(Demande d’autorisation n° 1783302)
La Commission nationale de l'informatique et des libertés,
Saisie par AXA ASSISTANCE FRANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion d’un service de téléconsultation ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6316-1, L. 1110-4, L. 1111-8 et R. 6316-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société AXA ASSISTANCE FRANCE (AXA Assistance), société anonyme enregistrée au registre du commerce et des sociétés de Nanterre.
Sur la finalité
La finalité du traitement est de fournir aux assurés un service de téléconsultation. Ce service sera réalisé par les médecins et
les infirmiers d'AXA Assistance.
Ce service comporte trois pôles :
- Un pôle de téléconsultation dans le cadre duquel des actes de téléconsultation sont réalisés ;
- Un pôle d'information qui consiste à mettre à la disposition du patient des informations générales de santé (non personnalisées) ;
- Un pôle d'organisation du parcours de soins coordonné, qui consiste à accompagner le patient et à l'orienter, à sa demande, vers un choix de médecins spécialistes et/ou des établissements de santé dans le respect du principe de libre choix.
La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique.
Sur les données traitées
Dans le cadre de cette téléconsultation, les données faisant l’objet d’un traitement sont les données d’identification des personnes (nom, prénom, adresse, date et lieu de naissance, sexe, numéro de téléphone, email), la localisation de la personne, les données de santé (pathologie, antécédents familiaux, soins, comportement à risque, médecin traitant).
La Commission considère que les données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les médecins et les infirmiers salariés d'AXA Assistance, authentifiés et habilités, dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la prise en charge des patients, les pharmacies concernées, le médecin traitant du patient sous réserve de son consentement.
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
La téléconsultation proposée par AXA Assistance est souscrite par des entreprises clientes de l'assurance complémentaire santé pour le compte de ses salariés.
L'information des personnes est réalisée par une notice d’information spécifique au service proposé remise par l’entreprise à son salarié. Cette information est doublée d’une mention figurant dans les conditions générales du contrat  d’assurance.
A chaque appel d’un assuré pour un acte de téléconsultation,  l’information est réitérée et le consentement est recueilli sous une forme dématérialisée par une case à cocher par le professionnel de santé en contact téléphonique avec le patient. Le recueil du consentement fera également  l'objet d'une confirmation écrite par l'envoi d'un sms ou d'un e-mail.
A l’issue de l’acte de téléconsultation, le consentement du patient sera sollicité pour l’envoi par le médecin téléconsultant du compte rendu à son médecin traitant.
Les droits d’accès, de rectification et d’opposition sont exercés auprès du service juridique d’AXA Assistance.
La Commission estime que ces modalités d’information, de recueil du consentement et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
Les professionnels de santé qui rendent le service de téléconsultation sont des médecins et infirmiers diplômés d'Etat (IDE) de la plateforme d'AXA Assistance. Ils s'authentifient par le biais de leur carte de professionnel de santé, conformément aux dispositions de l'article L. 1110-4 CSP et au référentiel « Authentification des acteurs de santé » issu de la politique générale de sécurité des systèmes d'information (PGSSI) de l'ASIP Santé.
L'ensemble des données de santé à caractère personnel collectées et traitées dans le cadre de la téléconsultation sont hébergées auprès d’un hébergeur agréé au sens de l'article L. 1111-8 CSP.
Les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant 20 ans. A l’issue de cette durée, elles sont supprimées sauf dispositions légales contraires.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, AXA ASSISTANCE FRANCE à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN