(demande d’autorisation n°1491874)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée et notamment ses articles  8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu le code de la santé publique, et notamment ses articles L.1161-5 et R.1161-8 et suivants ;
Sur le rapport de Monsieur Jean MASSOT, commissaire et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes
La Commission a été saisie d’une demande d’autorisation présentée par la société PATIENTYS, filiale du groupe DM HOLDING, relative à la mise en œuvre d’un programme d’apprentissage portant sur le médicament UMATROPE® exploité par laboratoire LILLY ;
Sur la finalité du traitement
Le traitement a pour finalité la mise en œuvre d’un programme d’apprentissage portant sur le médicament UMATROPE®, exploité par le laboratoire LILLY. Ce programme est destiné aux patients souffrant d’une pathologie nécessitant l’administration d’une hormone de croissance.
La Commission estime que la finalité du traitement est déterminée, explicite, et légitime au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur la procédure applicable
La demande d’autorisation s’inscrit dans le cadre de l’application combinée des articles 8-IV° et 25-I-1° de la loi du 6 janvier 1978 modifiée ainsi que des articles L.1161-1 et R.1161-24 du code de la santé publique ;
Sur les catégories de données à caractère personnel traitées
Dans le cadre du programme d’apprentissage les données faisant l’objet d’un traitement sont celles relatives aux patients qui s’inscrivent à un programme. Elles portent sur l’identité, la date de naissance, les coordonnées (téléphones, adresse) ainsi que sur des informations relatives à la santé (antécédents et traitements médicaux…).
Les données relatives aux médecins traitants et aux médecins prescripteurs peuvent également faire l’objet d’un traitement (identité, coordonnées).
La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur les mesures d’information mises en œuvre
La Commission prend acte de ce que les patients inscrits à un programme sont informés de leurs droits d’accès, de rectification ainsi que de la possibilité de se désinscrire du programme à tout moment, conformément à la loi du 6 janvier 1978 modifiée et aux dispositions prévues par le décret n° 2010-1031 du 31 août 2010 relatif aux programmes d’apprentissage introduisant les articles R.1161-8 à R.1161-26 du code de la santé publique.
Les médecins prescripteurs et les médecins traitants sont également informés des droits qui leur sont reconnus par la loi précitée.
La Commission prend acte de ce que le consentement du patient à participer au programme est recherché par le médecin prescripteur du médicament faisant l’objet du programme. Lorsque le patient manifeste son accord, le formulaire de consentement écrit, dont le patient conserve une copie, est adressé par le médecin prescripteur aux professionnels de santé employés par l’opérateur conformément à l’article R.1161-23 du code de la santé publique. Le patient contacte la plateforme téléphonique de l’opérateur afin de finaliser son inscription.
Sur la sécurité des données
Le contrôle d’accès et les habilitations
L’opérateur mettant en œuvre le programme d’apprentissage doit mettre en place des moyens de vérifications des habilitations accordées au personnel qu’il emploie.
Il doit veiller, en particulier, à ce que l’accès aux données de santé à caractère personnel, couvertes par le secret professionnel, soit limité aux seuls personnels en charge du programme d’apprentissage pour les patients qu’ils suivent effectivement.
Les habilitations données au personnel doivent également être revues régulièrement afin notamment de supprimer les autorisations d’accès dès le départ d’un collaborateur.
La Commission observe que les professionnels de santé employés par la société PATIENTYS, en qualité d’opérateur, bénéficient d’habilitations d’accès aux données du programme d’apprentissage auquel ils sont dédiés. Ces habilitations sont révoquées dès le départ d’un salarié concerné.
La Commission relève que les accès aux postes de travail se font par l’utilisation d’une combinaison de login / mot de passe individuels. La complexité du mot de passe est conforme aux recommandations de la Commission et la session utilisateur Windows est verrouillée après 8 minutes d’inactivités. De plus, les adresses IP des postes clients sont filtrées, ce qui permet d’assurer qu’un ordinateur n’appartenant pas au réseau s’y connecte.
Toutefois, la Commission rappelle que l’authentification des professionnels de santé par login/mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret n° 2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. La Commission rappelle que l’opérateur doit s’y conformer.
La traçabilité
La Commission relève que la société PATIENTYS met en place une traçabilité des accès aux données en consultation, création, modification et suppression auxquels sont associés la date et l’heure d’accès, l’identifiant du poste de travail et de l’utilisateur ainsi que la référence des données accédées. Ces traces sont analysées périodiquement par le responsable de la sécurité du système d’information.
En outre, les personnels concernés sont informés de la mise en œuvre de cette procédure de traçabilité.
La Commission estime ces mesures satisfaisantes.
La conservation des données
La Commission relève que les données à caractère personnel sont conservées pendant la durée d’inscription du patient au programme. Elle considère que cette durée est adéquate avec les finalités du traitement. Toutefois, la Commission rappelle qu’à l’issue de la participation d’un patient à un programme, seules des données anonymisées peuvent être conservées par l’opérateur, en application de l’article R.1161-24 du code de la santé publique.
La Commission observe, en outre, que ce même article prévoit que l’opérateur ne peut pas sous-traiter tout ou partie des opérations prévues par le programme d’apprentissage. Elle estime cependant que ces dispositions ne font pas obstacle à l’hébergement, dans des conditions conformes à l’article L. 1111-8 du code de la santé publique relatif à l’hébergement des données de santé.
S’agissant de données de santé à caractère personnel recueillies ou produites à l’occasion des activités de prévention, de diagnostique ou de soins, celles-ci doivent être hébergées auprès d’un hébergeur agréé, conformément aux dispositions de l’article L.1111-8 du code de la santé publique. Ces données doivent  être sauvegardées et archivées de manière à assurer leur pérennité et leur confidentialité.
La Commission relève que les données sont hébergées auprès de la société CIS VALLEY,  hébergeur de données à caractère personnel agréé et que la sauvegarde des données fait l’objet d’un chiffrement.
La Commission juge donc ces mesures satisfaisantes, elle estime cependant que conformément aux dispositions de l’article L.1111-8 précité, le consentement exprès des personnes doit être obtenu. Dès lors, les notes d’information et les formulaires de consentement doivent être complétés en ce sens.
L’anonymisation
L’article R.1161-23 du code de la santé publique issu du décret n°2010-1031 du 31 août 2010 relatif aux programmes d’apprentissage, prévoit que le médecin ou le pharmacien responsable du programme, employé à cette fin par l’opérateur, doit procéder à l’anonymisation des informations avant de les transmettre à l’opérateur qui l’emploie et à l’entreprise exploitant le médicament faisant l’objet du programme.
Les fiches d’apprentissage qui consignent l’ensemble des échanges intervenus entre les professionnels de santé chargés du programme et les patients inscrits doivent donc faire l’objet d’une anonymisation avant transmission à l’opérateur ou au laboratoire pharmaceutique.
Le décret prévoit également que les professionnels de santé en charge du programme et de sa mise en œuvre n’assurent aucune mission à caractère commercial.
La Commission prend acte de ce que le médecin responsable du programme d’apprentissage employé par la société PATIENTYS, n’exerce pas de fonctions qui seraient incompatibles avec les exigences du décret relatif aux programmes d’apprentissage.
Du point de vue technique, la Commission prend acte de ce que la fonction d’extraction de données anonymisée est pré-programmée et que les données à extraire ne sont pas modifiables. La base de données ainsi constituée ne contiendrait aucune donnée identifiante.
La Commission estime que cette mesure d’anonymisation est satisfaisante.
Les destinataires
La Commission observe qu’aux termes de la règlementation relative aux programmes d’apprentissage, seule l’équipe en charge d’un programme doit pouvoir accéder aux données à caractère personnel relatives aux patients qui y sont inscrits. En effet, la loi prévoit expressément l’interdiction d’accès des laboratoires aux données identifiantes et le décret précise que les données doivent être anonymisées par le médecin ou le pharmacien responsable du programme chez l’opérateur avant transmission à ce dernier et au laboratoire.
Les mesures telles que décrites ci-dessus satisfont à cette obligation.
Les transferts de données
Les transferts de données entre la société PATIENTYS et le site d’hébergement s’opèrent par l’utilisation de réseaux virtuels privés, assurant la sécurité des données.
La Commission juge ces solutions satisfaisantes.
7.  Autres observations relatives aux traitements
La Commission relève que le décret relatif aux programmes d’apprentissage prévoit que l’entreprise exploitant le médicament ayant fait l’objet d’un programme d’apprentissage doit produire un bilan de suivi à la fin de chaque programme ou au plus tard au moment de son renouvellement (qui intervient au bout de trois ans à compter de l’autorisation de l’AFSSAPS). Dès lors, elle rappelle que ces bilans d’évaluation devront faire l’objet de formalités au titre du chapitre X de la loi du 6 janvier 1978 modifiée.

En conclusion, la Commission autorise la société PATIENTYS à mettre en œuvre dans les conditions précitées conformément au dossier transmis à la Commission un programme d’apprentissage portant sur le médicament UMATROPE®, exploité par le laboratoire LILLY.
Isabelle FALQUE-PIERROTIN