(Demande d’autorisation n° 1698257)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Upnos d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif de télémédecine permettant la réalisation d’actes de télésurveillance médicale ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6316-1, L. 1110-4 et R. 6316-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1°et 25-I-6°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société Upnos est une société d’exercice libéral à responsabilité limitée (SELARL) qui regroupe des médecins généralistes, formés à la réalisation et à l’analyse des enregistrements du sommeil. Upnos permettra notamment le partage d’information médicale entre professionnels de santé au moyen d‘un dispositif utilisant les technologies de l’information et de la communication.
Sur la finalité
Le dispositif de télémédecine projeté a pour objectif la réalisation d’actes de télésurveillance médicale dans le cadre du traitement de l’apnée du sommeil.
La mise en place de ce dispositif permettra au médecin exerçant pour le compte de la société Upnos d’interpréter à distance les données nécessaires au suivi des patients souffrant de troubles du sommeil et de rendre des décisions relatives à la prise en charge du patient examiné.
Le patient volontaire sera mis en relation, sur demande du médecin prescripteur, avec les médecins de société Upnos, afin de procéder à un enregistrement polysomnographique à domicile dit « PSG ». Pour ce faire, un technicien salarié de la société Upnos installera au domicile du patient le matériel nécessaire à l’enregistrement précité.
Les données collectées lors de cet examen seront enregistrées et conservées au sein du dispositif médical.
Ces données seront ensuite analysées par un médecin d’Upnos, qui établira et transmettra un compte rendu au médecin prescripteur et au patient.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique.
Sur les données traitées
Concernant les patients, les données traitées et collectées sont :
- des données d’identification (nom, prénom, sexe, date de naissance, numéro d’identification du patient) ;
-  le numéro d’inscription au répertoire national d’identification des personnes physiques(NIR) ;
- des données relatives à la vie professionnelle (adresse, téléphone, profession)
- des données de santé nécessaires à l’acte de télésurveillance (antécédents, allergies et intolérances médicamenteuses, facteurs de risques, vaccinations).
La Commission prend acte que le NIR des patients ne sera utilisé que pour l’édition des feuilles de soins électroniques (FSE). En effet, le médecin chef d’Upnos renseigne les FSE et les télétransmet aux organismes idoines d’assurance maladie obligatoire et, le cas échéant, complémentaire.
Des données d’identification des médecins prescripteurs et médecins salariés d’Upnos (nom, prénom, numéro au Répertoire Partagé des Professionnels de Santé (RPPS)) sont également traitées.
La Commission considère que ces données sont adéquates, pertinente et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des informations sont les professionnels de santé ainsi que les techniciens de la société Upnos authentifiés et habilités dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la prise en charge des patients.
Seuls les professionnel de santé et, le cas échéant, techniciens de la société d’Upnos habilités soumis à une obligation de confidentialité peuvent accéder au NIR.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Le professionnel de santé salarié de la société Upnos remet au patient, lors de la prise sa charge, une note d’information, rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 19178 modifiée.
Cette note d’information pourra être remise à nouveau, sur demande du patient, lors de l’intervention du technicien à son domicile.
Le consentement du patient sera recueilli par écrit, par le professionnel de santé salarié de la société Upnos en contact avec le patient, à la suite de la remise de la note d’information.
Les droits d’accès, de rectification et de suppression, tels que reconnus par les dispositions des articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s’exercent par écrit ou par courriel, auprès du médecin-chef de la société d’Upnos.
Le droit d’accès sur les données archivées pourra être exercé par l’intermédiaire du médecin chef d’Upnos, qui répondra à ces demandes soit par courrier, soit par courriel.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Les données de santé à caractère personnel sont conservées sur un poste de travail avec un accès sécurisé.
Elles sont conservées pendant un an, soit sur le poste de travail, soit sur des disques durs externes redondants sur lesquels elles sont sauvegardées chaque jour. Elles sont également sécurisées par le logiciel TrueCrypt, qui permet le chiffrement des données sur les disques durs des ordinateurs et les clés USB.
L’accès sécurisé du poste de travail et des ordinateurs portables du technicien et du professionnel de santé qui analysera des données consiste en un identifiant utilisateur, un mot de passe, dont la complexité (à savoir dix caractères comprenant au moins deux majuscules, deux minuscules, quatre chiffres en deux groupes distincts et deux caractères tels que #,*,+) est conforme aux recommandations de la Commission, puis d’un code de sécurité aléatoire.
Ce code est envoyé sur le téléphone portable du professionnel de santé, une fois vérifiés son identifiant et son mot de passe.
Ce code de sécurité est fourni par un système ou un fournisseur agréé par l’Agence des systèmes d'information partagés de santé (ASIP santé).
Les professionnels de santé intervenant sont également authentifiés par leur carte de professionnel de santé (CPS). Leur titre et nom figurent sur tous les documents sur lesquels ils interviennent.
Le technicien d’Upnos ainsi que la secrétaire médicale disposent d’une carte professionnelle d’établissement (CPE) destinée aux salariés non professionnels de santé, des structures libérales (cabinet individuel, cabinet de groupe ou société) et des établissements de santé produisant ou non des feuilles de soins.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données constituant le dossier médical du patient comprenant notamment les analyses, les questionnaires et les prescriptions seront conservées en base active pendant un an.
Elles seront ensuite archivées chiffrées sur des supports distincts (DVD) et placées dans un coffre fort, à la banque.
La Commission relève que cette durée correspond aux besoins des professionnels de santé et est donc conforme aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la société Upnos à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN