(Demande d’autorisation n°1622578)
La Commission nationale de l’informatique et des libertés,
Saisie par l’association Santé Service HAD d’un outil permettant la réalisation d’actes de télémédecine dans le champ de la rééducation orthopédique, outil utilisant un dispositif dénommé « e-HAD » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8,          L. 6316-1et R. 6316-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
« Santé Service HAD », association à but non lucratif participant au service public hospitalier, spécialisée en hospitalisation à domicile (HAD).
Sur les finalités
L’outil de télémédecine « E-HAD » envisagé permet, dans le domaine de la rééducation orthopédique, en application de l’article R. 6316-1 du code de la santé publique, la mise en œuvre d’actes :
Dans le cadre de la consultation pré-opératoire, le chirurgien prenant en charge le patient lui proposera le programme de télémédecine « e-HAD ». Après remise l du consentement écrit du patient  à ce chirurgien lors de l’admission en structure d’hospitalisation et sur présentation d’une  prescription médicale de prise en charge en HAD, un professionnel de santé de l’association Santé Service HAD installera le dispositif « MHbox » au domicile du patient.
de télésurveillance médicale
de téléconsultation médicale
et de téléexpertise.
Dans les suites de l’opération chirurgicale, le retour au domicile sera organisé et un professionnel de santé de l’association Santé Service HAD recueillera le consentement exprès du patient quant à la mise en place du programme de télémédecine « e-HAD ».
Le dispositif « MHbox » permet de réaliser les actes de télémédecine précités dans le cadre du suivi post-opératoire, favorisant ainsi le retour du patient à son domicile.
Les actes de télésurveillance médicale seront réalisés grâce au suivi des alertes en cas d’anomalie sur les constantes du patient, via l’utilisation des données collectées par le tensiomètre et le thermomètre communiquant en Bluetooth  avec la « MHbox », mis à la disposition du patient.
La téléconsultation médicale permettra de réaliser une consultation médicale à distance à partir du domicile du patient qui sera accompagné d’un professionnel de santé de l’association Santé Service HAD (une infirmière diplômée d’Etat, un masseur kinésithérapeute ou un médecin).
La téléexpertise médicale permettra de répondre aux demandes d’avis médical et ce à partir des données collectées et traitées au sein du dossier médical dématérialisé.
Un dossier médical partagé du patient, dématérialisé, intégré dans le dispositif « MHbox », sera constitué et conservé pendant vingt ans.
Au vu de ces éléments, la Commission considère que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle estime qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure d’autorisation de la Commission les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique.
Sur les données traitées
Concernant les patients, les données traitées et échangées sont :
Concernant les professionnels de santé, les données traitées et échangées sont les suivantes :
les données d’identification (nom, prénom, adresse),
les données de santé nécessaires à l’acte de télémédecine effectué,
le motif de la demande de téléexpertise (prescriptions et spécificité).
les données d’identification (nom, prénom) et, si le professionnel de santé se connecte avec sa carte CPS, son numéro RPPS (répertoire partagé des professionnels de santé) ;
les traces des actions effectuées sur les dossiers.
La Commission considère que les données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement.
les données d’identification (nom, prénom, adresse),
les données de santé nécessaires à l’acte de télémédecine effectué,
le motif de la demande de téléexpertise (prescriptions et spécificité).
les données d’identification (nom, prénom) et, si le professionnel de santé se connecte avec sa carte CPS, son numéro RPPS (répertoire partagé des professionnels de santé) ;
les traces des actions effectuées sur les dossiers.
Sur les destinataires
Les destinataires sont les professionnels de santé authentifiés et habilités, dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la prise en charge de leurs patients.
L’utilisation de l’outil de télémédecine est subordonnée à la signature d’une convention par laquelle les professionnels de santé s’engagent à respecter les modalités de mise en œuvre du service, et notamment l’information et le recueil du consentement du patient ou de son représentant légal, le cas échéant. Les professionnels de santé sont informés que l’utilisation du service ne les dégage pas de leur responsabilité en matière de diagnostic ou de traitement.
Sur l’information et le droit d’accès
Le chirurgien qui est en contact avec le patient l’informe, dans le cadre de la consultation préopératoire, et un professionnel de santé de l’association Santé Service HAD, lors de la visite au domicile du patient, lui transmet la note d’information et le formulaire de recueil du consentement. Le formulaire contenant le  recueil du consentement sera remis lors de l’admission du patient en structure hospitalière et conservé dans son dossier médical.
Les droits d’accès, de rectification et d’opposition s’exercent auprès du « correspondant informatique et libertés » de l’association Santé Service HAD.
Sur les mesures de sécurité
Afin de permettre à un professionnel de santé d’accéder à la MHBox et au portail, un administrateur de l’association doit préalablement lui créer un compte personnel.
L’authentification sur la MHBox et sur le portail peut être opérée par l’utilisation au choix :
de la carte de professionnel de santé (CPS) ;
d’un identifiant et d’un mot de passe dans l’hypothèse où le professionnel de santé n’aurait pas sa CPS. Dans ce dernier cas, un mode de fonctionnement dit « dégradé » est prévu :  les données qui seront transmises par la MHBox seront marquées comme « en attente d’approbation » et ce jusqu’à leur validation par le professionnel de santé authentifié par l’utilisation de  sa CPS permettant ainsi la continuité des soins ;
d’un identifiant et d’un mot de passe couplé à un certificat stocké sur une clé USB, pour les intervenants ne disposant pas de CPS.
de la carte de professionnel de santé (CPS) ;
d’un identifiant et d’un mot de passe dans l’hypothèse où le professionnel de santé n’aurait pas sa CPS. Dans ce dernier cas, un mode de fonctionnement dit « dégradé » est prévu :  les données qui seront transmises par la MHBox seront marquées comme « en attente d’approbation » et ce jusqu’à leur validation par le professionnel de santé authentifié par l’utilisation de  sa CPS permettant ainsi la continuité des soins ;
d’un identifiant et d’un mot de passe couplé à un certificat stocké sur une clé USB, pour les intervenants ne disposant pas de CPS.
Uniquement lors d’un accès au portail sur un intranet, réseau local protégé, l’authentification s’effectue par l’utilisation d’un identifiant et d’un mot de passe. Dans ce cas, la Commission rappelle que le poste de travail de l’utilisateur doit être authentifié sur le réseau local.
de la carte de professionnel de santé (CPS) ;
d’un identifiant et d’un mot de passe dans l’hypothèse où le professionnel de santé n’aurait pas sa CPS. Dans ce dernier cas, un mode de fonctionnement dit « dégradé » est prévu :  les données qui seront transmises par la MHBox seront marquées comme « en attente d’approbation » et ce jusqu’à leur validation par le professionnel de santé authentifié par l’utilisation de  sa CPS permettant ainsi la continuité des soins ;
d’un identifiant et d’un mot de passe couplé à un certificat stocké sur une clé USB, pour les intervenants ne disposant pas de CPS.
Les patients disposent également d’un identifiant et d’un mot de passe pour se connecter sur leurs MHBox.
La complexité des mots de passe utilisés est conforme aux recommandations de la Commission. Ceux-ci doivent être composés de huit caractères pour les professionnels de santé et de dix pour les administrateurs, de trois types de caractères distincts parmi les majuscules, minuscules, chiffres ou caractères spéciaux, et ne doivent pas être conservés en clair.
Toutes les communications entre la MHbox et le serveur sont sécurisées par une authentification mutuelle et par le protocole SSLv3.
Afin d’assurer la confidentialité des données sur la MHBox, le responsable de traitement a prévu de les chiffrer. La clé de chiffrement est initialement conservée sur le serveur. Lors de la première authentification, cette clé est transmise à la MHBox et conservée chiffrée grâce à la CPS ou au certificat électronique stocké sur clé USB.
La clé de chiffrement chiffrée peut donc être déchiffrée par la CPS du professionnel de santé ou par son certificat électronique, permettant ainsi la consultation des données.
Les accès à la MHbox et au portail sont tracés.
Sur les serveurs, les données sont conservées chiffrées par l’algorithme AES-256.
Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, l’association « Santé Service HAD »  à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE PIERROTIN