La Commission nationale de l'informatique et des libertés,
Saisie par le groupement de coopération sanitaire pour le développement des systèmes d’information de santé partagés en Ile-de-France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre du programme Territoire de soins numérique en Ile-de-France, intitulé le numérique au service de la santé en métropole du Grand Paris (TERR-eSANTE) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
En décembre 2013, le Commissariat général aux investissements d’avenir a lancé un appel à projet Territoire de soins numérique (TSN) auprès des vingt-six Agences régionales de santé (ARS) afin de moderniser le système de soins en expérimentant, dans certaines zones pilotes, des services et des technologies innovants en matière d’e-santé.
Le programme TERR-eSANTE, porté par l’ARS d’Ile-de-France et le groupement de coopération sanitaire pour le développement des systèmes d’information de santé partagés en Ile-de-France (GCS D-SISIF), responsable du traitement de données à caractère personnel, a obtenu un financement afin de faire émerger un territoire de soins numérique en Ile-de-France pour conjuguer l’amélioration de la santé de la population du Grand Paris et le développement de l’économie numérique.
Sur la finalité du traitement :
Le traitement envisagé a pour finalité la mise en œuvre du programme TERR-eSANTE grâce à une plateforme de services, à destination des professionnels de santé et des patients. Chacune de ces catégories d’utilisateurs accèdera aux services suivants, dans la version correspondant à son profil (professionnel de santé / patient) :
un dossier de coordination patient, dossier médical partagé entre les professionnels de santé membres de l’équipe de soins et le patient ;
un service d’accès aux résultats d’examen (laboratoires d’analyses et imagerie médicale) ;
un service d’e-prescription (prescription, dispensation et administration du médicament) ;
un service de gestion des rendez-vous (prise de rendez-vous en ligne) ;
un service de préadmission en cas d’hospitalisation ;
un service de paiement en ligne ;
une offre de formation en ligne, à destination des professionnels de santé.
La Commission rappelle que la présente autorisation ne porte que sur le traitement lié à la plateforme pour laquelle le GCS D-SISIF est responsable de traitement. Les professionnels utilisateurs demeurent responsables des traitements de données à caractère personnel qu’ils réalisent et de l’accomplissement des formalités préalables spécifiques auprès d’elle.
Sous cette réserve, la Commission considère que la finalité poursuivie est déterminée, légitime et explicite, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données à caractère personnel :
Les données dont le traitement est envisagé concernent les patients, les représentants et les aidants désignés par le patient, ainsi que les professionnels de santé. Il s’agit plus précisément des données suivantes :
Données des patients :
données d’identification : nom, prénom, adresse, sexe, date et lieu de naissance, coordonnées (postales, électroniques, téléphoniques), photographie, numéro d’inscription au répertoire national d'identification des personnes physiques (NIR), INS-C ;
vie personnelle : habitudes de vie ;
données de connexion : identifiants des terminaux, identifiant de connexion, informations d’horodatage, identification des actions ;
données de santé : pathologie, affections, antécédents familiaux, données relatives aux soins.
Données des représentants :
données d’identification : nom, prénom, date et lieu de naissance, sexe, coordonnées (postales, électroniques, téléphoniques) ;
type de relation avec la personne concernée ;
données de connexion : identifiants des terminaux, identifiant de connexion, informations d’horodatage, identification des actions.
Données des aidants :
données d’identification : nom, prénom, coordonnées (postales, électroniques, téléphoniques) ;
relation avec la personne concernée (conjoint, aidant, famille, tuteur, personne de confiance).
Données des professionnels :
données d’identification : nom, prénom, spécialité, coordonnées (postales, électroniques, téléphoniques) ;
données de connexion : identifiants des terminaux, identifiant de connexion, informations d’horodatage, identification des actions.
La Commission relève que l’article L. 1111-8-1 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé permet l’utilisation du NIR comme identifiant de santé des personnes pour leur prise en charge à des fins sanitaires et médico-sociales, dans les conditions prévues à l'article L. 1110-4 du même code. Les modalités d’utilisation de cet identifiant seront précisées par décret en Conseil d’Etat pris après avis de la Commission.
La Commission demande que le NIR ne fasse l’objet d’un traitement comme identifiant des personnes concernées que lorsque les modalités d’utilisation auront été précisées par ce décret.
Sous cette réserve, la Commission considère que les données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés.
Sur la durée de conservation des données :
Les données reçues depuis les systèmes externes seront conservées durant cinq ans en base active, puis durant cinq ans à compter de la clôture du compte du patient.
Les données d’ordre administratif saisies sur la plateforme seront conservées durant cinq ans à compter de la clôture du compte du patient.
Les données d’ordre médical saisies sur la plateforme seront conservées pendant la durée prévue par les dispositions légales et règlementaires applicables à la conservation des dossiers médicaux.
Le NIR sera conservé durant sept jours, dans le cadre d’une conservation transitoire liée au temps de réponse du service régional de rapprochement d’identités (SRI).
La Commission considère que les durées de conservation prévues sont conformes aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
Les destinataires des données sont :
les professionnels de santé participant à la prise en charge du patient, membres de l’équipe de soins au sens des dispositions de l’article L. 1110-12 du code de la santé publique ;
les représentants désignés par le patient.
La Commission relève qu’une matrice d’habilitation a été établie afin de déterminer les accès aux données en lecture et/ou écriture, selon les catégories de professionnels qui peuvent être habilités, et que chaque destinataire n’est habilité à accéder qu’aux données nécessaires à l'exercice de sa mission.
En outre, le portail gère les accès au dossier du patient en intégrant le consentement du patient, l’appartenance à son équipe de soins et la désignation d’un médecin traitant ou coordinateur de soins. Des accès temporaires en cas d’urgence ( bris de glace de quinze minutes) sont possibles après saisie d’un motif, sauf opposition

Le portail prend également en compte le niveau de confidentialité de chaque document transmis selon le cadre d’interopérabilité des systèmes d’information en santé, afin d’en déterminer l’accessibilité et les possibilités de bris de glace au sein de l’équipe de soins.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l'information et les droits des personnes :
Les patients et les représentants qu’ils désignent sont informés du traitement de données à caractère personnel les concernant au moyen d’un formulaire d’information, dans les conditions générales d’utilisation du service et par des mentions sur le site internet du programme TERR-eSANTE permettant d’accéder à la plateforme. Par ailleurs, les conditions générales d’utilisation du service détaillent les obligations du professionnel de santé en matière d’information du patient, de recueil du consentement et d’exercice des droits prévus par la loi Informatique et Libertés.
Le consentement des patients sera recueilli par le professionnel de santé de manière dématérialisée.
Concernant les aidants, la note d’information précise que le patient est tenu d’informer les personnes pour lesquelles des données à caractère personnel sont renseignées au bénéfice de son compte.
Les professionnels sont informés du traitement de données à caractère personnel les concernant dans les conditions générales d’utilisation du service.
L’existence et les modalités d’exercice des droits d’accès, de rectification et d’opposition, tels que reconnus par la loi Informatique et Libertés, sont explicitées sur les supports d’information précités.
La Commission demande que les personnes concernées soient également informées de leur droit de définir des directives relatives au sort des données à caractère personnel les concernant après leur mort, ainsi que de la durée de conservation des catégories de données traitées, conformément aux dispositions de l’article 32 de la loi Informatique et Libertés.
Sous cette réserve, la Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
Le traitement envisagé s’appuie sur une plateforme d’interopérabilité et d’échanges permettant le partage d’informations à travers les logiciels des professionnels de santé, complétée d’un portail internet pour les professionnels de santé, les patients et le grand public. La plateforme permet également de rendre accessibles des services ou des fonctionnalités hébergés par d’autres applications régionales ou nationales.
Sur les échanges de données :
Les échanges sont réalisés via des canaux de communication isolés, cloisonnés et chiffrés, reposant sur le réseau privé de l’ENRS (Espace numérique régional de santé) et sur des serveurs d’échanges mutuellement authentifiés pour les tiers interopérables. L’accès au portail internet est sécurisé par HTTPS. A cet égard, la Commission recommande d’utiliser le protocole TLS dans une version la plus à jour possible.
Un patient peut demander à récupérer l’ensemble de ses données médicales et administratives. Elles lui seront fournies sur support électronique (par exemple : cédérom, clé USB) ou sur papier. A cet égard, la Commission recommande de vérifier préalablement l’identité du patient demandeur ou de ses ayants droit. Le cas échéant, elle recommande de protéger la confidentialité et l’intégrité des données électroniques en les chiffrant et en envoyant la clé par un canal de communication distinct.
Pour faciliter le règlement des factures, la plateforme peut communiquer avec un système de paiement en ligne (par exemple, TIPI pour les établissements publics) et lui transmettre les références du paiement, mais elle ne traitera en propre aucune donnée bancaire attachée au patient ou à l’établissement bénéficiaire (RIB, numéro de compte, banque, etc.).
Pour la gestion des rendez-vous médicaux, le GCS D-SISIF a pour objectif de fédérer l’ensemble de l’offre de soins du territoire et notamment les professionnels de santé ayant adopté un service de prise de rendez-vous en ligne.
Il travaille actuellement avec les sociétés éditrices de ces services afin de permettre à un patient de prendre facilement rendez-vous depuis le portail TERR-eSANTE tout en alimentant en retour son agenda sur le portail.
Sur l’identification des utilisateurs et des structures et les habilitations :
L’identification des professionnels de santé et des structures interagissant avec les applications et services proposés par la plateforme repose sur un annuaire régional centralisé. Des profils d'habilitation sont mis en œuvre par la plateforme TERR-eSANTE afin de gérer les accès aux données en tant que de besoin.
La création d’un dossier patient dans TERR-eSANTE peut être effectuée par un professionnel de santé, depuis un outil externe (par exemple : un logiciel de gestion de cabinet, un système d’information hospitalier) ou depuis le portail professionnel. Il peut alors renseigner une adresse de messagerie pour le patient ou un représentant du patient afin de l’inviter à confirmer ses principaux traits d’identité et saisir un mot de passe pour créer son accès personnel sur le portail patient.
Un patient ou un représentant a également la possibilité de créer lui-même son accès sur le portail. Il bénéficie alors de certains services comme l’agenda et le paiement en ligne, mais son identité devra être vérifiée par un professionnel de santé afin de créer un dossier patient et permettre les échanges de données.
Dans le cadre du processus d’identito-vigilance régional, les données d’identité du patient alimentent le SRI permettant de rapprocher les identités d’un même patient au sein des différents systèmes et d’échanger des données sur la base de cette identité régionale .
La Commission recommande de fixer une durée d’inactivité au-delà de laquelle un accès patient sera automatiquement suspendu.
Au démarrage du programme TERR-eSANTE, les comptes des professionnels de santé seront initialisés par le chargement d’un fichier validé par le GCS D-SISIF. Dans le cas de professionnels ne disposant pas de carte de professionnel de santé (CPS), le GCS D-SISIF signera un document attestant l’identité du compte utilisateur afin d’autoriser une authentification par mot de passe à usage unique (
one-time password
Par la suite, les demandes de création de comptes seront traitées par l’équipe support TERR-eSANTE qui contactera le professionnel demandeur pour vérifier son identité et sa spécialité en s’appuyant sur les annuaires régionaux. L’équipe support pourra alors créer le compte du professionnel, lui affecter ses habilitations et, après en avoir confirmé le besoin, lui ouvrir la possibilité d’une authentification par OTP.
A cet égard, la Commission recommande que les créations de comptes et les habilitations d’accès soient validées par un référent applicatif nommé par le directeur du GCS D-SISIF.
Une revue des droits d’accès sera effectuée tous les six mois afin de s’assurer qu’un utilisateur est toujours en poste avec un besoin d’accès à la plateforme, en s’appuyant notamment sur les annuaires régionaux. Dans la négative, le compte sera désactivé, de même que les comptes non utilisés depuis plus d’un an. Les habilitations seront également revues tous les six mois pour tenir compte des changements de poste et de fonction des utilisateurs.
Enfin, la liste des profils d’habilitation sera revue tous les six mois pour suivre les évolutions de la plateforme et de la réglementation.
Sur l’authentification des utilisateurs :
La connexion et l’authentification des utilisateurs pour l’ensemble des applications et des services proposés par TERR-eSANTE reposent sur le composant de SSO (
Single Sign On
Les patients et les représentants de patients se connectent à l’aide d’un identifiant et d’un mot de passe, initialisé par l’utilisateur à la première connexion puis renouvelé tous les quatre-vingt-dix jours. Un dispositif limite le nombre de tentatives de connexion.
Au vu de ces mesures de sécurité, la Commission considère que la structure des mots de passe des patients – à savoir huit caractères minimum, comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux – est conforme à ses recommandations.
Les professionnels de santé accèdent au traitement après une étape d’authentification forte, à l’aide d’une CPS ou, à défaut, d’un couple identifiant et mot de passe, constitué de huit caractères avec une majuscule, une minuscule et un chiffre (les caractères spéciaux étant acceptés) et complété par un OTP communiqué par courriel ou par SMS.
L’adresse de messagerie électronique et le numéro de téléphone mobile utilisés pour l’OTP sont paramétrés par le professionnel de santé lui-même, après une connexion par CPS, ou par le GCS D-SISIF lors de l’inscription et de la vérification de l’identité du professionnel de santé.
En cas d’indisponibilité du service SSO de l’ENRS, le portail TERR-eSANTE est en mesure d’accepter des connexions directes, authentifiées par CPS uniquement.
Afin de garantir l’authentification forte à deux facteurs, la Commission recommande de sécuriser le paramétrage du canal OTP et du mot de passe, notamment le renouvellement de ce dernier en cas d’oubli, en exigeant la CPS du professionnel ou, à défaut, celle d’un responsable.
En outre, la Commission relève que l’article L. 1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par CPS ou dispositif équivalent agréé par l’ASIP Santé et que l’article L. 1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP Santé.
Les échanges de courriels avec les médecins se font au moyen de messageries sécurisées de santé, dans des conditions conformes à l’autorisation unique n° AU-037, adoptée par la Commission le 12 juin 2014, relative à la mise en œuvre par les professionnels et établissements de santé ainsi que par les professionnels du secteur médico-social habilités par une loi, de traitements de données à caractère personnel ayant pour finalité l'échange par voie électronique de données de santé à travers un système de messagerie sécurisée.
Des notifications et alertes peuvent également être envoyées aux patients sous forme de SMS ou de courriels simples.
Les administrateurs techniques se connectent à la plateforme de l’hébergeur au travers d’un tunnel VPN chiffré entre le poste de travail de l’administrateur et la passerelle de sécurité de l’hébergeur. Tout accès implique une authentification forte et un passage au travers d’un bastion d’administration qui assure la traçabilité des actions. Les accès à la plateforme sont octroyés à l’issue du processus d’habilitation de l’hébergeur, et ceux impliquant des données de santé à caractère personnel sont restreints aux médecins de l’hébergeur.
A cet égard, la Commission rappelle que les permissions d’accès d’administration et de maintenance doivent être attribuées pour une durée déterminée, après validation hiérarchique, et supprimées pour tout utilisateur n'étant plus habilité ; une revue globale des habilitations doit être opérée régulièrement.
Sur l’hébergement de la plateforme :
L’hébergement de la plateforme est assuré par l’opérateur de l’ENRS, CEGEDIM, qui est agréé pour l’hébergement de données de santé (HDS), à travers son offre CEGEDIM Cloud Services comportant une fonctionnalité d’accès direct du patient aux applications hébergées.
La plateforme de l’hébergeur CEGEDIM assure pour TERR-eSANTE une haute disponibilité basée sur la répartition de charge et la redondance pour les composants du portail et de la base de données. Le plan de continuité d’activité repose sur la réplication en temps réel des données vers un site de secours distinct
et situé à distance du site principal.
Les données sont sauvegardées quotidiennement sous forme chiffrée, avec une clé de chiffrement propre à la plateforme et séquestrée dans un coffre-fort physique dont l’accès est contrôlé et tracé.
Les sauvegardes ne sont déchiffrées que lors de leur éventuelle restauration. Le plan de reprise d’activité repose sur la transmission quotidienne d’une copie des données de sauvegarde vers un site de secours distinct
et situé à grande distance du site principal
Toutes les données utilisées sur les environnements de développement et de test sont des données fictives, créées par les équipes projet ou bien fondées sur les fichiers de tests issus du Cadre d’Interopérabilité de l’ASIP Santé.
Sur le chiffrement des données :
Les données médicales sont chiffrées afin de restreindre leur accès aux seules personnes autorisées.
A cet égard, et afin d’assurer la confidentialité des données de santé en cas de perte ou de vol d’un support, la Commission recommande que des mesures spécifiques soient mises en œuvre pour assurer la confidentialité des clés de chiffrement.
Sur la traçabilité :
Des traces fonctionnelles sont générées par le portail détaillant les actions des utilisateurs, les patients concernés, les modules applicatifs utilisés et les données accédées. Ces traces sont accessibles pendant six mois, directement sur le portail, pour les utilisateurs habilités et, notamment, le médecin administrateur de la plateforme. Elles sont ensuite archivées pendant dix ans.
A cet égard, la Commission rappelle que différentes durées de conservation peuvent être définies en fonction des typologies de traces, et que la durée de conservation doit être proportionnelle aux finalités poursuivies.
Des traces techniques sont enregistrées, contenant l’ensemble des flux des passerelles inter-réseaux, les rapports des composants de sécurité (pare-feu, sonde de détection d’intrusion, anti-virus, etc.), ainsi que les journaux des applications comprenant les tentatives de connexion et le détail des sites et des comptes accédés par les utilisateurs.
L’intégrité des traces techniques est assurée par leur scellement électronique et leur accès - en lecture seule - est soumis à une autorisation formelle du RSSI de l’hébergeur. Elles sont sauvegardées quotidiennement et conservées pendant soixante jours.
A cet égard, la Commission recommande que la durée de conservation des traces techniques soit portée à six mois afin de permettre l’analyse rétrospective d’un incident de sécurité et, le cas échéant, la fourniture d’éléments de preuve requis dans le cadre d’une procédure.
Enfin, des tests de vulnérabilité et d’intrusion sont menés régulièrement sur les services réseaux et applicatifs.
En complément de ces mesures, la Commission recommande de mettre en œuvre un contrôle automatique des traces, afin de détecter les comportements anormaux et lever des alertes.
Sur l’exploitation des données à des fins de recherche, études et évaluations dans le domaine de la santé :
Un outil de pilotage opérationnel est alimenté par les données de la plateforme afin de permettre le calcul d’indicateurs d’activité (par exemple : nombre de professionnels de santé recrutés, nombre de patients recrutés, nombre de documents consultés, services utilisés, etc.).
Les données sont agrégées par mois et :
pour les professionnels de santé, par profil (médecin, coordinateur, infirmier…), commune d’exercice et type de structure de rattachement ;
pour les patients, par sexe, commune de résidence et tranche d’âge.
Ces indicateurs sont encadrés par les travaux du projet national EVAluation TSN ayant pour objectif l’évaluation des usages et des impacts du programme TSN. Ils sont accessibles au service de pilotage opérationnel du GCS D-SISIF et seront restitués sous forme de tableaux de bord, d’analyses, de simulations et de statistiques simples.
Sur la politique de sécurité :
La politique de sécurité encadrant le traitement s’appuie sur les exigences de l’agrément HDS, la signature d’une charte pour les administrateurs et des conditions générales d’utilisation destinées aux professionnels de santé, à leurs structures d’appartenance et aux patients.
Une analyse des risques du traitement a été opérée et les mesures qui en découlent sont mises en œuvre. A cet égard, la Commission rappelle qu’afin de garantir la sécurité du traitement dans la durée, ces mesures doivent faire l’objet de contrôles et de révisions réguliers au vu des évolutions du traitement, de ses usages et de son environnement.
Dans ces conditions, la Commission autorise le GCS D-SISIF à mettre en œuvre, à titre expérimental et selon les modalités décrites ci-dessus, un traitement de données à caractère personnel ayant pour finalité la mise en œuvre du programme Territoire de soins numérique en Ile-de-France, intitulé le numérique au service de la santé en métropole du Grand Paris (TERR-eSANTE).
Elle demande qu'au terme de l’expérimentation lui soit adressé un bilan des modalités de fonctionnement et d’utilisation de la plateforme. Le bilan devra notamment comporter les éléments suivants :
description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté ;
présentation de la perception des utilisateurs ;
présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ;
suites envisagées par le responsable de traitement sur la base du bilan effectué (axes d’amélioration, abandon du projet, demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre à titre permanent).
La Présidente
Isabelle FALQUE-PIERROTIN