(demande d’autorisation n° 1871199)
La Commission nationale de l'informatique et des libertés,
Saisie par le groupement de coopération sanitaire Télésanté Centre d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un système permettant l’échange et le partage entre les adhérents des données d’imagerie médicale et comptes-rendus associés relatifs aux patients pris en charge par les professionnels et établissements adhérents (MIRC) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 96 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le code de la santé publique, notamment son article L1110-4 ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie par le Groupement de coopération sanitaire Télésanté Centre (ci-après, le GCS) d’une demande d’autorisation pour la mise en œuvre du projet « Mutualisation d’imagerie médicale en région Centre » (ci-après, le « projet MIRC »). Ce projet, porté par le GCS et soutenu par l’Agence régionale de santé du Centre, a pour objectif de proposer un service de partage et de diffusion d’examens aux établissements et professionnels de santé participants (ci-après, les « participants »), qui peuvent être membres du GCS. Il consiste à créer une base de métadonnées gérée par le GCS, permettant aux participants d’obtenir, concernant un patient donné, la liste des examens d’imagerie réalisés dans les établissements participants et d’accéder aux données correspondantes, transmises au GCS depuis la base de données de l’établissement producteur.
Le Groupement de coopération sanitaire Télésanté Centre (ci-après, le GCS) est un des cinq lauréats de l’appel à projets Soutien aux techniques innovantes, coûteuses ou non (STIC) portant sur la thématique « Picture archiving and communication System (PACS) » du ministère de la santé en 2011. Les projets retenus ont pour objectif de permettre de favoriser la diffusion et l’évaluation de l’impact de PACS communs, ainsi que d’assurer un partage et un retour d’expérience pour les autres régions et d’initier une réflexion sur les modalités de prise en charge ultérieure.
Dans le cadre d’un projet de convention de partenariat pour l’utilisation de la plateforme d’échange et partage du projet MIRC (ci-après « la convention de partenariat ») proposé à l’ensemble des participants sous forme de contrat d’adhésion, le GCS, chef de file du projet, est chargé de l’accomplissement des formalités préalables relatives au traitement des données à caractère personnel recueillies et de la responsabilité du traitement pour ce qui concerne la constitution d’une base de métadonnées accessible aux participants et la fonction « échange et partage » du projet MIRC. Chaque participant alimente cette base de métadonnées avec les données issues de la base de données qu’il constitue pour son établissement. Par ailleurs, chaque participant désignerait un correspondant MIRC, ayant pour rôle de mettre en œuvre le projet MIRC et de répondre aux demandes des patients ayant consenti à participer.
La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent au régime de l’autorisation les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique.
Sur la finalité du traitement :
Le traitement envisagé a pour finalité la mise en œuvre d’un traitement automatisé de données à caractère personnel consistant en la mise en place d’un système d’échange et de partage des données d’imagerie médicale et comptes-rendus associés relatifs aux patients pris en charge par les participants et la constitution d’une base de métadonnées.
Ce traitement vise à améliorer la prise en charge et le suivi des patients atteints de maladies chroniques, minimiser leur exposition aux produits de contraste et aux rayonnements ionisants et éviter la réalisation d’examens redondants.
La demande d’autorisation adressée à la Commission porte sur la fonction « échange et partage MIRC », comprenant :
la diffusion des comptes-rendus et examens d’imagerie aux médecins prescripteurs et leur intégration dans leur dossier patient ;
l’accès aux antériorités radiologiques du patient ;
l’accès depuis leur cabinet par des radiologues libéraux aux examens qu’ils ont produits sur des modalités partagées.
Par ailleurs, le déclarant indique que le traitement envisagé pourrait permettre ultérieurement :
l’accès aux examens au cours de réunions de concertation pluridisciplinaires (cancérologie ou autre) ;
la diffusion des comptes-rendus et examens d’imagerie vers des établissements prescripteurs et leur intégration dans leur dossier patient.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les données dont le traitement est envisagé sont les suivantes :
Sur les données relatives aux patients :
données d’identification : nom, prénom, INS-C, date de naissance, lieu de naissance, sexe ;
données de santé : liste des établissements ayant pris en charge le patient, liste des examens partagés, nature des examens mis en partage, partie du corps concernée par l’examen ;
liste des oppositions ciblées.
Sur les données relatives aux correspondants MIRC :
données d’identification : nom, prénom, établissement de rattachement, adresse postale, coordonnées téléphoniques, adresse courriel ;
données de connexion.
Sur les données relatives aux professionnels de santé :
données d’identification : nom, prénom, établissement de rattachement, service de rattachement, spécialité ;
données de connexion ;
réalisation du module d’e-learning.
A cet égard, la Commission relève que la convention de partenariat définit le terme « données personnelles » de la manière suivante : « désigne les données à caractère personnel, au sens de la loi n° 78-17 du 6 janvier 1978, relatives aux patients des partenaires ». Dans la mesure où les données à caractère personnel traitées peuvent également concerner des professionnels de santé et des correspondants MIRC, la Commission demande que la convention soit modifiée sur ce point.
Sous cette réserve, la Commission considère que les données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés.
Sur les destinataires des données :
Sont destinataires des données relatives aux patients : les patients eux-mêmes, les professionnels de santé utilisateurs du service, les correspondants MIRC et le médecin du GCS.
Sont destinataires des données relatives aux professionnels de santé : les patients (à l’exception des données relatives à la réalisation du module d’e-learning), les utilisateurs du service, les correspondants MIRC et le médecin du GCS.
Sont destinataires des données relatives aux correspondants MIRC : les patients, les utilisateurs du service (à l’exception des données de connexion), les correspondants MIRC et le médecin du GCS. Par ailleurs, les données des correspondants MIRC, à l’exception des données de connexion, sont publiées sur un site d’information ouvert au public.
Concernant l’accès aux données (métadonnées) des patients, la Commission relève qu’elles seraient accessibles à l’ensemble des participants, sauf opposition exprimée par un patient concerné, au sujet d’un examen spécifique et / ou de l’accès par un professionnel de santé nommément désigné. Sur ce point, une charte d’utilisation du service, qui sera signée par tout professionnel de santé utilisant le service d’échange et partage MIRC, prévoit que « les informations médicales ne sont accessibles qu’avec l’accord du patient, et ce exclusivement en vue de l’amélioration de sa prise en charge. Elles ne doivent en aucun cas être utilisées en dehors de ce contexte ».
La Commission demande la mise en place d’un dispositif technique permettant de limiter l’accès aux données du patient aux professionnels de santé participant à sa prise en charge.
Sur les droits des personnes :
Information des patients :
Le GCS reporte contractuellement sur les participants, en relation avec les personnes concernées, la responsabilité de l’information des patients et du recueil de leur consentement exprès afin que les données les concernant figurent dans la base de métadonnées et que les données d’imagerie et les comptes-rendus qui leur sont associées soient échangées selon les modalités prévues par le traitement.
A cette fin, il fournit en annexe de la convention de partenariat un modèle de note d’information et de formulaire de recueil du consentement.
Les patients sont informés par la remise d’une note de l’identité du responsable de traitement, de la finalité poursuivie, du caractère facultatif de leur participation au dispositif, des droits qui leur sont reconnus par la loi et des catégories de destinataires.
La Commission relève qu’il est prévu que la liste des participants au projet MIRC soit mise à disposition sur le site Internet du GCS. Afin de permettre un exercice effectif des droits, la Commission demande qu’une liste exhaustive des destinataires soit remise au patient préalablement à son entrée dans le dispositif MIRC et que cette liste soit régulièrement mise à jour et transmise.
La Commission relève également que s’il est prévu d’informer le patient des conséquences sur la continuité de sa prise en charge dans l’hypothèse où il souhaiterait masquer un examen ou révoquer l’accès d’un professionnel de santé, il est prévu que cette information ne lui soit délivrée que s’il saisit le correspondant MIRC d’une telle demande.
La Commission estime, qu’en application des dispositions de l’article 32-I-4°, cette information doit lui être délivrée préalablement et demande que la note d’information remise au patient soit complétée sur ce point.
Sous réserve de ces observations, la Commission considère que ces modalités d’information, de recueil du consentement et d’exercice des droits des personnes concernées sont satisfaisantes, au regard des dispositions de la loi du 6 janvier 1978 modifiée et des articles L1110-4, L. 1111-2 et L. 1111-4 du code de la santé publique.
Information des professionnels de santé et correspondants MIRC :
Le dossier fourni à l’appui de la demande d’autorisation précise que les professionnels de santé seront informés du traitement des données à caractère personnel les concernant de manière orale, concomitamment à leur demande d’habilitation pour participer au projet MIRC. De même, les correspondants MIRC seront informés oralement lors de leur désignation.
La Commission relève que les modalités d’information des professionnels de santé et des correspondants MIRC ne respectent pas les dispositions de l’article 90 du décret du 20 octobre 2005 modifié et demande donc au responsable de traitement de s’y conformer.
Droits d'accès, de rectification et d'opposition des personnes :
Concernant les patients, la note d’information et le formulaire de recueil du consentement mentionnent que les droits d’accès, de rectification et d’opposition s’exercent auprès des correspondants MIRC, qui centralisent les demandes d’exercice des droits et les transmettent au correspondant MIRC compétent. En outre, le dossier fourni à l’appui de la demande mentionne que le patient peut demander à tout correspondant MIRC qu’un examen d’imagerie médicale et le compte-rendu associé ne soient pas partagés sur le service d’échange et partage MIRC. Dans le cas ou l’examen serait déjà partagé, les métadonnées afférentes seront détruites. Le patient pourra également demander la révocation des droits d’accès d’un professionnel à tout correspondant MIRC.
Dans la mesure où l’exercice des droits d’accès, de rectification et d’opposition est susceptible de conduire à un accès du correspondant MIRC à ces données, la Commission demande que les modalités pratiques d’exercice de ces droits soient définies de sorte que l’accès, s’il devait avoir lieu, du correspondant MIRC aux données de santé intervienne sous la responsabilité d’un professionnel de santé.
Sous réserve de ces observations, la Commission considère que les modalités d’exercice des droits des personnes concernées décrites dans le dossier sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
L’authentification des professionnels de santé se fait par l’intermédiaire de la carte de professionnel de santé (ci-après, la « CPS ») en première intention.
Il est prévu qu’en cas de défaillance ou d’indisponibilité de l’authentification par CPS, il sera procédé à une authentification par triplet identifiant / mot de passe / mot de passe à usage unique.
A cet égard, la Commission relève que le nouvel article L.1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par CPS ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé.
L’authentification des correspondants MIRC se fait par triplet identifiant / mot de passe / mot de passe à usage unique.
L’authentification des administrateurs se fait par triplet identifiant / mot de passe / mot de passe à usage unique.
La Commission prend acte de ce que les métadonnées relatives aux patients, les données relatives aux professionnels de santé et les données relatives aux correspondants MIRC sont hébergées pour le compte du GCS Télésanté Centre par un hébergeur de données de santé agréé au sens des dispositions de l’article L.1111-8 du code de la santé publique.
Le correspondant MIRC de chaque établissement et structure de santé gère directement la procédure d’ouverture et de révocation des droits.
Toute activité relative à des données démographiques et / ou médicales est enregistrée : accès, édition, suppression.
Toute transmission de données de santé fait l’objet d’un chiffrement à l’aide du protocole SSL V3.
Toutes les communications entre les points d'accès aux services et les datacenters empruntent des réseaux privés virtuels assurant leur confidentialité.
La sécurité physique est assurée au moyen de clés et badges, d’un système de vidéosurveillance et d’un service de gardiennage.
Le responsable traitement met en œuvre une compartimentation des réseaux ainsi que des mesures de sécurité visant à garantir le contrôle des accès.
Les opérations de télémaintenance sont encadrées par un dispositif d’authentification forte.
Les données font l’objet d’une réplication dans un datacenter de secours dès leur réception dans le datacenter primaire.
L’ensemble des données fait l’objet par ailleurs d’une sauvegarde quotidienne.
Les données d’imagerie médicale et les comptes-rendus associés sont hébergés soit localement par les professionnels, structures et établissements de santé adhérents à la convention MIRC, soit par un hébergeur de données de santé agréé au sens des dispositions prévues à l’article L.1111-8 du code de la santé publique.
Sous réserve de ces observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données :
Données des patients :
Les données (métadonnées) nécessaires au fonctionnement du service d’échange et partage sont conservées pour une durée de 5 ans en base active et 15 ans en base archivée.
Professionnels de santé et correspondants MIRC :
Les données à caractère personnel des professionnels de santé et des correspondants MIRC sont conservées en base active pendant toute la durée de leur participation au projet MIRC et jusqu’à l’expiration d’un délai de six mois à compter de la révocation de leurs codes d’accès.
Ces durées respectent les dispositions applicables en matière de conservation des données de santé et correspondent aux nécessités du projet. La Commission considère que les durées de conservation prévues sont conformes aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Dans ces conditions, la Commission autorise le GCS Télésanté Centre à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un système permettant l’échange et le partage entre les adhérents des données d’imagerie médicale et comptes-rendus associés relatifs aux patients pris en charge par les professionnels et établissements adhérents (MIRC).
La Présidente
I. FALQUE-PIERROTIN