(Demande d’autorisation n°1582074)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108, du 28 janvier 1981, du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment ses articles 8-IV et 25-I-1°;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifié ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur MASSOT, commissaire et après avoir entendu les observations de Mme ROLIN, commissaire du Gouvernement ;
Sur le responsable du traitement
Assistance publique - Hôpitaux de Marseille (AP-HM)
Sur la finalité
La Commission a été saisie par l’AP-HM d’une demande d’autorisation ayant pour finalité la mise en œuvre d’un traitement de données relatif à un système d’information national unique pour les centres de prise en charge des infections ostéo-articulaires complexes (CIOA) permettant l’organisation de réunions de concertations pluridisciplinaires (RCP).
Les CIOA sont des centres de référence interrégionaux qui coordonnent un ensemble de structures de soins, elles mêmes habilitées à prendre en charge, dans certaines conditions, des patients atteints d’infection ostéo-articulaire.
Lorsqu’une infection ostéo-articulaire (IOA) complexe est suspectée chez un patient, pris en charge au sein d’un CIOA ou d’une structure de soins habilitée à prendre en charge ce type de pathologie, de nombreuses investigations (telles que des examens cliniques, des bilans biologiques) sont menées. La synthèse de ces examens est présentée par le centre suivant le patient, lors de RCP, organisées sous la responsabilité d’un CIOA.
Les RCP permettent :
Le partage du dossier médical « IOA » du patient entre les différentes structures coordonnées par un même CIOA apparait pertinent.
de diagnostiquer s’il s’agit ou non d’une IOA complexe,
de définir la stratégie thérapeutique la plus adaptée,
et de désigner la structure qui assurera la prise en charge du patient.
permettre des extractions anonymisées (locales et régionales) afin de répondre aux demandes de la Direction générale de l’offre de soins dans le cadre de la rédaction des rapports d’activités annuels transmis par les structures de soins,
et de disposer d’une base de données nationale relative aux infections ostéo-articulaires complexes afin de permettre la réalisation d’études épidémiologiques.
L’objectif principal du traitement consiste en la coordination et l’organisation des RCP permettant ainsi aux CIOA de disposer d’un système d’information national unique.
Les objectifs secondaires seront de :
Ce traitement de données est mis en œuvre par les CIOA.
de diagnostiquer s’il s’agit ou non d’une IOA complexe,
de définir la stratégie thérapeutique la plus adaptée,
et de désigner la structure qui assurera la prise en charge du patient.
permettre des extractions anonymisées (locales et régionales) afin de répondre aux demandes de la Direction générale de l’offre de soins dans le cadre de la rédaction des rapports d’activités annuels transmis par les structures de soins,
et de disposer d’une base de données nationale relative aux infections ostéo-articulaires complexes afin de permettre la réalisation d’études épidémiologiques.
La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique.
Elle estime que les finalités du traitement sont déterminées, explicites, et légitimes au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
Par ailleurs, la Commission rappelle que chaque étude épidémiologique devra faire l’objet de formalités préalables auprès d’elle.
Sur les données traitées
Concernant les patients, les données traitées sont :
L’ensemble des données traitées sont collectées directement auprès du patient et/ou de manière indirecte, si cela est possible, par consultation du dossier médical de celui-ci.
les données d’identification (nom, prénom, code postal, date et lieu de naissance),
les données relatives à leurs habitudes de vie,
et les données relatives à leur santé (pathologies, antécédents familiaux, soins, comportements à risque tels que consommation d’alcool et de tabac).
La Commission considère que les données sont adéquates, pertinentes et non excessives au regard des finalités du traitement.
Sur les destinataires
Les catégories de destinataires habilités à recevoir communication des données traitées sont exclusivement des personnels des CIOA, à raison de leurs attributions respectives à savoir :
Compte tenu du caractère sensible des données, la Commission appelle l’attention du responsable de traitement sur le fait que le régime d’habilitation doit être strictement défini.
les médecins,
les secrétaires médicales dans la limite de leurs habilitations et ce sous la responsabilité d’un médecin du CIOA prenant en charge le patient.
Sur l’information et le droit d’accès
Une note d’information individuelle sera remise au patient. Préalablement au traitement de ses données, la non opposition du patient pour motif légitime sera vérifiée.
Par ailleurs, conformément aux dispositions de l’article L.1111-8 du code de la santé publique, le consentement des personnes quant à l’hébergement de leurs données de santé chez un tiers agréé ne sera pas recueilli, dès lors que l’accès aux données détenues est strictement limité au professionnel de santé de ville ou en établissements de santé qui les ont déposées, ainsi qu’à la personne concernée dans les conditions prévues par l’article L.1111-7 du code de la santé publique.
En cela, la Commission considère que l’APHM répond aux exigences de l’article 32 de la loi n°78-17 du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
La Commission a pris acte que seuls les professionnels de santé participant à la RCP auront accès aux données traitées.
L’authentification des personnels habilités à accéder aux données se fera par l’utilisation de la carte de professionnels de santé (CPS) ou d’un mot de passe dont la complexité devra répondre aux recommandations de la Commission : il convient que les mots de passe soient composés de 8 caractères dont 1 parmi 3 des catégories suivantes : minuscules, majuscules, chiffres et caractères spéciaux.  Le mot de passe doit être modifié régulièrement et le compte bloqué après plusieurs tentatives d’accès infructueuses.
Toutefois, la Commission rappelle que l’authentification des professionnels de santé par login/mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret n° 2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une CPS ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. La Commission souhaite que le responsable de traitement s’y conforme.
Les accès aux données traitées seront tracés. Seront conservés les éléments suivants :
Une politique de gestion des traces et des incidents sera mise en place par le responsable de traitement en collaboration avec le prestataire désigné en qualité d’hébergeur de données de santé.
les dates et heures de connexion,
l’identifiant des utilisateurs,
la référence des données auxquels les utilisateurs ont demandé l’accès (que ce soit en mode consultation, création, mise à jour ou encore suppression).
Les échanges de données entre le centre de stockage des données et les CIOA et/ou les structures de soins prenant en charge les patients pour lesquels une RCP est organisée, se font via l’utilisation du protocole SSL V3. Ce système répond aux exigences de la Commission en termes de sécurité des données.
La Commission rappelle à l’APHM ses obligations en qualité de responsable de traitement notamment en matière de sécurité, en application de l’article 34 de la loi n°78-17 du 6 janvier 1978 modifiée.
Les mesures de sécurité mises en place n’appellent pas d’autres observations de la part de la Commission.
Sur les autres caractéristiques du traitement
Les données seront conservées pendant une durée de trente ans, et ce conformément aux dispositions légales et règlementaires en matière de conservation des dossiers médicaux.
Cette durée de conservation des données traitées est proportionnée au regard des finalités poursuivies par le traitement, conformément aux dispositions de l’article 6-2° de la loi n°78-17 du 6 janvier 1978 modifiée.
L’hébergement des données traitées sera externalisée auprès d’un hébergeur de données de santé dont la prestation est agréée par le ministre de la santé, et ce conformément aux dispositions de l’article L.1111-8 du code de la santé publique.
Autorise, conformément à la présente délibération, l’Assistance publique des Hôpitaux de Marseille (APHM) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE PIERROTIN