(Demande d’autorisation n° 1692013)
La Commission nationale de l'informatique et des libertés,
Saisie par le Groupement de coopération sanitaire (GCS) pour le développement des systèmes d’informations partagés en santé en Ile de France (D-SISIF) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un outil dénommé « Télépathologie » permettant la réalisation d’actes de téléexpertise et de télédiagnostic ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8,  L. 6316-1et R. 6316-1;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Groupement de Coopération Sanitaire pour le Développement des Systèmes d'Information partagés en Santé en Ile-de-France (GCS D-SISIF)
Sur la finalité
L’outil de télémédecine envisagé, dénommé « Télépathologie », permet, en application de l’article R. 6316-1 du code de la santé publique, la mise en œuvre d’actes de téléexpertise et de téléconsultation en matière d’examen anatomopathologique.
Cet outil permet :
L’outil « Télépathologie » a vocation à permettre à un médecin anamotopathologiste :
pour la téléexpertise, à un professionnel de santé de solliciter à distance l’avis d’un ou de plusieurs professionnels médicaux en raison de leurs formations ou de leurs compétences particulières ;
pour la téléconsultation médicale, à un professionnel médical de donner une consultation à distance à un patient.
d’effectuer, à distance du site où est réalisé l’acte chirurgical, un examen anatomopathologique en interprétant une « lame virtuelle », c'est-à-dire la numérisation d’une lame de verre comportant la coupe d’un échantillon tissulaire issu d’un prélèvement opératoire d’un patient ;
de délivrer le résultat au chirurgien au cours de l’intervention chirurgicale.
Un dossier médical partagé temporaire du patient, dénommé « télédossier», est alors créé.
pour la téléexpertise, à un professionnel de santé de solliciter à distance l’avis d’un ou de plusieurs professionnels médicaux en raison de leurs formations ou de leurs compétences particulières ;
pour la téléconsultation médicale, à un professionnel médical de donner une consultation à distance à un patient.
d’effectuer, à distance du site où est réalisé l’acte chirurgical, un examen anatomopathologique en interprétant une « lame virtuelle », c'est-à-dire la numérisation d’une lame de verre comportant la coupe d’un échantillon tissulaire issu d’un prélèvement opératoire d’un patient ;
de délivrer le résultat au chirurgien au cours de l’intervention chirurgicale.
Au vu de ces éléments, la Commission considère que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle estime qu’il y a lieu de faire application des dispositions des articles 8-IV, et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure d’autorisation de la Commission les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique.
Sur les données traitées
Concernant les patients, les données traitées et échangées sont :
Concernant les professionnels de santé, les données traitées et échangées sont les suivantes :
les données d’identification (nom, prénom, sexe, date et lieu de naissance, adresse) ;
le numéro IPP (Identifiant permanent du patient) ou le numéro NIP (numéro d’identifiant personnel) ;
les données de santé nécessaires à l’acte de télémédecine effectué (siège et nature des prélèvements, histoire de la maladie et antécédents) ;
l’indication de l’acte de téléexpertise et de téléconsultation médicale demandé.
les données d’identification (nom, prénom, adresse, spécialité, numéro de téléphone, adresse électronique) et son numéro RPPS (répertoire partagé des professionnels de santé) ;
les traces des actions effectuées sur les dossiers.
La Commission considère que les données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement.
les données d’identification (nom, prénom, sexe, date et lieu de naissance, adresse) ;
le numéro IPP (Identifiant permanent du patient) ou le numéro NIP (numéro d’identifiant personnel) ;
les données de santé nécessaires à l’acte de télémédecine effectué (siège et nature des prélèvements, histoire de la maladie et antécédents) ;
l’indication de l’acte de téléexpertise et de téléconsultation médicale demandé.
les données d’identification (nom, prénom, adresse, spécialité, numéro de téléphone, adresse électronique) et son numéro RPPS (répertoire partagé des professionnels de santé) ;
les traces des actions effectuées sur les dossiers.
Sur les destinataires
Les destinataires sont :
L’utilisation de l’outil de télémédecine est subordonnée à la signature d’une convention par laquelle les professionnels de santé s’engagent à respecter les modalités de mise en œuvre du service précisées dans la charte du GCS D-SISIF, et notamment l’information et le recueil du consentement du patient ou de son représentant légal, le cas échéant. Les professionnels de santé sont informés que l’utilisation du service ne les dégage pas de leur responsabilité en matière de diagnostic ou de traitement.
les médecins authentifiés et habilités, dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la prise en charge de leurs patients ;
le personnel paramédical, placé sous la responsabilité du médecin, authentifié et habilité dans la limite de ses attributions et dans la stricte mesure nécessaire à la réalisation de l’acte de télémédecine.
Le personnel administratif des établissements de santé utilisateurs de l’outil de « Télépathologie » et du GCS D-SISIF a accès aux données nécessaires à l’exercice de ses missions, à l’exception des données de santé.
Le médecin de l’hébergeur, le cas échéant, a accès aux données de santé afin d’exercer ses missions, notamment afin de répondre aux demandes de droit d’accès des patients.
Sur l’information et le droit d’accès
Le médecin qui est en contact avec le patient lui transmet deux notes d’information portant respectivement sur la réalisation d’un acte de téléexpertise et d’un acte de téléconsultation. Le « télédossier» ne sera créé qu’après vérification du recueil du consentement du patient par l’équipe de soin le prenant en charge.
A chaque présentation d’un patient à un acte de télémédecine, son consentement pour la réalisation de cet acte sera recueilli par le professionnel de santé en contact avec lui après nouvelle remise de la note d’information sous format papier, rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
Ce consentement sera recueilli, par écrit ou sous forme « dématérialisée », par une case à cocher, par le professionnel de santé en contact avec le patient, qui permet l’ouverture du « télédossier ».
Les droits d’accès, de rectification et d’opposition s’exercent auprès du service de l’établissement utilisateur prenant en charge le patient ou auprès du médecin de l’hébergeur de données de santé agréé choisi par le GCS. En cas d’archivage des données, ces droits s’exercent auprès de l’établissement ayant pris en charge le patient.
La Commission relève que ces modalités d’information et d’exercice de  leurs droits par les patients sont satisfaisantes.
Sur les mesures de sécurité
Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants.
La Commission relève toutefois que dans le cadre de leur fonction de supervision ou de maintenance, les administrateurs peuvent être amenés à accéder aux données relatives aux patients, sans pouvoir les modifier. Elle rappelle que ces accès doivent être réalisés sous la responsabilité d’un professionnel de santé.
Le contrôle des accès aux dossiers des patients se fait par un identifiant et un mot de passe, qui est composé de huit caractères comprenant au moins une majuscule, une minuscule, un chiffre et un caractère spécial. La Commission rappelle que le mot de passe doit être modifié par l’utilisateur dès sa première connexion, puis tous les six mois.
Par ailleurs, les mots de passe ne doivent pas être conservés en clair en base de données. La Commission recommande ainsi de conserver uniquement le résultat de la fonction de hachage HMAC à clé secrète sur le mot de passe.
Toutefois, elle considère que le maintien d’un système d’authentification par login et mot de passe (ne présentant pas un niveau de sécurité équivalent à la CPS), alors même qu’un système d’authentification par CPS est mis en place, apparaît de nature à affaiblir la sécurité du système d’information, dans la mesure où les garanties qui s’attachent à l’utilisation d’une carte CPS s’en trouvent amoindries.
La Commission rappelle, en outre, que le décret du 15 mai 2007 relatif à la confidentialité des informations médicales impose une authentification forte des professionnels de santé par l’utilisation d’une CPS ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. Les professionnels de santé concernés par ce dispositif doivent donc s’y conformer.
Les accès à l’application font l’objet d’une journalisation répertoriant l’identité du dossier, l’action, l’auteur et l’horodatage.
Le transport des données est sécurisé par l’utilisation d’un réseau privé virtuel ainsi que par l’utilisation de liens dédiés sécurisés ou de protocoles réseau sécurisés (notamment HTTPS).
Les données sont sauvegardées quotidiennement. Ces sauvegardes ne sont pas chiffrées. La Commission estime nécessaire que les sauvegardes de données soient chiffrées.
Enfin, la Commission rappelle qu’une procédure doit être mise en œuvre afin de résoudre les incidents, tels qu’une violation de données à caractère personnel.
Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Le responsable de traitement doit s’assurer que le traitement est opéré dans des conditions conformes aux dispositions législatives et règlementaires applicables, notamment celles des articles L. 1111-8 et R. 6316-10 du code de la santé publique relatifs à l’hébergement des données de santé.
Les données collectées et traitées dans le cadre du dispositif « Télépathologie », comprenant les données du « Télédossier » ainsi que les données de connexion, seront conservées pendant une durée de trente mois maximum. Cette durée correspond aux besoins des professionnels de santé. Passé ce délai, les données seront archivées pendant dix ans directement au sein de l’établissement utilisateur du dispositif de télépathologie.
Autorise, conformément à la présente délibération, le Groupement de coopération sanitaire (GCS) pour le développement des systèmes d’informations partagés en santé en Ile de France (D-SISIF) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
