La Commission nationale de l'informatique et des libertés,
Saisie par la société Newcard d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’utilisation d’un dispositif de télésurveillance médicale dénommé 1 Minute pour mon Cœur ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, L. 6316-1 et R. 6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu la loi n° 2017-1836 du 30 décembre 2017 de financement de la sécurité sociale pour 2018, notamment son article 54 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 6 décembre 2016 portant cahier des charges des expérimentations relatives à la prise en charge par télésurveillance mises en œuvre sur le fondement de l’article 36 de la loi n° 2013-1203 de financement de la sécurité sociale pour 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Newcard est une société par actions simplifiée, spécialisée dans la conception d’une solution d’e-santé, 1 Minute pour mon Cœur .
Sur la finalité
Le traitement de données à caractère personnel généré par l’utilisation de 1 Minute pour mon Cœur a pour objectif la réalisation d’actes de télésurveillance médicale à domicile des personnes atteintes d’insuffisance cardiaque chronique, à travers la mise en place d’une solution intégrant les fonctionnalités suivantes :
un système de recueil des mesures du patient grâce à une balance, à un tensiomètre et à une tablette connectés par Bluetooth ;
un algorithme pour traiter les mesures recueillies et générer, le cas échéant, des alertes en cas de décompensation cardiaque débutante ;
une application mobile permettant de conserver les mesures recueillies et de les transférer à un serveur sécurisé ;
une plateforme web intégrant un espace de suivi des patients à destination des professionnels de santé, qui comprend notamment les mesures recueillies, les alertes générées, les actions menées, les commentaires particuliers.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la Commission les traitements de données de santé qui contiennent, comme en l’espèce, le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR) à des fins de remboursement.
Sur les données traitées
Concernant les patients, sont traités des données d’identification, sur la vie personnelle (situation familiale, coordonnées d’un proche), de connexion, de santé et le NIR.
Concernant les professionnels de santé participant à l’acte de télésurveillance et les autres professionnels accompagnant les professionnels de santé, sont traités des données d’identification, le lieu d’exercice professionnel, les diplômes, des données de connexion et les professionnels de santé relais à contacter en cas d’absence.
Concernant l’acte de télésurveillance, sont traités le statut du patient (actif, absent, hospitalisé, problème technique), le compte-rendu de l’acte de télésurveillance, la gestion d’une alerte et son suivi, les dates d’inclusion et de réinclusion du patient dans le dispositif, les alertes techniques.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les professionnels de santé intervenant dans le dispositif de télésurveillance médicale, les personnels de Newcard ou ceux intervenant en son nom et pour son compte et l’hébergeur. Ils accèdent aux données dans la limite de leurs attributions respectives.
La Commission demande à ce que la prescription nécessaire à la facturation à la caisse primaire d’assurance maladie de 1 Minute pour mon Cœur soit envoyée par le patient à Newcard.
Sur l’information et le droit d’accès
Le patient dispose d’une information orale et écrite délivrée, au regard de leurs compétences respectives, par :
le cardiologue prescripteur de 1 minute pour mon cœur , en ce qui concerne l’insertion du patient dans le dispositif de télésurveillance et ses conséquences sur le traitement des données ;
l’installateur de 1 minute pour mon cœur pour ce qui concerne l’utilisation de l’application mobile.
Des brochures d’information sont remises notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
La Commission demande que la brochure d’information portant sur le dispositif de télésurveillance et ses conséquences sur le traitement des données soit modifiée sur les points suivants :
le terme pseudonymisées doit être utilisé en lieu et place de la notion d’ anonymisés ;
la destruction ou l’anonymisation irréversible des données archivées, à l’expiration du délai de conservation, doit être expressément prévue par la brochure ;
le droit d’opposition du patient doit être expressément mentionné dans la brochure.
Le consentement du patient est recueilli par oral et par écrit lors de la signature d’un formulaire de consentement par le cardiologue prescripteur.
Les droits d’accès et de rectification tels que reconnus par la loi du 6 janvier 1978 sont précisés dans la notice d’information et de recueil du consentement. Ils s’exercent directement par le patient par le biais de l’application mobile, auprès du cardiologue prescripteur ou auprès de Newcard.
Sur les mesures de sécurité
En premier lieu, la Commission constate que l’application ne prévoit aucun mécanisme de protection sur l’accès aux données personnelles du patient depuis la tablette. Elle rappelle à ce titre que l’article 34 de la loi Informatique et Libertés impose aux responsables de traitement de prendre toutes les précautions utiles afin de préserver la sécurité des données à caractère personnel dont il est responsable et, notamment empêcher les tiers non autorisés à y accéder. Elle demande en conséquence que des mesures de sécurité soient mises en place, telle que l’authentification de l’utilisateur au moyen d’un identifiant et d’un mot de passe, afin de garantir la confidentialité de ces données.
La Commision relève en outre que le NIR est stocké en clair dans ses bases, au même titre que d’autres données d’identification du patient. Elle demande à ce que des mesures de sécurité appropriées à sa sensibilité soient mises en place, telles que le chiffrement, notamment pour empêcher qu’il ne soit directement visible par le personnel technique.
Enfin, la Commission relève que le nouvel article L.1110-4 du code de la santé publique, issu de la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, ne prévoit plus l’authentification par carte de professionnel de santé (CPS) ou dispositif équivalent agréé par l’Agence des systèmes d’information partagés de santé (ASIP Santé) et que le nouvel article L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP Santé.
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par 1 Minute pour mon Cœur est conservé :
pour les patients ayant terminé leur suivi par télésurveillance avant la fin de l’expérimentation : un an après la fin de l’expérimentation menée par l’assurance maladie laquelle, en tout état de cause, ne peut être supérieure à quatre ans ;
pour les patients n’ayant pas terminé leur suivi par télésurveillance à la fin de l’expérimentation : un an après la fin du suivi des patients.
La Commission demande la destruction des données à l’expiration du délai d’archivage ou leur anonymisation de manière irréversible.
Autorise, conformément à la présente délibération, la société Newcard à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS