AgentPublic/cnil huggingface dataset:
Les autres données sont conservées pendant 20 ans. A l’issue de ce délai, les données seront supprimées.
Les données relatives aux demandes  d’exercice des droits (identité du demandeur, type de pièce justificative, date de réponse, copie de la réponse) seront conservées durant cinq ans. Les pièces justificatives sont conservées pendant un an.
Données relatives aux professionnels prenant en charge les patients :
Les données sont conservées pendant 20 ans. A l’issue de ce délai, les données seront supprimées.
Données relatives aux agents AP-HP utilisateurs de la BNDMR :
Les journaux de connexion sont conservés cinq ans. Les informations associées aux comptes sont conservées un an après le départ de l’agent.
La Commission considère que ces durées de conservation des données n’excèdent pas celles nécessaires aux finalités pour lesquelles les données sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Dans ces conditions, la Commission autorise l’Assistance publique – Hôpitaux de Paris à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution et la mise en œuvre d’un entrepôt de données, intitulé « Banque nationale de données maladies rares ».
La présidente
Marie-Laure DENIS
(Saisine n° 918449)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Altao d’une demande d’autorisation de traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données nationales du programme de médicalisation des systèmes d’information ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique, notamment ses articles L. 6113-7 et L. 6113-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 193 ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé « Système national des données de santé » ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ;
Vu les avis du Comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé du 3 octobre 2018, du 20 novembre 2018 et du 18 décembre 2018 ;
Vu l’avis de l’Institut national des données de santé du 8 juillet 2019 sur l’intérêt public présenté par les traitements envisagés par la société Altao ;
Vu la délibération n° 2019-065 du 09 mai 2019 portant saisine de l’Institut national des données de santé pour avis sur le caractère d’intérêt public présenté par les traitements envisagés par la société Altao ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Créée en 1993, la société Altao est une société d’audit, de conseil et d’accompagnement des établissements de soins. Afin d’avoir connaissance de l’activité des établissements qu’elle conseille, elle réalise des études à partir des données du programme de médicalisation des systèmes d’information (ci-après « PMSI »).
Sur l’opportunité du recours à la décision unique 
Les activités de la société Altao impliquent la mise en œuvre d’une trentaine de traitements de données du PMSI.
Les traitements décrits relèvent du régime de l’autorisation de traitement à des fins de recherche, d’étude ou d’évaluation.
La Commission a estimé opportun, au vu des éléments présentés dans le dossier de demande, d’autoriser la mise en œuvre de ces traitements sur le fondement des dispositions des articles 66 IV, 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après loi « informatique et libertés »), dans le cadre d’une décision unique.
Sur l’application des dispositions liées au SNDS
Les données du PMSI étant issues d’une des bases composant le Système national des données de santé (ci-après « SNDS »), la Commission rappelle que l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce, et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique. 
Sur la licéité des traitements et les conditions permettant de traiter des données concernant la santé
Les traitements mis en œuvre par la société Altao s’inscrivent dans le cadre de son activité commerciale.
Ils sont nécessaires aux fins des intérêts légitimes poursuivis par le responsable de traitement, prenant en considération le caractère très indirectement identifiant des données et des garanties, notamment en termes de droits des personnes, prévues par les textes encadrant la mise à disposition des données du SNDS.
Ces traitements sont, à ce titre, licites au regard de l’article 6, paragraphe 1 point f) du Règlement général sur la protection des données (ci-après « RGPD »).
En outre, la Commission estime que ces traitements, nécessaires à des fins de recherche scientifique, remplissent la condition prévue à l’article 9 paragraphe 2 point j) du RGPD permettant de traiter des données concernant la santé.
Sur la finalité des traitements et leur caractère d’intérêt public
Outre la création d’un référentiel de pratiques de codage des actes médicaux et des diagnostics principaux mis à disposition des établissements de santé via l’outil Altadim, les traitements nécessitant un accès aux données du PMSI ont pour finalité la réalisation d’études destinées à la construction d’indicateurs d’activités des établissements grâce à :
l’analyse de leur activité ambulatoire afin d’en suivre l’évolution sur plusieurs années ;
l’analyse des besoins de soins hospitaliers afin de connaître leur positionnement sur le territoire ; 
l’analyse de leur activité en vue de son optimisation ; 
l’analyse du parcours de leurs patients.
La Commission considère que la finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5 paragraphe 1 point b) du RGPD.
Par ailleurs, sous réserve du respect des conditions mentionnées dans l'avis de l'Institut national des données de santé du 8 juillet 2019, elle estime que les traitements présentent une finalité d'intérêt public, conformément à l’article 66 I de la loi « informatique et libertés ».
Sur les catégories de données traitées
La Commission rappelle que le responsable de traitement ne doit traiter, pour chacun des traitements mis en œuvre dans le cadre de la présente décision unique, que les données strictement nécessaires et pertinentes au regard des objectifs des traitements.
Les données concernant les activités suivantes sont nécessaires à la réalisation de ces études : 
médecine, chirurgie, obstétrique et odontologie (MCO) ; 
soins de suite et de réadaptation (SSR) ;
hospitalisation à domicile (HAD).
Les traitements inclus dans le cadre de la décision unique portent sur les données nationales du PMSI des années 2013 à 2020 (avec une profondeur historique glissante de cinq ans), sous réserve qu’elles soient diffusables par l’ATIH.
Les résultats des études réalisées dans le cadre de la présente décision unique pourront notamment être adressés aux établissements de soins conseillés par la société Altao.
Sur les catégories de destinataires des données 
Seul le responsable du traitement et les personnes habilitées par lui ont accès aux données dans le cadre de la présente décision unique. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur l’information et les droits des personnes
L'information des personnes concernées, quant à la réutilisation possible de leurs données et aux modalités d'exercice de leurs droits, est assurée dans les conditions prévues à l’article R. 1461- 9 du code de la santé publique, ainsi que par une mention figurant sur le site internet du responsable du traitement, des organismes d'assurance maladie et sur des supports permettant de la porter à la connaissance des personnes, notamment des affiches dans les locaux ouverts au public ou des documents qui leur sont remis.
Les droits d’accès, de rectification et d’opposition s’exercent auprès du directeur de l'organisme gestionnaire du régime d'assurance maladie obligatoire auquel la personne est rattachée, conformément aux dispositions de l’article R. 1461-9 du code de la santé publique.
Sur la sécurité des données et la traçabilité des actions 
La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l’étude s'effectue sous la responsabilité du responsable de traitement, y compris chez des tiers agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD ainsi que de l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS.
Les données seront mises à disposition auprès du responsable de traitement par l’intermédiaire du prestataire d’accès sécurisé désigné par l’ATIH, à savoir le CASD.
La Commission rappelle que seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction.
Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n°05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de réidentification doit être menée.
À cet égard, la Commission relève que les résultats concernant moins de dix séjours sont systématiquement exclus et ne seront pas rendus accessibles. Elle attire cependant l’attention du responsable de traitement sur le fait que la suppression des résultats contenant de petits effectifs peut ne pas être suffisante pour respecter les trois critères définis par l’avis n°05/2014 précité et qu’une analyse complète de ses processus d’anonymisation doit être menée, assortie d’une réévaluation régulière des risques de réidentification.
Sur le principe de transparence
Par ailleurs, la Commission prend acte de l’engagement de la société Altao de mettre en œuvre des efforts de transparence supplémentaire vis-à-vis de la société civile à travers la publication annuelle sur son site internet de la liste des traitements réalisés dans le cadre de la décision unique ainsi que des résultats agrégés des études effectuées à partir des données du PMSI. La Commission rappelle également qu’à l’issue du délai de trois ans, un bilan contenant notamment la liste des analyses réalisées dans le cadre de la décision unique ainsi que la méthodologie suivie dans le cadre des analyses devra être adressé à la Commission. 
Sur les audits externes 
Le responsable de traitement devra réaliser en son sein un audit externe indépendant à l’expiration du délai de trois ans en vue de s'assurer du respect des principes portés par la loi, en particulier le respect des finalités interdites. Cet audit devra porter sur les finalités poursuivies et sur l'utilisation par le responsable de traitement des résultats des études réalisées. Un rapport d'audit devra être transmis au président du comité d'audit du SNDS prévu par la loi « informatique et libertés ».
Autorise, conformément à la présente délibération, la société Altao à mettre en œuvre les traitements décrits ci-dessus pendant une durée de trois ans, avec obligation, d’une part, de remise d’un bilan à la Commission à l’issue de ce délai et, d’autre part, de réaliser un audit externe indépendant.
Pour la PrésidenteLa Vice-Présidente déléguée
Sophie LAMBREMON
(Demande d’autorisation n° 2210263)
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier universitaire Grenoble Alpes d’une demande d’autorisation concernant un entrepôt de données de santé dénommé « CHUGA-EDS » ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données) ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44-3° et 66-III ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments, et notamment l’analyse d’impact relative à la protection des données ;
Sur la proposition de Mme Valérie Peugeot, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le Centre hospitalier universitaire Grenoble Alpes (CHUGA) 
Sur la finalité et la base légale du traitement
Le CHUGA souhaite constituer un entrepôt de données de santé dénommé CHUGA-EDS.
Cet entrepôt regroupera les données produites lors de la prise en charge des patients par le CHUGA à des fins :
de recherche dans le domaine de la santé effectuée par les professionnels du CHUGA et ses partenaires extérieurs ;
d’amélioration de la prise en charge des patients dans l’établissement ;
de pilotage de l’établissement.
Le dossier précise qu’à l’instar du Système national des données de santé (SNDS) les données issues du CHUGA-EDS ne seront pas exploitées à des fins de promotion des produits de santé pour les professionnels de santé ou d’établissements de santé ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque. La Commission en prend acte.
La Commission relève qu’une gouvernance spécifique est prévue pour l’entrepôt. Un comité d’orientation des projets, assisté d’un comité scientifique et d’un comité éthique et déontologique, est en charge d’examiner les demandes d’accès aux données de l’entrepôt. La Commission prend acte que le comité éthique et déontologique comprendra notamment au moins une personnalité extérieure impliquée dans l’éthique en santé. 
Le traitement a pour base légale l’exercice d’une mission d’intérêt public, au sens de l’article 6-1-e du Règlement européen sur la protection des données (ci-après RGPD).
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
Elle estime qu’il y a lieu de faire application des dispositions de l’article 44-3° et 66-III de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
La Commission rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre, à des fins de recherche dans le domaine de la santé, à partir des données contenues dans l’entrepôt sont des traitements distincts qui doivent faire l’objet de formalités propres au titre des articles 72 et suivants de la loi Informatique et Libertés.
Sur les données traitées
L’entrepôt regroupera les données produites dans le cadre de la prise en charge des patients par le CHUGA. Il s’agit de données de soins, de données administratives et de données générées par le fonctionnement du CHUGA.
Plus précisément, s’agissant des patients, les données suivantes sont recueillies :
des données d’identification (nom, prénom, adresse, date et lieu de naissance, identifiant interne du patient, sexe, nationalité, coordonnées [numéro de téléphone, email], affiliation mutuelle et/ou assurance privée) ;
des données relatives à la situation familiale, professionnelle, aux habitudes de vie, appréciations sur les difficultés sociales des personnes, vie sexuelle ;
des données de santé (y compris des informations d’ordre biologique, physiologique et pathologique d’ordre à influencer la réaction du patient à sa prise en charge médicale) et des données génétiques liées à des prélèvements biologiques ;
des données relatives au statut vital (date de décès, cause médicale du décès si la personne est décédée au CHUGA) ;
des données médico-administratives issues du PMSI.
S’agissant du personnel du CHUGA, les données suivantes sont recueillies : 
des données d’identification : nom, prénom, numéro RPPS, code Adeli, matricule, sexe, l’année de naissance, numéro de téléphone, e-mail, métier/profession, historique des affectations aux services.
S’y ajoutent enfin des données issues du fonctionnement du CHUGA (telles que les données de la stérilisation ou de la restauration par exemple).
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
Les membres de l’équipe de soins, telle que définie par les dispositions de l’article L. 1110-12 du code de la santé publique, auront accès à l’ensemble des données contenues dans l’entrepôt concernant les patients qu’ils prennent en charge.
Les professionnels membres du département d’information médicale (DIM) auront accès aux données dans le cadre de leurs missions.
Les partenaires extérieurs (tels que les établissements de santé, instituts de recherche, universités et industriels) n’appartenant pas à l’équipe de soins auront accès aux données de l’entrepôt, dans la limite des données strictement nécessaires et pertinentes au regard des objectifs du projet de recherche, de leurs fonctions et du mandat donné par le promoteur. La Commission rappelle que cet accès devra s’effectuer dans le strict respect de la confidentialité des données.
La Commission considère que les catégories de destinataires n’appellent pas d’observation.
Sur l’information et les droits des personnes 
S’agissant des patients admis antérieurement à la constitution de l’entrepôt :
La Commission relève que compte tenu du nombre de personnes concernées (1 500 000), de l’ancienneté d’une partie des données (le CHUGA indique dans son dossier disposer de 1% d’adresses courriel et de 39% de numéros de téléphone portable valides) et du coût financier que représenterait une information par la voie postale, le CHUGA estime qu’informer individuellement l’ensemble des personnes concernées exigerait un effort disproportionné.
En application de l'article 14-5-b du RGPD et de l’article 69 alinéa premier de la loi informatique et libertés, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information se révèle impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, conformément au RGPD, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, la Commission relève qu'il sera fait exception au principe d'information individuelle des personnes s’agissant des patients dont les données ont été recueillies préalablement à la présente autorisation et que des mesures appropriées seront mises en œuvre pour les patients pour lesquels le CHUGA ne dispose pas de coordonnées fiables, notamment au moyen de la diffusion sur son site internet et dans les salles d’attente de l’établissement d’une information collective relative à l’entrepôt. Cette information collective sera par ailleurs relayée via les réseaux sociaux, les médias régionaux et communiqué de presse et lors de manifestions publiques ayant lieu au CHUGA.
S’agissant des patients admis postérieurement à la constitution de l’entrepôt :
La Commission relève qu’ils seront informés individuellement de la façon suivante en fonction du mode de prise en charge du patient :
par la remise de la fiche de circulation distribuée à tous les patients venus en consultation au niveau des bornes d’accueil ;
par la remise du livret d’accueil et du bulletin de situation de sortie à tous les patients hospitalisés ;
par la diffusion d’une information sur la plateforme en ligne de dialogue entre le patient et l’établissement « MyCHUGA ».
Le CHUGA prévoit en outre une information collective via une diffusion sur son site internet, l’affichage de note d’information dans les salles d’attente de l’établissement et le recours à des campagnes d’information (sur les réseaux sociaux, les médias régionaux, communiqué de presse et lors de manifestations publiques au sein du CHUGA).
S’agissant du personnel du CHUGA :
Le personnel sera informé individuellement via l’intranet de l’établissement et une newsletter accompagnant la remise de la fiche de paie.
Les droits des personnes concernées s’exercent auprès du délégué à la protection des données.
La Commission demande que les supports d’information soient complétés afin de contenir l’ensemble des mentions prévues par les articles 13 et 14 du RGPD.
Sous réserve de la prise en compte de ces observations, la Commission considère que ces modalités d’information et d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi « informatique et libertés ».
Sur les mesures de sécurité
La Commission prend note de la réalisation par le CHUGA d’une étude d’impact sur la protection des données ayant permis de construire et de démontrer la mise en œuvre des principes de protection de la vie privée dans la constitution de l’entrepôt.
La constitution de l’entrepôt est réalisée par le versement puis l’organisation et le nettoyage des données liées à la prise en charge des patients du CHUGA (données issues d’actions de soin, données administratives et données générées par le fonctionnement du CHUGA). 
Dans la base de l’entrepôt, les données directement identifiantes (nom, prénom, adresse, date de naissance du patient) sont cloisonnées et ne sont manipulables de manière courante que par les personnels chargés d’importer les données et d’administrer l’entrepôt. Les autres données de santé seront pseudonymisées grâce à un identifiant généré par une procédure de hachage à clé secrète.
S’agissant des accès à l’entrepôt pour des projets de recherche, la Commission observe que ceux-ci sont délivrés par un comité d’orientation participant de la gouvernance de l’entrepôt. A la suite du dépôt d’une demande et de sa validation, les administrateurs de l’entrepôt préparent les données qui seront mises à disposition des requérants.
La Commission relève qu’il conviendra de s’assurer que chaque jeu de données ainsi créé dispose d’une durée d’utilisation préalablement définie et strictement limitée aux besoins du projet concerné.