(Demande d’autorisation n°1690555)
La Commission nationale de l’informatique et des libertés,
Saisie par le Groupement de coopération sanitaire (GCS) pour le développement des systèmes d’informations partagés en santé en Ile de France (D-SISIF) d’une demande d’autorisation relative à la mise en place d’un outil permettant la réalisation d’actes de téléexpertise dans le domaine de la dermatologie à destination des personnes détenues en Ile de France, outil dénommé « Télédermato Santé Détenus » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8,          L. 6316-1et R. 6316-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment les articles 8-IV, 9-1°,  25-I-1° et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le Groupement de Coopération Sanitaire pour le Développement des Systèmes d'Information partagés en Santé en Ile-de-France (GCS D-SISIF)
Sur les finalités
L’outil de télémédecine envisagé, dénommé « Télédermato Santé Détenus » permet, en application de l’article R. 6316-1 du code de la santé publique, la mise en œuvre d’actes de téléexpertise en dermatologie. Celle-ci permet à un professionnel de santé de solliciter à distance l’avis d’un ou de plusieurs professionnels médicaux en raison de leurs formations ou de leurs compétences particulières, en se fondant sur les informations médicales liées à la prise en charge du patient.
L’outil de téléexpertise envisagé sera exclusivement dédié aux personnes placées sous main de justice en Ile de France, afin de leur offrir un meilleur accès aux soins spécialisés, tout en limitant le nombre de sorties de détenus de l’enceinte pénitentiaire.
L’objectif du GCS D-SISIF est de déployer dans les treize unités de consultations et de soins ambulatoires des établissements pénitentiaires (UCSA) franciliennes une solution de télémédecine permettant le recours à l’expertise dermatologique des services de dermatologie du Centre hospitalier Victor Dupouy d’Argenteil et du Centre hospitalier universitaire Saint Louis (AP-HP).
Le GCS D-SISIF, assurant une mission de service public, notamment en ce que l’Agence régional de santé d’Ile de France a signé un contrat avec lui afin d’organiser les modalités de mise en œuvre du programme « Télédermato Santé Détenus », peut mettre en œuvre un traitement de données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté, conformément aux dispositions de l’article 9-1° de la loi du 6 janvier 1978 modifiée.
Dans le cadre de ces services de téléexpertise dermatologique, le patient est pris en charge au sein de l’UCSA de l’établissement pénitentiaire dont il relève.
Un dossier médical partagé temporaire du patient, dénommé « télédossier», est alors créé.
Au vu de ces éléments, la Commission considère que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle estime qu’il y a lieu de faire application des dispositions des articles 8-IV, 9-1°,  25-I-1° et 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure d’autorisation de la Commission les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique et qui portent sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Sur les données traitées
Concernant les patients, les données traitées et échangées sont :
Le cas échéant, concernant les personnes accompagnant les patients, les données traitées et échangées sont les données d’identification (nom, prénom, sexe) ainsi que leur qualité (titulaire(s) de l’autorité parentale, tuteur, personne de confiance au sens de l’article L. 1111-6 du code de la santé publique).
les données d’identification (nom, prénom, sexe, date et lieu de naissance, adresse),
l’INS-C (l’identifiant national de santé calculé) si le « télédossier » est enregistré via la carte vitale, ou à défaut le numéro IPP (Identifiant permanent du patient) ou le numéro NIP (numéro d’identifiant personnel) ou le numéro d’écrou,
des données de vie personnelle (habitudes de vie, situation familiale),
les données de santé nécessaires à l’acte de télémédecine effectué (histoire de la maladie et antécédents, données relatives aux soins, images de dermatologie issues de dermatoscope ou d’appareils photographiques),
le motif de la demande de téléexpertise (prescriptions, et spécificité),
les données de facturation.
les données d’identification (nom, prénom, adresse, spécialité, numéro de téléphone, adresse électronique). Si le professionnel de santé se connecte avec sa carte CPS, son numéro RPPS (répertoire partagé des professionnels de santé) sera enregistré ;
les données relatives à leurs agendas (identification des professionnels participant à l’acte de télémédecine envisagé, date, heure, motif de l’acte) ;
le numéro de la carte professionnelle (CPx) des secrétaires médicales accompagnant les médecins experts, ainsi que leur nom, prénom, adresse postale et électronique et numéro de téléphone ;
les traces des actions effectuées sur les dossiers.
Concernant les professionnels de santé, les données traitées et échangées sont les suivantes :
La Commission considère que les données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement.
les données d’identification (nom, prénom, sexe, date et lieu de naissance, adresse),
l’INS-C (l’identifiant national de santé calculé) si le « télédossier » est enregistré via la carte vitale, ou à défaut le numéro IPP (Identifiant permanent du patient) ou le numéro NIP (numéro d’identifiant personnel) ou le numéro d’écrou,
des données de vie personnelle (habitudes de vie, situation familiale),
les données de santé nécessaires à l’acte de télémédecine effectué (histoire de la maladie et antécédents, données relatives aux soins, images de dermatologie issues de dermatoscope ou d’appareils photographiques),
le motif de la demande de téléexpertise (prescriptions, et spécificité),
les données de facturation.
les données d’identification (nom, prénom, adresse, spécialité, numéro de téléphone, adresse électronique). Si le professionnel de santé se connecte avec sa carte CPS, son numéro RPPS (répertoire partagé des professionnels de santé) sera enregistré ;
les données relatives à leurs agendas (identification des professionnels participant à l’acte de télémédecine envisagé, date, heure, motif de l’acte) ;
le numéro de la carte professionnelle (CPx) des secrétaires médicales accompagnant les médecins experts, ainsi que leur nom, prénom, adresse postale et électronique et numéro de téléphone ;
les traces des actions effectuées sur les dossiers.
Sur les destinataires
Les destinataires sont :
L’utilisation de l’outil de télémédecine est subordonnée à la signature d’une convention par laquelle les professionnels de santé s’engagent à respecter les modalités de mise en œuvre du service précisées dans la charte du GCS D-SISIF, et notamment l’information et le recueil du consentement du patient ou de son représentant légal, le cas échéant. Les professionnels de santé sont informés que l’utilisation du service ne dégage pas le médecin qui procède à l’acte de télémédecine de sa responsabilité en matière de diagnostic ou de traitement.
les professionnels de santé authentifiés et habilités, dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la prise en charge de leurs patients ;
et le personnel paramédical, placé sous la responsabilité du professionnel de santé, authentifié et habilité dans la limite de ses attributions et dans la stricte mesure nécessaire à la réalisation de l’acte de télémédecine.
Le personnel administratif des établissements de santé utilisateurs de l’outil de téléexpertise et du GCS D-SISIF a accès aux données nécessaires à l’exercice de ses missions, à l’exception des données de santé.
Le médecin de l’hébergeur, le cas échéant, a accès aux données de santé afin d’exercer ses missions, notamment afin de répondre aux demandes de droit d’accès des patients.
Sur l’information et le droit d’accès
Le médecin qui est en contact avec le patient lui transmet une note d’information. Dans le cas où celui-ci serait mineur, une note d’information spécifique lui sera transmise, au cours de la consultation. Le «  télédossier» ne sera créé qu’après vérification du recueil du consentement du patient par l’équipe de soin le prenant en charge.
A chaque présentation d’un patient à un acte de télémédecine, son  consentement ou celui du titulaire de l’autorité parentale, représentant légal ou personne de confiance, pour la réalisation de cet acte, sera recueilli par le professionnel de santé en contact avec lui après nouvelle remise de la note d’information sous format papier, rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
Ce consentement sera recueilli, par écrit ou sous forme « dématérialisée », par une case à cocher, par le professionnel de santé en contact avec le patient, qui permet l’ouverture du « télédossier ».
Les droits d’accès, de rectification et d’opposition s’exercent auprès du service de l’établissement utilisateur prenant en charge le patient ou auprès du médecin de l’hébergeur de données de santé agréé choisi par le GCS. En cas d’archivage des données, ces droits s’exercent auprès du médecin de l’hébergeur.
Sur les mesures de sécurité
Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants.
Le contrôle des accès aux dossiers des patients se fait par une carte CPS ou par identifiant et un mot de passe couplé à un certificat électronique. Le mot de passe est composé de huit caractères comprenant au moins une majuscule, une minuscule, un chiffre et un caractère spécial. Il doit être modifié par l’utilisateur dès sa première connexion, puis tous les six mois.
La Commission rappelle que les mots de passe ne doivent pas être conservés en clair en base de données. Elle recommande ainsi de conserver uniquement le résultat de la fonction de hachage HMAC à clé secrète sur le mot de passe.
La Commission considère que le maintien d’un système d’authentification par login et mot de passe (ne présentant pas un niveau de sécurité équivalent à la carte CPS) alors même qu’un système d’authentification par carte CPS est mis en place apparaît de nature à affaiblir la sécurité du système d’information dans la mesure où les garanties qui s’attachent à l’utilisation d’une carte CPS s’en trouvent amoindries.
Elle rappelle, en outre, que l’authentification des professionnels de santé par login et mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret du 15 mai 2007 relatif à la confidentialité des informations médicales.
Ce texte impose ensuite une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. La Commission rappelle que les professionnels de santé concernés par ce dispositif  doivent donc s’y conformer.
Les administrateurs et le responsable de site s’authentifient par l’utilisation d’un mot de passe disposant au minimum de huit caractères et comportant au moins trois types de caractères. La Commission demande à ce que ces administrateurs utilisent des mots de passe disposant d’un minimum de dix  caractères.
Les accès à l’application font l’objet d’une journalisation répertoriant l’identité du dossier, l’action, l’auteur et l’horodatage.
Ces traces font l’objet d’une analyse mensuelle afin de détecter des comportements déviants ou anormaux. En cas de détection d’un tel comportement, le GCS D-SISIF est prévenu et le compte de l’utilisateur est provisoirement suspendu.
Le transport des données est sécurisé par l’utilisation d’un réseau privé virtuel ainsi que par l’utilisation de liens dédiés sécurisés ou de protocoles réseau sécurisés (notamment HTTPS).
Une formation des utilisateurs à la sécurité est mise en place.
Les données sont sauvegardées deux fois par jour. Ces sauvegardes ne sont pas chiffrées. La Commission estime nécessaire de chiffrer les sauvegardes de données.
Enfin, la Commission rappelle qu’une procédure doit être mise en œuvre afin de résoudre les incidents, tels qu’une violation de données à caractère personnel, dans les meilleurs délais.
Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Le responsable de traitement doit s’assurer que le traitement est opéré dans des conditions conformes aux dispositions législatives et règlementaires applicables, notamment celles des articles L. 1111-8 et R. 6316-10 du code de la santé publique relatifs à l’hébergement des données de santé.
Les données collectées et traitées dans le cadre du dispositif « Télédermato Santé Détenus », comprenant les données du « Télédossier » ainsi que les données de connexion, seront conservées pendant une durée de quatre ans maximum. Cette durée correspond aux besoins des professionnels de santé en dermatologie. Passé ce délai, les données seront archivées pendant dix ans auprès d’un hébergeur de données de santé agrée ou directement au sein de l’établissement utilisateur du dispositif de téléexpertise.
Autorise, conformément à la présente délibération, le Groupement de coopération sanitaire (GCS) D-SISIF à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE PIERROTIN