(demande d’autorisation n° 1910855
La Commission nationale de l'informatique et des libertés,
Saisie par le groupement de coopération sanitaire TESIS E-SANTE REUNION MAYOTTE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre du programme Territoire de soins numérique à la Réunion et à Mayotte, intitulé « Océan Indien Innovation Santé » (OIIS) 
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observatio
Formule les observations suivantes :
En décembre 2013, le Commissariat général aux investissements d’avenir a lancé un appel à projet « Territoires de Soins Numériques » auprès des 26 Agences régionales de santé (ARS) afin de moderniser le système de soins en expérimentant, dans certaines zones pilotes, des services et des technologies innovants en matière d’e-santé.
Le programme OIIS, porté par l’ARS Océan Indien et le GCS TESIS, responsable du traitement de données à caractère personnel, a obtenu un financement afin de faire émerger un territoire de soins numérique à la Réunion et à Mayotte pour les parcours de prise en charge de quatre pathologies chroniques : le diabète, les accidents vasculaires cérébraux, les insuffisances rénales chroniques et les insuffisances cardiaques chroniques.
Sur la finalité du traitement :
Le traitement envisagé a pour finalité la mise en œuvre du programme OIIS grâce à une plateforme de services, comprenant deux portails : l’un pour les professionnels et l’autre pour le public.
Le portail « professionnel » constitue un espace de travail collaboratif sécurisé pour les acteurs du système de santé et médico-social, comprenant :
un espace numérique d’échange et de partage sécurisé ;
une messagerie sécurisée ;
un agenda ;
un annuaire en ligne ;
un espace de coordination.
Ce portail constituerait un complément des outils déjà existants, permettant de regrouper sur un bureau virtuel de nouveaux outils et les outils métiers déjà utilisés par les professionnels.
Concernant le portail « grand public », ce dernier se décompose en deux volets :
un espace public en accès libre, comprenant un espace d’information et de prévention ;
un espace personnel à accès sécurisé permettant à chaque patient de visualiser ses documents de santé, de suivre son parcours de santé, d’accéder à ses données médicales et de se mettre en relation avec l’équipe participant à sa prise en charge.
La plateforme permettra également de réaliser des actes de télémédecine. A ce titre, le GCS TESIS a conclu un contrat pluriannuel d’objectifs et de moyens avec l’ARS Océan indien, pour les années 2014 à 2017, comprenant notamment un volet « Espace numérique régional de Santé ».
L’utilisation des données collectées à des fins de recherche est également envisagée. La Commission rappelle toutefois que l’utilisation des données traitées à des fins de recherche d’une manière générale ne constitue pas une finalité déterminée et que les projets dont la réalisation est envisagée devront faire l’objet de formalités préalables spécifiques auprès d’elle en application des dispositions du chapitre IX de la loi Informatique et Libertés.
Par ailleurs, la Commission rappelle que la présente autorisation ne porte que sur le traitement lié à la plateforme pour laquelle le GCS TESIS est responsable de traitement. Les professionnels utilisateurs demeurent responsables des traitements de données à caractère personnel qu’ils réalisent et de l’accomplissement des formalités préalables spécifiques auprès d’elle.
Sous ces réserves, la Commission considère que la finalité poursuivie est déterminée, légitime et explicite, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données à caractère personnel :
Les données dont le traitement est envisagé concernent les patients, leurs représentants légaux, et les professionnels du secteur de la santé et du secteur médico-social. Il s’agit plus précisément des données suivantes :
Données des patients :
Données d’identification : nom, prénom, adresse, photographie, date et lieu de naissance, coordonnées (postales, électroniques, téléphoniques), numéro d’inscription au répertoire national d'identification des personnes physiques (NIR) ;
Vie personnelle : habitudes de vie, informations utiles à la prise en charge ;
Vie professionnelle (activité : oui/non) ;
Données de connexion : historique des traces ;
Données de santé : pathologie, affections, antécédents familiaux, données relatives aux soins, situations ou comportements à risque ;
Données des aidants et des représentants légaux des patients :
Données d’identification : nom, prénom, coordonnées (postales, électroniques, téléphoniques) ;
Niveau d’intervention auprès de la personne concernée ;
Données des professionnels :
Données d’identification : nom, prénom, spécialité, coordonnées (postales, électroniques, téléphoniques).
S’agissant de l’utilisation du NIR comme donnée d’identification, la Commission relève que l’article L. 1111-8-1 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé permet l’utilisation du NIR comme identifiant de santé des personnes pour leur prise en charge à des fins sanitaires et médico-sociales, dans les conditions prévues à l'article L. 1110-4 du même code. Les modalités d’utilisation de cet identifiant, notamment afin d'en empêcher l'utilisation à des fins autres que sanitaires et médico-sociales, seront précisées par décret en Conseil d’Etat pris après avis de la Commission.
La Commission demande que le NIR ne fasse l’objet d’un traitement comme identifiant des personnes concernées que lorsque les modalités d’utilisation auront été précisées par ce décret.
Sous cette réserve, la Commission considère que les données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés.
Sur la durée de conservation des données :
Le responsable de traitement envisage que l’ensemble des données à caractère personnel soit conservé pendant la durée prévue par les dispositions légales et règlementaires applicables à la conservation des dossiers médicaux.
Or, la Commission estime souhaitable de moduler la durée de conservation selon les catégories de données dont le traitement est envisagé.
A cet égard, elle considère que la conservation des données nécessaires à l’identification des utilisateurs, patients et professionnels, sur la plateforme pour la même durée que celle prévue pour la conservation des données des dossiers médicaux est excessive. En application des dispositions de l’article 6-5° de la loi Informatique et Libertés, elle demande que ces données soient conservées pour une durée précise, déterminée et en adéquation avec les finalités du traitement.
Sur les destinataires des données :
Les destinataires des données sont :
les professionnels de santé et du secteur médico-social participant à la prise en charge du patient, membres de l’équipe de soins au sens des dispositions de l’article L. 1110-12 du code de la santé publique ;
les chercheurs habilités, pour la réalisation de projets de recherche ayant fait l’objet des formalités préalables nécessaires auprès de la Commission.
La Commission relève qu’une matrice d’habilitation a été établie afin de déterminer les accès aux données en lecture et/ou écriture, selon les catégories de professionnels qui peuvent être habilités, et que chaque destinataire n’est habilité à accéder qu’aux données nécessaires à l'exercice de sa mission.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l'information et les droits des personnes :
Les utilisateurs du portail public sont informés du traitement de données à caractère personnel les concernant au moyen d’un formulaire d’information, dans les conditions générales d’utilisation du service et par des mentions sur le site internet du programme OIIS permettant d’accéder à la plateforme.
Le consentement des personnes sera recueilli au moyen d’un formulaire. Par ailleurs, la charte d’accès et d’usage du système d’information dont la signature par le professionnel est requise préalablement à l’ouverture des accès détaille les modalités d’information et de recueil du consentement des patients pris en charge.
Les professionnels seront sensibilisés au respect des droits des personnes prévus par les dispositions de la loi Informatique et Libertés lors de formations relatives à l’utilisation des services, sur le portail professionnel et dans la charte des partenaires participant au programme OIIS.
Les professionnels sont informés du traitement de données à caractère personnel les concernant dans les conditions générales d’utilisation du service.
L’existence et les modalités d’exercice des droits d’accès, de rectification et d’opposition, tels que reconnus par la loi Informatique et Libertés, sont explicitées sur les supports d’information précités.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
Le portail est un point d’entrée qui donne accès aux applications métiers en effectuant des redirections vers celles-ci.
Sur les échanges de données :
Les échanges sont réalisés via des canaux de communication isolés, compartimentés et chiffrés, reposant essentiellement sur le réseau privé R2S (Réseau d'interconnexion santé social) qui est supervisé. Les terminaux mobiles sont authentifiés par un certificat électronique, la réception d’un mot de passe à usage unique (OTP) ou encore la lecture d’un code bidimensionnel (QR Code) ; la conformité de leur configuration est vérifiée à la connexion. L’accès au portail est sécurisé par HTTPS ; à cet égard, la Commission recommande d’utiliser le protocole TLS, dans une version la plus à jour possible.
Sur l’identification des utilisateurs et des structures et les habilitations :
L’identification des utilisateurs et des structures interagissant avec les applications et services proposés par la plateforme repose sur un annuaire régional centralisé qui assure également la gestion des droits et des habilitations d’accès. Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.
Le compte d’un patient est créé par le médecin traitant, avec remise du mot de passe en main propre, ou par le patient lui-même, à l’aide d’un formulaire d’auto-inscription sur le portail qui devra être visé par le médecin traitant, par la Plateforme territoriale d’appui (PTA) ou par un point de rencontre OIIS avec présentation d’un document à forte confiance. En complément, la Commission recommande de fixer une durée d’inactivité au-delà de laquelle le compte sera suspendu.
Les professionnels de santé s’inscrivent en ligne sur le portail, soit avec une CPS, soit en saisissant un formulaire qui sera visé par le GCS TESIS après rencontre avec le professionnel et validation des structures d’appartenance. Les habilitations d’accès sont attribuées par un référent applicatif, nommé par le directeur du GCS TESIS, selon les profils déterminés par la profession et l’activité du professionnel de santé. Une revue des permissions d’accès est opérée tous les six mois afin de s’assurer qu’un utilisateur est toujours en poste avec un besoin d’accès à la plateforme. Les comptes non utilisés pendant six mois sont fermés.
Sur l’authentification des utilisateurs :
L’authentification des utilisateurs pour l’ensemble des applications et services est centralisée sur un composant de SSO (Single Sign On) qui assure également la traçabilité des accès. Le SSO emploie des cookies, ce dont l’utilisateur est informé sur la page d’accueil du portail.
Les usagers et les patients se connectent à l’aide d’un identifiant et d’un mot de passe, modifié par l’utilisateur dès la première connexion puis régulièrement renouvelé. Un dispositif limite le nombre de tentatives de connexion et la durée des connexions. Dans ce cadre, la Commission considère que la structure des mots de passe – à savoir huit caractères minimum, comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux – est conforme à ses recommandations.
Les professionnels de santé accédant à des applications du portail contenant des données de santé se connectent en authentification forte, à l’aide d’une carte de professionnel de santé (CPS) ou, à défaut, d’un couple identifiant et mot de passe, constitué de huit caractères dont deux numériques et complété par un OTP communiqué par courriel ou par SMS. L’adresse de messagerie électronique et le numéro de téléphone mobile sont intégrés lors de l’inscription et de la vérification de l’identité du professionnel de santé.
A cet égard et afin de garantir l’authentification forte à deux facteurs, la Commission recommande de sécuriser le paramétrage du canal OTP et du mot de passe, notamment le renouvellement de ce dernier en cas d’oubli, en exigeant la CPS du professionnel ou, à défaut, celle de son responsable.
En outre, la Commission relève que le nouvel article L. 1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par CPS ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article L. 1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé.
Les échanges de courriels avec les médecins se font à travers des messageries sécurisées de santé, dans des conditions conformes à l’autorisation unique n° AU-037, adoptée par la Commission le 12 juin 2014, relative à la mise en œuvre par les professionnels et établissements de santé ainsi que par les professionnels du secteur médico-social habilités par une loi, de traitements de données à caractère personnel ayant pour finalité l'échange par voie électronique de données de santé à travers un système de messagerie sécurisée.
L’outil « Compagnon » intègre une fonctionnalité de messagerie instantanée destinée à l’échange d’observations réalisées par les professionnels de santé en situation de mobilité.
Les administrateurs techniques et les opérateurs de maintenance se connectent à la plateforme au travers d’un bastion d’administration qui assure leur authentification, l’attribution dynamique des droits d’accès, le cloisonnement des flux réseau d’administration et la traçabilité de l’intégralité de leurs actions. En outre, les opérations d’administration ou de maintenance impliquant un accès à des données à caractères personnel requièrent une habilitation par le médecin de l’hébergeur.
A cet égard, la Commission rappelle que les permissions d’accès d’administration et de maintenance doivent être attribuées pour une durée déterminée, après validation hiérarchique, et supprimées pour tout utilisateur n'étant plus habilité ; une revue globale des habilitations doit être opérée régulièrement.
Sur l’hébergement de la plateforme :
L’hébergement de la plateforme est assuré par le GCS TESIS, opérateur de l’ENRS, qui est agréé pour l’hébergement de données de santé (HDS). A cet égard, la Commission relève que l’agrément du GCS TESIS ne couvre pas l’accès aux données par les patients et demande que l’hébergeur se mette en conformité sur ce point.
Le datacentre régional du GCS TESIS dispose de deux salles serveurs, assurant la répartition de charge et la réplication des données en mode actif/actif, autorisant un redémarrage rapide en cas de dysfonctionnement majeur dans l’une des salles. Des sauvegardes sont également effectuées quotidiennement sur des bandes chiffrées et protégées physiquement. En complément de ces mesures, et afin de garantir la pérennité des données, la Commission recommande de mettre en place rapidement le plan de reprise d’activité reposant sur un site de secours distinct et situé à distance du site principal.
Sur le chiffrement des données :
Les données stockées ne sont pas chiffrées et les photographies permettant de personnaliser les profils utilisateurs non plus ; seuls les documents attachés aux dossiers patients, qui sont conservés dans un entrepôt de données dédié, sont convertis en PDF sécurisé dans un fichier archive chiffré.
Afin d’assurer qu’un administrateur accédant aux données ne pourra pas identifier directement un individu et d’assurer la confidentialité des données de santé en cas de perte ou de vol, la Commission recommande que l’ensemble des données soit chiffré et que des mesures spécifiques soient mises en œuvre pour assurer la confidentialité des clés secrètes.
Sur la traçabilité :
Des traces fonctionnelles, relatives aux données médicales sont générées par les applications et conservées avec les données concernées, pendant vingt ans. La Commission estime qu’une telle durée de conservation des traces est excessive pour l’intégralité des traces. Elle rappelle que la durée de conservation doit être déterminée proportionnellement aux finalités poursuivies, et que différentes durées de conservation en fonction des typologies de traces peuvent être définies.
Des traces techniques sont enregistrées sur les serveurs ; elles sont conservées un an, ce qui est conforme aux recommandations de la Commission.
La Commission recommande que des mesures soient mises en œuvre pour assurer l’intégrité des traces (par exemple, conservation en lecture seule sous contrôle d’accès, centralisation sur un système distinct, sauvegarde quotidienne avec calcul d’une empreinte). En outre, elle recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et lever des alertes.
Sur l’exploitation des données à des fins de recherche, études et évaluations dans le domaine de la santé :
Un Infocentre décisionnel est alimenté par les données de la plateforme, préalablement dé-identifiées (seule l’année de naissance et le sexe sont conservés, le lieu de résidence est généralisé à la commune ou à un niveau d’agrégation plus élevé). En complément, l’agrégation de sources externes assurera le cloisonnement des identifiants.
En restitution, les outils d’analyse sont limités afin d’éviter toute corrélation et les exportations mettent en œuvre un composant assurant une pseudonymisation des identifiants, différente pour chaque destinataire. Cette pseudonymisation est réversible pour répondre à des besoins de ré-identification des patients. A cet égard, la Commission recommande de mettre en œuvre des mesures spécifiques pour protéger les secrets de pseudonymisation ainsi que les moyens de ré-identification. Enfin, la Commission relève que ces données ne peuvent, par conséquent, pas être qualifiées d’anonymes.
La mise en place d’un comité de gouvernance du décisionnel est prévue, regroupant les fournisseurs de données, le Correspondant Informatique et Libertés, le médecin de l’hébergeur ainsi que des représentants des utilisateurs et des usagers.
Sur la politique de sécurité :
La politique de sécurité encadrant le traitement s’appuie sur les exigences de l’agrément HDS, sur la PGSSI-S et sur la PSSI du GCS TESIS. Elle est complétée par une charte utilisateur.
Une analyse des risques du traitement a été opérée et les mesures qui en découlent sont mises en œuvre. Une revue trimestrielle s’assure de l’effectivité de l’ensemble des mesures et de leur adéquation.
Dans ces conditions, la Commission autorise le groupement de coopération sanitaire TESIS E-SANTE REUNION MAYOTTE à mettre en œuvre, à titre expérimental et selon les modalités décrites ci-dessus, un traitement de données à caractère personnel ayant pour finalité la mise en œuvre du programme Territoire de soins numérique à la Réunion et à Mayotte, intitulé « Océan Indien Innovation Santé » (OIIS).
Elle demande qu'au terme de l’expérimentation lui soit adressé un bilan des modalités de fonctionnement et d’utilisation de la plateforme. Le bilan devra notamment comporter les éléments suivants :
description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté ;
présentation de la perception des utilisateurs ;
présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ;
suites envisagées par le responsable de traitement sur la base du bilan effectué (axe d’amélioration, abandon du projet, demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre à titre permanent).
La Présidente
I. FALQUE-PIERROTIN