Délibération n° 2021-222 du 20 octobre 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Échange de données de santé à travers un système de téléconsultation entre professionnels de santé habilités et leurs patients » exploité par le Département des Affaires Sociales et de la Santé présenté par le Ministre d'État.
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l’Ordonnance Souveraine n° 5.640 du 14 décembre 2015 portant création d’une Direction de l’Action Sanitaire ;
Vu l’Ordonnance Souveraine n° 7.995 du 12 mars 2020 portant création de la Direction des Services Numériques ;
Vu l’Ordonnance Souveraine n° 8.337 du 5 novembre 2020 relative aux données de santé à caractère personnel produites ou reçues par les professionnels et établissements de santé ;
Vu l’arrêté ministériel n° 2018-1108 du 26 novembre 2018 portant application de l’article 3 de l’Ordonnance Souveraine n° 5.664 du 23 décembre 2015 créant l’Agence Monégasque de Sécurité Numérique, modifiée, et son annexe, le référentiel d’exigences concernant la qualification des Prestataires d’Informatique en Nuage et d’Hébergement (PINH) ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu la demande d’avis déposée par le Ministre d’État le 21 juillet 2021 concernant la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Échange de données de santé à travers un système de téléconsultation entre professionnels de santé habilités et leurs patients » ;
Vu la prorogation du délai d’examen de ladite demande d’avis notifiée au responsable de traitement le 17 septembre 2021, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, modifiée, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 octobre 2021 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le Gouvernement Princier souhaite mettre en place un service de consultation à distance nommé « téléconsultation » entre le professionnel de santé utilisateur du portail MonacoSanté et son patient.
Ledit traitement, objet de la présente délibération, est donc soumis à l’avis de la Commission conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
I. Sur la finalité et les fonctionnalités du traitement
Ce traitement a pour finalité « Échange de données de santé à travers un système de téléconsultation entre professionnels de santé habilités et leurs patients ».
Les personnes concernées sont les professionnels habilités utilisateurs du portail MonacoSanté, les patients pris en charge par ces professionnels habilités ainsi que le personnel habilité de l’Administration et du prestataire.
Enfin, les fonctionnalités sont les suivantes :
- Pour les professionnels de santé :
- gérer les téléconsultations programmées ;
- consulter le télédossier du patient + déposer ordonnances et compte rendus ;
- facturer une téléconsultation ;
- gérer le paiement des téléconsultations ;
- envoyer au patient un email lors de la création du rendez-vous en téléconsultation ;
- envoyer au patient un email et un SMS lors de la création du télédossier ;
- scanner sa signature qui sera opposable sur les documents transmis au patient (enregistrée sur l’espace de téléconsultation du professionnel de santé) ;
- fournir les documents nécessaires à son identification ;
- télécharger un récapitulatif mensuel de ses téléconsultations.
- Pour les patients :
- prendre un rendez-vous en téléconsultation ;
- être informé par email du lien d’accès à l’espace de téléconsultation ;
- tester son matériel ;
- prépayer sa téléconsultation ;
- accéder à la salle d’attente virtuelle ;
- être informé d’un retard (action manuelle du professionnel de santé) ;
- être appelé par le professionnel de santé ;
- accéder directement à la visio-conférence ;
- être alerté par SMS que le professionnel de santé l’appelle et que le patient n’est pas connecté ;
- télécharger des documents (compte rendu de consultation, ordonnance) ;
- payer la consultation après le rendez-vous ;
- accéder à l’assistance de la téléconsultation ;
- valider les Conditions Générales d’Utilisation (CGU).
La Commission constate ainsi que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le traitement dont s’agit est tout d’abord justifié par un motif d’intérêt public de l’État de Monaco.
À cet effet, la Commission prend acte que ledit traitement « est nécessaire à l’exécution de la mission d’intérêt public de l’État de Monaco de proposer un service de consultation à distance nommé téléconsultation entre le professionnel de santé utilisateur du Portail MonacoSanté et son patient ».
Elle constate que « Les articles 7 et 11 de l’Ordonnance Souveraine n° 8.337 du 5 novembre 2020 relative aux données de santé à caractère personnel produites ou reçues par les professionnels et établissements de santé prévoient en ce sens que toutes mesures pour assurer la disponibilité, l’intégrité, la confidentialité et la traçabilité des données contenues dans les dossiers médicaux des patients, doivent être prises par les acteurs du secteur médical (professionnels exerçant dans un établissement de santé ou non) ».
La Commission relève en outre que « le Référentiel d’exigences concernant la qualification des prestataires d’informatique en nuage et d’hébergement (PINH) pris au titre du paragraphe C) de l’article 3 de l’Ordonnance Souveraine n° 5.664 du 23 décembre 2015 créant l’Agence Monégasque de Sécurité Numérique, modifiée (en Annexe à l’arrêté ministériel n° 2018-1108 du 26 novembre 2018) permet de fixer un cadre d’exigences applicables en matière de sécurité des informations pour les prestataires d’informatique en nuage et d’hébergement et notamment pour les données dites sensibles ».
Le responsable de traitement indique également que dans le cadre de la transition numérique, la Délégation Interministérielle chargée de la Transition Numérique (DITN) « a pour mission de développer des usages et pratiques numériques en matière de e-santé ainsi que d’effectuer une sensibilisation constante dans l’échange des informations sensibles relatives aux patients, avec l’aide du Service Métier (la Direction de l’Action Sanitaire du DASS) dans le but de créer en Principauté un espace de confiance au sein duquel les professionnels habilités pourront échanger des données de santé de manière dématérialisée et en toute sécurité ».
À cet effet, il indique que « de par ses missions, la Direction des Services Numériques de la DITN est chargée de porter les projets relatifs au développement de services numériques en matière de e-santé d’une part, et de structurer et animer un écosystème de partenaires technologiques pour le compte du Gouvernement en matière de e-santé d’autre part ».
La Commission prend note que « la Direction de l’Action Sanitaire rattachée au Département des Affaires Sociales et de la santé de la Principauté a pour mission de contribuer à l’élaboration de la politique de santé publique de Monaco afin d’assurer une planification de l’offre de soins au regard des besoins de la population » et que « De fait, le présent traitement relatif à l’utilisation de la téléconsultation permet d’exercer de manière pertinente et appropriée les missions » dont sont investis les Services concernés du Gouvernement Princier (DSN/DASA).
Le responsable de traitement précise ainsi que « le traitement est directement adressé :
• aux usagers et aux acteurs concernés du secteur de la santé à savoir les professionnels de santé ou tout autre professionnel habilité qui ont pour obligation d’assurer le suivi de leur patient et la sécurité des données de santé collectées de leurs patients dans le cadre du parcours de soins, d’une part ;
• aux patients pris en charge sur le territoire de la Principauté de Monaco dont l’accès aux soins est facilité, d’autre part. ».
Le responsable de traitement indique par ailleurs que le traitement est justifié par le consentement des personnes concernées.
À cet égard, la Commission relève que pour les professionnels de santé, leur consentement « est recueilli dans le cadre de leur adhésion au portail MonacoSanté (via une case à cocher « Je consens à ce que les informations recueillies sur ce document me concernant soient publiées sur le portail e-santé MonacoSanté » lors de leur recueil de leurs informations) ».
Elle constate ainsi que « seuls les professionnels de santé disposant d’un compte actif sur le portail peuvent bénéficier de cette solution de téléconsultation » et que « Lors de la première connexion du professionnel de santé à la solution de téléconsultation (via le portail MonacoSanté), une fenêtre s’ouvre pour lui demander d’accepter les Conditions Générales d’Utilisation via une case à cocher et lui permettre de les consulter ».
La Commission note que « La case à cocher permet de manifester un consentement libre, éclairé et spécifique quant au traitement des données des professionnels de santé dans le cadre de l’utilisation de la solution de téléconsultation mise à disposition » et que « Les CGU sont téléchargeables par les professionnels de santé ».
Concernant les patients, la Commission constate qu’ils « consentent librement au traitement de leurs données personnelles, dont les données sensibles les concernant lorsqu’il reçoivent par mail, le lien pour la consultation, et qu’ils doivent prendre connaissance des CGU du service et les accepter par un acte positif afin d’accéder à leur rendez-vous ».
Elle prend acte enfin que « le mail contient la mention d’information : « Lorsque vous accédez à votre rendez-vous de téléconsultation, un traitement de données à caractère personnel vous concernant est mis en œuvre. Pour en savoir plus sur les modalités de traitement de vos informations, veuillez consulter les Conditions Générales d’Utilisation en pièce jointe du présent mail. ». ».
Au vu de ce qui précède, la Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
III. Sur les informations nominatives traitées
Le responsable de traitement indique que les informations nominatives traitées sont :
- identité/situation de famille :
• patient : nom d’usage et prénom, date de naissance, genre (homme/femme) ;
• professionnel de santé : nom d’usage et prénom, nom de naissance, date de naissance, civilité, genre (homme/femme) ;
- adresses et cordonnées :
• patient : numéro de téléphone ;
• professionnel de santé : adresse postale du cabinet, numéro de téléphone du cabinet, adresse mail du cabinet ;
- informations du professionnel de santé pour le paiement de la téléconsultation : relevé d’identité bancaire du professionnel de santé, pièce d’identité (passeport, carte d’identité ou permis de conduire recto/verso), statut juridique (tout document permettant de justifier son activité de professionnel de santé) ;
- récépissé de paiement du patient par carte bancaire : date et heure du rendez-vous en téléconsultation, nom et prénom du patient consulté, nom et prénom du patient, montant facturé ;
- données d’identification électronique :
• professionnel de santé : adresse email (identifiant de connexion) du professionnel de santé, mot de passe du professionnel de santé, mot de passe à usage unique (reçu par SMS automatique) ;
• patient : adresse mail ;
- informations temporelles, horodatage : date et heure de dernière connexion de l’utilisateur patient et professionnel de santé, date et heure de la téléconsultation, logs du personnel de l’Administration et du personnel ;
- données cookies : cookies de session, cookies techniques, données de navigation :
• stockés côté utilisateur : identifiant de cookie ;
• stockés côté serveur : identifiant de cookie, ID Utilisateur, Adresse IP utilisée pour la connexion, horodatage.
- données de santé : toutes les informations strictement nécessaires à la prise en charge du patient, et relatives à son état de santé, sa situation sociale ou à son autonomie, notamment les diagnostics médicaux (maladie, pathologie, affection ou risque, handicap, état physiologique biomédical, antécédents familiaux), les données relatives aux soins (résultats d’examens, traitements), date et heure du rendez-vous en téléconsultation du patient, agenda du professionnel de santé (non visible par les utilisateurs « patients » du portail), email de confirmation du rendez-vous en téléconsultation du patient (confirmation + rappel), SMS de confirmation du rendez-vous en téléconsultation du patient (confirmation + rappel), contenu des pièces jointes liées à un patient dans l’agenda et les documents envoyés à l’issue de la téléconsultation.
La Commission prend acte que les données bancaires des patients ne sont pas stockées et que « Le patient doit enregistrer ses données à chaque connexion ».
Les informations relatives à l’identité/situation de famille ont pour origine l’utilisateur concerné et/ou l’éditeur de la solution (pour la création des comptes utilisateurs « professionnel de santé »).
Les informations relatives aux adresses et coordonnées ont pour origine la personne concernée (utilisateur patient ou professionnel de santé).
Les informations du professionnel de santé pour le paiement de la téléconsultation ainsi que les données de santé ont pour origine l’utilisateur professionnel de santé.
Le récépissé de paiement du patient par carte bancaire a pour origine le prestataire de service de paiement.
Les données d’identification électronique du professionnel de santé ont pour origine le professionnel de santé et l’éditeur de la solution (création de comptes) et les données d’identification électronique du patient ont pour origine le professionnel de santé et/ou le patient (prise de rendez-vous en ligne par le patient ou agenda du professionnel de santé).
Les informations temporelles ont pour origine le système.
Enfin, les données cookies ont pour origine le navigateur de l’utilisateur de la téléconsultation.
La Commission considère ainsi que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
IV. Sur les droits des personnes concernées
- Sur l’information préalable des personnes concernées
L’information préalable des personnes concernées est effectuée par le biais d’une mention intégrée dans un document d’ordre général.
À l’analyse des mentions d’informations préalables contenues dans les CGU jointes au dossier, la Commission constate que celles-ci sont conformes à l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
- Sur l’exercice du droit d’accès, de modification et de mise à jour
Le responsable de traitement indique que le droit d’accès s’exerce par voie postale auprès du Département des Affaires Sociales et de la Santé.
À cet égard, la Commission rappelle que la réponse à ce droit d’accès doit s’exercer dans le mois suivant la réception de la demande.
À la lecture des pièces jointes au dossier, la Commission constate par ailleurs qu’« un justificatif d’identité, en noir et blanc, pourra être demandé au requérant ».
À ce titre, elle précise que si une copie d’un document d’identité était demandée, la transmission et le traitement de ce document devront faire l’objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.
Elle rappelle par ailleurs que le droit d’accès aux données de santé par les patients ne peut s’effectuer que directement sur la plateforme ou auprès des professionnels de santé concernés.
Sous ces réserves, la Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
V. Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès au traitement sont :
- le prestataire/fournisseur de la solution : tous droits (administration, infogérance et maintenance) ;
- les professionnels de santé habilités : lecture, écriture et suppression de rendez-vous en téléconsultation + envoi sécurisé de document au patient ;
- les patients des professionnels de santé : lecture des rendez-vous en téléconsultation + document envoyé par le professionnel de santé ;
- le personnel habilité de la Direction des Services d’Information (DSI) (dans le cadre de ses missions de maintenance, développement des applicatifs nécessaires au fonctionnement du site et sécurité du site et du système d’information de l’État) : lecture, écriture, modification ;
- le personnel habilité de la Direction des Services Numériques (DSN) (droits d’administration de l’application, création et modification de comptes) : lecture, écriture et modification ;
- le Département habilité du Département des Affaires Sociales et de la Santé (DASS) et de la Direction de l’Action Sanitaire (DASA) : validation des comptes des professionnels de santé.
Considérant les attributions de chacune de ces personnes, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.
La Commission constate que l’accès en lecture du prestataire/fournisseur de la solution en charge de l’infogérance et la maintenance ne permet pas d’accéder au contenu des documents et flux vidéos pouvant être échangés entre le professionnel de santé et son patient mais uniquement à la planification des rendez-vous en téléconsultation (agenda).
Elle constate par ailleurs que l’accès du personnel habilité de la DSI, de la DSN, de la DASS/DASA ne donne pas accès au contenu des rendez-vous en téléconsultation entre les utilisateurs, uniquement à l’interface d’administration des structures et des comptes professionnels de santé utilisateurs associés. Ces rôles n’ont aucun accès aux données de santé des patients.
La Commission rappelle par ailleurs que conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, les droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de son contrat de prestation de service. De plus, ledit prestataire est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
Sous ces conditions, considérant les attributions de chacune de ces personnes, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.
VI. Sur les interconnexions et rapprochements
Le responsable de traitement indique que le présent traitement fait l’objet de deux interconnexions avec les traitements ayant respectivement pour finalité « Gestion de prise de RDV du praticien libéral » et « Échange de données de santé à travers un système de messagerie sécurisée ».
La Commission prend acte que ces traitements ont été légalement mis en œuvre.
Le responsable de traitement indique par ailleurs que le traitement est interconnecté avec le traitement ayant pour finalité « Gestion du Portail et de l’application mobile MonacoSanté de la Principauté de Monaco ».
À cet égard, la Commission rappelle que cette interconnexion ne peut être effectuée qu’entre des traitements légalement mis en œuvre.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
La Commission rappelle toutefois que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
Enfin, elle rappelle que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur les durées de conservation
Les informations relatives à l’identité/situation de famille, aux adresses et coordonnées sont supprimées après une période d’inactivité de 1 an.
Les données d’identification électronique sont conservées tant que le compte de l’utilisateur (professionnel de santé et patient) sur MonacoSanté utilisant ces données est actif.
Concernant les informations du professionnel de santé pour le paiement de la téléconsultation, le responsable de traitement indique que « Les données bancaires du professionnel de santé sont conservées tant que le compte de l’utilisateur (professionnel de santé) est actif » et que la pièce d’identité et le statut juridique ne sont pas stockés par la solution et sont directement communiqués au prestataire de service de paiement.
Par ailleurs, le récépissé de paiement n’est pas conservé par la solution et est transmis par email au patient.
Les informations temporelles sont conservées 1 an.
Les cookies de session sont conservés 13 mois maximum, les cookies techniques 6 mois et les données de navigation 6 mois.
Enfin, les documents de santé (ordonnances, résultats d’examens) envoyés au patient sont conservés 3 semaines à compter de la fin de la téléconsultation et toutes les autres données de santé sont conservées tant que le compte de l’utilisateur (professionnel de santé et patient) sur MonacoSanté utilisant ces données est actif.
La Commission considère ainsi que ces durées sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Rappelle que :
- la réponse au droit d’accès doit s’exercer dans le mois suivant la réception de la demande ;
- le droit d’accès aux données de santé par les patients ne peut s’effectuer que directement sur la plateforme, ou auprès des professionnels de santé concernés ;
- toute interconnexion ne peut être effectuée qu’entre des traitements légalement mis en œuvre ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Ministre d’État du traitement automatisé d’informations nominatives ayant pour finalité « Échange de données de santé à travers un système de téléconsultation entre professionnel de santé habilités et leurs patients ».
Le Président de la Commission de Contrôle des Informations Nominatives.