La Commission nationale de l'informatique et des libertés,
Saisie par la société URGO d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de permettre à des professionnels de santé de suivre le traitement des plaies de leurs patients au moyen d'une application mobile ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société URGO, société par action simplifiée, enregistrée au registre du commerce et des sociétés de Dijon, spécialisée notamment dans la commercialisation de produits de haute technologie en cicatrisation pour améliorer la qualité de la prise en charge des plaies.
Sur la finalité
- Assurer le suivi au moyen d'une application mobile du traitement des plaies de patients. Ce suivi est assuré par les utilisateurs de l'application (professionnels de santé infirmiers et infirmières uniquement). Au travers de l'application, un utilisateur peut créer un dossier pour chacun de ses patients (composé d'une fiche patient et d'une fiche plaie), accéder à une photothèque de plaies présentées sous la forme d'un classement par type de plaies, afin de lui permettre de comparer ces illustrations avec les plaies de ses patients ;
- Mettre en contact les utilisateurs de l'application avec des médecins experts indépendants vis-à-vis d'URGO et chargés de répondre à leurs demandes de conseils à partir des éléments relatifs à un patient et à sa plaie ;
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
La Commission estime qu'il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l'intérêt public.
Sur les données traitées
Concernant les patients, les données traitées sont les données d'identification (nom, prénom, date de naissance, sexe, poids, taille), les données de vie personnelle (fumeur ou non) et les données médicales (pathologie, informations relatives à sa(ses) plaie(s), photographies de plaie(s)...)
Concernant les professionnels de santé utilisateurs de l'application, les données traitées sont les données d'identification (nom, prénom, numéro d'ordre) et les coordonnées (adresse du lieu d'exercice, adresse mail).
Concernant les médecins traitants des patients, les données traitées sont les données d'identification (nom, prénom) et les coordonnées (téléphone, adresse mail)
Concernant les administrateurs de l'application, les données traitées sont les noms, prénoms et adresse mail.
Les données collectées n'appellent pas d'observations particulières.
Sur les destinataires
Les destinataires des données sont les professionnels de santé utilisateurs de l'application dans la stricte mesure nécessaire à la prise en charge de leurs patients.
Les photographies des plaies d'un patient ne seront accessibles qu'à l'utilisateur ayant créé la fiche patient. Il n'est pas prévu que ces photographies soient intégrées dans la photothèque de l'application.
Seront également destinataires des données des patients, sous une forme anonyme, le médecin expert éventuellement sollicité par un utilisateur, le personnel habilité de la société URGO, les prestataires techniques de la société URGO pour les besoins de développement et de maintenance de l'application exclusivement.
Les accès dans les conditions précitées n'appellent pas d'observations de la Commission.
Sur l'information et le droit d'accès
L'information des personnes concernées par les données traitées est assurée au moyen des mentions légales, des conditions générales d'utilisation de l'application, de la politique de confidentialité et de mentions d'informations dans l'application elle-même.
Les personnes concernées par les données traitées expriment leur consentement au traitement des données les concernant selon les modalités suivantes :
•- s'agissant des utilisateurs, lors de leur inscription sur l'application (au moyen d'une case à cocher)
•- s'agissant des patients, lors de la création de leur fiche patient par un utilisateur (un modèle de formulaire d'information et de consentement à destination des patients est transmis à l'utilisateur par courriel lors de son inscription).
L'utilisateur est tenu de recueillir le consentement de ses patients à l'hébergement des données de santé les concernant auprès d'un hébergeur agréé et à la transmission de ces données à un médecin expert.
Le droit d'accès s'exerce selon les modalités suivantes :
•- auprès du laboratoire URGO ou de l'hébergeur, s'agissant d'un utilisateur ;
•- auprès de l'utilisateur ou du médecin de l'hébergeur, s'agissant d'un patient.
Ces modalités d'exercice des droits des personnes n'appellent pas d'observation.
Sur les mesures de sécurité
Seuls les professionnels de santé habilités disposeront d'un accès à l'application.
Les accès à l'application sont effectués par l'utilisation d'un identifiant et d'un mot de passe d'une longueur minimale de huit caractères, comportant trois types de caractères distincts (minuscules, majuscules, chiffres ou caractères spéciaux). Le mot de passe doit être modifié par l'utilisateur dès sa première connexion, puis régulièrement.
En outre, lors de la création d'un compte utilisateur, un certificat électronique sera généré et délivré à l'utilisateur par l'hébergeur de données de santé agréé.
Les administrateurs de la solution s'authentifient au système par l'utilisation de mots de passe d'une longueur minimale de dix caractères, comportant trois types de caractères distincts (minuscules, majuscules, chiffres ou caractères spéciaux). Le mot de passe doit être modifié par l'utilisateur dès sa première connexion, puis régulièrement.
Les mots de passe sont conservés chiffrés en base de données.
La Commission recommande l'utilisation d'un algorithme irréversible pour la conservation des mots de passe.
Dans les conditions générales d'utilisation, le professionnel de santé s'engage à mettre en place un système de verrouillage automatique de son terminal après cinq minutes d'inactivité. En outre, les sessions sont verrouillées automatiquement après quinze minutes d'inutilisation.
Les authentifications et accès aux données des patients sont tracés.
Les transferts de données sont sécurisés par l'utilisation du protocole TLS ou de réseaux virtuels privés.
Les données d'identification des patients sont conservées chiffrées.
Les disques serveurs sont détruits physiquement avant la mise en rebut.
S'agissant des photographies des plaies, les données de localisation pouvant être contenues dans les données EXIF seront supprimées.
Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont conformes aux exigences de l'article 34.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données des utilisateurs sont conservées selon les modalités suivantes :
- au maximum un mois après la cessation de l'utilisation de l'application manifestée par la clôture de son compte par un utilisateur ;
- si la cessation de l'utilisation de l'application n'est pas manifestée par la clôture du compte de l'utilisateur, pendant une durée de six mois à compter de la dernière connexion à son compte de l'utilisateur.
Les données des patients sont conservées pendant une durée de vingt-quatre mois à compter de la dernière action de l'utilisateur sur la fiche patient ou la fiche plaie d'un patient. En outre, les données sont automatiquement supprimées six mois à compter de la dernière connexion de l'utilisateur à l'origine d'une fiche patient. Passé ce délai, elles seront supprimées.
Autorise, conformément à la présente délibération, la société URGO à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN