(Demande d’autorisation n° 2137137)
La Commission nationale de l'informatique et des libertés,
Saisie par la société MDHC d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif de télésurveillance médicale dénommé myDiabby Healthcare ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, L. 6316-1, R. 6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu la loi n° 2017-1836 30 décembre 2017 de financement de la sécurité sociale pour 2018, notamment son article 54 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 25 avril 2017 portant cahier des charges des expérimentations relatives à la prise en charge par télésurveillance du diabète mises en œuvre sur le fondement de l'article 36 de la loi n° 2013-1203 de financement de la sécurité sociale pour 2014  ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société MDHC est le responsable du traitement de données à caractère personnel mis en œuvre dans le cadre de l’utilisation de myDiabby Healthcare.
La société MDHC est spécialisée dans la conception, l’élaboration et la commercialisation de plateformes et d’outils de télésurveillance à destination de patients atteints de diabète.
Sur la finalité
Le traitement de données à caractère personnel a pour objectif la réalisation d’actes de télésurveillance médicale des personnes atteintes de diabète, à travers la mise en place d’un dispositif, nommé myDiabby Healthcare, intégrant les fonctionnalités suivantes :
une application mobile et un portail web à destination des patients ;
un portail pour les professionnels de santé permettant de faciliter les interactions entre ces derniers et le patient.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de l’article 25-1-6° de la loi du 6 janvier 1978 modifiée (ci-après la loi « Informatique et libertés »), qui soumet à autorisation de la Commission les traitements de données parmi lesquelles figure le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR).
Sur les données traitées
Concernant les patients, les données traitées sont :
les données d’identification ;

les données relatives à la vie personnelle ;
les données de santé nécessaires à l’acte de télésurveillance ;
les données de santé nécessaires à la réalisation de l’accompagnement thérapeutique du patient ;
les données techniques de connexion.
La Commission prend acte de ce que le NIR des patients ne sera utilisé qu’à des fins de remboursement du dispositif médical et des prestations associées.
Concernant les professionnels de santé participant à la prise en charge du patient et les autres professionnels accompagnant les professionnels de santé, les données traitées sont :
les données d’identification ;
les données relatives à la vie professionnelle ;
les données techniques de connexion.
Sont également collectées les données visées à l’article R. 6316-4 du code de la santé publique.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi « Informatique et Libertés ».
Sur les destinataires
Les destinataires des données sont les suivants :
les professionnels de santé authentifiés et habilités membres de l’équipe de soins en charge du patient dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge du patient ;
les membres du personnel strictement habilités de la société MDHC à des fins de maintenance. Ces destinataires n’ont pas accès aux données de santé.
Les données à caractère personnel seront exclusivement destinées aux personnes authentifiées et habilitées dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la réalisation de leurs missions.
Sur l’information et le droit d’accès
Concernant les patients
Le patient est informé oralement et par écrit par le biais d’une note d’information remise par le professionnel de santé qui le prend en charge. Cette note d’information est rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi « Informatique et Libertés ».
La Commission demande que la note d’information soit modifiée sur les points suivants :
la société MDHC doit y être désignée comme responsable de traitement au sens de l’article 3 de la loi « Informatique et Libertés » ;
la durée de conservation doit être complétée afin de mentionner la conservation des données en base archive avant la suppression définitive des données.
Le consentement du patient sera recueilli par écrit ou de façon dématérialisée par le professionnel de santé qui le prend en charge, après remise de la note d’information.
Les droits d’accès, de rectification et d’opposition s’exercent directement auprès de la société MDHC à l’adresse unique communiquée au sein de la note d’information. Sur ce point, la Commission demande à ce que les personnes en charge de la gestion de la messagerie électronique soient sensibilisées aux dispositions de la loi relatives aux droits des personnes afin d’en assurer un exercice effectif.
L’exercice des droits sur les données archivées s’exerce de la même manière.
Concernant les professionnels
Les professionnels sont informés de la collecte et du traitement de leurs données par la remise d’une note d’information.
Les droits d’accès, de rectification et d’opposition s’exercent directement auprès de la société MDHC à l’adresse unique figurant dans la note d’information.
L’exercice des droits sur les données archivées s’exerce de la même manière.
La Commission considère que ces modalités d’information, de recueil du consentement et d’exercice des droits sont satisfaisantes, au regard notamment des dispositions de la loi « Informatique et Libertés ».
Sur les mesures de sécurité
Des profils d’habilitation sont définis en fonction des attributions des intervenants. Des habilitations spécifiques sont prévues pour le personnel non professionnel de santé, afin qu'il ne puisse avoir accès qu'à des données non identifiantes sur les patients.
S’agissant des professionnels de santé, le contrôle d’accès au portail se fait par une authentification forte avec une carte de professionnel de santé (CPS), un identifiant et un mot de passe pour toute transmission ou tout accès aux données de santé.
Du fait de la mobilité des médecins, une procédure dérogatoire est prévue pour une durée limitée. Dans ce cas, il n’est pas envisagé d’authentifier les professionnels de santé par CPS mais par une authentification forte avec un identifiant, un mot de passe et un code à usage unique, adressé par SMS ou messagerie électronique. La Commission rappelle que le paramétrage du canal utilisé pour la transmission des codes à usage unique et le renouvellement du mot de passe doit être sécurisé par une authentification forte avec la CPS de l’utilisateur ou celle de son responsable s’il n’en dispose pas lui-même.
S’agissant des patients, le contrôle d’accès au portail ou à l’application dédiée s’effectue par un identifiant, un mot de passe et un code d’accès à usage unique reçu par SMS. En cas d’oubli du mot de passe principal, le processus de réinitialisation s’opère via la messagerie électronique mais exigera également la saisie d'un code à usage unique reçu par SMS afin de renforcer l'authentification de l'utilisateur.
La Commission note que les mots de passe précités sont conformes à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
S’agissant des administrateurs, la Commission recommande de renforcer cette politique de mot de passe en portant la taille minimum des mots de passe à dix caractères associés à un mécanisme de verrouillage de l’accès au compte en cas de saisie multiple de mots de passe erronées.
La Commission recommande que les permissions d'accès soient attribuées pour une durée déterminée et limitée, après validation hiérarchique, qu’elles soient supprimées dès qu'un utilisateur n'est plus habilité et qu’une revue globale des habilitations attribuées soit effectuée de façon périodique et a minima une à deux fois par année.
Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire.  Les accès au traitement se font via le protocole HTTPS, qui permet de garantir la confidentialité des données échangées ainsi que l'authentification du responsable de traitement. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible.  Les échanges avec les lecteurs de glycémie s’effectuent par le standard Bluetooth et sont chiffrés.
La Commission note que l’ensemble des données de santé à caractère personnel traitées est hébergé auprès d’un hébergeur agréé de données de santé. Les sauvegardes de données sont quotidiennes et chiffrées.
Une journalisation des opérations de consultation, création et modification des données est mise en place. La Commission rappelle qu'elle recommande, s'agissant des données de santé, que les traces soient conservées dans les dossiers des patients et pour une durée égale à la durée de conservation de ces dossiers mais que, s’agissant des journaux consignant les actions des administrateurs, elle préconise une durée de conservation de six mois.
La Commission relève qu’une messagerie est proposée. La Commission rappelle que si des échanges de données de santé sont réalisés par courriels entre professionnels de santé, ceux-ci doivent être réalisés à travers des messageries sécurisées de santé dans des conditions conformes à la délibération n° 2014-239 du 12 juin 2014.
Un dispositif d’agrégation statistique est prévu. Le responsable de traitement s’engage à respecter, dans les jeux de données produits, les trois critères de l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29, le 10 avril 2014.
Sous réserve de l’effectivité de l’ensemble des éléments précités, la Commission considère que la sécurité du dispositif est assurée de façon adéquate, conformément à l’article 34 de la loi « Informatique et Libertés ». Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par la société est conservé trois mois en base active à compter de la fin de la période de prise en charge du patient, puis en base archive pendant dix ans compte tenu des règles de prescription applicables, augmentés le cas échéant de la durée du contentieux qui serait engagé.
A l’issue de cette période, l’ensemble des données à caractère personnel traitées sera supprimé.
Autorise, conformément à la présente délibération, la société MDHC à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS