Délibération n° 2018-172 du 24 mai 2018 autorisant la société IMPLICITY à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif de télésurveillance médicale dénommé IMPLICITY insuffisance cardiaque
(Demande d’autorisation n° 2169047)
La Commission nationale de l'informatique et des libertés,
Saisie par la société IMPLICITY d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif de télésurveillance médicale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, L. 6316-1, R. 6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 6 décembre 2016 portant cahiers des charges des expérimentations relatives à la prise en charge par télésurveillance mises en œuvre sur le fondement de l’article 36 de la loi n° 2013-1203 de financement de la sécurité sociale pour 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société IMPLICITY est le responsable du traitement de données à caractère personnel mis en œuvre dans le cadre de l’utilisation de la plateforme IMPLICITY insuffisance cardiaque.
Sur la finalité
Le traitement de données à caractère personnel a pour objectif la réalisation d’actes de télésurveillance médicale des personnes atteintes d’insuffisance cardiaque chronique, à travers la mise en place d’une plateforme nommée IMPLICITY insuffisance cardiaque.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de l’article 25-1-6° de la loi du 6 janvier 1978 modifiée (ci-après la loi « Informatique et Libertés »), qui soumet à autorisation de la Commission les traitements de données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR).
Sur les données traitées
Concernant les patients, les données traitées sont :
les données d’identification ;

les données de santé nécessaires à l’acte de télésurveillance ;
les données techniques de connexion.
La Commission prend acte de ce que le NIR des patients ne sera utilisé qu’à des fins de remboursement du dispositif médical et des prestations associées.
Concernant les professionnels de santé participant à la prise en charge du patient et les autres professionnels accompagnant les professionnels de santé, les données traitées sont :
les données d’identification ;
les données relatives à la vie professionnelle ;
les données techniques de connexion.
Sont également collectées les données visées à l’article R. 6316-4 du code de la santé publique.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi « Informatique et Libertés ».
Sur les destinataires
Les destinataires des données sont les suivants :
les professionnels de santé prenant en charge le patient ;
les administrateurs techniques de la société IMPLICITY responsables du fonctionnement opérationnel de la plateforme.
Les données à caractère personnel seront exclusivement destinées aux personnes authentifiées et habilitées dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la réalisation de leurs missions.
Sur l’information et le droit d’accès
Concernant les patients
Le patient est informé par le biais d’une note d’information remise par le professionnel de santé prescripteur. Cette note d’information, accompagnée d’un formulaire de consentement, est rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi « Informatique et Libertés ».
La Commission demande cependant que la note d’information soit modifiée sur les points suivants :
le droit d’opposition et le droit de définir des directives relatives au sort des données à caractère personnel après la mort doivent être expressément mentionnés ;
le terme de « sur une base pseudonymisée » doit être utilisé en lieu et place de la notion de « sur une base anonyme ».
Le consentement du patient est recueilli par écrit lors de la visite d’inclusion.
Les droits d’accès, de rectification et d’opposition s’exercent :
auprès du médecin ou de l’établissement référent responsable de la télésurveillance ;
auprès de la société IMPLICITY, à l’adresse unique communiquée au sein de la note d’information. Sur ce point, la Commission demande à ce que les personnes en charge de la gestion de la messagerie électronique soient sensibilisées aux dispositions de la loi relatives aux droits des personnes afin d’en assurer un exercice effectif.
L’exercice des droits sur les données archivées s’exerce de la même manière.
Concernant les professionnels :
Les professionnels sont informés de la collecte et du traitement de leurs données via une note d’information apparaissant à la première connexion sur l’application.
Les droits d’accès, de rectification et d’opposition s’exercent :
auprès de la société IMPLICITY à l’adresse unique figurant dans la note d’information ;
auprès de leur chef de service.
L’exercice des droits sur les données archivées s’exerce de la même manière.
La Commission considère que ces modalités d’information, de recueil du consentement et d’exercice des droits sont satisfaisantes, au regard notamment des dispositions de la loi « Informatique et Libertés ».
Sur les mesures de sécurité
L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé dans les conditions conforme à la règlementation.
La Commission relève que le nouvel article L. 1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par carte de professionnel de santé (CPS) ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article L. 1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé.
La Commission recommande que, pour la création de comptes utilisateur, le paramétrage du canal utilisé pour la transmission des codes à usage unique et le renouvellement du mot de passe soient sécurisés par une authentification forte avec la carte CPS de l’utilisateur ou celle de son responsable s’il n’en dispose pas lui-même.
Enfin, la Commission relève qu’un module d’analyse de données permet une exploitation statistique. Elle rappelle qu'un tel outil ne doit permettre que des restitutions parfaitement anonymes. A défaut des mesures complémentaires doivent être mises en œuvre afin de limiter les risques de ré-identification des personnes, notamment en limitant les interrogations ciblées et le niveau de détail des données fournies.
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par la société IMPLICITY est conservé six mois en base active à compter de la fin de la période de prise en charge du patient, puis en base archive pendant dix ans.
A l’issue de cette période, l’ensemble des données à caractère personnel traitées sera supprimé.
Par ailleurs, les données à caractère personnel collectées dans le cadre d’opérations de facturation et la liquidation des droits (NIR) sont conservées pour une durée de deux ans à compter de la fin de la prestation.
Autorise, conformément à la présente délibération, la société IMPLICITY à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS