(demande d’autorisation n° 1888564)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Association gestionnaire du réseau de rééducation de réadaptation pédiatrique Rhône-Alpes (R4P) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la création d’un carnet de soins numérique appelé « Compilio » ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4 et L. 1111-8 ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 411-1 et s., L. 421-1 et s. et L. 431-1 à L. 432-6 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1° et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L’Association gestionnaire du réseau régional de rééducation et de réadaptation pédiatrique en Rhône-Alpes (« association R4P ») est une association régie par la loi du 1er juillet 1901 qui rassemble des professionnels impliqués dans la prise en charge de l'enfant et de l'adolescent en situation de handicap.
L’association R4P est un lieu d’échanges où les professionnels, libéraux ou salariés, des secteurs sanitaire et médico-social, ou impliqués dans la scolarisation et la formation, partagent leurs expériences et mutualisent leurs connaissances.
Afin d’améliorer la transmission de l’information et la coordination des soins entre les différents acteurs de la prise en charge des enfants et leurs familles, l’association R4P souhaite mettre en œuvre un dossier partagé, accessible sur Internet à l’ensemble de ces intervenants.
L’association R4P a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative aux traitements automatisés nécessaires à la création de ce carnet de soins numérique appelé « Compilio ».
Sur les finalités du traitement :
Les finalités du traitement envisagé sont les suivantes :
permettre, par la mise en place d’un dossier partagé, un échange sécurisé d’informations médicales, psychologiques, sociales et éducatives entre les acteurs de la prise en charge des enfants en situation de handicap ou atteints de maladie chronique ;
améliorer la qualité de la prise en charge, de la prise de décision et la coordination et la continuité des soins entre tous les intervenants ;
permettre aux patients ou à leurs représentants légaux d’enregistrer dans leur dossier des informations et documents utiles à la prise en charge, ainsi que de consulter les documents ajoutés par les professionnels ;
faciliter les démarches administratives des patients et professionnels grâce à un renvoi vers des formulaires en ligne (notamment fiche sanitaire de liaison, demandes auprès des Maisons départementales des personnes handicapées - MDPH) ;
établir des statistiques à partir de données préalablement anonymisées afin de produire des indicateurs d’activité et épidémiologiques.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée (loi « Informatique et Libertés »).
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi Informatique et Libertés, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
La Commission rappelle que les études/recherches qui portent sur des données de santé à caractère personnel relèvent des dispositions prévues aux chapitres IX et X de la loi Informatique et Libertés.
Sur la nature des données traitées :
Concernant les patients, les données suivantes sont traitées :
données d’identification (nom, prénom, date de naissance) ;
situation familiale ;
coordonnées du patient et des proches pouvant être contactés ;
les données médicales, psychologiques, sociales et éducatives nécessaires au suivi (notamment antécédents médicaux, examens cliniques, traitements en cours, allergies, aides techniques, habitudes de vie, parcours scolaire, projet individualisé).
Concernant les professionnels intervenant dans la prise en charge du patient, les données suivantes sont traitées :
données d’identification (nom, prénom, numéro professionnel ADELI ou RPPS) ;
coordonnées professionnelles ;
spécialité.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
Les destinataires des informations sont les seuls professionnels qui participent à la prise en charge du patient, dûment habilités par lui-même ou ses représentants légaux.
Le patient est au cœur du dispositif Compilio et doit désigner expressément les professionnels qu’il autorise à accéder à ses données.
Une matrice d’habilitation a été établie afin de déterminer les accès aux données en lecture et/ou écriture, selon les catégories de professionnels qui peuvent être habilités :

infirmier ;
auxiliaire médical (masseur-kinésithérapeute, ergothérapeute, psychomotricien, orthophoniste, orthoptiste, diététicien) ;
psychologue ;
personnel éducatif (éducateur spécialisé, moniteur éducateur, éducateur jeune enfant, aide médico-psychologique) ;
personnel social ;
personnel enseignant ;
personnel administratif.
Chaque destinataire n’est habilité à accéder qu’aux données nécessaires à l'exercice de sa mission.
La Commission prend acte de ce que les données relatives à la santé sont accessibles aux seuls professionnels de santé, dans le respect du secret professionnel.
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l'information et les droits des personnes :
Le professionnel qui crée le dossier informe le patient et son représentant légal des modalités de mise en œuvre du dossier partagé, ainsi que des droits qui leur sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’un document d’information sous format papier qui contient les mentions d’information prévues par l’article 32 de la loi Informatique et Libertés.
Le consentement exprès du représentant légal à la constitution du dossier Compilio est recueilli préalablement à sa mise en œuvre.
Le consentement du patient est sollicité lorsqu’il acquiert la majorité afin de maintenir son dossier ouvert.
Le professionnel qui a créé le dossier Compilio conserve un exemplaire du formulaire de recueil du consentement dans le dossier patient correspondant.
Le consentement du patient ou de son représentant légal porte également sur l’hébergement des données auprès de l’hébergeur agréé de données de santé, en application des dispositions prévues à l’article L. 1111-8 du code de la santé publique.
Le patient peut exercer ses droits d’accès, de rectification et d’opposition au dossier auprès de la présidente de l’association R4P.
En outre, le patient peut à tout moment demander la restitution de ses données auprès du médecin de l’hébergeur.
La Commission demande que les modalités pratiques d’exercice des droits d’accès et de rectification aux données de santé soient définies de sorte que seules des personnes habilitées à accéder aux données de santé, comme le médecin de l’hébergeur ou les professionnels de santé qui prennent en charge le patient, répondent à la demande d’un patient.
La Commission relève que le dossier Compilio offre au patient la possibilité de visualiser les traces d’accès à ses données et de fermer directement son dossier, à tout moment et sans conséquence sur la qualité des soins qui lui sont dispensés. Le patient en est clairement informé sur le support d’information précité.
Les droits des personnes et leurs modalités d’exercice sont également rappelés sur le site internet dédié à Compilio.
La Commission estime que ces modalités d’information sont satisfaisantes.
Toutefois, la Commission demande que l’article 10 de la note d’information soit mis à jour de manière à viser la présente délibération portant autorisation au lieu du numéro de la demande d’autorisation déposée auprès de la Commission.
Sur la durée de conservation des données :
Les données seront conservées jusqu’au terme de la prise en charge du patient. A l’issue de cette période, les données seront archivées conformément à la réglementation en vigueur et pourront être conservées, sous une forme anonymisée, à des fins statistiques.
Une clôture automatique du dossier Compilio est prévue lorsque le patient atteint l’âge de la majorité. Le dossier peut être maintenu à la demande de l’intéressé.
La Commission estime que ces durées de conservation n’appellent pas d’observation au regard de la finalité poursuivie par le traitement.
Sur la sécurité des données et la traçabilité des actions :
Le traitement Compilio est une application web accessible via Internet. Les informations du traitement sont stockées dans une base de données.
Le système d’information est hébergé par un prestataire qui satisfait aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique.
L’architecture réseau du traitement prévoit un cloisonnement des équipements hébergeant les données afin d’en limiter les accès autant que de besoin.
Les transmissions sont chiffrées au moyen du protocole SSL.
L’authentification des professionnels de santé s’appuie sur la carte de professionnel de santé.
Les autres professionnels détenteurs d’une carte de la famille CPx s’authentifient grâce à cette carte et un module logiciel d’extension du navigateur Internet délivré par l’ASIP Santé.
S’agissant des professionnels qui ne sont pas habilités à accéder à des données de santé, la Commission prend acte de ce qu’une authentification forte est prévue. En effet, leur authentification nécessite en plus de leur mot de passe un code à usage unique transmis par SMS sur leur téléphone.
La Commission prend acte de ce que la même méthode d’authentification forte (code à usage unique) est appliquée aux patients.
La Commission demande que le responsable de traitement veille à imposer un changement des mots de passe selon une périodicité pertinente et raisonnable.
Différents profils d’habilitation restreignent les données accessibles en fonction du besoin d’en connaitre. Les permissions d’accès d’un professionnel de santé au dossier d’un patient sont subordonnées à la prise en charge du patient par celui-ci.
Enfin une traçabilité des accès à l’application ainsi qu’aux dossiers est mise en œuvre, avec une conservation des informations limitée à 6 mois.
Les mesures de sécurité décrites par le responsable de traitement sont de nature à garantir un risque limité d’atteinte aux données et conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise l’Association gestionnaire du réseau de rééducation de réadaptation pédiatrique Rhône-Alpes (R4P)  à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la création d’un carnet de soins numérique appelé « Compilio ».
La Présidente
Isabelle FALQUE-PIERROTIN