La Commission nationale de l'informatique et des libertés,
Saisie par la société Sanofi Aventis France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif de télésurveillance médicale dénommé DIABEO ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, L. 6316-1, R. 6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu la loi n° 2013-1203 du 23 décembre 2013 de financement de la sécurité sociale pour 2014, notamment son article 36;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 25 avril 2017 portant cahier des charges des expérimentations relatives à la prise en charge par télésurveillance du diabète mises en œuvre sur le fondement de l'article 36 de la loi n° 2013-1203 de financement de la sécurité sociale pour 2014  ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société Sanofi Aventis France est le responsable du traitement de données à caractère personnel mis en œuvre dans le cadre de l’utilisation de DIABEO.
Elle fait appel à des sous-traitants :
un opérateur de services pour le support administratif et technique nécessaire à la mise en œuvre de DIABEO ;
la société Voluntis pour le développement de la solution DIABEO en tant que dispositif médical logiciel ;
la société Claranet pour l’hébergement agréé des données de santé.
Sur la finalité
Le traitement de données à caractère personnel a pour objectif la réalisation d’actes de télésurveillance médicale des personnes atteintes de diabète, à travers la mise en place d’un dispositif, nommé DIABEO, intégrant les fonctionnalités suivantes :
une application mobile à destination des patients comprenant un dispositif médical logiciel ;
un portail web permettant de faciliter les interactions entre le patient et les professionnels de santé ;
un centre d’appel accessible à partir d’un numéro vert composé de téléopérateurs et d’infirmières permettant de répondre aux sollicitations des patients et professionnels de santé.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de l’article 25-1-6° de la loi du 6 janvier 1978 modifiée (ci-après la loi « Informatique et libertés »), qui soumet à autorisation de la Commission les traitements de données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR).
Sur les données traitées
Concernant les patients, les données traitées sont :
les données d’identification ;

les données relatives à la vie personnelle ;
les données relatives à la vie professionnelle ;
les données de santé nécessaires à l’acte de télésurveillance ;
les données techniques de connexion.
La Commission prend acte de ce que le NIR des patients ne sera utilisé qu’à des fins de remboursement du dispositif médical et des prestations associées.
Concernant les professionnels de santé participant à la prise en charge du patient et les autres professionnels accompagnant les professionnels de santé, les données traitées sont :
les données d’identification ;
les données relatives à la vie professionnelle ;
les données techniques de connexion.
Sont également collectées les données visées à l’article R. 6316-4 du code de la santé publique.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi « Informatique et Libertés ».
Sur les destinataires
Les destinataires des données sont les suivants :
les professionnels de santé authentifiés et habilités membres de l’équipe de soins en charge du patient dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge du patient ;
les membres du personnel strictement habilités de l’opérateur (infirmières de l’opérateur) pour les données des patients qu’ils suivent et de leurs professionnels de santé. Ils accèdent au NIR afin de procéder à la facturation de la solution technique ;
les téléopérateurs assurant le support. Ils accèdent uniquement aux données administratives des patients afin d’assurer un support de niveau 1 ;
les membres du personnel de Voluntis, strictement habilités, dans le cadre de la mise en œuvre d’un traitement de données à des fins de maintenance corrective et évolutive ainsi que de matériovigilance, conformément aux dispositions règlementaires applicables.
Sur l’information et les droits des personnes
Concernant les patients
Le patient est informé par le biais d’une note d’information qui sera, d’une part, remise par le professionnel de santé qui le prend en charge et, d’autre part, affichée au patient lors de sa première connexion à l’application et à chaque mise à jour du document. Cette note d’information est rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi « Informatique et libertés ».
La Commission demande cependant que la note d’information soit modifiée sur les points suivants :
le terme de « pseudonymisées » doit être utilisé en lieu et place de la notion d’« anonymisées » ;
la destruction ou l’anonymisation irréversible des données archivées à l’expiration du délai de dix ans doit être expressément prévue dans la notice ;
seule la société Sanofi Aventis France doit être qualifiée de responsable de traitement.
Le consentement du patient sera recueilli par écrit, par le professionnel de santé qui le prend en charge, après remise de la note d’information. Le patient devra à nouveau donner son consentement lors de sa première connexion et à chaque mise à jour du document.
Les droits d’accès, de rectification et d’opposition s’exercent :
directement, et sous certaines conditions, par le biais de l’application DIABEO qui offre au patient un accès direct à ses données à caractère personnel ;
auprès du médecin prescripteur ;
directement auprès du service des données personnelles de la société Voluntis.
L’exercice des droits sur les données archivées s’exerce de la même manière.
Concernant les professionnels
Les professionnels sont informés via :
la convention de télémédecine conclue entre les acteurs en application de la règlementation applicable ;
les conditions générales d’utilisation de l’application DIABEO.
Les droits d’accès, de rectification et d’opposition s’exercent directement auprès du service des données personnelles de la société Voluntis.
L’exercice des droits sur les données archivées s’exerce de la même manière.
La Commission considère que ces modalités d’information, de recueil du consentement et d’exercice des droits sont satisfaisantes, au regard notamment des dispositions de la loi « Informatique et Libertés ».
Sur les mesures de sécurité
L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé de données de santé.
La commission relève les membres du personnel de Voluntis sont en mesure d’accéder aux données de santé des patients. Elle rappelle à cet égard que, pour tous les non-professionnels de santé, un accès par identifiant et mot de passe, et sans la supervision d'un professionnel de santé, n'est autorisé que si les données accessibles par ce moyen d'authentification ne sont pas directement identifiantes.
La Commission prend acte de ce que les échanges de courriels se réalisent par une messagerie  portée  par  l’application, dans des conditions conformes à la délibération n° 2014-239 du 12 juin 2014.
La Commission prend acte de ce que des mesures sont prévues pour assurer le cloisonnement logique des données archivées au moyen d'une séparation logique. Elle demande néanmoins que ces archives soient chiffrées avec des algorithmes et des procédures de gestion de clés conformes à l'annexe B1 du référentiel général de sécurité.
La Commission relève que le traitement inclut le NIR à des fins de remboursement du dispositif médical et des prestations associées. Elle demande à cet égard que des mesures spécifiques et appropriées à sa sensibilité soient mises en place afin d’éviter que le NIR ne soit diffusé plus que nécessaire.
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par la société est conservé trois mois en base active à compter de la fin de la période de prise en charge du patient, puis en base archive pendant dix ans.
A l’issue de cette période, l’ensemble des données à caractère personnel traitées sera supprimé ou anonymisé de manière irréversible.
Autorise, conformément à la présente délibération, la société Sanofi Aventis France à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS