(Demande d’autorisation n° 1783930)
La Commission nationale de l'informatique et des libertés,
Saisie par SPIE COMMUNICATIONS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’expérimentation d’un service de télémédecine pour des patients atteints de diabète de type 2 ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment les articles L. 6316-1, L. 1110-4, L.1111-8 et R. 6316-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I, 1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-1229 du 19 octobre 2010 relatif à la télémédecine ;
Après avoir entendu M. Loïc HERVE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le projet VHP INTER@CTIV est un des lauréats de l’appel à projets d’e-santé N°2 dans le cadre du programme Investissements d’Avenir réalisé sous l’égide du ministère des affaires sociales et de la santé et du ministère du redressement productif. Sous l’intitulé « Développement de services numériques pour la santé et l’autonomie », ce programme vise à soutenir le déploiement expérimental de technologies et de services numériques dans le champ de la santé. Les projets retenus reposent sur des collaborations entre des entreprises technologiques innovantes, des établissements de santé, des universités et leurs laboratoires de recherche, ainsi que des collectivités.
Dans le cadre d’un contrat de groupement momentané d’entreprises conjoint, la société SPIE COMMUNICATIONS, chef de file du projet, a notamment été chargée de l’accomplissement des formalités préalables relatives au traitement des données à caractère personnel recueillies et de la responsabilité du traitement.
La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique.
Sur la finalité du traitement :
Le projet porte sur le développement et la mise en service à titre expérimental d’une offre de télémédecine (télésurveillance et mise en place d’une plateforme mutualisée) spécifique aux patients atteints de diabète de type 2. Cette offre sera disponible en Picardie. A ce titre, un contrat de télémédecine a été conclu entre SPIE COMMUNICATIONS et l’ARS de Picardie le 25 novembre 2014.
Plus précisément, le service de télésurveillance médicale projeté a pour objet de permettre à un professionnel de santé d'interpréter à distance les données nécessaires au suivi médical d'un patient atteint de diabète de type 2 et, le cas échéant, de prendre des décisions relatives à la prise en charge de ce patient. L'enregistrement et la transmission des données peuvent être automatisés ou réalisés par le patient lui-même ou par un professionnel de santé (infirmière à domicile, ou professionnels de santé dans les établissements pour personnes âgées dépendantes (EHPAD) par exemple). Les dispositifs de télésurveillance mis en œuvre sont : le Dossier médical personnalisé Diabète (DMPD), les dispositifs biomédicaux sur le lieu de vie (balance, tensiomètre et glucomètre connectés au DMPD) afin de collecter automatiquement des données métaboliques (le taux d’hémoglobine glyquée est saisi manuellement dans le DMPD).
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur la nature des données traitées :
Concernant les patients, les données traitées sont les données d’identification (nom, prénom, date de naissance, adresse, les données de santé (pathologies, antécédents familiaux, soins, comportements à risque, données visées à l’article R. 6316-4 du code de la santé publique) et les données de connexion (identifiants des terminaux, identifiants de connexions, information horodatage). Les données de connexion ne seront collectées qu’à des fins de traçabilité et de gestion des incidents.
Concernant les professionnels de santé, les données traitées sont les données d’identification (Numéro RPPS - si connexion avec une carte de professionnel de santé (CPS), nom, prénom, adresse, profession, spécialité, téléphone fixe et/ou mobile, courriel professionnel).
La Commission considère que les données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement.
Sur la durée de conservation des données :
Les questionnaires « papier » d’éligibilité pour valider la candidature du patient sont détruits à l’issue de l’entretien d’éligibilité avec le patient, que celui-ci soit retenu ou non, et ce, dans un délai maximum de 3 semaines à compter de leur réception par le Centre de services.
La durée de conservation des données collectées et traitées dans le DMPD dans le cadre du projet VHP INTER@CTIVE, dont les données de connexion, est limitée à deux ans à compter de la création du DMPD. Au delà des deux ans, les données du DMPD sont archivées pendant huit ans.
A l’issue de l’archivage, seules les données statistiques non identifiantes sont conservées.
La Commission prend acte que les données sont conservées auprès d’un hébergeur de données de santé agréé.
La Commission relève que cette durée respecte les dispositions applicables en matière de conservation des données de santé et qu’elle correspond aux besoins des professionnels de santé dans le cadre de la réalisation du projet. La durée de conservation prévue  est donc conforme aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
Seront destinataires, pour les données qui les concernent, les médecins traitants et équipe de soins, les personnels du Centre de services (sous l’autorité d’infirmières et de diététiciens), les administrateurs techniques du Centre de services et de l’hébergeur agréé, le médecin de l’hébergeur agréé et les techniciens de téléassistance.
L’accès au DMPD et aux données de connexion archivés est autorisé uniquement en cas de recours gracieux ou contentieux, introduit par le patient ou ses ayants droit, tendant à mettre en cause la responsabilité médicale de l’établissement de santé ou médico-social, ou des professionnels de santé ayant participé à sa prise en charge dans le cadre du projet VHP INTER@CTIVE, et le cas échéant la responsabilité de SPIE COMMUNICATIONS en tant que responsable de traitement.
Seul le médecin de l’hébergeur agréé est habilité à accéder aux données archivées pour faire droit aux demandes précitées, ainsi que pour exercer les droits d’accès, de rectification et d’opposition, le cas échéant pour des motifs légitimes, des personnes concernées ou de leurs ayants-droit.
La Commission considère que cette liste des destinataires n’appelle pas d’observation.
Sur l'information et les droits d’accès des personnes :
Les personnes seront dans un premier temps contactées par voie électronique, dans le cadre d’un appel à candidature adressé par la Mutuelle Réunica à l’ensemble de ses adhérents résidant en Picardie et dans la tranche d’âge correspondant au projet. Un dossier leur sera transmis, comprenant une présentation des services du projet VHP INTER@CTIVE. Il intègre également un questionnaire d’éligibilité technique et une lettre de consentement. Le retour du dossier de candidature intervient uniquement par voie postale à renvoyer au Centre de services VHP sous enveloppe fermée avec  la mention : « à n’ouvrir que par le service Eligibilité ».
A réception du dossier de candidature, le centre de services du projet VHP INTER@CTIVE géré par la société COMEARTH contacte le patient par téléphone, lui réexplique le projet,  lui demande confirmation de son consentement à participer au projet en vérifiant son accord écrit sur la lettre de consentement. Le Centre de services procède alors au test d’éligibilité du patient pour sa participation au projet. Si le candidat est éligible, le centre de services informe le patient de cette éligibilité et qu’il recevra par voie postale deux exemplaires de convention (un pour le patient et un pour le médecin traitant), détaillant les conditions générales d’adhésion au projet et les informations nécessaires à l’information du patient.
A réception des conventions dûment remplies et signées, le centre de services reprend attache avec le patient afin de finaliser son inscription et procéder à sa formation comprenant une sensibilisation « Informatique et Libertés » relative :
à l’information / consentement du patient ;
au respect des règles de sécurité et de confidentialité (dont une méthodologie pour la création de mots de passe garantissant une authentification forte) ;
à la procédure à respecter en cas de perte de ses identifiants au projet VHP INTER@CTIVE ;
aux journaux de connexion (contenu des données et finalité) ;
à l’exercice des droits d’accès, de rectification et d’opposition des patients et des utilisateurs. Il est rappelé aux patients qu’ils peuvent s’opposer à tout moment et sans motif à l’accès à leur dossier VHP INTER@CTIVE.
Pour les télédossiers DMPD, l’exercice des droits d’accès, de rectification et d’opposition s’opère auprès du médecin référent du patient, le cas échéant du médecin coordinateur de l’établissement de santé ou médico-social, ou du médecin de l’hébergeur. Pour les télédossiers DMPD archivés, cette demande adressée directement par le patient, ou par l’intermédiaire du Centre de services, est de facto transférée au médecin de l’hébergeur qui a seul accès aux télédossiers DMPD archivés.
La Commission considère que ces modalités d’information, de recueil du consentement et d’exercice des droits sont satisfaisantes, au regard notamment des dispositions de la loi du 6 janvier 1978 modifiée, et des articles L1111-2, L1111-4 et R6316-2 du Code de la santé publique.
Sur la sécurité des données et la traçabilité des actions :
Différents profils d’habilitations sont définis afin de ne permettre l’accès aux données qu’en fonction des besoins relatifs aux missions de l’intervenant.
Les accès aux données des patients peuvent être opérés :
-pour les professionnels de santé par CPS et code PIN de la carte ou par le recours à un identifiant et un mot de passe d’une longueur minimale de huit caractères, comportant quatre types de caractères distincts. Le mot de passe doit être modifié dès la première connexion, puis tous les six mois. De plus, doit être renseigné un mot de passe à usage unique, transmis par courriel.
-pour les patients, par un identifiant et un mot de passe d’une longueur minimale de huit caractères, comportant trois types de caractères distincts. Le mot de passe doit être modifié dès la première connexion, puis tous les six mois.
Les mots de passe ne sont pas conservés en clair dans un fichier ou une base de données.
La Commission considère, concernant les professionnels de santé, que le maintien d’un système d’authentification par identifiant et mot de passe (ne présentant pas un niveau de sécurité équivalent à la CPS) alors même qu’un système d’authentification par CPS est mis en place, apparaît de nature à affaiblir la sécurité du système d’information dans la mesure où les garanties qui s’attachent à l’utilisation d’une CPS s’en trouvent amoindries.
Elle rappelle, en outre, que l’authentification des professionnels de santé par identifiant et mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret du 15 mai 2007 relatif à la confidentialité des informations médicales.
Ce texte impose dorénavant une authentification forte des professionnels de santé par l’utilisation d’une CPS ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. Les professionnels de santé concernés par ce dispositif doivent donc s’y conformer.
Les traces des accès et actions réalisés sur les données de santé sont conservées, de même que les traces des activités de prise en main à distance.
Les traces sont analysées une fois par mois afin de détecter les comportements déviants ou anormaux. Lors de la détection d’un comportement déviant ou anormal, le compte de l’utilisateur est momentanément suspendu et une alerte est remontée à l’utilisateur concerné et au responsable de la structure.
Les données transmises par les appareils de mesure doivent transiter via une passerelle située au domicile du patient et sont transmises sans nom ou prénom du patient. Les appareils de mesure se connectant à la passerelle via une liaison Bluetooth doivent préalablement avoir été appariés à cette passerelle avec un code unique.
Le Bluetooth sur les appareils de mesure n’est activé qu’après que la personne a pris une mesure, uniquement pendant le temps de la transmission des données. Si l’appareil de mesure ne détecte pas de passerelle à proximité, le Bluetooth est désactivé après quelques secondes. Une minute après, le dispositif fait une seconde tentative de connexion qui, si elle échoue, éteint le Bluetooth et les données ne seront transmises qu’après la prochaine mesure par la personne.
Le responsable de traitement, dans sa documentation, fait référence à des données « anonymisées » ou « anonymes » concernant les données transmises par les appareils de mesure. La Commission précise que les données traitées sont des données indirectement identifiantes, un lien existant entre l’identité des personnes et le numéro permettant d’identifier l’outil de mesure. A cet égard, la Commission demande que la documentation soit modifiée en ce sens.
Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont donc conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise SPIE COMMUNICATIONS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité l’expérimentation d’un service de télémédecine pour des patients atteints de diabète de type 2.
Dans la mesure où le projet de télémédecine VHP INTER@CTIVE est une expérimentation d’une durée de deux ans, l’autorisation sera limitée à cette durée, avec remise à la Commission d’un bilan à l’issue de l’expérimentation.
La Présidente
I. FALQUE-PIERROTIN