Délibération n° 2011 -194 du 30 juin 2011 autorisant la mise en œuvre par le Groupe d’Etude en  Préventologie d’un traitement de données à caractère personnel ayant pour finalité un carnet de vaccination électronique
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique et notamment ses articles L. 1110-4 et L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, et notamment ses articles 8-IV et 25-I, 1°; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, Groupe d’Etude en Préventologie à mettre en œuvre un traitement ayant pour finalité un carnet de vaccination électronique, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
Le Groupe d’Etude en Préventologie
Finalités
Le carnet de vaccination électronique, CVE, permet :
d’enregistrer les vaccins administrés,
et de déterminer si le patient est à jour de ses vaccins.
Le carnet est partagé entre le patient et les professionnels de santé de son choix. 
Seule une adresse de courriel valide est nécessaire pour créer un compte. Cette adresse est ensuite chiffrée. 
Les professionnels de santé désignés par le patient complète les informations identifiantes le concernant.
Les professionnels de santé habilités et authentifiés par une CPS accèdent à l’identité du patient et valident les dates d’injection des vaccins.
Des alertes sont paramétrables par le patient pour rappeler les dates des prochaines échéances vaccinales.
- L’impression du carnet est possible à partir d’un lien à usage unique envoyé par courriel. L’accès est limité à 24 heures et protégé par le mot de passe du compte CVE.
Données traitées
- Concernant les patients, les données traitées sont les données d’identification du patient (Pseudo, nom, prénom, l’identifiant national de santé, date et lieu de naissance), le sexe, le code postale du domicile, le numéro de mobile, l’adresse électronique, les données de connexions et les données nécessaires pour déterminer les recommandations vaccinales : état de santé, profession, conditions de vie, entourage, voyage éventuels et les vaccinations.- Concernant les professionnels de santé, les données traitées sont le nom, prénom, coordonnées professionnelles, adresse de messagerie, numéro de professionnel de santé, numéro de carte de professionnel de santé et données de connexion.
Destinataires
- Le patient ou son responsable légal.- Les professionnels de santé autorisés par le patient après authentification avec une carte de la famille des CPS.
Information et droit d’accès
- L’information des patients et le recueil de leur consentement sont assurés via le site internet www.MesVaccins.net. L’information et le consentement portent notamment sur l’hébergement des données de santé.- Le droit d’accès et de rectification aux données s’exercent auprès de le Groupe d’Etude en Préventologie.
Caractéristiques particulières du traitement
- L’accès au site est sécurisé par un protocole « https ».- Les données identifiantes sont chiffrées dans la base de données.- L’authentification des professions de santé est assurée par un identifiant, un mot de passe et une carte de la famille des CPS.- L’authentification de l’internaute titulaire du compte est assurée avec un identifiant et un mot de passe alphanumérique modifié après la première connexion. Le compte est bloqué après plusieurs essais infructueux. - L’accès à un compte réalisé avec un identifiant et un mot de passe ne permet pas de connaître l’identité du titulaire du compte. - Une journalisation des connexions est mise en œuvre.- Une déconnexion automatique est prévue.- La base de données est hébergée chez un hébergeur de données de santé agréé.
Observations propres au traitement
- Les données sont conservées pendant 10 ans.- Le client peut effacer son compte sans laisser de trace sur le serveur
Le Président
Alex TURK