(Demande d’autorisation n° 2170192)
La Commission nationale de l'informatique et des libertés,
Saisie par la société DIATELIC d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif de télésurveillance médicale dénommé eNephro ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, L. 6316-1, R. 6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 6 décembre 2016 portant cahiers des charges des expérimentations relatives à la prise en charge par télésurveillance mises en œuvre sur le fondement de l’article 36 de la loi no 2013-1203 de financement de la sécurité sociale pour 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société DIATELIC est le responsable du traitement de données à caractère personnel mis en œuvre dans le cadre de l’utilisation de eNephro.
Sur la finalité
Le traitement de données à caractère personnel a pour objectif la réalisation d’actes de télésurveillance médicale à travers la mise en place d’un dispositif, nommé eNephro.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de l’article 25-1-6° de la loi du 6 janvier 1978 modifiée (ci-après la loi « Informatique et libertés »), qui soumet à autorisation de la Commission les traitements de données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR).
Sur les données traitées
Concernant les patients, les données traitées sont :
les données d’identification ;

les données relatives à la vie personnelle ;
les données relatives à la vie professionnelle ;
les données de santé nécessaires à l’acte de télésurveillance ;
les données techniques de connexion.
La Commission prend acte de ce que le NIR des patients ne sera utilisé qu’à des fins de remboursement du dispositif médical et des prestations associées.
Concernant les professionnels de santé participant à la prise en charge du patient et les autres professionnels accompagnant les professionnels de santé, les données traitées sont :
les données d’identification ;
les données relatives à la vie professionnelle.
Sont également collectées les données visées à l’article R. 6316-4 du code de la santé publique (CSP).
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi « Informatique et libertés ».
Sur les destinataires
Les destinataires des données sont les suivants :
les professionnels de santé prenant en charge le patient ;
les administrateurs techniques de la société DIATELIC.
Les données à caractère personnel seront exclusivement destinées aux personnes authentifiées et habilitées dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la réalisation de leurs missions.
Sur l’information et les droits des personnes
Concernant les patients
Le patient est informé à l’oral et par le biais d’une note d’information qui sera remise par le professionnel de santé incluant le patient dans le dispositif.
Cette note d’information est rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi « Informatique et Libertés ».
La Commission demande cependant que la note d’information soit modifiée sur les points suivants :
le droit de définir des directives relatives au sort des données à caractère personnel après la mort doit être expressément mentionné ;
la durée de conservation doit-être indiquée, conformément à l’article 32-8° de la loi « Informatique et Libertés ».
Le formulaire de consentement se divise en 3 exemplaires : un exemplaire pour le patient, un exemplaire pour le professionnel de santé et un exemplaire pour la société DIATELIC adressé par le professionnel de santé incluant le patient.
Les patients peuvent exercer leurs droits via différent canaux :
par courrier ou par courriel à l’adresse indiquée dans la note d’information. Sur ce point, la Commission demande à ce que les personnes en charge de la gestion de la messagerie électronique et celles en charge de l’ouverture du courrier soient sensibilisées aux dispositions de la loi relatives aux droits des personnes afin d’en assurer un exercice effectif ;
auprès du délégué à la protection des données de la société DIATELIC ;
auprès du médecin de l’hébergeur agréé.
L’exercice des droits sur les données archivées s’exerce de la même manière.
Concernant les professionnels
Les professionnels sont informés via une note d’information affichée lors de leur première connexion à l’application.
Les droits d’accès, de rectification et d’opposition s’exercent auprès du délégué à la protection des données de la société DIATELIC à l’adresse indiquée dans la note d’information.
L’exercice des droits sur les données archivées s’exerce de la même manière.
La Commission considère que ces modalités d’information, de recueil du consentement et d’exercice des droits sont satisfaisantes, au regard notamment des dispositions de la loi « Informatique et Libertés ».
Sur les mesures de sécurité
L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé dans les conditions conformes à la règlementation.
La Commission relève que le nouvel article L.1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par carte de professionnel de santé (CPS) ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé.
La commission demande en outre que des habilitations spécifiques soient prévues pour le personnel non professionnel de santé, afin qu'il ne puisse avoir accès qu'à des données non identifiantes sur les patients.
La Commission relève qu’un module d’analyse de données permet une exploitation statistique. Elle rappelle qu'un tel outil ne doit permettre que des restitutions parfaitement anonymes. A défaut des mesures complémentaires doivent être mises en œuvre afin de limiter les risques de ré identification des personnes, notamment en limitant les interrogations ciblées et le niveau de détail des données fournies.
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par la société DIATELIC est conservé six mois en base active à compter de la fin de la période de prise en charge du patient, puis en base archive pendant dix ans.
A l’issue de cette période, l’ensemble des données à caractère personnel traitées sera supprimé.
Autorise, conformément à la présente délibération, la société DIATELIC à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS