(Demande d’autorisation n° 1743131)
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre d’éducation thérapeutique de Bordeaux Aquitaine (CETBA) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un programme d’éducation thérapeutique pour les patients atteints d’un  diabète de type 2 ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1161-1 à L. 1161-4 et D. 1161-1 à D. 1161-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 2 août 2010 relatif au cahier des charges des programmes d’éducation thérapeutique du patient et à la composition du dossier de demande de leur autorisation ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Centre d’éducation thérapeutique de Bordeaux Aquitaine (CETBA). Le CETBA est un centre référent en matière d’éducation thérapeutique en Aquitaine pour les maladies chroniques, son objectif est de former des professionnels de santé et plus particulièrement des médecins libéraux aux maladies chroniques, de réaliser la coordination de projets médicaux d’éducation thérapeutique, d’assurer l’interface entre les professionnels de santé autour de l’éducation thérapeutique avec les associations de patients usagers et le grand public ainsi que de mettre en place des relations avec les instances régionales de santé.
Sur la finalité
Ce programme d’éducation thérapeutique, intitulé « programme d’éducation thérapeutique pour les patients atteints d’un diabète de type 2 » a pour objectif d’aider les patients et leur entourage à améliorer leur qualité de vie par l’efficacité du suivi et l’efficience de leur prise en charge éducative, conformément aux dispositions des articles L.1161-2 à L.1161-4 et D.1161-1 à D.1161-2 du code de la santé publique.
Sont également applicables les dispositions de l’arrêté du 2 août 2010 relatif au cahier des charges des programmes d’éducation thérapeutique du patient et à la composition du dossier de demande de leur autorisation. A ce titre, la Commission observe que l’Agence régionale de santé Aquitaine a délivré son autorisation pour la mise en œuvre du « programme d’éducation thérapeutique pour les patients atteints d’un diabète de type 2 ».
La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données faisant l’objet d’un traitement sont celles relatives aux patients qui s’inscrivent au programme. Elles portent sur leur identité, leur date de naissance, leurs coordonnées (téléphones, adresse, adresse de courriel) ainsi que sur des informations relatives à leur santé (pathologie, antécédents et traitements médicaux…).
Les données relatives aux médecins et aux professionnels de santé appelés à dispenser l’éducation thérapeutique feront également l’objet d’un traitement (identité, coordonnées).
La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données, en fonction des habilitations qui   leur sont délivrées, sont les personnes en charge du patient dans le cadre de leur adhésion au programme.
Ces destinataires n’appellent pas d’observation de la Commission.
Sur l’information et le droit d’accès
Afin de garantir le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les patients sont informés du but et des modalités de déroulement du programme, par la remise d’un document d’information et d’un formulaire de recueil du consentement à la participation au programme, rédigés au format papier.
Les documents adressés aux participants mentionnent le caractère facultatif de leur participation au programme et leur droit discrétionnaire de retrait sans conséquence pour leur prise en charge ou le remboursement de leurs soins et prestations.
Les participants au programme sont également informés de la possibilité qu’ils ont d’accéder à leur dossier à travers une plateforme web moyennant l’utilisation d’un identifiant et d’un mot de passe personnels. S’ils y consentent expressément, leur médecin pourra également accéder à ce dossier.
Le formulaire de recueil du consentement comporte une mention spécifique relative à l’hébergement des données auprès d’un hébergeur agréé en qualité d’hébergeur de données de santé à caractère personnel.
Les droits d’accès et de rectification s’exercent auprès des personnels du CETBA. La Commission rappelle qu’en application de l’article 30-I-8° de la loi du 6 janvier 1978 modifiée, doivent être précisés la fonction de la personne ou le service auprès duquel s’exerce le droit d’accès prévu à l’article 39 de la loi précitée.
Les médecins sont informés, par la remise d’une notice d’information, de la mise en œuvre d’un traitement de données les concernant ainsi que des droits d’accès, de rectification et d’opposition dont ils disposent.
Sous réserve des observations précitées, la Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Concernant les habilitations d’accès :
L’application permet de créer différents profils, permettant de donner des accès aux données différents en fonction du rôle de chacun.
La Commission estime que cette solution est satisfaisante.
Concernant le contrôle d’accès :
Les patients adhérant au programme peuvent accéder à leur dossier par une plateforme web en utilisant un identifiant personnel et un mot de passe qui leur sont propres. Les mots de passe utilisés comportent huit caractères et sont composés de trois types de caractères parmi les minuscules, majuscules, chiffres et caractères spéciaux. Ils devront être modifiés dès la première connexion et renouvelés régulièrement.
L’authentification des professionnels de santé s’effectue par la combinaison d’un identifiant et d’un mot de passe.
Cette méthode ne permet pas d’obtenir une authentification forte des professionnels de santé. La Commission rappelle l’obligation d’authentifier ces personnes par l’utilisation d’une carte de professionnel de santé (CPS) ou d’un dispositif équivalent conformément à l’article L. 1110-4 du code de la santé publique.
La Commission souhaite que les professionnels de santé s’y conforment.
Au sein de l’équipe en charge du programme, les accès aux données sont limités aux personnes intervenant dans le dossier aux différents stades de la prise en charge :
L’authentification des administrateurs s’effectue par la combinaison d’un identifiant et d’un mot de passe d’une longueur de dix caractères, composé de trois types de caractères parmi les minuscules, majuscules, chiffres et caractères spéciaux.
le groupe des éducateurs a accès aux données administratives nécessaires à la vérification de l’éligibilité ;
le professionnel de santé référent a accès aux données de santé nécessaires au suivi ;
les groupes des médecins et professionnels de santé désignés par le patient ont accès en lecture seule aux dossiers de leurs propres patients.
La Commission rappelle qu’elle recommande que les mots de passe doivent être modifiés par l’utilisateur dès la première connexion, puis régulièrement. En outre, les mots de passe ne doivent pas être conservés en clair dans un fichier ou une base de données.
Concernant la traçabilité :
Les accès et actions réalisées sur les données sont tracés. Les journaux conservent ces évènements sur une période glissante de six mois.
Les utilisateurs sont informés de la mise en œuvre d’une telle mesure au moyen d’une notice d’information.
La Commission rappelle que le cahier des charges annexé à l’arrêté du 2 août 2010 prévoit que le programme envisage l’accès du patient à la traçabilité des échanges et observe qu’en l’espèce, les accès à l’application sont effectivement tracés ainsi que le mode d’accès à chaque donnée de santé (consultation, création, mise à jour) et sont accompagnés de la date et de  l’heure ainsi que l’identifiant de l’utilisateur ayant accédé aux données.
Le patient peut accéder aux traces d’accès à son dossier en faisant une demande à l’administrateur de l’outil, qui est en mesure d’accéder aux traces des accès, mais pas aux données de santé.
Concernant les transferts de données :
Les transferts de données sont sécurisés par le chiffrement des communications en utilisant le protocole HTTPS.
Les adresses mails des patients sont collectées aux fins d’envoi des convocations et d’organisation des rendez-vous.
Concernant l’hébergement :
Les données sont hébergées auprès d’un hébergeur agréé conformément à l’article L.1111-8 et suivants du code de la santé publique.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Sur la durée de conservation des données
Les données de chaque patient sont conservées 6 mois à compter de leur sortie du programme.
Passé ce délai, les données pourront être conservées cinq ans en archive intermédiaire. Elles devront ensuite être supprimées ou archivées sous une forme anonyme à des fins d’évaluation du programme.
La Commission considère que cette durée est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le Centre d’éducation thérapeutique de Bordeaux Aquitaine (CETBA) à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN