(demande d’autorisation n°1507248)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée et notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu le code de la santé publique ;
Sur le rapport de Monsieur Jean MASSOT, commissaire et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes
La Commission a été saisie d’une demande d’autorisation présentée par la société Code d’Urgence immatriculée au RCS Le Mans.
La demande d’autorisation porte sur la mise en œuvre, à titre expérimental dans la Sarthe (72) et dans le Loire-Atlantique (44) d’un dossier médical d’urgence informatisé, accessible aux médecins urgentistes dans le cadre de la délivrance des premiers secours à des personnes munies d’un casque.
Sur la finalité du traitement
Le traitement a pour finalité la mise en œuvre, à titre expérimental, dans les départements de la Sarthe (72) et de la Loire-Atlantique (44) d’un dossier médical informatisé pour des personnes porteuses de casques (de moto, de chantier…) afin que les médecins du SAMU ou du SMUR intervenant dans le cadre des premiers secours puissent accéder à une information primaire sur le terrain, leur permettant ainsi de délivrer les premiers soins dans de meilleures conditions au regard des antécédents médicaux de la personne blessée.
L’accès à l’application s’opère par le biais d’un code-barre à deux dimensions (2D) ou d’un numéro associé. L’accès par le médecin urgentiste autorisé est rendu possible par l’utilisation d’un iPhone® qui lui permet de reconnaître le code-barre ou de saisir le numéro associé et de se connecter par le biais d’une application dédiée au serveur d’un hébergeur de données agrées.
La création du dossier dans le système d’information est supervisée par le médecin de la société Code d’Urgence à qui le formulaire est transmis. Le dossier médical d’urgence est saisi par des opérateurs formés au vocabulaire médical et astreints au secret professionnel sous la responsabilité du médecin de la société.
La Commission estime que la finalité du traitement est déterminée, explicite, et légitime au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur la procédure applicable
S’agissant de la mise en œuvre d’un dossier médical informatisé accessible à distance, le traitement relève du régime de l’autorisation prévu aux articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée.
Sur les catégories de données à caractère personnel traitées
Les données relatives aux personnes qui s’abonnent au service portent sur leur identité, leur date de naissance, une photo d’identité, leurs coordonnées (téléphones, adresse), des informations anthropométriques (le genre, la taille, le poids, la couleur des yeux, l’existence de signes distinctifs), ainsi que des informations relatives à la santé (groupe sanguin, antécédents et traitements médicaux, antécédents tabagiques, allergies…). L’abonné au service a également la possibilité de déclarer son accord ou son refus pour le don d’organe dans l’hypothèse d’un état de mort encéphalique.
Les données relatives aux médecins urgentistes ont trait à leur identité et à leur service de rattachement. Des données relatives aux médecins traitants font également l’objet d’un traitement (identité, coordonnées).
La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur les mesures d’information mises en œuvre
La Commission prend acte que la société Code d’Urgence propose aux porteurs de casques (de chantier, de deux roues…) d’adhérer au service et de créer un dossier médical d’urgence via un formulaire d’inscription validé par le médecin traitant ou par la médecine du travail si l’inscription se fait dans le cadre d’un abonnement professionnel.
Un contrat est conclu entre la société Code d’Urgence et les personnes qui font appel à ce service.
Celles-ci sont informées de la procédure permettant de générer le code 2D, des modes d’accès aux données et du recours à un hébergeur agréé. Conformément aux dispositions de l’article L. 1111-8 du code de la santé publique, le consentement exprès des personnes est stipulé dans le contrat.
La Commission prend acte que les personnes sont également informées de leurs droits d’accès et de rectification et sont invitées à l’exercer notamment lorsque le dossier médical d’urgence est créé. A cet égard, l’abonné reçoit un courriel l’invitant à se connecter au dossier afin de vérifier l’exactitude des informations qu’il contient.
L’abonné est également invité à communiquer toute nouvelle donnée susceptible de modifier la prise en charge médicale d’urgence.
La Commission prend acte de ce qu’aux termes du contrat conclu entre l’abonné et la société Code d’Urgence, l’abonné est informé qu’il ne doit pas prêter son casque.
En cas de perte ou de vol du casque, une procédure est prévue afin que le code soit remplacé et le premier code neutralisé.
Enfin, l’abonné peut également demander la communication de plusieurs exemplaires du code 2D.
La Commission estime ces mesures satisfaisantes.
Elle observe toutefois que les mentions relatives au droit d’opposition ne figurent que dans les dispositions contractuelles relatives au délai de rétractation offert dans les sept jours qui suivent la souscription du service.
Dès lors, la Commission estime nécessaire que les formulaires à destination des personnes soient complétés afin d’y faire figurer le droit d’opposition dont bénéficient les abonnés au service, notamment en prévoyant la possibilité d’obtenir la suppression de leurs données à la fin de la relation contractuelle.
La Commission observe en outre, que les médecins ne bénéficient pas d’informations relatives à leurs droits d’accès, de rectification et d’opposition et estime que les documents qui leurs sont destinés devront être complétés en ce sens.
Sur les destinataires des données
La Commission prend acte que les destinataires des données sont principalement les médecins du SAMU ou du SMUR intervenant dans le cadre des premiers secours.
Le service proposé aux abonnés prévoit également la possibilité d’accès d’autres médecins, notamment le médecin traitant, aux données concernant ses patients, par le biais du numéro associé au code 2D.
Toutefois, ces accès ne s’opèrent qu’en mode lecture seule. Toute nouvelle donnée ou toute modification n’est effective qu’après saisie et enregistrement par le personnel dédié de la société Code d’Urgence.
Sur les garanties de sécurité mises en place
Les habilitations d’accès :
La Commission relève que l’administrateur du système d’information de la société Code d’Urgence, par ailleurs directeur de la société, a la possibilité de créer des comptes d’accès pour des chefs de service des différentes entités associées au dispositif (SAMU, SMUR…) ainsi que pour le personnel de la société.
Ce sont les chefs de service des urgences qui créent et administrent les profils des urgentistes de leurs centres respectifs.
La Commission observe que les différents intervenants n’auront accès qu’aux informations nécessaires à la fourniture du service et à la prise en charge des personnes lorsque cela sera rendu nécessaire par une situation d’urgence et considère ces mesures satisfaisantes.
Les contrôles d’accès :
Les utilisateurs ont la possibilité d’accéder aux données par deux moyens :
Une application iPhone® accessible directement aux utilisateurs urgentistes sur le terrain ;
Une application web accessible via un navigateur internet. Cet accès permet aux médecins régulateurs de se connecter au dossier médical d’un blessé et d’en communiquer la teneur au médecin urgentiste sur le terrain dans l’hypothèse où celui-ci ne peut accéder à l’application (panne du téléphone ; problème technique d’accessibilité à l’application iPhone®…)
S’agissant de l’application iPhone® sur le téléphone fourni par la société Code d’Urgence, le chef de service du SAMU ou du SMUR doit d’abord la télécharger à partir de l’App Store d’Apple®.
A cet égard, la Commission observe qu’elle sera disponible pour tout utilisateur d’iPhone®. Toutefois, son utilisation nécessitera l’installation préalable sur l’appareil d’un certificat électronique par le chef de service des urgences.
Le chef de service devra faire la demande auprès de l’hébergeur qui mettra à sa disposition le certificat, protégé par un mot de passe, sur un serveur spécifique. Il devra alors procéder à son téléchargement sur l’iPhone®  via une adresse URL qui lui sera transmise par email.
La procédure d’installation du certificat n’est accomplie qu’une seule fois. En cas de perte ou de vol de l’appareil, une procédure spécifique est prévue.
Les utilisateurs urgentistes seront également sensibilisés à la nécessité de verrouiller le téléphone par un mot de passe afin d’éviter que des personnes non autorisées puissent accéder à l’application en cas de perte ou de vol de l’appareil.
L’utilisateur urgentiste pourra accéder à l’application par le biais d’un identifiant et d’un mot de passe personnels.
Une fois l’opération d’identification accomplie, l’urgentiste pourra « flasher » le code 2D ou saisir manuellement le numéro associé afin de pouvoir accéder aux données.
La session utilisateur pour l’application iPhone® est automatiquement fermée après deux heures d’inactivité.
Toutefois, dans certaines hypothèses l’accès aux données par le biais de l’application iPhone® peut être compromis. L’utilisateur urgentiste peut alors contacter le médecin régulateur du SAMU ou du SMUR dont il dépend qui accèdera aux données par le biais de l’application web.
Concernant cette application web, l’authentification est réputée forte et requiert l’utilisation d’une combinaison login/mot de passe couplée à un certificat électronique. Les mots de passe utilisés sont conformes aux recommandations de la Commission (8 caractères, 1 majuscule, 1 minuscule et 1 chiffre). En outre, il est prévu que les sessions soient désactivées automatiquement après 20 minutes d’inactivité.
En outre, les abonnés au service peuvent accéder à leurs données directement sur internet en se connectant par le biais d’un identifiant/mot de passe, auquel s’ajoute une combinaison issue d’une « carte de clés personnelles ». Cette carte consiste en un tableau comportant 6 lignes et 6 colonnes de numéros de 5 chiffres chacun. Lorsque l’abonné souhaite se connecter, il lui sera demandé un de ces mots de passe sous la forme « index ligne/index colonne ».
La Commission observe que les mots de passe utilisés par les médecins urgentistes et le personnel de Code d’Urgence sont créés et transmis automatiquement par mail par Santeos, hébergeur de la solution, après la création du compte associé.
Le manuel d’utilisation de la solution précise que l’utilisateur doit modifier son mot de passe dès la première connexion.
La Commission prend acte de ce qu’à l’occasion de la première connexion, cette modification soit imposée aux utilisateurs.
La Commission estime ces mesures satisfaisantes.
La traçabilité :
Les consultations des professionnels de santé sont tracées avec la date et l’heure d’accès au dossier. L’abonné a la possibilité d’accéder à ces traces directement en consultant son dossier par internet.
La Commission estime ces mesures satisfaisantes.
La sécurité des données :
La Commission observe d’une part, que les transferts de données seront sécurisés par l’utilisation d’un protocole HTTPS, et d’autre part, que les données sont chiffrées en base de données par un algorithme de chiffrement fort (AES-256 bits).
S’agissant de l’hébergement de données de santé.  La Commission observe qu’il est fait appel à un hébergeur extérieur disposant d’un agrément d’hébergeurs de données de santé, délivré par le ministre en charge de la santé, pour d’autres solutions.
Elle estime nécessaire de rappeler que l’hébergeur de la solution doit avoir reçu un agrément en sa qualité d’hébergeur de données de santé à caractère personnel, pour ce type de solutions, préalablement à la mise en œuvre du traitement.
Sur la durée de conservation
La Commission relève que le dossier présenté ne prévoit pas de durée de conservation des données et fixe, dès lors, cette durée à celle de la relation contractuelle entre l’abonné et la société Code d’Urgence.
Enfin, s’agissant d’une expérimentation, la Commission informe le déclarant que préalablement à toute demande de généralisation, un bilan devra lui être communiqué. Celui-ci devra notamment porter sur le nombre de personnes abonnées au service, le nombre de services d’urgence ainsi équipés, un audit sur la sécurité mise en œuvre ainsi que les conditions d’interopérabilité avec le dossier médical personnel mis en œuvre par l’Agence des systèmes d’informations partagés de santé.

En conclusion, la Commission autorise la société Code d’Urgence à mettre en œuvre, à titre expérimental, un dossier médical d’urgence informatisé accessible aux médecins du SAMU et du SMUR dans les conditions précitées conformément au dossier transmis à la Commission.
Isabelle FALQUE-PIERROTIN