La Commission nationale de l’informatique et des libertés ;
Saisie par le centre hospitalier régional universitaire de Tours d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dossier médical informatisé et partagé dans le cadre d’un réseau périnatal ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6321-1, L. 1110-4, L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le centre hospitalier régional universitaire (CHRU) de Tours est la structure juridique promotrice du réseau. A ce titre, il héberge le réseau, en assure la gestion administrative et financière. Adhèrent au réseau grandir en région Centre les professionnels de santé de la région Centre-Val de Loire, acteurs de la prise en charge des enfants nés prématurés.
Sur la finalité
Le traitement poursuit les finalités suivantes :
- délivrer aux femmes et aux nouveau-nés l’accès à des soins appropriés ainsi qu’une prise en charge optimale en facilitant les interrelations entre les acteurs de santé, organisant les procédures de transfert vers les lieux de soins les plus adaptés dans un esprit d’optimisation et d’harmonisation des pratiques ;
- améliorer la sécurité et la qualité de la prise en charge, la coordination et la continuité du parcours de santé des enfants prématurés ou atteints d’une pathologie néonatale, de la sortie de néonatologie jusqu’à l’âge de 7 ans, dans le cadre du réseau régional de périnatalité ;
- permettre, par la mise en place d’un dossier médical partagé, une mise en commun d’informations médicales entre l’ensemble des acteurs qui prennent en charge ces enfants en région Centre-Val de Loire.
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Concernant les patients, les données traitées et échangées sont les suivantes :
- données d’identification : nom, prénom, sexe, date de naissance, pays de naissance, commune de naissance, adresse ;
- données médicales nécessaires à la prise en charge : résumé de l’histoire néo-natale (exploration neurologique, dépistage auditif, corticoïdes ante natals, prématurité provoquée, intervention chirurgicale…), données relatives à la naissance (lieu de naissance, terme, poids, taille…) ;
- données relatives aux consultations prévues dans le cadre du suivi des enfants ; données relatives aux consultations prévues hors parcours de soin (consultation de psychomotricien, orthoptiste…).
Concernant les parents des patients, les données traitées et échangées sont les suivantes :
- données d’identification : nom, prénom, date de naissance, adresse, téléphone, adresse e-mail de la mère et du père ;
- données sociales : situation professionnelle, situation de famille (nombre d’enfants vivant au foyer, modification de la structure familiale depuis la naissance, mode de garde envisagé à l’issue du congé de maternité, conditions de logement), situation économique (ressources du foyer, allocations).
Concernant les professionnels de santé ou du secteur médico-social et paramédical chargés du suivi des patients, les données traitées et échangées sont les suivantes :
- données d’identification : nom, prénom, coordonnées professionnelles et spécialité, établissement d’exercice, réseau de santé d’appartenance, numéro de répertoire partagé des professionnels de santé (RPPS) ou automatisation des listes (ADELI) si le professionnel de santé se connecte avec sa carte de professionnel de santé (CPS).
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données sont :
- les professionnels de santé libéraux et exerçant en établissement de santé publics ou privés ou au sein d’organismes institutionnels ou associations à compétence sanitaire ou médico-sociale, qui intègrent la périnatalité dans leur domaine d’attribution (médecins généralistes, gynécologues-obstétriciens, pédiatres, néonatologistes, échographistes, anesthésistes, sages-femmes, infirmières puéricultrices, orthophonistes, pharmaciens, psychomotriciens, kinésithérapeutes…) , adhérant au réseau, dûment habilités, intervenant dans la prise en charge des patients dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge ;
- les acteurs sociaux et médico-sociaux dûment habilités, intervenant dans la prise en charge des patients dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge ;
- l’équipe de coordination sous la responsabilité du médecin coordinateur ;
- le médecin de l’hébergeur, le cas échéant, a accès aux données de santé afin d’exercer ses missions, notamment afin de répondre aux demandes de droit d’accès des patients.
Sur les droits des personnes
Le dossier produit à l’appui de la demande prévoit que :
- les patients concernés, et le cas échéant leurs représentants légaux, sont informés des modalités de mise en œuvre du traitement ainsi que des droits qui leur sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’un bulletin d’adhésion sous format papier, rédigé notamment pour assurer le respect des dispositions de l’article 32 de la loi ;
- le consentement des représentants légaux à la création d’un dossier médical partagé et à l’hébergement de ses données sera recueilli par un professionnel de santé en contact avec eux sous la forme d’un formulaire de recueil du consentement au format papier ;
- les droits d’accès et de rectification s’exercent auprès du médecin pilote du réseau, ou sur demande écrite auprès de la coordination du réseau.
La Commission estime que ces modalités d’information et d’exercice des droits n’appellent pas d’observation.
Sur les mesures de sécurité
Au sein du réseau, le coordinateur médical est responsable de la gestion des comptes utilisateurs et de l’affectation des profils de droits.
Les professionnels de santé accèdent aux dossiers médicaux des patients qu’ils prennent en charge. Les professionnels de santé exerçant dans un établissement disposent d’un accès aux dossiers des patients pris en charge par cet établissement.
Les accès des professionnels de santé sont soumis à une authentification de type identifiant-mot de passe respectant les recommandations de la Commission et complétée par un système de clé d’authentification unique, enregistrée sur le poste de l’utilisateur.
La Commission rappelle que conformément aux dispositions de l’article L. 1110-4 du code de la santé publique, les accès aux données de santé doivent s’opérer par l’utilisation d’une CPS ou d’un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS (l’Agence des systèmes d’information partagés de santé, l’ASIP Santé) et demande au responsable de traitement de s’y conformer avant la mise en œuvre du traitement.
L’application assure la traçabilité des accès et des actions (authentification des utilisateurs, actions effectuées sur les données et formulaires du dossier).
L’application met en œuvre des procédés de chiffrement du transport des données (protocole HTTPS).
Un chiffrement est effectué dans toutes les transactions entre le navigateur et l’hébergeur au travers du lien SSL. La Commission recommande d’utiliser la version de TLS la plus à jour possible.
Le système d’information du réseau est hébergé par auprès d’un prestataire qui satisfait aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique, pour le service considéré.
La Commission rappelle que l’exigence de sécurité, prévue à l’article 34 de la loi, nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
Le dossier produit à l’appui de la demande prévoit que les données seront conservées jusqu’au terme de la prise en charge du patient.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. Elle rappelle qu’à l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur.
Autorise, conformément à la présente délibération, le centre hospitalier régional universitaire de Tours à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN