La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique et notamment ses articles L. 6316-1, L. 1110-4 et L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, et notamment ses articles 8-IV et 25-I, 1°;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions figurant dans le dossier et ses compléments, le Groupement de coopération sanitaire (GCS) télésanté Lorraine à mettre en œuvre un outil intitulé LorrConf permettant l’organisation de réunions sécurisées à distance entre professionnels du milieu médico-social lorrain.
La Présidente
Responsable du traitement
Groupement de Coopération Sanitaire (GCS) télésanté Lorraine (54)

Améliorer la prise en charge médicale des patients dans une zone à faible densité de médecins spécialistes par la création d’un outil de télémédecine dénommé LorrConf.
Lorrconf est un outil permettant d'organiser des réunions sécurisées à distance entre professionnels du milieu sanitaire et médico-social lorrain.
Les objectifs de ces réunions sont de plusieurs ordres :
- Utiliser au sein des structures sanitaires et médico-sociales des nouvelles technologies de téléconférence en santé (cancérologie, périnatalité, radiologie ...) ;
- Diminuer le temps de déplacement des médecins en leur permettant de se connecter à une salle de réunion virtuelle pour obtenir un avis d'expert et ce, quel que soit leur lieu d'exercice ;
- Permettre la téléconsultation patient-médecin, par exemple dans le cadre des accidents vasculaires cérébraux ;
- Optimiser le temps des personnels administratifs en leur permettant d'organiser des réunions à distance ;
- Permettre la tenue de formations, notamment médicales et administratives à distance.
Données traitées
- Concernant les patients, les données échangées sont les données d’identification (nom, prénom, sexe, date de naissance) et les données médicales (cliniques, biologiques et/ou d’imagerie) nécessaires à l’exercice de la télémédecine.
Les catégories d’informations transmises ont été établies en concertation avec les professionnels de santé concernés.
- Concernant les professionnels de santé, les données échangées sont les nom, prénom, coordonnées professionnelles et spécialité.
Destinataires
- Professionnels de santé authentifiés et habilités membres du GCS intervenant dans la prise en charge des patients dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge de leurs patients.
L’adhésion au GCS est subordonnée à la signature d’un document par lequel les professionnels de santé s’engagent à respecter les modalités de mise en œuvre du service posées par la charte du GCS, et notamment l’information et l’obtention du consentement du patient ou de son représentant légal le cas échéant ;
Ils sont également informés que l’utilisation du service ne dégage pas le médecin qui procède à l’examen clinique du patient de sa responsabilité en matière de diagnostic et de traitement.
- Le personnel administratif habilité du GCS a accès aux données nécessaires à l’exercice de ses missions à l’exception des données de santé.
Information et droit d’accès
- Le médecin qui est ou qui a été en contact direct avec le patient informe celui-ci ou son représentant légal, au cours de la consultation, et obtient son consentement par un formulaire conservé par ce médecin dans le dossier du patient.
- Le droit d’accès s’exerce auprès du médecin en contact direct avec le patient.
Caractéristiques particulières du traitement
- Le contrôle des accès aux dossiers des patients se fait par une carte de professionnel de santé ou par un identifiant associé à un mot de passe.
La Commission rappelle que l’authentification des professionnels de santé par login/mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé.
- Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants.
- Les accès à l’application font l’objet d’une journalisation répertoriant la date et l’heure de la connexion, l’auteur ainsi que les actions réalisées.
- L’application met en œuvre des procédés de chiffrement du transport des données.
- Une action de sensibilisation des utilisateurs à la politique de sécurité  est mise en place.
- Les informaticiens en charge de la maintenance n’auront pas accès aux données médicales en clair.
Observations propres au traitement
Le responsable de traitement doit s’assurer que le traitement est opéré dans des conditions conformes aux dispositions combinées des articles L.1111-8 et R.6316-10 du code de la santé publique.
Isabelle FALQUE-PIERROTIN