(Demande d’autorisation n° 2175369)
La Commission nationale de l'informatique et des libertés,
Saisie par la société SOS Oxygène d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif de télésurveillance médicale ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, L. 6316-1, R. 6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 6 décembre 2016 portant cahiers des charges des expérimentations relatives à la prise en charge par télésurveillance mises en œuvre sur le fondement de l’article 36 de la loi n° 2013-1203 de financement de la sécurité sociale pour 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société SOS Oxygène, société à responsabilité limitée, prestataire de santé à domicile.
Sur la finalité
Le traitement de données à caractère personnel a pour objectif la réalisation d’actes de télésurveillance médicale des personnes atteintes d’insuffisance respiratoire chronique.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de l’article 25-1-6° de la loi du 6 janvier 1978 modifiée (ci-après la loi « Informatique et Libertés »), qui soumet à autorisation de la Commission les traitements de données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR).
Sur les données traitées
Concernant les patients, les données traitées sont :
les données d’identification ;

les données de santé nécessaires à l’acte de télésurveillance.
La Commission prend acte de ce que le NIR des patients ne sera utilisé qu’à des fins de remboursement du dispositif médical et des prestations associées.
Concernant les professionnels de santé participant à la prise en charge du patient et les autres professionnels accompagnant les professionnels de santé, les données traitées sont :
les données d’identification ;
les données relatives à la vie professionnelle.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi « Informatique et Libertés ».
Sur les destinataires
Les destinataires des données sont les suivants :
les professionnels de santé : le médecin télésurveillant, le médecin prescripteur et le médecin traitant sous réserve d’avoir été expressément et préalablement autorisés par le patient ainsi que les autres professionnels prenant en charge le patient ;
les administrateurs techniques et les techniciens de la société SOS Oxygène responsables du fonctionnement opérationnel.
Les données à caractère personnel seront exclusivement destinées aux personnes authentifiées et habilitées dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la réalisation de leurs missions.
Sur l’information et le droit d’accès
Concernant les patients
Le patient est informé par le biais d’une note d’information remise par le technicien qui installe le dispositif au domicile du patient. Cette note d’information, accompagnée d’un formulaire de consentement, est rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi « Informatique et Libertés ».
Les droits d’accès, de rectification et d’opposition s’exercent par courrier ou par courriel auprès :
du responsable qualité de la société SOS Oxygène ;
du médecin de l’hébergeur agréé de donnée de santé.
L’exercice des droits sur les données archivées s’exerce de la même manière.
Concernant les professionnels
Les professionnels sont informés via la convention tripartite conclue avec ces derniers.
Les droits d’accès, de rectification et d’opposition s’exercent auprès de la responsable régionale Sud-Est ventilation à l’adresse indiquée dans la note d’information.
L’exercice des droits sur les données archivées s’exerce de la même manière.
La Commission considère que ces modalités d’information, de recueil du consentement et d’exercice des droits sont satisfaisantes, au regard notamment des dispositions de la loi « Informatique et Libertés ».
Sur les mesures de sécurité
L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé dans les conditions conformes à la réglementation.
La Commission relève que le dispositif prévoit une télétransmission automatique et une transmission par carte SD. Elle considère que la nature des données stockées sur la carte SD exige que celles-ci fassent l'objet de mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité.
La commission rappelle en outre que  des habilitations spécifiques doivent être prévues pour le personnel non professionnel de santé, afin qu'il ne puisse avoir accès qu'à des données non identifiantes sur les patients.
La Commission relève que le nouvel article L.1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par carte de professionnel de santé (CPS) ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé.
Pour les non-professionnels de santé (par exemple administrateurs techniques), la Commission recommande de renforcer les préconisations de la  délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe en utilisant des mots de passe de 10 caractères et en les associant à un mécanisme de verrouillage de l'accès au compte en cas de saisie multiple de mots de passe.
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par la société SOS Oxygène est conservé en base active durant la période de prise en charge du patient, puis en base archive pendant dix ans.
A l’issue de cette période, l’ensemble des données à caractère personnel traitées sera supprimé.
Autorise, conformément à la présente délibération, la société SOS Oxygène à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS