(Demande d’autorisation n° 1795972 v0)
La Commission nationale de l'informatique et des libertés,
Saisie l’association Réseau d’éducation nutritionnelle infantile de La Réunion (REUNIR) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un programme d’éducation thérapeutique pour les familles d’enfants et d’adolescents atteints d’obésité à La Réunion,
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1161-1 à L. 1161-4 et D. 1161-1 à D. 1161-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 2 août 2010 relatif au cahier des charges des programmes d’éducation thérapeutique du patient et à la composition du dossier de demande de leur autorisation ;
Vu la convention n°115/2015 du 30 juin 2015 entre l’Agence régionale de santé Océan Indien et l’association REUNIR ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’association Réseau d’éducation nutritionnelle infantile de La Réunion (REUNIR) est une association loi 1901 ayant pour objectif de gérer les centres d’éducation thérapeutique pédiatrique de proximité proposant un programme d’éducation pluridisciplinaire aux familles d’enfants et adolescents en surpoids ou obèses et/ou porteurs d’un diabète.
Sur la finalité
Ce programme d’éducation thérapeutique, intitulé « alliance éducative thérapeutique avec les familles d’enfants et d’adolescents atteints d’obésité à La Réunion » a pour objectif d’aider les enfants, adolescents et leur entourage à améliorer leur qualité de vie par l’efficacité du suivi et l’efficience de leur prise en charge éducative, conformément aux dispositions des articles L. 1161-2 à L. 1161-4 et D. 1161-2 du code de la santé publique.
Sont également applicables les dispositions de l’arrêté du 2 août 2010 relatif au cahier des charges des programmes d’éducation thérapeutique du patient et à la composition du dossier de demande de leur autorisation. A ce titre, la Commission observe que l’Agence régionale de santé Océan Indien a délivré son autorisation pour la mise en œuvre du « programme d’éducation thérapeutique intitulé «alliance éducative thérapeutique avec les familles d’enfants et d’adolescents atteints d’obésité à La Réunion ».
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données faisant l’objet d’un traitement sont celles relatives aux patients qui s’inscrivent au programme. Elles portent sur leur identité (nom, prénom), leur date de naissance, leurs coordonnées (adresse), leur vie professionnelle ainsi que sur des informations relatives à leur santé (pathologie, antécédents et traitements médicaux).
Les données relatives aux médecins et aux professionnels de santé appelés à dispenser l’éducation thérapeutique feront également l’objet d’un traitement (identité, qualité professionnelle, adresse professionnelle).
La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données, en fonction des habilitations qui leur sont délivrées, sont les personnes en charge des patients dans le cadre de leur adhésion au programme.
Ces destinataires n’appellent pas d’observation de la Commission.
Sur l’information et le droit d’accès
Afin de garantir le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les patients sont informés du but et des modalités de déroulement du programme, par la remise d’un document d’information et d’un formulaire de recueil du consentement à la participation au programme, rédigés au format papier.
Les documents adressés aux participants mentionnent le caractère facultatif de leur participation au programme et leur droit discrétionnaire de retrait sans conséquence pour leur prise en charge ou le remboursement de leurs soins et prestations.
Les droits d’accès et de rectification s’exercent par courrier auprès du président de l’association REUNIR.
Les médecins sont informés, par courrier, par signature de la charte, de l’engagement de confidentialité ou du formulaire d’adhésion, de la mise en œuvre d’un traitement de données les concernant ainsi que des droits d’accès, de rectification et d’opposition dont ils disposent.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Concernant les habilitations d’accès :
L’application permet de créer différents profils, afin de donner des accès aux données différents en fonction du rôle de chacun.
Concernant le contrôle d’accès :
Le dossier produit à l’appui de la demande prévoit que l’authentification des professionnels de santé s’effectue par la combinaison d’un identifiant et d’un mot de passe.
La Commission rappelle que l’obligation d’authentification de ces personnes repose sur l’utilisation d’une carte de professionnel de santé ou d’un dispositif équivalent agréé par l’ASIP Santé en application des dispositions prévues à l’article L. 1110-4 du code de la santé publique. Elle demande au responsable de traitement de s’y conformer avant la mise en œuvre du traitement.
Au sein de l’équipe en charge du programme, les accès aux données sont limités aux personnes intervenant dans le dossier aux différents stades de la prise en charge :
L’authentification des administrateurs s’effectue par la combinaison d’un identifiant et d’un mot de passe d’une longueur de dix caractères, composés de trois types de caractères parmi les minuscules, majuscules, chiffres et caractères spéciaux.
le groupe des éducateurs a accès aux données administratives nécessaires à la vérification de l’éligibilité ;
le professionnel de santé référent a accès aux données de santé nécessaires au suivi de son patient ;
les groupes de médecins et professionnels de santé désignés pour mener les actions d’éducation thérapeutique ont accès à l’ensemble des données des patients qu’ils prennent en charge ;
le médecin coordonnateur du programme a accès à l’ensemble des données.
Les mots de passe sont modifiés par l’utilisateur dès la première connexion, puis régulièrement. En outre, les mots de passe ne doivent pas être conservés en clair dans un fichier ou une base de données.
La Commission rappelle que l’accès aux données relatives à la santé doit être réservé aux professionnels prenant effectivement en charge les patients.
Concernant la traçabilité :
Les accès et actions réalisées sur les données sont tracés. Les journaux conservent ces événements sur une période glissante de six mois.
Les utilisateurs sont informés de la mise en œuvre d’une telle mesure au moyen de la charte informatique qui est portée à leur connaissance.
La Commission rappelle que le cahier des charges annexé à l’arrêté du 2 août 2010 prévoit que le programme envisage l’accès du patient à la traçabilité des échanges et observe qu’en l’espèce, les accès à l’application sont effectivement tracés ainsi que le mode d’accès à chaque donnée de santé (consultation, création, mise à jour) et sont accompagnés de la date et de l’heure ainsi que l’identifiant de l’utilisateur ayant accédé aux données.
Le patient pourra accéder aux traces d’accès à son dossier en faisant une demande à l’administrateur de l’outil, qui est en mesure d’accéder aux traces des accès, mais pas aux données de santé.
Concernant les transferts de données :
Les transferts de données sont sécurisés par le chiffrement des communications en utilisant le protocole HTTPS.
Concernant l’hébergement :
Les données sont hébergées auprès d’un hébergeur agréé conformément aux dispositions prévues aux articles L.1111-8 et suivants du code de la santé publique.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données de chaque patient sont conservées 6 mois à compter de la sortie du programme.
Passé ce délai, les données pourront être conservées trois ans en archive intermédiaire dans des conditions qui doivent garantir la sécurité et la confidentialité. Elles devront ensuite être supprimées ou archivées sous forme anonyme à des fins d’évaluation du programme.
La Commission considère que cette durée est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’association Réseau d’éducation nutritionnelle infantile de La Réunion (REUNIR) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN