La Commission nationale de l’informatique et des libertés ;
Saisie par le centre hospitalier universitaire de Toulouse d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dossier médical informatisé et partagé dans le cadre d’un réseau périnatal;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6321-1, L. 1110-4, L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le gérontopôle du centre hospitalier universitaire (CHU) de Toulouse a pour objectifs de fédérer autour d’une même structure des équipes de recherche et des cliniciens afin de dynamiser la recherche, la prévention et de promouvoir la santé des personnes âgées.
L’équipe régionale vieillissement et préventionde la dépendance (ERVPD) a été constituée au seindu gérontopôle de Toulouse pour accompagner lesprojets innovants au sein de la filière gériatrique deMidi-Pyrénées, avec le soutien de l’agence régionale de santé.
La création de la Base de Données Fragilité s’inscrit dans ce cadre.
Sur les finalités
Le traitement poursuit les finalités suivantes :
- permettre, par la mise en place d’un dossier médical partagé, une mise en commun sécurisée d’informations médicales entre l’ensemble des structures de prise en charge de la fragilité dans la région Occitanie (hôpitaux gériatriques de jour, maisons de santé pluri-professionnelles, consultations gériatriques au sein des établissements de santé, cabinets de médecine générale) ;
-faciliter le déploiement de ces structures, et promouvoir leurs actions de repérage, d’évaluation et de prise en charge des sujets âgés fragiles afin de retarder leur entrée dans la dépendance ;
-mener des travaux de recherche et des actions de prévention dans le domaine du vieillissement ;
La Commission considère ces finalités comme déterminées, légitimes et explicites au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
La Commission rappelle que les traitements à des fins de recherche, d’étude ou d’évaluation mis en œuvre à partir de cette base devront être préalablement autorisés dans les conditions posées par le chapitre IX de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données traitées et échangées sont les suivantes :
données d’identification du patient (nom, prénom, adresse) ;
mode de repérage du sujet âgé fragile ;
identification de l’évaluateur ;
motif de l’évaluation ;
identification du médecin traitant ;
statut social ;
antécédents médico-chirurgicaux et traitements ;
bilan sensoriel ;
bilan physique et fonctionnel ;
bilan cognitif ;
bilan nutritionnel ;
bilan psychologique ;
évaluation de la fragilité ;
domaines de fragilité identifiés ;
interventions proposées ;

La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données sont :
- les professionnels de santé exerçant au sein des structures de prise en charge de la fragilité dans la région Occitanie, dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge du patient ;
- l’ERVPD du Gérontopôle, CHU de Toulouse ;
Sur les droits des personnes
Le dossier produit à l’appui de la demande prévoit que :
- les patients concernés, et le cas échéant leurs représentants légaux, sont informés des modalités de mise en œuvre du traitement ainsi que des droits qui leur sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’une note d’information sous format papier, rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi ;
- le consentement des patients à la création d’un dossier médical partagé et à l’hébergement de ses données sera recueilli par un professionnel de santé en contact avec eux sous la forme d’un formulaire, format papier, de recueil du consentement ;
Les droits d’accès et de rectification s’exercent auprès de l’ERVPD du Gérontopôle au CHU de Toulouse.
La Commission estime que ces modalités d’information et d’exercice des droits n’appellent pas d’observation.
Sur les mesures de sécurité
Le système d’information du réseau est hébergé par auprès d’un prestataire qui satisfait aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique, pour le service considéré.
Concernant l’authentification des acteurs de santé, la Commission relève que le nouvel article L.1110-4 du code de la santé publique dans sa rédaction issue de la loi du 26 janvier 2016 ne prévoit plus l’authentification par carte de professionnel de santé ou dispositif équivalent agréé par l’ASIP Santé et que le nouvel article L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL. Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission rappelle que l’authentification des professionnels de santé doit s’opérer dans des conditions conformes au droit en vigueur.
La Commission rappelle que l’intégralité des échanges de données doit se réaliser par l’intermédiaire des canaux de communication chiffrés et assurant l’authentification de la source et de la destination.
La Commission relève qu’un module d’analyse de données permet une exploitation statistique. Elle demande que l’outil de requête ne permette que des restitutions anonymes et réduise également le risque de réidentification des personnes en limitant les interrogations ciblées et le niveau de détail des rapports.
La Commission rappelle que l'anonymisation des données ainsi mises à disposition doit être effective. Il conviendra donc de démontrer la conformité de la solution et des techniques d'anonymisation mises en œuvre, aux trois critères définis par l'avis du G 29 n° 05/2014, et de la transmettre à la commission. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit être menée et, en fonction du droit national, être soumise à l’autorité de protection des données compétente pour valider, ou non, le processus d’anonymisation proposé. Cette étude consistera à démontrer que les risques, liés à la publication du jeu de données anonyme, n’ont pas d’impact sur la vie privée et les libertés des personnes concernées.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. La Commission recommande que les permissions d'accès soient attribuées pour une durée déterminée, après validation hiérarchique, qu’elles soient supprimées pour tout utilisateur n'étant plus habilité et qu’une revue globale des habilitations soit opérée régulièrement.
Pour les non-professionnels de santé, la commission rappelle qu'un accès par identifiant et mot de passe n'est autorisé que si les données en accès ne sont pas directement identifiantes. À cet égard, la Commission recommande l’utilisation de mots de passe disposant au minimum de dix caractères, composés de trois types de caractères distincts. En outre, le mot de passe doit être modifié par l’utilisateur dès sa première connexion, puis régulièrement.
Une journalisation des opérations de création, modification et suppression du traitement est réalisée. Toutes les actions sont tracées en base de données en reprenant l’identité du dossier, l’action, l’acteur et l’horodatage.
La Commission recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et lever des alertes.
Des sauvegardes quotidiennes sont réalisées. La Commission rappelle qu’elles doivent être testées régulièrement afin de vérifier leur intégrité.
Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
Le dossier produit à l’appui de la demande prévoit que les données seront conservées jusqu’au terme de la prise en charge du patient.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. Elle rappelle qu’à l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur.
Autorise, conformément à la présente délibération, le centre hospitalier universitaire de Toulouse à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS