Délibération n° 2014-274 du 26 juin 2014 autorisant le groupement de coopération sanitaire (GCS) pour le développement des systèmes d’informations partagés en santé en Ile-de-France (D-SISIF) à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un outil dénommé « ORTIF » permettant la réalisation d’actes de téléexpertise, de téléconsultation et de téléassistance médicale.
Nature: Autre autorisation

(Demande d’autorisation n° 1733050)
La Commission nationale de l'informatique et des libertés,
Saisie par le groupement de coopération sanitaire (GCS) pour le développement des systèmes d’informations partagés en santé en Ile-de-France (D-SISIF) d’une demande d’autorisation relative à un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un outil dénommé « ORTIF » permettant la réalisation d’actes de téléexpertise, de téléconsultation et de téléassistance médicale ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L.1110-4, L.1111-8,  L.6316-1 et R.6316-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Groupement de Coopération Sanitaire pour le Développement des Systèmes d’Informations Partagés en Santé en Ile-de-France (GCS D-SISIF).
Sur la finalité
L’outil de télémédecine envisagé, dénommé « ORTIF » (Outil Régional de Télémédecine d’Ile de France), permet en application de l’article R.6316-1 du code de la santé publique, la mise en œuvre d’actes de téléexpertise, de téléconsultation et de téléassistance médicale en matière d’examens neurovasculaires.
Cet outil permet : 
Pour la téléexpertise, à un professionnel de santé de solliciter à distance l’avis d’un ou de plusieurs professionnels de santé en raison de leur formation ou de leurs compétences particulières,
Pour la téléconsultation médicale, à un professionnel de santé de donner une consultation à distance à un patient, 
Pour la téléassistance médicale, à un professionnel de santé d’assister à distance un autre professionnel au cours de la réalisation d’un acte.
D’effectuer, à distance du site où est réalisé l’acte de thrombolyse, un examen neurovasculaire en interprétant  l’image radiologique,
De délivrer le résultat à l’urgentiste au cours de l’acte de thrombolyse,
D’assister à distance l’urgentiste sur la réalisation de l’acte de thrombolyse.
L’outil « ORTIF » a vocation de permettre au neurologue, dans le cadre des urgences :
Pour la téléexpertise, à un professionnel de santé de solliciter à distance l’avis d’un ou de plusieurs professionnels de santé en raison de leur formation ou de leurs compétences particulières,
Pour la téléconsultation médicale, à un professionnel de santé de donner une consultation à distance à un patient, 
Pour la téléassistance médicale, à un professionnel de santé d’assister à distance un autre professionnel au cours de la réalisation d’un acte.
D’effectuer, à distance du site où est réalisé l’acte de thrombolyse, un examen neurovasculaire en interprétant  l’image radiologique,
De délivrer le résultat à l’urgentiste au cours de l’acte de thrombolyse,
D’assister à distance l’urgentiste sur la réalisation de l’acte de thrombolyse.
Un dossier médical partagé temporaire du patient, dénommé « télédossier », est alors créé.
Au vu de ces éléments, la Commission considère que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle estime qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure d’autorisation de la Commission les traitements de données de santé justifiés par un intérêt public, en l’espèce, de santé publique.
Sur les données traitées
Concernant les patients, les données traitées et échangées sont : 
Les données d’identification (nom, prénom, sexe, adresse, date et lieu de naissance) ; 
Le numéro d’identifiant permanent du patient (IPP) ou le numéro d’identifiant personnel (NIP) ;
Les données relatives à la vie personnelle (habitudes de vie, situation familiale) ;
Les données de santé nécessaires à l’acte de télémédecine (données de santé du dossier patient et histoire de la maladie, antécédents, imagerie médicale neurologique issue d’un scanner ou IRM) ;
Motif(s) des actes de télémédecine réalisés.
Les données d’identification (nom, prénom, adresse, spécialité, numéro de téléphone, adresse électronique) et le numéro d’enregistrement au répertoire partagé des professionnels de santé (RPPS),
Les traces des actions effectuées sur les dossiers.
Concernant les professionnels de santé, les données traitées et échangées sont les suivantes : 
Les données d’identification (nom, prénom, sexe, adresse, date et lieu de naissance) ; 
Le numéro d’identifiant permanent du patient (IPP) ou le numéro d’identifiant personnel (NIP) ;
Les données relatives à la vie personnelle (habitudes de vie, situation familiale) ;
Les données de santé nécessaires à l’acte de télémédecine (données de santé du dossier patient et histoire de la maladie, antécédents, imagerie médicale neurologique issue d’un scanner ou IRM) ;
Motif(s) des actes de télémédecine réalisés.
Les données d’identification (nom, prénom, adresse, spécialité, numéro de téléphone, adresse électronique) et le numéro d’enregistrement au répertoire partagé des professionnels de santé (RPPS),
Les traces des actions effectuées sur les dossiers.
La Commission considère que les données sont adéquates et non excessives au regard de la finalité du traitement.
Sur les destinataires
Les destinataires sont : 
Les médecins authentifiés et habilités dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la prise en charge de leurs patients ;
Le personnel paramédical, placé sous la responsabilité du médecin, authentifié et habilité dans la limite de ses attributions et dans la stricte mesure nécessaire à la réalisation de l’acte de télémédecine.
L’utilisation de l’outil de télémédecine est subordonnée à la signature d’une convention par laquelle les professionnels de santé s’engagent à respecter les modalités de mise en œuvre du service, précisées dans la charte du GCS D-SISIF, et notamment l’information et le recueil du consentement du patient ou de son représentant légal, le cas échéant. Les professionnels de santé sont informés que l’utilisation du service ne les exonère pas de leur responsabilité en matière de diagnostic ou de traitement.
Le personnel administratif des établissements de santé utilisateurs de l’outil « ORTIF » et du GCS D-SISIF à accès aux données nécessaires à l’exercice de ses missions à l’exception des données de santé.
Le médecin de l’hébergeur, le cas échéant, a accès aux données de santé afin d’exercer ses missions, notamment afin de répondre aux demandes de droits d’accès des patients.
Sur l’information et le droit d’accès 
Le professionnel de santé en contact avec le patient lui remet une note d’information, rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.Le « télédossier » ne sera créé qu’après vérification du recueil du consentement du patient par l’équipe de soins le prenant en charge.Lorsqu’un acte de télémédecine est proposé à un patient, son consentement pour la réalisation de cet acte sera recueilli par le professionnel de santé en contact avec lui, après nouvelle remise de la note d’information sous format papier.Ce consentement sera recueilli, par écrit ou sous forme « dématérialisée », par une case à cocher, par le professionnel de santé en contact avec le patient, ce qui permet l’ouverture du « télédossier ».Les droits d’accès, de rectification et d’opposition s’exercent auprès du service de l’établissement utilisateur prenant en charge le patient ou auprès du médecin de l’hébergeur de données de santé agréé choisi par le GCS. En cas d’archivage des données, ces droits s’exercent auprès de l’établissement ayant pris en charge le patient.La Commission relève que ces modalités d’information et d’exercice de leurs droits par les patients sont satisfaisantes.
Sur les mesures de sécurité
Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants. Les accès sont réalisés par carte de professionnel de santé (CPS) ou CPx pour le personnel administratif, par l’usage d’un identifiant et d’un mot de passe principal couplé à un mot de passe à usage unique transmis par SMS ou courriel, et à défaut uniquement par login et mot de passe.Les mots de passe doivent être constitués d’un minimum de 8 caractères comprenant au moins une majuscule, une minuscule, un chiffre et un caractère spécial. Les mots de passe doivent être renouvelés tous les 3 mois avec impossibilité d’utiliser les 3 derniers mots de passe. Après trois tentatives infructueuses, le système bloque l’accès pour le compte.Par ailleurs, la Commission rappelle que les mots de passe ne doivent pas être conservés en clair en base de données. La Commission recommande ainsi de conserver uniquement le résultat de la fonction de hachage HMAC à clé secrète sur le mot de passe.Toutefois, elle considère que le maintien d’un système d’authentification par login et mot de passe (ne présentant pas un niveau de sécurité équivalent à la CPS), alors même qu’un système d’authentification par CPS est mis en place, apparaît de nature à affaiblir la sécurité du système d’information, dans la mesure où les garanties qui s’attachent à l’utilisation d’une carte CPS s’en trouvent amoindries.Lorsqu’un professionnel de santé ne se souvient plus de son mot de passe, il a la possibilité de demander la génération d’un nouveau mot de passe. Pour cela, un courriel comportant un lien à usage unique lui est alors transmis sur l’adresse électronique qu’il a indiquée lors de son inscription. Ce lien lui permet de choisir son nouveau mot de passe.Afin de ne pas amoindrir également le système d’authentification par mot de passe à usage unique transmis par courriel, la Commission demande de ne pas utiliser la même adresse électronique pour le renouvellement du mot de passe principal et pour la transmission du mot de passe à usage unique. En effet, le risque d’usurpation d’identité serait trop élevé du fait que le piratage de l’adresse électronique suffit pour connaître le mot de passe et le mot de passe à usage unique.Chaque action est tracée en reprenant l’identité du dossier, l’action, l’acteur et l’horodatage. Une analyse des traces est effectuée tous les jours afin de détecter des comportements déviants ou anormaux. Le cas échéant, le compte de l’utilisateur peut être momentanément bloqué, le temps de régulariser la situation.Les transferts de données sont sécurisés par le recours au protocole HTTPS.Les données sont sauvegardées quotidiennement et répliquées sur un site secondaire. Ces sauvegardes sont chiffrées.Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Le responsable de traitement doit s’assurer que le traitement est opéré dans des conditions conformes aux dispositions législatives et réglementaires applicables, notamment celles des articles L1111-8 et R. 6316-10 du code de la santé publique relatifs à l’hébergement des données de santé.Les données collectées et traitées dans le cadre de l’outil « ORTIF », comprenant les données du « télédossier » ainsi que les données de connexion, seront conservées pendant une durée de quatre ans. Cette durée correspond aux besoins des professionnels de santé pour ce traitement. Passé ce délai, conformément aux dispositions prévues à l’article R.1112-7 du code de la santé publique, les données seront archivées dix ans directement au sein de l’établissement utilisateur de l’outil « ORTIF »
Autorise, conformément à la présente délibération, le GCS D-SISIF à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN