(Demande d’autorisation n° 1617338)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Etablissement Français du Sang d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des contentieux liés à l’activité de transfusion sanguine et aux activités accessoires de l’EFS;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, et notamment ses articles L. 1221-14, L.1222-1 et suivants, et R.1222-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 9-1°, 25-I-1°et 25-I-3°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’établissement français du sang (EFS) est un établissement public placé sous la tutelle du ministère de la santé. Il est, en application des dispositions des articles L.1222-1 et suivants du code de la santé publique, l’opérateur unique du service public de la transfusion sanguine en France. A ce titre, il est chargé de l’ensemble des activités liées aux produits sanguins labiles (collecte, préparation, qualification, distribution et délivrance aux établissements de santé des produits sanguins labiles).
L’EFS et ses 17 représentants régionaux, les établissements de transfusion sanguine (ETS), poursuivent dès lors la réalisation d’un intérêt de santé publique.
Sur la finalité
La finalité du traitement est la gestion des contentieux liés à l’activité de transfusion sanguine et aux activités accessoires de l’EFS, via l’utilisation d’un progiciel dénommé « LEGAL SUITE».
Au titre de ses activités et notamment en matière de contamination post-transfusionnelle, la responsabilité de l’EFS, en sa qualité d’opérateur du service public de la transfusion sanguine, peut être recherchée. Ce traitement doit donc permettre de suivre et de gérer les procédures amiables et juridictionnelles menées à son encontre, et/ou à son initiative à l’encontre de ses assureurs et des éventuelles coresponsables identifiés.
Plus précisément, ce traitement de données à caractère personnel a vocation à assurer le suivi et la gestion :
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
des procédures amiables et contentieuses,
des expertises médicales,
des recours assurantiels,
et, le cas échéant, des recours exercés par le mis en cause à l’encontre des coresponsables.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV, 9-1°, 25-I-1° et 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé justifiés par l’intérêt public, d’une part, et les traitements portant sur des données relatives aux infractions et aux condamnations, d’autre part.
Sur les données traitées
Les catégories de données collectées sont relatives :
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
à l’identification des requérants, ayant droits agissant pour leur compte ou au nom de la victime (nom, prénom, adresse, date et lieu de naissance),
à leur vie personnelle et professionnelle (habitude de vie, situation familiale, situation professionnelle),
à leurs revenus,
à leur santé (pathologie, affection, antécédents familiaux, situations ou comportements à risques),
et le cas échéant, à l’atteinte portée à leur vie sexuelle
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de l’EFS et de l’Office national d’indemnisation des accidents médiaux, des affections iatrogènes et des infections nosocomiales.
En effet, l’article L.1221-14 du code de la santé publique, dispose que les victimes de préjudices résultant de la contamination par le virus de l'hépatite C, causée par une transfusion de produits sanguins ou une injection de médicaments dérivés du sang réalisés en France, sont indemnisées par l'Office national d'indemnisation des accidents médicaux, des affections iatrogènes et des infections nosocomiales.
Sur l’information et le droit d’accès
Les personnes seront informées du traitement de leurs données sur le site internet de l’EFS via un onglet « CIL » présent en bas de la page d’accueil du site.
A ce titre, la Commission prend acte qu’un onglet spécifique dans la rubrique « CIL » dénommé « Gestion des contentieux » sera créée, permettant un accès effectif à l’information.
Les droits d’accès et de rectification s’exercent auprès de la direction des affaires juridiques du siège de l’EFS.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Concernant les modalités d’accès aux données, les utilisateurs sont authentifiés au moyen d’un mot de passe alphanumérique d’une durée de validité de trois mois.
La Commission rappelle qu’elle recommande l’utilisation de mots de passe d’une longueur de huit caractères, composés de trois types de caractères (minuscules, majuscules, chiffres, caractères spéciaux). Lors de la première connexion, le mot de passe doit être modifié par l’utilisateur, et ne doit pas être conservé en clair dans un fichier ou une base de données.
Afin de s’assurer que les mots de passe sont conservés dans des conditions garantissant leur confidentialité, la Commission recommande de recourir à un algorithme de hachage à clé secrète.
Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les utilisateurs.
Concernant les mesures de traçabilité, l’ensemble des accès en création, modification, mise à jour et suppression sont tracés et conservés dans le dossier de la personne.
Concernant les réseaux au travers desquels sera accessible le traitement, ceux-ci seront reliés entre eux par un réseau VPN (Virtual Network Computer) présentant un niveau de sécurité suffisant.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données seront conservées pendant trente ans, en application des dispositions légales et règlementaires applicables.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Etablissement Français du Sang à mettre en œuvre le traitement susmentionné.
Le Vice-président Délégué
Emmanuel de GIVRY