La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique et notamment les articles L. 6321-1, R.1111-9 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, et notamment ses articles 8-IV et 25-I 1°;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions figurant dans le dossier et les annexes, le réseau RéPPOP38 à mettre en œuvre un système d’échanges de fiches médicales patients entre les professionnels de santé.
Responsable du traitement
Le réseau de Prévention et de Prise en charge de l’Obésité Pédiatrique en Isère, RéPPOP38

- Favoriser un dépistage précoce et améliorer la prise en charge des enfants et adolescents de mois de 16 ans atteints d’obésité en Isère dans le cadre d’un réseau dénommé RéPPOP38.
- Améliorer la communication et l’interaction entre les professionnels et les structures qui prennent en charge les enfants au travers d’un dossier médical commun de suivi.
- Améliorer la formation médicale sur l’obésité pédiatrique.
- Promouvoir des actions de recherche (clinique, thérapeutique et épidémiologique) dans le cadre de l’obésité et de ses complications.
- Créer un dossier informatisé et partagé au travers d’une plate-forme d’échanges entre les professionnels de santé prenant en charge des enfants.
Les dossiers sont accessibles au travers de la plate-forme d’échanges (PEPS) ou du portail régional SIS rhône-alpes (Système d’information santé de la région Rhône-Alpes).
Le site internet du SISRA regroupe plusieurs outils :
- l’identification régionale du patient appelée « STIC » (Serveur Télématique d’Identité Communautaire) qui a pour objectif de gérer un identifiant permanent du patient régional dénommé « IPPR », (dossier n°899050)
- un outil de partage des dossiers des patients, assimilable à un moteur de recherche sécurisé qui permet à des professionnels de santé de partager leurs données sur leurs patients et d’accéder à celles de leurs confrères sur autorisation du patient dénommé « DPPR » (Dossier Patient Partagé et Réparti, dossier n°1200311). Les données de santé des patients restent stockées au sein des structures de santé.
- une plate-forme d’échange entre professionnels de santé dénommée « PEPS » qui centralise les dossiers de santé.
Le réseau souhaite utiliser ces fonctionnalités.
Données traitées
- Concernant les patients : données d’identification (nom, prénom, coordonnées, sexe, date de naissance, n° d’inclusion dans le réseau), origine de la consultation, alimentation, activité physique de l’enfant, environnement (familial, scolaire, géographique…), données de santé : antécédents familiaux, historique de l’obésité, morbidités associées à l’obésité, comportement psychologique, décisions et objectifs thérapeutiques
- Concernant les professionnels de santé : nom, prénom, coordonnées professionnelles et spécialité.
Destinataires
- Le coordinateur du réseau.
- Les professionnels de santé (médecins, diététiciens, psychologues, kinésithérapeutes) pour les dossiers des enfants qu’ils prennent en charge.
- Les éducateurs sportifs pour les informations qui les concernent.
- Les secrétaires médicales du réseau habilitées sous la responsabilité des professionnels de santé habilités.
- Les informaticiens en charge de la maintenance de l’application pour les seules données administratives.
- L’assurance maladie pour l’évaluation du réseau à l’exclusion des données de santé.
Information et droit d’accès
- Information des patients et recueil de leur consentement par un formulaire.
- Exercice du droit d’accès auprès du coordinateur du réseau.
Caractéristiques particulières du traitement
- Accès aux données via internet sur le portail régional SIS rhône-alpes : www.sante-ra.fr ou au travers de la plate forme d’échange entre professionnels de santé, PEPS-réseaux.
- Hébergement physique du serveur au Centre de Ressources en Informatiques Hospitalières (CRIH) des Alpes qui doit satisfaire aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du Code de la santé publique.
- Accès aux dossiers des patients par une carte de professionnel de santé ou à titre transitoire par un identifiant associé à un mot de passe.
La Commission rappelle que l’authentification des professionnels de santé par login/mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé.
Les procédures d’échanges sont chiffrées par le protocole SSL via un flux https.
Observations propres au traitement
- Durée de conservation des données : jusqu’au terme de la prise en charge du patient. A l’issue de cette période, les données seront archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.
Le Président
Alex TURK