l’AP-HP (dates de début et fin des soins ou de la prestation et montants associés, nom de l’établissement de santé, bénéficiaire des soins ou de la prestation, date de l’avis ou du relevé des sommes à payer, numéro de client AP-HP pour TIPI, exercice, référence de la dette pour TIPI et son montant, résultat de la transaction, numéro d’autorisation délivré par le serveur d’autorisation du service TIPI, date et heure de transaction de paiement par carte bancaire, identifiant de l’opération de paiement) ;
les traces d’accès au téléservice.
S’agissant des données d’identification des patients, la Commission prend acte de ce que le Numéro d’identification permanent (NIP) et l’Identifiant permanent patient (IPP) sont distincts de leur numéro d’inscription des personnes au Répertoire national d’identification des personnes physiques (NIR) et ne sont pas générés à partir de ce numéro.
S’agissant de l’adresse électronique des personnes, l’AP-HP a précisé que sa collecte est imposée par le service TIPI, afin de permettre l’envoi aux personnes concernées de leur justificatif de paiement par carte bancaire, lorsque ces dernières ont formellement accepté cette modalité d’envoi et les risques inhérents à la transmission de données par courriel non chiffré qui y sont associés.
La Commission estime que les données traitées apparaissent adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi « Informatique et Libertés ».
Sur les destinataires ou catégories de destinataires habilités à recevoir communication des données :
L’article 3 du projet prévoit les destinataires des données suivants :
les gestionnaires du fichier EIFEL précité de l’AP-HP ;
les personnes chargées de la mise en œuvre du système d’information de l’AP-HP ayant pour finalité la gestion des traces ;
les personnels de la DGFIP en charge du téléservice des titres payables sur internet (TIPI).
Ces destinataires n’appellent pas d’observations particulières de la Commission.
Sur la durée de conservation des données :
L’article 4 du projet prévoit que les données enregistrées dans le traitement seront conservées jusqu’à la clôture de la transaction de paiement.
L’AP-HP a précisé qu’une transaction est considérée comme close dès lors qu’un paiement est validé, qu’il est refusé ou qu’il est en attente d’un retour du service TIPI depuis plus de 48 heures.
Elle a précisé qu’afin de permettre la résolution des incidents de déconnexion entre le téléservice de paiement en ligne, le fichier EIFEL et le service TIPI, les données techniques suivantes sont conservées pendant un délai maximal de 48 heures par le traitement sous-jacent au téléservice : l’identifiant de l’opération de paiement transmis par le service TIPI, la référence de la dette dans le service TIPI et le résultat de la transaction (« payé », « abandon », « refus »).
Par ailleurs, les données de connexion seront conservées pendant un an.
La Commission en prend acte.
Sur l'information des personnes concernées :
La Commission relève que le projet ne comporte aucune disposition particulière concernant l’information des personnes.
L’AP-HP a précisé que les personnes concernées seraient informées par voie d’affichage sur son site internet. L’internaute souhaitant procéder à un paiement en ligne devra, au préalable, accepter les conditions générales d’utilisation du téléservice.
La Commission en prend acte.
Sur les droits d’accès et de rectification des personnes concernées :
L’article 6 du projet prévoit que le droit d’accès et de rectification s’exerce auprès de la direction économique financière, de l’investissement et du patrimoine de l’AP-HP.
La Commission en prend acte.
Elle prend également acte de ce que l’article 6 précité a été complété d’une mention expresse rappelant que les personnes concernées ont le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel les concernant fassent l’objet d’un traitement, conformément aux dispositions de l’article 39 de la loi Informatique et Libertés.
Sur la sécurité des données et la traçabilité des actions :
La Commission relève que l’intégralité des transferts sont sécurisés par le recours au protocole SSL.
Les traces des accès par les usagers au téléservice, ainsi que par le personnel habilité de l’AP-HP au système d’information sont enregistrées et horodatées. Ces traces sont notamment utilisées pour la mise en œuvre d’un système de détection des attaques par force brute.
Les données propres au téléservice sont conservées une semaine, puis sont automatiquement supprimées.
La Commission relève que pour accéder au téléservice de paiement en ligne, il est nécessaire d’indiquer les références d’une facture ou d’un avis de sommes à payer ainsi que l’identifiant de patient ou l’identifiant du compte client présents sur l’avis des sommes à payer. Sur la base de ces informations, le système d’information de l’AP-HP identifie le compte client et affiche l’ensemble des dettes non soldées de ce client.
Bien que l’AP-HP ait mis en œuvre un système permettant de limiter les risques d’usurpation d’identité en réduisant le nombre de tentatives d’accès à une facture à deux toutes les secondes, la Commission relève que le téléservice de paiement en ligne ne prévoit pas de procédure d’authentification des usagers. Dans ces conditions, afin de garantir la confidentialité des factures notamment en cas de perte d’une d’entre elles par la personne concernée, la Commission estime que le téléservice devrait limiter l’accès de la personne concernée à une facture individuelle pour laquelle elle dispose d’une référence et ne devrait pas permettre de visualiser l’ensemble des factures liées entre elles par un compte client.
La Commission rappelle qu’il appartient à l’AP-HP d'attester de la conformité du traitement susmentionné au décret n° 2010-112 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, et de le mentionner sur son site.
Les autres modifications apportées par le projet n’appellent pas, en l’état et au regard de la loi Informatique et Libertés, d’autres observations.
La Présidente
I. FALQUE-PIERROTIN