Délibération n° 2017-098 du 13 avril 2017 portant avis sur un projet de décret relatif aux dispositifs médicaux remboursables dotés d’un mécanisme de télétransmission de données d’utilisation (demande d’avis n° 17006454)
Nature: Avis

La Commission nationale de l'informatique et des libertés,
Saisie par la ministre des affaires sociales et de la santé d’une demande d’avis concernant un projet de décret relatif aux dispositifs médicaux remboursables dotés d’un mécanisme de télétransmission de données d’utilisation ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L. 5232-3 ;
Vu le code de la sécurité sociale, notamment son article L. 165-1-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-4°-a) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie, le 27 février 2017, par la ministre des affaires sociales et de la santé d’une demande d’avis concernant un projet de décret relatif aux dispositifs médicaux remboursables dotés d’un mécanisme de télétransmission de données d’utilisation.
Ce projet de décret (ci-après " le projet ") est pris en application de l’article L 165-1-3 du code de la sécurité sociale (CSS). Intéressant directement la protection des données à caractère personnel, il doit être pris après avis de la Commission, en application des dispositions du a) du 4° de l’article 11 de la loi du 6 janvier 1978 (ci-après la loi " Informatique et Libertés "). 
Le projet ne s’appliquerait que dans le cadre de la mise en œuvre de certains traitements d’affections chroniques dont la liste est fixée par arrêté des ministres chargés de la santé et de la sécurité sociale après avis de la Haute autorité de santé. Le ministère a précisé qu’il est envisagé que l’une des affections chroniques concernée soit l’apnée du sommeil traitée par l’utilisation d’un dispositif médical à pression positive continue.
Ce projet de texte, sans créer lui-même de traitement de données à caractère personnel, permet aux prestataires de service et distributeurs de matériels (PSDM), expressément désignés comme responsables de traitement, de mettre en œuvre un traitement de données ayant pour finalité la téléobservance des patients.
L’objectif est de permettre aux PSDM, d’une part, d’appliquer une modulation sur les tarifs de responsabilité ou sur les prix en fonction du niveau d’utilisation du dispositif médical et, d’autre part, de favoriser une bonne utilisation de ce dispositif en cas de constatation d’un niveau faible ou insuffisant de ce dispositif. Sur ce dernier point, la Commission rappelle la logique portée par le Règlement général sur la protection des données personnelles qui tend à permettre aux personnes concernées d’accèder directement aux données les concernant, notamment afin d’exercer leur droit à la portabilité.
Le projet définit les conditions d’une modulation tarifaire éventuelle, sans impact pour le patient, en fonction du niveau d’utilisation constatée du dispositif. Il précise ensuite les modalités de transmission des données, recueillies par les PSDM, au service du contrôle médical de l’assurance maladie et, éventuellement, au médecin prescripteur.
 
Sur les finalités du traitement :
Le dispositif de " téléobservance " a pour objectif de permettre aux PSDM, grâce à la mise en place d’un traitement de données à caractère personnel, de contrôler l’observance d’un traitement par un patient.
L’objectif de ce dispositif est double :
permettre aux PSDM de ne facturer à l’assurance maladie que les prestations véritablement effectuées au bénéfice des patients, à savoir une mise à disposition d’un dispositif médical utilisé dans les conditions d’inscription de ce produit sur la liste prévue à l’article L. 165-1 du CSS. Le tarif de responsabilité de référence ou le prix de référence peut être modulé en fonction du niveau d’utilisation constatée du dispositif médical ;
permettre le télésuivi du patient par les PSDM qui, grâce aux données produites par les appareils installés chez l’intéressé, leur permet d’identifier d’éventuels problèmes d’utilisation du dispositif médical et de conduire, dans la limite de leurs compétences, des actions visant à favoriser une bonne utilisation de ce dispositif.
Le projet d’article R. 165-76-I du CSS permet aux PSDM de recueillir, avec l’accord du patient, l’ensemble des données relatives à la durée et à la fréquence d’utilisation, télétransmises par le dispositif médical mis à la disposition du patient.
L’alinéa 2 du projet d’article R. 165-76-I dispose qu’à défaut de comporter une fonction de télétransmission ou lorsque, à la demande du patient, celle-ci n’est pas activée, le PSDM peut recueillir les données par tout moyen adapté et sécurisé.
En effet, à ce jour, il existe deux types de dispositifs médicaux, les premiers permettant le recueil manuel des données d’observance via une visite des PSDM au domicile du patient, les seconds comportant un module qui permet une télétransmission automatisée des données d’observance.
Néanmoins, il existe une incohérence entre l’intitulé du projet de décret soumis pour avis, " relatif aux dispositifs médicaux remboursables dotés d’un mécanisme de télétransmission de données d’utilisation " et l’application du dispositif mis en place par le décret aux dispositifs médicaux ne comportant pas de fonction de télétransmission.
La Commission prend acte de l’engagement du ministère de modifier l’intitulé du projet afin que ce dernier englobe aussi bien les dispositifs médicaux dotés d’un mécanisme de télétransmission que ceux qui ne sont pas équipés de tels dispositifs.
 
Par ailleurs, la Commission prend acte de ce que la règle est le consentement du patient et que, de ce fait, la fonction de télétransmission devra être désactivée par défaut. A la lumière de ce constat, elle constate une incohérence entre les 1er et 2ème alinéas du projet d’article R. 165-76-I, qui laisse supposer que l’absence de télétransmission des données doit résulter d’une démarche active du patient. La Commission demande à ce que la formulation " à la demande du patient " soit retirée.
La Commission prend acte que le ministère s’engage à suivre une telle recommandation. 
Sur la responsabilité du traitement et les formalités préalables
Conformément à l’article 3 de la loi " Informatique et Libertés ", une disposition législative ou règlementaire relative à un traitement de données peut expressément désigner le responsable du traitement.
Le projet d’article R. 165-77 précise que les PSDM sont les responsables des traitements de données à caractère personnel objets du présent projet.
Dès lors, la Commission considère que le fabricant du dispositif médical apparaît comme sous-traitant du PSDM et recommande que ce point soit clairement mentionné dans le projet.
S’agissant des formalités préalables à accomplir, l’alinéa 2 du projet d’article précité dispose que les traitements objets du présent projet sont soumis à autorisation de la Commission, en application de l’article 25 de la loi " informatique et libertés ".
La Commission prend acte de l'engagement du ministère de modifier le projet afin de faire référence " aux formalités préalables prévues par la loi ".
Sur la nature des données transmises 
Conformément aux dispositions de l’article 6-3° de la loi " Informatique et Libertés ", l’adéquation, la pertinence et le caractère non excessif des données collectées et traitées doivent s’analyser au regard de la finalité poursuivie par le traitement de données à caractère personnel mis en œuvre.
Le projet d’article R 165-76-I du CSS dispose que les PSDM peuvent recueillir, sous réserve du consentement du patient, " l’ensemble des données relatives à la durée et la fréquence d’utilisation " du dispositif médical.
Il est également précisé à l’alinéa 4 du II du projet d’article R. 165-76 que la transmission ne peut comporter des données de géolocalisation et que l’identité du patient ne peut en aucun cas être révélée au fabricant du dispositif médical.
Sur ce dernier point, la Commission prend acte de que les données d’observance télétransmises sont associées à un numéro de machine ou au numéro du dispositif de télésuivi, s’il est externe à l’appareil, auquel est associé le PSDM propriétaire de la machine.
Le fabricant transmettra les données d’observance ainsi que le numéro précité au PSDM qui, lui, fera le lien entre l’appareil et l’identité du patient.
Par ailleurs, la formulation laisse penser que la liste des données télétransmises n’est pas exhaustive. La Commission suggère que le projet de texte soit modifié afin de préciser que, s’agissant des données d’observance, seuls sont collectés la durée, la fréquence d’utilisation et l’identifiant du dispositif médical, à l’exclusion de toute autre donnée.
Sur l'obligation d'information préalable et les modalités de recueil du consentement
Concernant l’information des patients, la Commission rappelle que le consentement doit être éclairé.
Ce consentement est recueilli après que le patient a été dûment informé, conformément à l’article 32 de la loi " Informatique et Libertés " et couvre la transmission et l’utilisation à des fins de téléobservance, notamment, de données de santé à caractère personnel.
S’agissant du recueil du consentement, le projet d’article R. 165-76-I permet aux PSDM de recueillir, avec l’accord du patient, l’ensemble des données relatives à la durée et à la fréquence d’utilisation télétransmises par le dispositif médical mis à la disposition du patient.
La Commission rappelle que le consentement ne peut être valable que si la personne concernée est en mesure d'exercer valablement son choix et n'est pas exposée à des conséquences négatives importantes si elle refuse de donner son consentement. 
Elle estime donc opportun de préciser que le patient doit pouvoir continuer à utiliser le dispositif en cas de refus de collecte des données aux fins de téléobservance et estime, par conséquent, que le consentement à la collecte des données doit être séparé du consentement à l’utilisation du dispositif médical, via un système de cases à cocher par exemple.
 
Sur la sécurité des données :
Le projet reste très général en ce qui concerne les mesures de sécurité à mettre en œuvre par les PSDM.
 
La Commission rappelle que les mesures de sécurité mises en place doivent être conformes à l’état de l’art et conformes aux référentiels opposables et aux référentiels d'interopérabilité et de sécurité mentionnés à l'article L. 1110-4-1 du code de la santé publique.
La Commission s’interroge également sur l’effectivité et l’objectivité de contrôles qui seraient réalisés à distance par l’assurance maladie sur des accès ouverts à l’initiative des PSDM. Par ailleurs, pour des raisons de sécurité, elle rappelle que l’accès détaillé aux données du PSDM devrait se réaliser sur place et sous sa supervision.
Les autres points du projet de décret n’appellent pas d’observations de la Commission.
La Présidente
Isabelle FALQUE-PIERROTIN