La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique et notamment ses articles L. 6316-1, L. 1110-4 et L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, et notamment ses articles 8-IV et 25-I, 1°;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions figurant dans le dossier et ses compléments, le Groupement de coopération sanitaire (GCS) télésanté Lorraine à mettre en œuvre une plateforme d’échanges de données de santé et de télé-imagerie (T-LOR) entre professionnels de santé aux fins d’assurer un meilleur accès aux soins des patients dans une zone géographique à faible densité médicale spécialisée (Région Lorraine).
Le Président
Responsable du traitement
Groupement de Coopération Sanitaire (GCS) télésanté Lorraine (54)

- Améliorer la prise en charge médicale des patients dans une zone à faible densité médicale spécialisée par la création d’un outil de télémédecine dénommé T-LOR.
- Permettre, lorsque l’état d’un patient le requiert, au médecin qui est ou qui a été en contact direct avec ce dernier de transmettre de manière sécurisée par voie électronique des données médicales le concernant à un professionnel de santé spécialiste afin d’obtenir un avis consultatif (télé-expertise ou télédiagnostic) portant sur sa prise en charge et son orientation dans le système de soins.
Données traitées
- Concernant les patients, les données échangées sont les données d’identification (nom, prénom, sexe, date de naissance) et les données médicales (cliniques, biologiques et/ou d’imagerie) nécessaires à l’exercice de la télémédecine.
Les catégories d’informations transmises ont été établies en concertation avec les professionnels de santé concernés.
- Concernant les professionnels de santé, les données échangées sont le nom, prénom, coordonnées professionnelles et spécialité.
Destinataires
- Professionnels de santé authentifiés et habilités membres du GCS intervenant dans la prise en charge des patients dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge de leurs patients.
L’adhésion au GCS est subordonnée à la signature d’un document par lequel les professionnels de santé s’engagent à respecter les modalités de mise en œuvre du service posées par la charte du GCS, et notamment l’information et l’obtention du consentement du patient ou de son représentant légal le cas échéant ;
Ils sont également informés que l’utilisation du service ne dégage pas le médecin qui procède à l’examen clinique du patient de sa responsabilité en matière de diagnostic et de traitement.
- Le personnel administratif habilité du GCS a accès aux données nécessaires à l’exercice de ses missions à l’exception des données de santé.
Information et droit d’accès
- Le médecin qui est ou qui a été en contact direct avec le patient informe celui-ci ou son représentant légal, au cours de la consultation, et obtient son/leur consentement par un formulaire conservé par ce médecin dans le dossier du patient.
- Le droit d’accès s’exerce auprès du médecin en contact direct avec le patient.
Caractéristiques particulières du traitement
- Le contrôle des accès aux dossiers des patients se fait par une carte de professionnel de santé ou par un identifiant associé à un mot de passe.
La Commission rappelle que l’authentification des professionnels de santé par login/mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé.
- Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants.
- Les accès à l’application font l’objet d’une journalisation répertoriant la date et l’heure de la connexion, l’auteur ainsi que les actions réalisées.
- L’application met en œuvre des procédés de chiffrement du transport des données.
- Une action de sensibilisation des utilisateurs à la politique de sécurité  est mise en place.
- Les informaticiens en charge de la maintenance n’auront pas accès aux données médicales en clair.
Observations propres au traitement
- Les données seront hébergées chez un hébergeur agrée dans la mesure où le traitement s’inscrit dans le cadre du suivi du patient, conformément aux dispositions de l’article R.6316-10 du Code de la santé publique.

