La Commission nationale de l'informatique et des libertés,
Saisie par la société Voluntis d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’utilisation d’un dispositif de télésurveillance médicale dénommé Insulia® ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L.1110-4, L. 1111-8, L. 6316-1, R.6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu la loi n° 2013-1203 du 23 décembre 2013 de financement de la sécurité sociale pour 2014, notamment son article 36 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 25 avril 2017 portant cahier des charges des expérimentations relatives à la prise en charge par télésurveillance du diabète mises en œuvre sur le fondement de l’article 36 de la loi n° 2013-303 de financement de la sécurité sociale pour 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Voluntis est une société anonyme, spécialisée dans la conception de dispositifs médicaux logiciels. Elle est le fabricant d’Insulia, dispositif médical, délivré uniquement sur prescription médicale. Elle fait appel à deux sous-traitants :
l’un pour le support administratif et technique nécessaire à la mise en œuvre d’Insulia ;
l’autre pour l’hébergement des données de santé.
Sur la finalité
Le traitement de données à caractère personnel généré par  l’utilisation d’Insulia a pour objectif la réalisation d’actes de télésurveillance médicale des personnes atteintes de diabète, à travers la mise en place d’une solution digitale intégrant les fonctionnalités suivantes :
une application mobile à destination des patients permettant de noter et de conserver tous les éléments utiles à la détermination de la prise en charge médicale de ceux-ci ;
un portail web, auquel accèdent par le biais d’un espace personnel qui leur est propre les patients, les médecins prescripteurs, des téléopérateurs, et générant un carnet de suivi électronique du patient (notamment prescription, information des patients, recueil des consentements, profil de traitement du patient) et intégrant les éléments de l’application mobile ;
un centre d’appels accessible à partir d’un numéro vert pour répondre aux sollicitations des patients, des professionnels de santé sur les questions techniques et administratives.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la Commission les traitements de données de santé qui contiennent, comme en l’espèce, le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR) à des fins de remboursement.
Sur les données traitées
Concernant les patients, sont traités  les données d’identification, de connexion, de santé et le NIR ;
concernant les professionnels de santé participant à l’acte de télésurveillance et les autres professionnels accompagnant les professionnels de santé, sont traités  les données d’identification, le lieu d’exercice professionnel et les données de connexion ;
concernant l’acte de télésurveillance, sont traités le compte-rendu de la réalisation de l’acte, les actes et les prescriptions médicamenteuses effectués, l’identification des professionnels de santé participant à l’acte, la date et l’heure de l’acte et, le cas échéant, les incidents techniques survenus.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les médecins prescripteurs et les professionnels de santé assurant la télésurveillance médicale, les téléopérateurs, les personnels de Voluntis et l’hébergeur. Tous sont authentifiés et habilités ; ils accèdent aux données dans la limite de leurs attributions respectives.
La Commission demande que la prescription nécessaire à la facturation à la CPAM d’Insulia soit envoyée par le patient à Voluntis.
Sur l’information et les droits des personnes
Le patient se voit remettre une notice d’information et de recueil du consentement par le médecin prescripteur à l’occasion de son inscription dans le dispositif. Cette notice s’affiche également à l’occasion de la première connexion du patient à son compte et de chaque mise à jourdu document. Elle est rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
La Commission demande que la notice d’information soit modifiée sur les points suivants :
le terme de « pseudonymisées » doit être utilisé en lieu et place de la notion d’« anonymisées » ;
la destruction ou l’anonymisation irréversible des données archivées à l’expiration du délai de dix ans doit être expressément prévue dans la notice ;
seule Volontis doit être qualifiée de responsable de traitement.
Le consentement du patient sera enregistré sur son compte lors de sa création par le médecin. Il est réitéré à l’occasion de la première connexion et à chaque mise à jour de la notice.
Les droits d’accès, de rectification et d’opposition tels que reconnus par la loi du 6 janvier 1978 modifiée sont précisés dans la notice d’information et de recueil du consentement. Ils s’exercent par le patient, directement et à certaines conditions, par le biais d’Insulia®, auprès du médecin prescripteur d’Insulia ou du service des données personnelles de Voluntis.
Sur les mesures de sécurité
Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Les données sont stockées chiffrées.
Chaque utilisateur dispose d’un identifiant qui lui est propre, protégé par un mot de passe conforme à la  délibération                     n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
La Commission rappelle qu'elle recommande, s'agissant des données de santé, que les traces soient conservées dans les dossiers des patients et pour une durée égale à la durée de conservation de ces dossiers mais que s’agissant des journaux consignant les actions des administrateurs, elle préconise une durée de conservation de six mois.
La mise au point des logiciels s’effectue sur des données fictives.
Le réseau de l’entreprise fait l’objet de mesure de filtrage ayant pour but de restreindre l’émission et la réception des flux réseau aux machines identifiées et autorisées. Les accès distants sont sécurisés via un VPN chiffré.
La Commission recommande que les permissions d'accès soient attribuées pour une durée déterminée et limitée, après validation hiérarchique, qu’elles soient supprimées dès qu'un utilisateur n'est plus habilité et qu’une revue globale des habilitations attribuées soit opérée régulièrement.
L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé dans les conditions du décret n°2006-6 du 4 janvier 2006.
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par Insulia est conservé trois mois en base active à compter de la fin de la période de prise en charge du patient, puis en base archive pendant dix ans.
La Commission demande la destruction des données à l’expiration du délai d’archivage de dix ans ou leur anonymisation de manière irréversible.
Autorise, conformément à la présente délibération, la société Voluntis à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente Le Vice-Président Délégué
Marie-France MAZARS