La Commission nationale de l'informatique et des libertés,
Saisie, le 30 janvier 2007 par la Caisse nationale d'assurance maladie des travailleurs salariés (CNAMTS) d'un dossier relatif à la mise en place généralisée d'un traitement permettant aux médecins d'accéder aux données relatives aux prestations servies aux bénéficiaires de l'assurance maladie ;
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 8-IV et 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu le code de la sécurité sociale, et notamment son article L. 162-4-3 ;
Vu le décret n° 2006-143 du 9 février 2006 relatif aux modalités d'accès des médecins aux données relatives aux prestations servies aux bénéficiaires de l'assurance maladie et modifiant le code de la sécurité sociale ;
Vu la délibération n° 2005-046 de la Commission nationale de l'informatique et des libertés du 15 mars 2005 portant avis sur un projet de décret en Conseil d'État fixant les modalités selon lesquelles les médecins ont accès aux données relatives aux prestations servies aux bénéficiaires de l'assurance maladie modifiant le code de la sécurité sociale ;
Après avoir entendu M. Jean-Pierre de LONGEVIALLE, commissaire, en son rapport et Mme Catherine POZZO DI BORGO Commissaire adjointe au Gouvernement, en ses observations ;
Emet les observations suivantes :
La Caisse nationale d'assurance maladie des travailleurs salariés a saisi la Commission nationale de l'informatique et des libertés d'un dossier relatif à un traitement automatisé de données à caractère personnel offrant aux médecins la possibilité d'accéder aux informations relatives aux actes et prestations remboursés par l'assurance maladie.
Ce traitement s'inscrit dans le cadre de l'article L. 162-4-3 du code de la sécurité sociale issu de la loi du 13 août 2004 portant réforme de l'assurance maladie qui prévoit que "les médecins peuvent, à l'occasion des soins qu'ils délivrent (...) consulter les données issues des procédures de remboursement ou de prise en charge qui sont détenues par l'organisme dont relève chaque bénéficiaire de l'assurance maladie.  Dans ce cas, ils en informent préalablement le patient.  Le bénéficiaire donne son accord à cet accès en permettant au médecin d'utiliser, à cet effet, la carte mentionnée à l'article L. 161-31" (Carte Vitale).
"Un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés et du Conseil national de l'ordre des médecins, détermine les modalités d'application du présent article". Le décret n° 2006-143 du 9 février 2006 a été pris en application de l'article L. 162-4-3 du code de la sécurité sociale et fixe les modalités selon lesquelles les médecins auront accès aux données relatives aux prestations servies aux bénéficiaires de l'assurance maladie.
L'article R. 162-1-10 du code de la sécurité sociale issu du décret n° 2006-143 précité prévoit que le traitement est soumis à autorisation préalable de la CNIL qui se prononce au vu de documents qui précisent :
"a) Les spécifications techniques des logiciels et des mécanismes de sécurité informatique propres à garantir la confidentialité des informations échangées entre le médecin et les caisses, notamment en ce qui concerne le mode de chiffrement des flux d'informations ;
b) Les mesures de protection renforcée applicables aux données relatives aux patients atteints d'affections de longues durées ;
c) L'historique des accès au service, de consultation ainsi que le contenu des informations consultées."
La Commission qui se réfère à sa délibération n° 2005-046 du 15 mars 2005 portant avis sur le projet de décret en Conseil d'État fixant les modalités selon lesquelles les médecins ont accès aux données relatives aux prestations servies aux bénéficiaires de l'assurance maladie et modifiant le code de la sécurité sociale, doit donc s'assurer que le dossier déposé par la CNAMTS est conforme aux dispositions de l'article R. 162-1-10 précité.
La Commission considère également qu'il y a lieu de faire application des dispositions des articles 8-IV et 25 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l'intérêt public.
La Commission constate qu'aucune alimentation du dossier médical personnel par le service du "Web médecin" ni d'accès au service du "Web médecin" à travers la consultation du dossier médical personnel, ne sont actuellement prévus.
La Commission considère qu'une telle alimentation se heurterait à une différence de régime juridique, de finalité, et de destinataires.
De façon plus générale, la Commission s'interroge sur l'articulation du Web médecin avec d'autres projets en cours comme le dossier médical personnel et le dossier pharmaceutique.  Elle estime également nécessaire que le citoyen puisse bénéficier d'une information claire et complète qui lui permette de comprendre les objectifs poursuivis par chacun des projets et la nature des droits qui lui sont reconnus.
Sur la présentation du dispositif et les données traitées
- Le dispositif prévoit la mise en oeuvre d'un service de consultation par voie électronique des informations afférentes aux prestations délivrées aux bénéficiaires de l'assurance maladie par les régimes de base d'assurance maladie.  Ce service est destiné aux médecins conventionnés ou exerçant leur activité dans un établissement ou un centre de santé, à l'occasion des soins qu'ils délivrent.
La caisse nationale d'assurance maladie des travailleurs salariés (CNAMTS) est chargée de gérer une infrastructure d'accueil (portail) assurant les contrôles d'accès du dispositif puis le routage des requêtes vers les serveurs des organismes gestionnaires des différents régimes de base concernés.
Le médecin s'identifie et s'authentifie au moyen de sa carte de professionnel de santé ou d'un dispositif d'authentification individuel offrant des garanties similaires et agréé par le groupement d'intérêt public CPS (Art.  R. 162-1-13 du CSS).  Il saisit ensuite son code porteur et insère la carte Vitale de l'assuré dans le lecteur de carte pour accéder au service.
Après authentification du médecin et vérification de la validité des cartes au niveau du portail, la liste des bénéficiaires (ouvrant droit et ayants droit) figurant sur la carte Vitale s'affiche sur le poste de l'intéressé.  Le médecin sélectionne le patient qui le consulte.  Ce n'est qu'après que la connexion s'établit avec les serveurs du régime d'assurance maladie.
La Commission prend acte de ce que le dispositif assure ainsi un accès au relevé des remboursements et prises en charge de chaque bénéficiaire de façon individualisée.
Il résulte des termes de l'article L. 162-4-3 du code de la sécurité sociale prévoyant que les médecins peuvent utiliser le service "à l'occasion des soins qu'ils délivrent" que sont exclus de ce service les médecins ne réalisant pas de prestations remboursables, notamment, les médecins du travail, les médecins experts et les médecins des compagnies d'assurance.
- Les données traitées et leur durée de conservation sont définies par l'article R. 162-1-11 du code de la sécurité sociale qui prévoit que l'historique des remboursements porte sur la période de douze mois précédant la consultation.
Le relevé auquel accède le médecin comporte les informations suivantes :
- nom, prénom, date de naissance et NIR du bénéficiaire ;
- le code des actes, prestations, soins, produits, dispositifs médicaux et médicaments ou des spécialités pharmaceutiques délivrées en ville et en établissement de santé :  le libellé ou la dénomination, la cotation ou le numéro de code, la classification, la date d'exécution ou de délivrance, la date d'admission et la durée du séjour, le taux de remboursement. la nature du risque au titre duquel la prestation est prise en charge (accident du travail, maladie professionnelle), s'il y a lieu, le motif de la réduction ou de la suppression de la participation financière de l'assuré, le libellé de la spécialité du médecin, prestations d'hospitalisation (bordereau de facturation) ;
- les informations relatives aux frais de transport ;
- les informations relatives aux affections de longue durée (date, motif, fait générateur, codification internationale, éléments du protocole de soins) ;
- les indemnités, allocations journalières versées :  les dates de début et de fin de l'arrêt de travail et nombre d'indemnités journalières versées, la nature du risque au titre duquel la prestation est versée, la mention du lien éventuel avec une affection de longue durée, maintien d'indemnisations particulières.
Les remboursements sont affichés par ordre chronologique du plus récent vers le moins récent.  Le libellé en clair de l'acte, du médicament ou de la prestation figure toujours à coté du code.
La CNAMTS ayant indiqué que la dématérialisation du protocole de soins ferait l'objet d'une expérimentation distincte qui sera soumise à la Commission, il est pris acte que les données relatives au protocole de soins n'entrent pas dans le champ de la présente autorisation.
Dans la mesure où la CNAMTS a déterminé les fonctionnalités et les moyens du traitement et que le décret du 9 février 2006 prévoit qu'il lui incombe d'élaborer un dossier d'autorisation, la Commission considère que la CNAMTS est responsable, au sens de l'article 3 de la loi du 6 janvier 1978, de l'ensemble des traitements mis en place.
Sur les mesures de sécurité mises en oeuvre
- La sécurisation de l'accès au téléservice Web médecin repose sur l'utilisation conjointe sur le poste du médecin de sa carte CPS (avec saisie du code porteur) et de la carte vitale des patients et au niveau de l'infrastructure d'accueil gérée par la CNAMTS, sur la présence d'un pare-feu réseau et la mise en place d'une procédure d'authentification forte du titulaire de la CPS et de contrôle de la validité des cartes utilisées (sollicitation du service d'authentification Vitale du GIE SESAM Vitale et des listes de révocation publiées quotidiennement par le GIP CPS).
- Le cahier des charges établi par la CNAMTS et joint au dossier transmis à la Commission précise les mesures prises pour assurer la sécurité des transmissions de données entre le poste du médecin, le portail d'accès et le serveur d'authentification du GIE SESAM Vitale et entre le portail et les serveurs des régimes d'assurance maladie obligatoire concernés.
Les communications entre le poste du médecin et le portail s'effectuent en HTTPS (comportant un chiffrement à 128 bits) avec authentification par reconnaissance réciproque du certificat stocké dans la carte CPS et du certificat fourni par le site portail.
Les communications entre le portail et le serveur d'authentification SESAM Vitale sont également sécurisées par l'utilisation du protocole HTTPS avec authentification mutuelle des serveurs.
La sécurité des liaisons entre le portail et les serveurs des organismes gestionnaires des régimes de base de l'assurance maladie repose sur l'utilisation de réseaux de communication privés sécurisés (RSV et ramage) et d'un mécanisme de chiffrement à partir d'un algorithme à clefs secrètes symétriques.
La Commission constate que si des mesures ont ainsi été prises pour sécuriser l'ensemble des échanges du Web médecin, les données risquent de se trouver "en clair" sur le poste du praticien.  La Commission estime donc nécessaire l'installation, au minimum par ce dernier d'un anti-virus ou d'un "pare feu" mis à jour régulièrement.  Elle considère que les agents qui se rendront dans les cabinets médicaux pour y installer les composants logiciels permettant l'accès au Web médecin auront, vis à vis des praticiens concernés, un devoir de conseil sur ce point et qu'il appartient à la CNAMTS, responsable du traitement, de veiller à ce que des instructions en ce sens soient diffusées au sein du réseau des caisses.
- La Commission prend acte de ce qu'un dispositif de journalisation des accès au portail (et des refus d'accès) ainsi que des consultations des bases de données des régimes de base de l'assurance maladie est prévu.  Les traces enregistrées seront consultables en ligne pendant une durée de trois mois, les traces de consultation étant seules à être ensuite archivées jusqu'à une durée totale de conservation de deux ans.
Sur le consentement de l'assuré et l'exercice de son droit d'accès
S'agissant du recueil du consentement des personnes concernées, le décret indique que les organismes des différents régimes de base d'assurance maladie informent leurs ressortissants des modalités de mise en oeuvre du service.
L'article R. 162-1-12 du code de la sécurité sociale prévoit en outre que :
"Le médecin ayant recours à ce service est tenu d'informer ses patients à l'occasion de la réalisation des soins de l'objet et des conditions de cette procédure.  Il recueille l'accord du patient, préalablement à la consultation des données le concernant.  Cet accord porte sur l'ensemble de ces données.  Le consentement du patient est réputé obtenu par l'utilisation de sa carte" Vitale. Le refus du bénéficiaire n'emporte aucune conséquence en matière de remboursement.
La CNAMTS a prévu une information des assurés à l'occasion de l'envoi du premier décompte de remboursement deux mois avant l'ouverture du service.
Ensuite, les médecins ayant recours au service de consultation en ligne, informeront leurs patients au moyen d'affichettes visibles dans leur cabinet, et recueilleront leur accord à l'issue d'un entretien préalable lors de la consultation.
La Commission constate que les projets de plaquettes d'information remises par la CNAMTS, mentionnent l'absence de conséquence financière en cas de refus d'utilisation du dispositif ainsi que les catégories de données consultables.  En revanche, il n'est pas clairement indiqué que l'accord se matérialise par la remise de la carte Vitale.
Rappelant les termes de sa délibération du 15 mars 2005, la Commission considère que l'information diffusée auprès des bénéficiaires de l'assurance maladie doit préciser les modalités d'utilisation de la carte vitale afin de leur permettre de distinguer sans ambiguité les différentes opérations qui seront réalisées avec la carte c'est-à-dire la télétransmission et l'accès au relevé de prestations.
La Commission estime par ailleurs que le droit d'accès qui s'exerce pour le bénéficiaire auprès de la caisse dont il relève ou auprès du contrôle médical n'est pas exclusif d'une information donnée par le médecin à son client, si celui-ci la réclame, sur les mentions contenues dans le relevé individuel de remboursement le concernant mis en ligne par le "Web médecin".
Sur les personnes mineures
La Commission constate que les textes concernant le système du "Web médecin" ne prévoient aucune disposition particulière concernant les personnes mineures.
En revanche, des dispositions particulières du code de la santé publique reconnaissent aux mineurs la possibilité de recourir à des actes de soins sans que leurs parents en soient informés par dérogation au principe de l'autorité parentale (L. 1111-5 du code de la santé publique), sur une interruption volontaire de grossesse (L. 2212-10 du CSP), un mode de contraception (L. 5134-1 du CSP) ou la prévention, le dépistage, le diagnostic et le traitement ambulatoire des infections sexuellement transmissibles (L. 3121-2-1 du CSP).
Dans les cas précités, la CNAMTS a indiqué que les professionnels de santé sont directement remboursés et que ces activités sont rattachées, dans les systèmes d'information de l'assurance maladie à un numéro d'identification non signifiant.  Ces soins n'apparaîtront donc pas dans les relevés de remboursement et ne pourront donc pas être consultés dans le système du "Web médecin".
La Commission estime qu'il serait souhaitable que soit rappelé dans les plaquettes d'information, tant aux médecins qu'aux patients, le fait que le service du "Web médecin" ne peut être consulté, en règle générale, qu'à l'occasion de la délivrance des soins et en présence des patients concernés, quel que soit leur âge.
Au bénéfice des observations qui précèdent, la Commission autorise la Caisse nationale d'assurance maladie des travailleurs à mettre en place un traitement permettant aux médecins d'accéder aux données relatives aux prestations servies aux bénéficiaires de l'assurance maladie.
Le président, Alex TURK.

CNIL/CNILTEXT000017651846.xml