La Commission nationale de l’informatique et des libertés,
Saisie par l’Agence des Systèmes d’Information Partagés (ASIP Santé) le 21 février 2011, d’une demande d’autorisation relative aux applications informatiques qui seront nécessaires au projet pilote de e-santé, EPSOS ;
Vu la convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment ses articles 8-IV et 25-I, 1° ;
Vu les articles L.1110-4, L.1111-7, L.1111-8, L.1111-8-1 du code de la santé publique ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Après avoir entendu M. Jean MASSOT, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
L’Agence des Systèmes d’Information Partagés de Santé (ASIP Santé) a saisi la Commission nationale de l’informatique et des libertés, le 21 février 2011, d’une demande d’autorisation relative aux traitements de données à caractère personnel qui seront nécessaires à la mise en œuvre de la première phase du projet « pilote » de e-santé, epSOS (european patients Smart Open Services). En France, le projet epSOS ne concernera que le service Patient Summary et s’appuie sur le programme de mobilité Erasmus.
Neuf pays dans un nombre limité de sites (Autriche, Danemark, Espagne, France, Grèce, Italie, République Tchèque, Slovaquie et  Suède) participent à ce projet « pilote » co-financé par la Commission européenne et par les pays partenaires qui sera mis en œuvre à l’échelle européenne en septembre. Il portera sur deux services transfrontaliers : un service d’accès sur internet par les professionnels de santé européen à la synthèse médicale d’un patient (le Patient Summary) et un service de prescription électronique (ePrescription).
Sur la finalité et le périmètre du projet
L’opération « pilote » vise à tester la faisabilité et l’acceptabilité d’une interopérabilité des systèmes d’information à l’échelle européenne et à éprouver la capacité des partenaires européens à définir des processus et un langage communs pour échanger et partager des informations de santé nécessaires à la coordination des soins, afin de répondre à la mobilité des patients en Europe.
Le projet epSOS s’appuie, en l’état, sur les systèmes nationaux sans modifier le cadre réglementaire existant. L’évaluation du service permettra également de déterminer les conditions fonctionnelles, juridiques et techniques requises pour l’échange et le partage des données de santé entre professionnels de santé des Etats membres et de faire des préconisations en la matière. De façon concomitante, la Commission européenne a décidé de réactiver le sous-groupe « données de santé »  à partir de janvier 2011 et de lui donner mandat d’examiner l’état actuel des systèmes nationaux de dossiers médicaux électroniques dans les Etats membres afin de préparer une position commune du G29.
En France, la participation à l’opération qui doit durer jusqu’en septembre 2012 se déroulera en deux étapes :
- La première étape, qui se déroulera en juin, consistera à créer des synthèses médicales, au bénéfice des étudiants français qui souhaitent participer à l’expérimentation, lors d’une consultation auprès d’un médecin du service universitaire de médecine préventive et de promotion de la santé.
- La seconde phase permettra, à partir de septembre 2011, la consultation des synthèses médicales par les médecins français du service universitaire de médecine préventive et de promotion de la santé pour les étudiants étrangers reçus en France et par les médecins étrangers, pour les étudiants français accueillis à l’étranger.
Les synthèses médicales seront créées et stockées en France et accessibles depuis un autre pays en consultation seulement, par l’intermédiaire du « Point de contact national » (pour la France, l’ASIP Santé) qui joue le rôle de point d’accès de chaque système national et garantit la validité des requêtes.
L’opération pilote, en France, concernera les 150 étudiants des trois universités de Bourgogne, Paris Ouest Nanterre, la Défense et Strasbourg, qui partent pour l’étranger en septembre pour une durée de 9 mois, auxquels il sera proposé de prendre part à l’expérimentation. Les 14 médecins des services de médecine préventive et de promotion de la santé de ces trois universités créeront une synthèse médicale au bénéfice des étudiants qui le souhaitent.
Le projet reposera sur une infrastructure technique d’hébergement national, en France, assurée par la société CEGEDIM. Lors de sa séance du 1er octobre 2009, la Commission s’est prononcée sur la candidature à l’agrément de cette société en qualité d’hébergeur, conformément aux dispositions de l’article R. 1111-10 du Code de la santé publique. Le ministre de la santé a, depuis, conformément aux dispositions du décret n° 2006-6 du 4 janvier 2006, décidé de son agrément par décision du 12 février 2010.
A l’issue cette première phase d’expérimentation objet de la présente demande d’autorisation (epSOS 1), il est prévu une seconde phase qui devrait prendre fin en décembre 2013 au cours de laquelle d’autres pays entreront dans l’expérimentation du projet pilote qui connaîtra des évolutions fonctionnelles (epSOS 2). Ces évolutions devront donner lieu à de nouvelles formalités préalables auprès de la CNIL si leur mise en œuvre modifie le périmètre et les principes de fonctionnement du projet. La Commission estime, en outre, devoir être saisie, à l’appui de cette nouvelle demande, des évaluations réalisées au cours de la première phase d’expérimentation.
Sur la détermination du responsable des traitements et la nature des formalités préalables applicables à ces traitements
L’Agence des Systèmes d’Information Partagés de santé a été désignée par le ministère de la Santé comme point de contact national (« National Contact Point » (NCP) pour la France. A ce titre, elle garantit la mise en œuvre du service epSOS au niveau national et la prise en compte des exigences juridiques, organisationnelles et techniques destinées à  établir un « cercle de confiance » entre les pays partenaires. Elle partage la maîtrise d’ouvrage de ce traitement avec le Groupement de Coopération Sanitaire (GCS) eSanté Alsace, qui participait déjà à l’expérimentation du Dossier Médical Personnel (DMP) dans le cadre d’une convention de groupement avec la société CEGEDIM. Conformément à un cahier des charges, l’ASIP Santé délègue, pour toute la France, une partie de la maîtrise d’ouvrage au GCS e-santé Alsace.
L’ASIP Santé et le GCS eSanté Alsace sont donc présentés comme co-responsables des applications informatiques mises en œuvre pour ce qui est nécessaire au fonctionnement de l’opération pilote epSOS.
Dans la mesure où le projet vise à permettre d’améliorer le suivi médical et la prise en charge des patients en déplacement dans l’Union européenne, la Commission considère qu’il peut être fait application des dispositions des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui poursuivent un intérêt public.
Sur l’identification du patient
Tout étudiant doté d’une carte Vitale individuelle qui le souhaite pourra ouvrir une synthèse médicale auprès d’un professionnel de santé du service de médecine universitaire préventive et de promotion de la santé qui participe à l’opération pilote epSOS.
Pour associer sans risque d’erreur un étudiant et sa synthèse médicale, cette dernière sera identifiée par un identifiant national de santé calculé, dénommé « INS-C », l’identifiant national de santé aléatoire n’étant pas à ce jour opérationnel.
Ainsi créé à l’occasion de la proposition d’ouverture d’une synthèse médicale, cet identifiant sera adressé à l’hébergeur et conservé par lui. Une carte personnelle epSOS sera remise au patient sur laquelle son INS-C sera inscrit. Aucun accès à une synthèse médicale ne sera possible sans l’INS-C de son titulaire.
Sur l’information et le recueil du consentement de l’étudiant à la création d’une synthèse médicale
La participation au projet epSOS est volontaire et chaque étudiant donne son consentement à la création d’une synthèse médicale. Il a également la faculté de demander sa suppression à tout moment en adressant une demande écrite à l’ASIP Santé, au service en charge du support national créé à cet effet (à l’adresse epSOS Info Service), accompagnée de justificatifs d’identité.
Le consentement de l’étudiant à l’ouverture d’une synthèse médicale à son nom est légalement requis, en tant qu’elle est partagée et en tant qu’elle est hébergée (C. santé publique, art. L.1111-8). L’article L.1111-8 du Code de la santé publique précise que le consentement à l’hébergement doit être un consentement « exprès ».
Il ressort du dossier soumis à la Commission que le consentement du patient à l’ouverture d’une synthèse médicale à son nom sera recueilli par un médecin du service de médecine préventive et de promotion de la santé d’une université participant à l’opération pilote, après remise d’une brochure d’information sous format papier, rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
Cette brochure comportera des informations relatives respectivement, à l’identité du responsable du traitement et de l’hébergeur, à la finalité poursuivie par l’ouverture d’une synthèse médicale et au caractère expérimental du dispositif, à son contenu, aux modalités de création, d’alimentation, d’utilisation et de conservation, ainsi qu’aux conditions d’exercice des droits des patients. Cette information individuelle sera complétée par la mise en place d’un site ouvert au public (www.epsos.eu).
Le consentement sera recueilli sous forme « dématérialisée ». Le traitement comportera, à cet effet, la déclaration, sous forme électronique, par le médecin du service universitaire de médecine préventive et de promotion de la santé habilité à créer une synthèse médicale, selon laquelle après avoir procédé à l’information indiquée plus haut, il a effectivement recueilli le consentement de l’étudiant ; cette déclaration se matérialisera par une croix dans une case à cocher prévue à cet effet. Elle sera systématiquement complétée par la production et la remise à l’étudiant d’un document formalisant son accord exprès à la participation à l’expérimentation.
La Commission en prend acte.
Sur le droit d’accès du patient
L’étudiant pourra exercer son droit d’accès et de rectification à sa synthèse médicale et en obtenir une copie auprès du médecin du service de médecine préventive et de promotion de la santé de son université.
Il pourra également avoir communication des traces des accès à cette synthèse médicale, en adressant un courrier postal à l’hébergeur, accompagné des justificatifs nécessaires au contrôle de son identité.
La Commission prend acte des engagements pris par l’ASIP Santé pour que toutes les précautions soient prises pour que ces documents soient bien remis à la personne concernée, conformément aux dispositions de l’article 34 de la loi du 6 janvier 1978, modifiée en 2004.
La Commission estime que ces modalités sont de nature à permettre l’exercice du droit d’accès, conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978, modifiée.
Sur le contenu de la synthèse médicale et la maîtrise par le patient des accès à celle-ci
La synthèse médicale epSOS contient une liste d’informations définies de manière commune pour l’ensemble des pays européens. Ces informations portent sur les données administratives du patient (nom, prénom, sexe, date de naissance, identifiant national de santé…) et sur les données de santé nécessaires à la coordination des soins (allergies, antécédents médicaux ou chirurgicaux, traitements en cours…).
La Commission prend acte que le contenu de cette fiche de synthèse a été défini à la suite d’une concertation menée au plan européen, au sein d’un groupe de travail composé de médecins des Etats membres, qui a défini une nomenclature standardisée destinée à permettre une interopérabilité sémantique.
La synthèse médicale sera accessible, dans leur langue, aux seuls professionnels de santé auxquels le patient concerné aura souhaité ouvrir des droits et conféré, en conséquence, les autorisations d’accès nécessaires. Ces autorisations d’accès se matérialiseront par la remise par le patient au professionnel de santé de la carte personnelle epSOS sur laquelle est inscrit son identifiant national de santé. La Commission relève que les étudiants en sont clairement informés dans la note d’information qui leur est remise.
L’ensemble de ces opérations sera tracé et le patient sera en mesure d’exercer un contrôle a posteriori en accédant à l’historique des traces.
La sécurité du dispositif
Compte tenu de l’enjeu du projet epSOS en termes de protection des données à caractère personnel du fait du caractère supranational des échanges d’informations sensibles, un niveau de sécurité minimum, effectif et de haut niveau, de nature à garantir à la confidentialité des données est imposé par le consortium epSOS pour quiconque souhaite participer à l’opération.
Ce niveau de sécurité est basé sur le standard ISO 27001, un standard éprouvé en matière de sécurité des systèmes d’information. Le résultat d’un audit établissant la conformité du système d’information français aux mesures de sécurité imposées par epSOS a été communiqué au ministère de la Santé.
Sur le système européen  epSOS
Le système européen epSOS est fondé sur l’interconnexion de plusieurs points de contact nationaux. Les échanges de données entre les pays participant à l’opération pilote transitent obligatoirement par le point de contact national. Celui-ci, saisi d’une requête, transforme la synthèse médicale en un format codé commun à tous les partenaires européens et l’adresse au point de contact européen auteur de la requête, qui la reçoit codée et la traduit dans la langue du pays destinataire.
Sur les principes d’accès à la synthèse médicale  par les professionnels de santé en France
Seuls les professionnels de santé du service universitaire de médecine préventive et de promotion de la santé spécialement habilités par un administrateur du service epSOS de l’ASIP Santé et dotés d’une carte CPS délivrée par l’ASIP Santé, seront en mesure d’accéder à la fiche de synthèse d’un patient en France.
Les administrateurs du système n’auront pas accès aux données de santé en clair.
La Commission en prend acte.
Les professionnels de santé pourront accéder à la synthèse médicale d’un étudiant hors d’état de manifester sa volonté en mode « bris de glace » en présence d’une situation comportant un risque immédiat et à condition que le patient ne s’y soit pas préalablement opposé. Cet accès devra être motivé et sera tracé pour s’assurer que la situation d’urgence justifiait bien cet accès.
Sur la traçabilité des accès et des actions
La Commission relève avec satisfaction qu’une traçabilité des accès des professionnels de santé aux données sera effectuée, indiquant la date, l’identifiant du dossier patient, l’identifiant du processus ou de la personne à l’origine de l’événement.
La Commission prend acte que chaque professionnel de santé n’accèdera qu’à ses propres traces.
De façon générale, la Commission relève que le médecin de l’hébergeur aura accès à l’ensemble des traces et de leur imputabilité, afin d’être mis en mesure de veiller au bon usage de la synthèse médicale.
Sur le chiffrement des données
La Commission constate que, conformément à ce qu’elle préconise, les données de santé à caractère personnel seront conservées chiffrées dans les serveurs de l’hébergeur. Elle relève également que l’ensemble des flux sur les réseaux sera sécurisé.
La Commission juge ces mesures de chiffrement des bases de données et des échanges satisfaisantes.
Dans ces conditions, la Commission autorise l’ASIP Santé, à mettre en place les applications informatiques nécessaires à la première phase d’expérimentation du projet pilote de e-santé, EPSOS.