(Demande d’autorisation n° 1666176)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse autonome nationale de sécurité sociale dans les mines d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’une plateforme d’échanges d’informations dénommée DSM-PRO;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6321-1, L. 1110-4, L. 1111-8;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1°et 25-I-7 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2013-260 du 28 mars 2013 relatif au régime spécial de sécurité sociale dans les mines ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Responsable du traitement
La Caisse autonome nationale de la sécurité sociale dans les mines (CANSSM) assure la gestion du régime de la sécurité sociale dans les mines, et a notamment pour mission de gérer le régime spécial de sécurité sociale dans les mines.
Dans ce cadre elle a notamment pour mission d’organiser les systèmes d'information et met en œuvre les technologies de l'information et de la communication dans le régime sauf pour la gestion de la branche vieillesse et invalidité.
Les réseaux régionaux de cancérologie (RCC) s’inscrivent dans une logique de coordination des acteurs à l’échelle régionale et d’amélioration continue des pratiques en cancérologie. Les RRC ont été identifiés par le premier Plan Cancer (2003-2007) comme une organisation pivot dans le champ sanitaire dont la mission est, notamment, de promouvoir le dossier communicant de cancérologie (DCC).
Sur la finalité
Le traitement de données envisagé a vocation à permettre la mise en place d’une plateforme expérimentale dénommée « DSM PRO ». L’outil projeté permettra la constitution d’un dossier médico-social partagé entre les différents professionnels de santé et professionnels de l’action sociale exerçant leurs activités pour le compte du responsable de traitement.
Ce dossier partagé vise à faciliter la coordination de ces professionnels et à assurer une prise en charge optimale des patients.
La Commission considère que la finalité poursuivie est déterminée, légitime et explicite.
Dans la mesure où le traitement de données à caractère personnel projeté nécessite le traitement de données de santé, et de données relatives aux difficultés sociales, sa mise en œuvre doit être autorisée par la Commission en application des articles 8-IV°, 25-I-1°et 25-I-7° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Concernant les personnes relevant du régime de la sécurité sociale dans les mines, les données collectées et traitées sont des données :
Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
d’identification (à savoir leurs nom, prénom, date de naissance, et sexe) ;
relatives à leur vie personnelle (situation familiale, habitudes de vie, environnement, type d’habitat) ;
relatives à leur vie professionnelle (situation professionnelle, bénéficiaire du régime de sécurité sociale, caisse d’assurances complémentaires) ;
relatives à leur situation économique (bénéficiaire d’aides légales et/ou extra légales telles que l’APA) ;
comportant des appréciations sur leurs difficultés sociales (environnement social, maltraitance, relations familiales, comportement, maintien au domicile)
de santé (pathologies, affections, soins, données permettant d’évaluer l’autonomie de la personne, situation de fin de vie).
Sur les destinataires
Les professionnels de santé et les professionnels de l’action sociale exerçant leurs activités au nom et pour le compte du régime de sécurité sociale dans les mines seront rendus destinataires des données strictement nécessaires à l’exercice de leurs missions et ce uniquement pour les personnes qu’ils prennent en charge.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
En application de l’article 32 de la loi du 6 janvier 1978 modifiée, une information sera délivrée par voie d’affichage et par remise en mains propres d’une note d’information aux patients.
Par ailleurs, un formulaire de recueil du consentement exprès à la constitution d’un dossier médico-social partagé sera signé par le patient.
Les droits d’accès et de rectification dont disposent les patients peuvent être exercés auprès de la Caisse autonome nationale de la sécurité sociale dans les mines.
Ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Afin d’accéder à un dossier patient, le dossier prévoit que les utilisateurs habilités s’authentifient selon deux modalités :
Toutefois, la Commission rappelle que ce dernier moyen d’authentification n’est pas conforme aux dispositions de l’article L.1110-4 du code de la santé publique qui impose une authentification forte des professionnels de santé par l’utilisation d’une CPS ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. Elle demande à ce que le responsable de traitement permette l’authentification des professionnels de santé par CPS uniquement.
l’utilisation de la carte de professionnel de santé (CPS),
ou à défaut, par l’utilisation d’un identifiant et d’un mot de passe, dont la complexité respecte les recommandations de la Commission.
Les accès à l’application font l’objet d’une traçabilité.
Une information claire doit être remise aux utilisateurs concernant ce traçage et une durée de conservation limitée doit être définie.
Les transferts de donnée transitant sur Internet sont sécurisés au moyen du protocole SSL.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées jusqu’au terme de la prise en charge du patient, à l’exception des données de connexion qui seront supprimées passé le délai de six mois.
A l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.
Autorise, conformément à la présente délibération, la Caisse autonome nationale de sécurité sociale dans les mines à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
