La Commission nationale de l'informatique et des libertés,
Saisie par l'Agence des Systèmes d'Information Partagés de Santé d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre du service national de  Messagerie Sécurisée de Santé  ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4 et L.1111-8;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 6 février 2009 portant création d'un traitement de données à caractère personnel dénommé  Répertoire partagé des professionnels de santé  (RPPS) ;
Vu l'arrêté du 12 juillet 2012 relatif à la mise en place d'un traitement de données à caractère personnel dénommé ADELI de gestion de l'enregistrement et des listes départementales de certaines professions et usages de titres professionnels ;
Après avoir entendu M. Jean MASSOT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie d'une demande d'autorisation relative à la mise en œuvre par l'Agence des Systèmes d'Information Partagés de Santé (ASIP Santé) des traitements de données à caractère personnel qui seront nécessaires à la mise en œuvre du service national de  Messagerie Sécurisée de Santé  (MSS).
La Commission a également été saisie pour avis par le ministre de la santé, conformément aux dispositions de l'article R. 1111-10 du code de la santé publique, de la demande d'agrément présentée par la société BT Services, à laquelle l'ASIP Santé a fait appel pour l'hébergement de la MSS.
Sur la finalité, le périmètre et les principes de fonctionnement de la MSS
Sur la finalité du traitement
Le traitement a pour finalité le déploiement d'un service de messagerie permettant, entre professionnels de santé participant à la prise en charge d'un patient, l'échange sécurisé des données de santé le concernant nécessaire à la continuité des soins ou à la détermination de la meilleure prise en charge sanitaire possible.
Le déploiement d'une messagerie sécurisée de santé constitue une composante importante de la Politique Générale de Sécurité des Systèmes d'Information de Santé (PGSSI-S). Cette messagerie est une priorité pour les pouvoirs publics et les ordres professionnels qui souhaitent voir les professionnels de santé disposer d'un outil garantissant la sécurité et la confidentialité lors d'échanges de données de santé à caractère personnel.
Actuellement, ces échanges dématérialisés entre professionnels de santé s'opèrent de façon usuelle par le biais de messageries électroniques standard mises à la disposition du public par les fournisseurs d'accès internet, qui ne présentent pas de garanties de sécurité et de confidentialité suffisantes, au regard du caractère sensible des données de santé à caractère personnel échangées.
Le service MSS, qui s'appuie sur le cadre national d'interopérabilité des systèmes d'information, a vocation à créer un  espace de confiance  destiné à la communauté des professionnels de santé précisément identifiés. Le service est en effet réservé aux professionnels de santé enregistrés au sein du Répertoire Partagé des Professionnels de Santé (RPPS) ou du répertoire ADELI qui seront seuls en mesure de l'utiliser.
L'ASIP Santé a défini la finalité de cette messagerie et les moyens à mettre en œuvre pour y parvenir, en particulier par la définition des conditions imposées au candidat hébergeur. Elle est considérée comme responsable des traitements nécessaires à la mise en œuvre de la MSS.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur le périmètre du dispositif
La MSS devrait être mise en œuvre selon une trajectoire développée par étapes. L'ASIP Santé a identifié trois versions du service MSS correspondant à ces différentes étapes :
- la première version du service correspond à la mise à disposition de la MSS via une interface de type Webmail qui rend possible l'émission, la consultation et la manipulation de courriers électroniques directement sur le Web (V1) ;
- la deuxième version du service ouvre la MSS aux logiciels de gestion du courrier électronique proposant des fonctionnalités complexes et un traitement autonome du courrier (Lotus Note, Microsoft Outlook, Mail Apple, Mozilla Thunderbird...). Cette version de la MSS permet notamment l'interfaçage de la messagerie avec les logiciels de professionnels de santé. Elle permet également la prise en compte au sein de la MSS des domaines de messagerie des structures de soins qui décideraient d'héberger elles-mêmes leur serveur de messagerie (V2) ;
- la troisième version du service permettra l'hébergement de domaines de messagerie des structures de soins ne disposant pas de leur propre infrastructure, la gestion des listes de diffusion et des alertes sanitaires, la gestion avancée des boîtes aux lettres (délégation, partage). Cette troisième version du service a également vocation à permettre l'alimentation du Dossier Médical Personnel (DMP) par messagerie (V3).
La Commission prend acte de ce que la présente demande d'autorisation porte sur la première et la deuxième version de la MSS (V1 et V2), à l'exclusion de toute alimentation du Dossier Médical Personnel par messagerie. De nouvelles demandes d'autorisation devront être déposées sur ce point auprès de la Commission et devront notamment préciser les moyens permettant d'assurer l'alimentation du DMP dans le respect du cadre juridique, des droits des personnes et des règles de sécurité.
Sur les principes de fonctionnement de la Messagerie Sécurisée de Santé :
La MSS est un  espace de confiance  s'appuyant sur des protocoles et des outils standard et reconnus, qui permettent d'offrir un service de messagerie analogue aux messageries utilisées aujourd'hui quotidiennement. Toutefois, à la différence des messageries standard, la MSS fonctionne en vase clos. Les échanges de courriels en son sein ne peuvent s'effectuer qu'entre professionnels de santé authentifiés dans l'  espace de confiance , de sorte qu'il n'est possible d'envoyer des messages qu'à des destinataires disposant également d'un compte de messagerie au sein de la MSS.
La MSS, dans sa première version, sera hébergée auprès d'un organisme agréé, sur la candidature duquel la Commission doit également se prononcer, conformément aux dispositions de l'article L.1111-10 du Code de la santé publique.
A l'instar des messageries standard, la MSS met en œuvre des fonctionnalités d'authentification des utilisateurs et de chiffrement des données lors de leur transmission par des réseaux publics (internet).
L'ensemble des adresses de messagerie est enregistré dans un annuaire de publication qui permet d'associer une boîte aux lettres (BAL) à son propriétaire. Cet annuaire contient pour l'ensemble des professionnels de santé les données les concernant communicables au public au sens des deux arrêtés du 6 février 2009 et du 12 juillet 2012. Cela permettra de faciliter la recherche des professionnels de santé disposant d'une BAL au sein de la MSS.
L'accès à l'interface Webmail, ouvert aux propriétaires de BAL, s'effectue au moyen de la carte CPS ou d'un mode d'authentification forte alternatif.
Le service MSS est également mis à disposition des clients de messagerie et logiciels de professionnels de santé. Il est par ailleurs ouvert aux responsables de domaines de messageries externes hébergés au sein des structures de soins.
Les principales fonctions de messagerie sont :
- la composition et l'envoi de messages texte ou html vers un ou plusieurs destinataires, avec ou sans pièces jointes ;
- la gestion d'un carnet d'adresses ;
- la consultation des messages reçus ;
- la suppression des messages ;
- la gestion de dossiers ;
- le déplacement ou la copie d'un message d'un dossier à l'autre.
Sur la nature des données traitées :
Le traitement porte sur les données à caractère personnel relatives aux professionnels de santé utilisateurs finaux du service et sur les données à caractère personnel, notamment relatives à la santé, des patients qu'ils prennent en charge et à propos desquels un échange d'informations est nécessaire.
S'agissant des professionnels de santé, utilisateurs finaux de la MSS, seront traitées les catégories de données suivantes :
- les données d'identification (état civil, identifiant national de la personne physique), numéro d'enregistrement au répertoire partagé des professionnels de santé (RPPS), ou numéro d'enregistrement au répertoire ADELI ;
- les coordonnées professionnelles (adresse, téléphone, adresse mail non MSS, etc) ;
- le titre professionnel ;
- les adresses de messagerie MSS créées.
S'agissant des personnes concernées par les données échangées entre utilisateurs finaux, seront traitées les catégories de données suivantes :
- les données d'identification (nom, prénom, date et lieu de naissance, sexe), éventuellement l'identifiant national de santé ;
- les coordonnées (adresse, numéro de téléphone, adresse mail) ;
- les données de santé nécessaires à la prise en charge de la personne.
Les données d'identification des utilisateurs administrateurs du service seront également traitées (nom, prénom, et identifiant de la carte CPS le cas échéant).
La Commission considère que les données précitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires des données :
Les destinataires des données sont les professionnels de santé destinataires des messages échangés au sein du service MSS.
Seuls les professionnels enregistrés au RPPS ou dans le système d'information qui gère les cartes de professionnels de santé et les certificats (SI CPS) peuvent être destinataires de messages.
L'habilitation à consulter des données de santé ne peut être attribuée qu'à des personnes soumises au secret professionnel, et dans la stricte limite de leurs missions.
Les conditions générales d'utilisation de la MSS, auxquelles doit adhérer chaque utilisateur, rappellent aux professionnels de santé que le responsable de traitement ne peut contrôler le contenu des messages échangés et que les utilisateurs doivent se conformer, notamment aux dispositions en matière de confidentialité figurant à l'article L. 1110-4 du code de la santé publique relatives aux conditions d'échange de données de santé entre deux ou plusieurs professionnels de santé.
Les accès dans les conditions précitées n'appellent pas d'observations de la Commission.
Sur l'information, le recueil du consentement et les droits des personnes :
Sur l'information des patients et le recueil de leur consentement :
L'hébergement auprès de la société BT Services des données de santé échangées dans le cadre du service MSS est subordonné au recueil préalable du consentement exprès des patients, en application des dispositions de l'article L. 1111-8 du code de la santé publique.
La Commission relève que l'hébergeur reporte sur l'ASIP Santé, par une clause spécifique du contrat d'hébergement, l'obligation d'informer les personnes et de recueillir leur consentement à l'hébergement des données de santé qui les concernent.
Toutefois, l'ASIP Santé ne souhaite pas être contrainte de recueillir le consentement des patients à chaque échange ou pour chaque nouveau destinataire, au motif, d'une part que  le recueil systématique et tracé du consentement préalablement à chaque envoi de message est impossible sauf à remettre en question l'utilité et donc l'usage même de cette messagerie par les professionnels de santé qui y verront une contrainte insurmontable  et, d'autre part, que la tenue d'un registre des refus et des révocations de consentement nécessiterait la constitution d'une base de données d'identité des patients, dont la tenue n'est pas justifiée au regard des fonctionnalités attendues de la MSS. Elle a également souligné que les réflexions sur les évolutions du cadre juridique propre à l'hébergement au sein du Comité d'agrément des hébergeurs (CAH) et dans le cadre de la PGSSI-S conduisaient à proposer une modification de l'article L.1111-8 sur ce point. La Commission relève en outre que le Conseil d'éthique et de déontologie de l'ASIP Santé a estimé dans son avis que le législateur devrait substituer un droit d'opposition à la procédure de recueil du consentement.
La Commission reconnaît qu'il n'est pas réaliste d'exiger un recueil du consentement à chaque échange ou pour chaque nouveau destinataire. Elle relève à cet égard que l'article L.1110-4 du Code de la santé publique subordonne les échanges entre deux ou plusieurs professionnels de santé des informations relatives à une même personne prise en charge à l'absence d'opposition de la personne dûment avertie.
Elle estime toutefois que le recueil d'un consentement initial, matérialisé par la remise d'un document papier ou électronique et assorti d'une faculté de révocation à tout moment, aurait été de nature à permettre l'exercice des droits des personnes sans paralyser la mise en œuvre ultérieure de la MSS. Elle relève d'ailleurs que l'avis du Conseil d'éthique et de déontologie, sur les messageries contenant des données personnelles de santé, va dans ce sens.
La Commission reconnaît cependant l'apport majeur de la MSS, en l'absence de messageries permettant l'échange dématérialisé de données de santé entre professionnels dans des conditions de sécurité et de confidentialité satisfaisantes et la nécessité de mettre fin aux pratiques en cours, contraires aux dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée. Elle admet également que les règles de fonctionnement de la MSS ne doivent pas paralyser son utilisation, ni dissuader les professionnels de santé de l'utiliser, ce qui pourrait être le cas s'il fallait vérifier à chaque échange que le consentement n'a pas été révoqué. La lettre de l'article L. 1111-8 du code de la santé publique ne l'impose d'ailleurs pas.
Néanmoins, la Commission estime que les patients doivent être clairement informés des conditions de mise en œuvre de la messagerie et des modalités d'exercice de leurs droits.
Il ressort du dossier soumis à la Commission que l'ASIP Santé, qui n'est pas en relation directe avec les patients, met en place les modalités d'information suivantes à l'égard des patients :
- une information consultable sur le portail de la MSS ;
- une information assurée par les utilisateurs finaux de la MSS. L'ASIP Santé reporte en effet contractuellement sur les professionnels de santé, au moyen des conditions générales d'utilisation, l'obligation d'informer les patients conformément à l'article 32 de la loi du 6 janvier 1978 modifiée.
Afin d'accompagner le professionnel de santé dans la délivrance de cette information, l'ASIP Santé met à sa disposition un modèle de note d'information, à remettre au patient, à afficher dans son cabinet ou encore à insérer dans le livret d'accueil des établissements de santé.
La Commission relève, en outre, qu'aux termes de l'article L. 1110-4 du code de la santé publique, le patient doit être  dûment averti  de l'échange d'informations le concernant dans le cadre de sa prise en charge par plusieurs professionnels de santé. Elle estime nécessaire, dans ces conditions, que les spécificités de la MSS (modalités de conservation des données échangées, modalités particulières d'exercice des droits des personnes) lui soient clairement précisées, afin de lui permettre d'exercer pleinement ses droits.
Or, la Commission relève que la remise d'une brochure d'information au patient n'est pas envisagée de manière systématique et qu'il n'est pas envisagé d'accompagner le déploiement de la MSS d'une campagne nationale de communication et de sensibilisation du public. Elle estime qu'il appartient à l'ASIP Santé d'assurer une sensibilisation particulière des professionnels de santé afin qu'une information soit assurée de façon systématique auprès des patients sur la portée de la messagerie et sur les droits des patients.
Sur les droits d'accès, de rectification et d'opposition des patients :
L'exercice des droits d'accès, de rectification et d'opposition des patients s'opère par deux moyens, soit directement auprès du professionnel qui prend en charge le patient, soit auprès de l'ASIP Santé.
La Commission considère que les échanges de courriels devraient pouvoir être édités pour le patient qui en ferait la demande auprès de l'émetteur ou du destinataire. La Commission relève en outre que l'avis du Conseil d'éthique et de déontologie va dans ce sens.
En cas d'opposition du patient à l'échange de données le concernant par le service MSS, les professionnels de santé devront cesser tout échange concernant ce patient par le biais de la messagerie et recourir à un moyen d'échange alternatif (courrier postal par exemple).
Néanmoins, la Commission relève que l'ASIP Santé n'a prévu aucune mesure technique permettant de garantir aux patients l'effectivité de l'exercice de leur droit d'accès et de suppression, l'exercice de ces droits étant géré manuellement par le professionnel de santé. Ainsi, celui-ci devra notamment, en cas d'exercice du droit d'opposition par l'un de ses patients, supprimer tous les courriels de sa BAL se rapportant à ce patient, et contacter tous les destinataires de ces courriels en leur demandant de réaliser la même opération.
Dans ces conditions, la Commission admet que les modalités d'exercice des droits des patients puissent être expérimentées pendant une période de deux ans, à l'issue de laquelle la Commission devra être destinataire d'un bilan portant notamment sur l'acceptabilité des personnes à la mise en œuvre de la MSS dans les conditions de l'expérimentation.
Sur l'information et les droits des professionnels de santé
L'information des professionnels de santé utilisateurs de la messagerie, sera effectuée :
- par le portail d'accès à la MSS qui publiera notamment les conditions générales d'utilisation du service,
- par des actions de communication à destination des professionnels de santé,
- par le relais des ordres professionnels.
Ces modalités d'information, conformes aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, n'appellent pas d'observation.
La Commission relève par ailleurs que l'exercice des droits d'accès, de rectification et d'opposition des professionnels de santé s'opère auprès de l'ASIP Santé.
Sur la durée de conservation des données :
Les données concernant les utilisateurs finaux seront conservées pendant une période correspondant à la durée de vie de leur BAL, puis quatre mois à compter de la fermeture de la BAL, afin de pouvoir faire droit à une demande de restauration de sa BAL par un professionnel de santé qui aurait supprimé son compte MSS par erreur.
S'agissant des données des personnes concernées par les données échangées, les BAL des utilisateurs finaux peuvent être configurées de telle sorte que :
- soit les messages consultés sont immédiatement déplacés vers le poste local du professionnel de santé et ne sont plus conservées sur les serveurs de l'hébergeur de la MSS. Seuls les messages non déplacés sur le poste de travail sont conservés sur les serveurs ;
- soit les messages consultés ne sont pas déplacés vers le poste local du professionnel de santé (qu'ils soient ou non déplacés vers un espace de stockage de la BAL autre que la boîte de réception).
La capacité de stockage des BAL a été limitée à 2 Go, afin de limiter le risque de conservation prolongée des données traitées dans les BAL.
La Commission demande toutefois, d'une part, qu'une limite de durée de conservation des données de santé soit définie par le responsable de traitement, et, d'autre part, qu'un mécanisme d'effacement automatique soit mis en œuvre.
Sur la sécurité des données et la traçabilité des actions :
La Commission prend acte de ce que les professionnels de santé, utilisateurs finaux, accéderont à la MSS à l'aide de leur carte de professionnel de santé (CPS) ou par un identifiant et un mot de passe personnel, couplé à un mot de passe à usage unique (OTP) dont les caractéristiques devront être conformes aux recommandations de la CNIL en la matière. La Commission estime que ces mesures, qui apparaissent conformes aux dispositions de l'article L. 1110-4 du code de la santé publique, sont de nature à garantir une authentification fiable des émetteurs et destinataires des messages.
Les transmissions de données entre les serveurs de l'hébergeur et le poste de travail du professionnel de santé seront chiffrées au moyen du protocole HTTPS, qui permet de garantir la confidentialité des données échangées.
Par ailleurs, les données seront stockées sous forme chiffrée, et les sauvegardes seront également chiffrées.
Concernant la disponibilité du traitement, la Commission constate que l'hébergeur du traitement ne dispose pas de site de secours pouvant garantir la pérennité des données en cas de sinistre majeur. Le responsable de traitement considère en effet que ce traitement est une simple messagerie, et ne saurait se substituer aux dossiers médicaux des patients, et qu'à ce titre une indisponibilité temporaire ne serait pas de nature à nuire aux personnes concernées.
La Commission s'interroge toutefois sur le risque lié à la centralisation de la messagerie se substituant à des systèmes essentiellement décentralisés qui certes ne garantissent pas la confidentialité des échanges, mais rendent peu probable, en tout cas certainement moins lucrative, une attaque d'ampleur en matière d'intégrité, de disponibilité ou de confidentialité.
Concernant les mesures de traçabilité, le responsable de traitement indique avoir mis en place des mesures permettant de tracer les connexions réussies ou échouées à la BAL de messagerie, ainsi que les opérations effectuées dans un dossier de messagerie. En revanche, les données de traçabilité ne contenant pas d'information quant aux patients concernés par les messages, celles-ci ne permettent pas, à elles seules, de déterminer les accès à des données à caractère personnel réalisés par un professionnel de santé pour un patient déterminé.
Les données de traçabilité sont conservées et gérés par l'hébergeur, par des personnels spécialement habilités. Ces traces pourront être transmises au responsable de traitement à sa demande.
La Commission prend acte de ce que l'ASIP Santé a réalisé une analyse de risques EBIOS sur le périmètre de la première version du service MSS. Cette analyse de risques a permis notamment de s'assurer que les risques résiduels étaient acceptables. Si la Commission se félicite que l'ASIP Santé ait mis en œuvre une telle démarche, elle souhaite que l'analyse de risques qui sera réalisée sur le périmètre de la deuxième version de la MSS lui soit transmise préalablement à la mise en œuvre de cette version de la messagerie.
Dans ces conditions, la Commission autorise la mise en œuvre à titre expérimental de la première et de la deuxième version du service MSS par l'ASIP Santé pendant une durée de deux ans (mise à disposition du service MSS via l'interface de Webmail, ouverture du service MSS aux logiciels de gestion de courrier électronique, interfaçage avec les logiciels de professionnels de santé, prise en compte au sein de la MSS des domaines de messagerie des structures de soins qui décideraient d'héberger elles-mêmes leur serveur de messagerie). Les versions ultérieures de la MSS (alimentation du DMP par messagerie, ouverture de la MSS aux domaines de messagerie des structures de soins ne disposant pas de leur propre infrastructure, gestion des listes de diffusion et des alertes sanitaires, gestion avancée des BAL, etc) devront faire l'objet d'une demande de modification de traitement, dont l'examen par la Commission sera conditionné à une évolution du cadre législatif applicable à l'hébergement de données de santé à caractère personnel, et tout particulièrement à l'obligation de recueil du consentement des personnes.
La Présidente
Isabelle FALQUE-PIERROTIN
