(Demande d’autorisation n° 1615190)
La Commission nationale de l’informatique et des libertés,
Saisie par le Centre de Ressources, d’Expertise et de Performance Sportives Vichy Auvergne d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dossier médical partagé pour les sportifs professionnels exerçant au sein de ses clubs ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de santé publique et notamment les articles L. 6321-1, L. 1110-4 et L. 1111-8 ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de Mme Catherine POZZO DI BORGO, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le Centre de Ressources, d’Expertise et de Performance Sportives Vichy Auvergne
Sur la finalité
- Permettre, par la mise en place d’un dossier médical partagé adapté à la mobilité des sportifs, un échange sécurisé d’informations médicales entre les professionnels de santé qui les prennent en charge afin, d’une part, de favoriser une meilleure prévention médicale et d’autre part, d’assurer la coordination des soins dispensés à ces sportifs.
- Etablir des statistiques à partir de données préalablement anonymisées afin de produire des indicateurs d’activité. La Commission rappelle qu’il conviendra, le cas échéant de se conformer aux dispositions des chapitres IX et X de la loi du 6 janvier 1978 modifiée.
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
- Concernant les sportifs : données d’identification (nom, prénom, date et lieu de naissance, sexe),  nationalité, situation familiale,  professionnelle et financière, coordonnées ; données médicales nécessaires à la prise en charge notamment : état général, antécédents, allergies, douleurs, prescriptions, habitudes de vie et comportements utiles à la prise en charge.
- Concernant les professionnels de santé chargés du suivi du sportif : nom, prénom, coordonnées professionnelles et spécialité).
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les professionnels de santé chargés de son suivi et habilités par le sportif.
Sur l’information et le droit d’accès
Le sportif est informé des modalités de mise en œuvre du dossier médical partagé ainsi que des droits qui lui sont reconnus par la remise d’un document.
L’ouverture d’un dossier médical partagé est subordonnée au consentement exprès du sportif formalisé par la signature d’un contrat. Le sportif peut fermer son dossier à tout moment.
Le sportif peut exercer son droit d’accès auprès du médecin en charge de son suivi ou directement auprès de l’hébergeur des données.
Le sportif a la possibilité de rendre inaccessibles des informations de son dossier à tout ou partie des professionnels de santé, à l’exception de l’auteur des documents. Pour exercer ce droit, il s’authentifie sur le site internet de l’hébergeur au moyen d’une combinaison de login et de mot de passe qui lui sont adressés de manière confidentielle. Le fait que des données soient « masquées » ne fait pas l’objet d’un signalement.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Le contrôle des accès aux dossiers des patients se fait par une combinaison d’un login et d’un mot de passe de 8 caractères au moins.
Toutefois, la Commission rappelle que l’authentification des professionnels de santé par login/mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. La Commission souhaite que le responsable de traitement se conforme à ces exigences.
Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les utilisateurs.
L’ensemble des accès en création, modification, mise à jour et suppression sont tracés et conservés dans le dossier du patient.
La base de données et les échanges font l’objet d’un chiffrement fort.
La Commission juge les mesures de sécurité mises en place satisfaisantes.
Sur les autres caractéristiques du traitement
Dossier médical partagé accessible par internet via la solution ASKAMON développée par la société IMSPRO.
Les données sont hébergées auprès de la société GRITA S.A.S., agréée pour l’hébergement de données de santé à caractère personnel.
Durée de conservation des données : jusqu’au terme de la prise en charge du sportif. A l’issue de cette période, les données devront être archivées, conformément à la réglementation en vigueur et pourront être conservées de façon anonyme à des fins statistiques.
A sa demande, le dossier médical pourra être restitué au sportif, avant sa destruction. Lorsque l’hébergement prend fin, les données médicales sont restituées soit au médecin soit au sportif à sa demande. Aucune donnée de santé n’est conservée par l’hébergeur qui les détruit.
Autorise, conformément à la présente délibération, le Centre de Ressources, d’Expertise et de Performance Sportives Vichy Auvergne à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN