(Demande d’autorisation n° 1567172)
La Commission nationale de l'informatique et des libertés,
Saisie par le centre de ressources, d’expertise et de performance sportives (CREPS) de Montpellier – Font-Romeu d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dossier médical partagé pour les sportifs de haut niveau ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8 et L. 6321-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le centre de ressources, d'expertise et de performance sportives (ou CREPS) de Montpellier – Font-Romeu est un établissement public à caractère administratif placé sous la tutelle du ministère des sports.
Aux termes de l’article D. 211-69 du code du sport, les CREPS participent à la politique nationale de développement des activités physiques et sportives et à la formation dans les domaines des activités physiques ou sportives et de l'animation. Ils contribuent à la protection de la santé des sportifs et à la préservation de l'éthique sportive.
Les CREPS ont en particulier pour missions :
D'assurer, en liaison avec les fédérations sportives, la formation et la préparation de sportifs de haut niveau et de mettre en œuvre le double projet consistant à concilier la recherche de la performance sportive et la réussite scolaire, universitaire et professionnelle du sportif ;
D'organiser des formations professionnelles initiales ou continues dans les domaines des activités physiques ou sportives et de l'animation.
Sur la finalité
- Permettre, par la mise en place d’un dossier médical partagé adapté à la mobilité des sportifs, un échange sécurisé d’informations médicales entre les professionnels de santé qui les prennent en charge afin, d’une part, de favoriser une meilleure prévention médicale et, d’autre part, d’assurer la coordination des soins dispensés à ces sportifs.
- Etablir des statistiques à partir de données préalablement anonymisées afin de produire des indicateurs d’activité. La Commission rappelle que de telles études statistiques, dès lors qu’elles portent sur des données de santé à caractère personnel, doivent faire l’objet de formalités au titre des chapitres IX et X de la loi du 6 janvier 1978 modifiée.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
- Concernant les sportifs : données d’identification (nom, prénom, date et lieu de naissance, sexe), nationalité, situation familiale,  professionnelle et financière, coordonnées ; données médicales nécessaires à la prise en charge notamment : état général, antécédents, allergies, douleurs, prescriptions, habitudes de vie et comportements.
- Concernant les professionnels de santé chargés du suivi du sportif : nom, prénom, coordonnées professionnelles.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les professionnels de santé chargés du suivi du sportif et habilités par lui.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Le sportif est informé des modalités de mise en œuvre du dossier médical partagé ainsi que des droits qui lui sont reconnus par la remise d’un document.
L’ouverture d’un dossier médical partagé est subordonnée au consentement exprès du sportif formalisé par la signature d’un contrat. Le sportif peut fermer son dossier à tout moment.
Le sportif peut exercer son droit d’accès auprès du médecin en charge de son suivi ou directement auprès de l’hébergeur (la société GRITA S.A.S. ci-dessous mentionnée).
Le sportif a la possibilité de rendre inaccessibles des informations de son dossier à tout ou partie des professionnels de santé, à l’exception de l’auteur des documents. Pour exercer ce droit, il s’authentifie sur le site internet de l’hébergeur au moyen d’une combinaison de login et de mot de passe qui lui sont adressés de manière confidentielle. Le fait que des données soient « masquées » ne fait pas l’objet d’un signalement.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Le contrôle des accès aux dossiers des patients se fait par une combinaison d’un login et d’un mot de passe de huit caractères au moins, composé de trois types de caractères distincts et valable trois mois.
Toutefois, la Commission rappelle que l’authentification des professionnels de santé par login/mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. La Commission rappelle que le responsable de traitement doit se conformer à ces exigences.
Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les utilisateurs.
L’ensemble des accès en création, modification, mise à jour et suppression sont tracés et conservés dans le dossier du patient.
La base de données et les échanges font l’objet d’un chiffrement fort.
Sous réserve des observations précédentes, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Le dossier médical partagé du sportif est accessible par internet via la solution ASKAMON développée par la société IMSPro.
Les données sont hébergées auprès de la société GRITA S.A.S., agréée pour l’hébergement de données de santé à caractère personnel.
Les données sont conservées jusqu’au terme de la prise en charge du sportif. A l’issue de cette période, les données devront être archivées, conformément à la réglementation en vigueur et pourront être conservées de façon anonyme à des fins statistiques.
A sa demande, le dossier médical pourra être restitué au sportif, avant sa destruction. Lorsque l’hébergement prend fin, les données médicales sont restituées soit au médecin soit au sportif à sa demande. Aucune donnée de santé n’est conservée par l’hébergeur qui les détruit.
D'assurer, en liaison avec les fédérations sportives, la formation et la préparation de sportifs de haut niveau et de mettre en œuvre le double projet consistant à concilier la recherche de la performance sportive et la réussite scolaire, universitaire et professionnelle du sportif ;
D'organiser des formations professionnelles initiales ou continues dans les domaines des activités physiques ou sportives et de l'animation.
Autorise, conformément à la présente délibération, le centre de ressources, d’expertise et de performance sportives (CREPS) de Montpellier – Font-Romeu à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN