Délibération n° 2016-390 du 1er décembre 2016 autorisant la société DEFI SOCIAL à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’une application « URGENCEFLASH » permettant la mise à disposition d’informations assurant la protection de la personne et consultables par le biais d’un QR Code sur un porte-clefs.
Nature: Autre autorisation

(Demande d’autorisation n° 1756652)
La Commission nationale de l'informatique et des libertés,
Saisie par la société DEFI SOCIAL d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’une application « URGENCEFLASH » permettant la mise à disposition d’informations assurant la protection de la personne et consultables par le biais d’un QR Code sur un porte-clefs ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de santé publique, notamment ses articles L. 1110-4, L. 1111-8 et R. 1111-9 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission a été saisie par la société DEFI SOCIAL d’une demande d’autorisation concernant une application, intitulée « URGENCEFLASH », mettant à disposition des services d’urgence des informations indispensables à la prise en charge d’une personne dans le cadre d’un protocole d’accueil d’urgence.
Le service s’adresse à un utilisateur, personne physique ou structure médico-sociale, qui souscrit à un abonnement pour un, deux ou trois ans et crée son compte URGENCEFLASH en se connectant au site internet. Une structure médico-sociale peut créer un compte regroupant les abonnements de ses résidents.
Responsable du traitement
DEFI SOCIAL est une société à responsabilité limitée, créée en mars 2002, qui propose une assistance aux établissements pour la gestion des données sociales, administratives et médicales des personnes qu’ils accueillent. 
Sur la finalité
Le traitement a pour finalité la mise en œuvre d’une application « URGENCEFLASH » permettant aux services d’urgence et de soin (SAMU, sapeurs-pompiers, hôpitaux, autres structures médicales) de flasher le QR-Code d’un utilisateur, d’accéder à ses antécédents médicaux et de lui délivrer les premiers soins dans les meilleures conditions, en cas d’errance ou d’accident sur la voie publique ou à domicile.La Commission considère la finalité poursuivie comme déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée (« loi Informatique et Libertés »).Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi Informatique et Libertés qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données relatives aux utilisateurs du service portent sur :
leur identité : civilité, nom, prénom, adresse pour l’envoi de la carte avec le QR Code, e-mail pour l’envoi de l’identifiant utilisateur, numéro de téléphone, photographie, date et lieu de naissance, identifiant de connexion ;
leur santé : pathologie, antécédents familiaux, soins, situations ou comportements à risque afin de renseigner le personnel d’urgence sur la meilleure prise en charge de la personne au regard de son état de santé.
Sont également traitées des données relatives à la personne de confiance (nom, prénom et numéro de téléphone) librement choisie par l’utilisateur. La personne de confiance est chargée d’informer, d’alerter ou d’orienter l’utilisateur. En cas de perte de connaissance de ce dernier, la personne de confiance révèle le mot de passe aux secouristes leur permettant d’accéder aux informations médicales de l’utilisateur. 
Si l’utilisateur ne désigne aucune personne de confiance, il sera le seul à pouvoir transmettre aux services d’urgence le mot de passe d’accès à sa fiche médicale.
La Commission prend acte de ce que le Numéro d'inscription au répertoire (NIR) et la situation familiale de l’utilisateur ne seront pas traités. 
Les modalités de collecte :
Ces données sont renseignées directement par l’utilisateur qui se connecte au site internet, ou indirectement par le représentant légal ou l’organisation ayant reçu un mandat exprès de la personne concernée.
La Commission relève qu’aucune mesure ne permet de limiter les données pouvant être saisies, et prend acte de l’engagement du responsable de traitement de modifier la fiche d’information de manière à enjoindre aux structures médico-sociales de ne pas collecter des données dépassant le cadre de l’urgence.
Sous réserve de sa précédente observation, la Commission estime que les données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément à l’article 6-3° de la loi Informatique et Libertés.
Sur les destinataires
Les destinataires des données saisies sont les services d’urgence et de soins auxquels l’utilisateur a communiqué son mot de passe, à savoir le SAMU, les sapeurs-pompiers, les hôpitaux, les professionnels de santé ainsi que les autres structures médicales, dans le respect du secret médical.La Commission en prend acte.
Sur l’information des personnes et l’exercice des droits 
L’utilisateur est informé des modalités de mise en œuvre du traitement, des droits dont il dispose sur ses données à caractère personnel ainsi que des modalités d’exercice de ses droits, avant de finaliser son inscription, à partir d’une fiche d’information consultable sur le site internet. Cette fiche contient les mentions d’information prévues par l’article 32 de la loi Informatique et Libertés.Le consentement de l’utilisateur au traitement et au partage de ses données de santé est recueilli préalablement à la conclusion  de son abonnement, au moyen d’une case à cocher sur la fiche d’information. Les utilisateurs résidents d’une structure médico-sociale titulaire de l’abonnement sont informés du traitement mis en œuvre et de leurs droits par cette dernière via une note informative dans le livret d’accueil. La Commission demande que le consentement de chaque utilisateur résident de la structure soit recueilli de la même manière qu’un abonné personne physique, à savoir individuellement et préalablement à la conclusion de l’abonnement.La Commission prend acte de l’engagement du responsable de traitement de modifier la fiche d’information de manière à indiquer aux utilisateurs qu’ils peuvent exercer leurs droits d’accès, de rectification et d’opposition auprès du fondateur de DEFI SOCIAL.La Commission rappelle que la personne de confiance éventuellement désignée doit également être  informée de ce que ses données seront accessibles publiquement ainsi que des droits dont elle dispose pour s’y opposer, pour les consulter et les modifier. Sous réserve des précédentes observations, la Commission estime que ces modalités d’information sont satisfaisantes.
Sur les mesures de sécurité
Hébergement :La Commission prend acte de l’engagement du responsable de traitement de faire héberger les données auprès d’un hébergeur de données de santé agréé,  conformément aux dispositions de l’article L. 1111-8 du code de la santé publique (CSP).Authentification :La complexité du mot de passe utilisé par l’utilisateur pour accéder ou modifier sa fiche est conforme aux recommandations de la Commission. La Commission relève en revanche que le « mot de passe Urgence », composé de quatre caractères, ne présente pas une complexité conforme à ses recommandations. Elle précise qu’il est nécessaire également de disposer d’un identifiant de huit caractères alpha numériques pour accéder aux données médicales relatives à un individu (identifiant de la personne concernée).D’autres mesures sont mises en place afin de limiter les accès non autorisés aux données médicales.Accès :Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. La Commission relève que le personnel de DEFI SOCIAL ne dispose d’aucun accès aux données de santé des utilisateurs.Une revue globale des habilitations est opérée annuellement.L’accès à la fiche d’urgence en lecture seule s’effectue selon les modalités suivantes : les secouristes devront « flasher » le QR-code du porte-clefs afin d’accéder directement à l’URL puis renseigner le « mot de passe Urgence », transmis par l’utilisateur ou sa personne de confiance si ce dernier est inconscient. Afin d’éviter l’impossibilité pour les secours d’accéder aux informations d’un utilisateur inconscient qui n’aurait pas désigné de personne de confiance, l’utilisateur peut choisir de rendre sa fiche d’urgence accessible sans mot de passe. La Commission demande que ce paramétrage résulte d'une action volontaire de la personne et ne soit pas par défaut.A cet égard, la Commission relève que l’article L. 1110-4 du CSP issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par carte de professionnel de santé (CPS) ou dispositif équivalent agréé par l’ASIP Santé et que le nouvel article L. 1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission suggère que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé. Les informations relatives à la personne de confiance sont accessibles avec la connaissance de l’identifiant placé dans le QR-code, afin de permettre aux services d’urgence et de soin de lui demander le « mot de passe Urgence ».L’utilisateur accède à sa fiche en entrant son mot de passe qu’il a lui-même défini, lui permettant notamment de modifier ou de supprimer de façon définitive les informations le concernant.Sauvegarde :Ces informations sont sauvegardées quotidiennement, les sauvegardes de données étant chiffrées.Confidentialité :L’accès au téléservice est sécurisé au moyen du protocole HTTPS. Le responsable de traitement utilise la version de TLS la plus à jour possible. Afin d’empêcher les moteurs de recherche d’indexer les informations relatives aux personnes de confiance, rendues accessibles par la connaissance de l’identifiant alpha numérique (nom et numéro de téléphone du contact d’urgence), un fichier robot.txt sera mis en place.Traçabilité :Pour chaque modification de données, effectuées par la personne concernée, sont enregistrés : la date et heure, l’utilisateur connecté et les informations envoyées par l’utilisateur.Le serveur enregistre également l’ensemble des appels effectués, avec l’adresse IP de l’internaute. Ces traces sont conservées durant une durée limitée à six mois.Des mesures sont prises pour analyser les traces, notamment afin de bloquer les tentatives d’accès suspicieux aux informations relatives aux personnes de confiance et aux informations médicales. Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi Informatique et Libertés.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées le temps de l’abonnement (un, deux ou trois ans), ou jusqu’à leur suppression par la personne concernée.En cas de non-renouvellement de l’abonnement, après envoi d’un mail ou d’un courrier simple à l’utilisateur, toutes ses données seront intégralement et définitivement supprimées à l’expiration d’un délai d’un mois à compter du dit envoi.La Commission considère cette durée de conservation satisfaisante.
Autorise, conformément à la présente délibération, la société DEFI SOCIAL à mettre en œuvre le traitement susmentionné.
Pour la Présidente 
Le Vice-Président délégué
Marie-France MAZARS