(Demande d’autorisation n° 1654566)
La Commission nationale de l’informatique et des libertés ;
Saisie par l’Observatoire Régional des Urgences de Midi-Pyrénées d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’échange d’informations au sein de la chaîne de soins d’urgence en Midi-Pyrénées ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4 et L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L’Observatoire Régional des Urgences de Midi-Pyrénées (ORU-MiP), groupement d’intérêt public (GIP) dont sont membres l’ensemble des établissements de soins publics et privés de la région ayant un Service d’Accueil des Urgences (SAU), un Service Mobile d’Urgence et Réanimation (SMUR) ou un Centre de Réception et de Régulation des Appels (CRRA).
Sur la finalité
- Permettre, par la mise en place d’un dossier médical partagé adapté à la situation d’urgence, un échange sécurisé d’informations médicales entre les professionnels de la chaîne de soins d’urgence ;
- Etablir des statistiques à partir de données préalablement anonymisées afin d’évaluer les pratiques professionnelles et de produire des indicateurs de pilotage dans le cadre de l’urgence. La Commission rappelle qu’il conviendra, le cas échéant, de se conformer aux dispositions des chapitres IX et X de la loi du 6 janvier 1978 modifiée.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
La Commission estime qu’il y a  lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Concernant les patients, les données partagées sont les données d’identification (nom, prénom, adresse, date et lieu de naissance, sexe) et leurs données médicales nécessaires à la prise en charge d’urgence (pathologies, antécédents familiaux, soins et traitements, situations ou comportements à risque, diagnostic principal notamment).
Concernant les médecins urgentistes, les données échangées sont les données d’identification (nom, prénom), les coordonnées professionnelles et la spécialité.
Les données collectées n’appellent pas d’observations particulières.
Sur les destinataires
Les destinataires des données sont les médecins urgentistes des établissements membres du GIP habilités et authentifiés, dans la stricte mesure nécessaire à la prise en charge des  patients.
Le personnel de l’ORU-MiP en charge du développement et de la maintenance de l’application a également accès aux données des patients, dans la stricte mesure nécessaire à l’exercice de ses missions et sous la responsabilité d’un médecin de l’ORU-MiP.
Sur l’information et le droit d’accès
L’information des patients ou de leur représentant légal est assurée par l’affichage dans les véhicules SMUR et les services d’accueil des urgences d’une note indiquant l’existence d’un système d’échange de données médicales, la nature des données transmises, l’identité des établissements partenaires et les modalités d’exercice des droits d’accès, de rectification et d’opposition. Une mention d’information figure également sur le livret d’accueil de l’établissement.
Le droit d’accès s’exerce auprès de l’ORU-MiP ou de l’établissement assurant la prise en charge d’urgence du patient.
Ces modalités d’exercice des droits des personnes n’appellent pas d’observation.
Sur les mesures de sécurité
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.
Chaque utilisateur dispose d'un identifiant qui lui est propre. Le responsable de traitement a mis en place une politique de mot de passe, qui doit comporter au minimum huit caractères, incluant des chiffres, lettres et caractères spéciaux, et doit être modifié par l’utilisateur dès sa première connexion.
Toutefois, le responsable de traitement devrait mettre en œuvre une authentification par carte CPS, conformément aux dispositions du décret du 15 mai 2007 relatif à la confidentialité des informations médicales qui impose une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé.
Une journalisation des opérations de consultation, création et modification des données est réalisée. Les personnes concernées sont informées de cette journalisation lors de la création de leur compte d’accès. Ces données sont conservées pendant un an.
Les transferts de données sur Internet ou sur un réseau privé sont sécurisés par l’utilisation du protocole HTTPS ou de réseaux virtuels privés.
Les données sont stockées auprès d’un hébergeur de données de santé agréé.
Le personnel du responsable de traitement est en charge du développement de l’application ainsi que de la maintenance.
Les opérations de développement sont effectuées sur des données anonymisées. En revanche, lors des opérations de maintenance, le personnel du responsable de traitement peut accéder aux données relatives aux patients, sous la supervision d’un médecin.
Les données ne sont pas chiffrées en base. La Commission recommande à cet égard que les données soient chiffrées en base de données, afin d’en assurer la confidentialité en cas de perte ou de vol des supports de données.
Sur les autres caractéristiques du traitement
Les données des personnes sont conservées un an. Passé ce délai, elles seront supprimées.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Observatoire Régional des Urgences de Midi-Pyrénées à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN