La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et notamment ses articles 8-IV et 25 ;
Vu la demande d'autorisation présentée par l'Association Carédiab de mise en place d'un dossier médical partagé dans le cadre d'un réseau de soins ;
Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire du Gouvernement adjoint, en ses observations.
Formule les observations suivantes :
L'association Carédiab entend mettre en place, dans le cadre d'un réseau de santé, dans la région de Champagne Ardenne, un dossier médical partagé afin d'améliorer la qualité de la prise en charge des patients diabétiques de type 1 et 2 et de tenter d'en réduire les conséquences individuelles et collectives notamment par une amélioration du suivi médical en développant des mesures de prévention, de formation des soignants, de coordination des soins et d'évaluation des actions entreprises.  Les membres du réseau seront des professionnels de santé membres de l'association Carédiab qui auront signé une convention avec le réseau.
Des statistiques d'évaluation pourront être effectuées à partir de données préalablement anonymisées.
Il y a lieu de faire application des dispositions des articles 8-IV et 25 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l'intérêt public.
La Commission prend acte que le système d'information du réseau utilisera le réseau internet et le dispositif proposé par la société Uni-médecine. Les données seront cryptées à un niveau élevé (128 bits). L'accès par le professionnel de santé au dossier s'effectuera en se connectant à l'adresse internet du réseau www.cardiab.org, en s'authentifiant par sa carte de professionnel de santé ou par un mot de passe personnel et un code utilisateur attribués par la société Uni-médecine dans des conditions strictes de confidentialité. Il devra ensuite indiquer les références du patient sous la forme d'une clé patient.  Cette clé patient sera remise préalablement au patient sous pli confidentiel par la société Uni-médecine.  Aucun accès ne sera donc possible sans l'accord du patient matérialisé par la remise de cette clé.
Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du professionnel de santé en contact direct avec le patient ou auprès du médecin coordonnateur du réseau Carédiab. Une note d'information sera remise au patient à cet effet. Le consentement du patient sera requis avant toute transmission de données au réseau.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité du patient, son sexe, sa date de naissance, ses antécédents médicaux, l'ensemble des données cliniques et médico-sociales recueillies dans le cadre de la prise en charge du diabète et des données relatives aux professionnels de santé.
Les informations seront conservées dans l'application tant que le patient adhère au réseau. A l'issue de cette période, les données devront être archivées conformément à la réglementation en vigueur.
Les destinataires des données seront les professionnels de santé participant au dispositif pour les informations relatives à leurs patients.
Autorise, dans ces conditions, l'Association Carédiab à mettre en place en Champagne Ardenne, dans le cadre d'un réseau de santé, un dossier médical partagé.
La société Uni-Médecine devra, en sa qualité d'hébergeur de données de santé à caractère personnel, satisfaire aux conditions d'agrément telles qu'elles seront définies en application de l'article L.1111-8 du code de la santé publique.
Le président, Alex TURK.