AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre des solidarités et de la santé d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif aux remises prévues à l' article L. 165-4 du code de la sécurité sociale et à la pénalité liée à la production de données erronées relatives aux dispositifs médicaux remboursables par l'assurance maladie ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement des données de santé à caractère personnel dénommé système national des données de santé ;
Vu la délibération n° 2016-316 du 13 octobre 2016 de la Commission nationale de l'informatique et des libertés portant avis sur un projet de décret en Conseil d'Etat relatif au Système national des données de santé ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie le 6 juin 2018 pour avis par la ministre des solidarités et de la santé d'un projet de décret en Conseil d'Etat relatif aux remises prévues à l' article L. 165-4 du code de la sécurité sociale et à la pénalité liée à la protection de données erronées relatives aux dispositifs médicaux remboursables par l'assurance maladie (ci-après le projet ). Le courrier de saisine précise que seul est soumis à l'examen de la Commission l'article 3 du projet de décret en Conseil d'Etat, modifiant les articles R. 1461-11 et R. 1461-14 du code de la santé publique créés par le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement des données à caractère personnel dénommé système national des données de santé .
La Commission a déjà eu à se prononcer sur le décret n° 2016-1871 du 26 décembre 2016 ( délibération n° 2016-316 du 13 octobre 2016), pris en application des dispositions de l'article L. 1461-7 du code de la santé publique.
Le projet soumis à la Commission vise à modifier les possibilités d'accès de la direction de la sécurité sociale du ministère de la santé et des solidarités aux données du système national des données de santé (SNDS). Les adaptations portent sur les éléments suivants :
- l'accès de la direction de la sécurité sociale aux données d'identification des professionnels de santé ;
- l'accès aux catégories de données visées par l'article R. 1461-14-1° du code de la santé publique.
Sur l'accès de la direction de la sécurité sociale aux données d'identification des professionnels de santé :
L'article 3 du projet vise à étendre l'accès de la direction de la sécurité sociale, au numéro d'identification du professionnel de santé et à celui identifiant les distributeurs de produits de santé, lorsqu'ils sont nécessaires à la régulation ou à la gestion économique des produits de santé et des prestations éventuellement associées, ou à des actions destinées à favoriser la pertinence de leur usage. Elle n'aura cependant accès qu'à un pseudonyme construit à partir du numéro d'identification du professionnel de santé pour ses autres missions.
Dans le cadre des échanges avec les services de la Commission, le ministère a précisé que l'accès à ces données poursuit deux objectifs :
- inciter les professionnels de santé à prescrire certains produits de santé, afin de répondre aux orientations nationales de régulation économique des dépenses de santé. Il s'agit de mener des actions ciblées concernant la prescription de certains produits de santé, d'améliorer la pertinence du recours à certains produits et de faire évoluer certaines pratiques de prescription ;
- négocier, avec les fabricants et les distributeurs, des remises sur les produits de santé et, surtout, permettre de procéder à ces remises directement auprès des différents distributeurs et professionnels de santé concernés en fonction des dispositions qui auront été négociées.
Au regard des missions exercées par la direction de la sécurité sociale en matière de régulation économique et des garanties mises en place pour limiter cet accès aux objectifs susvisés, cette extension n'appelle pas d'observations de la part de la Commission.
Sur l'accès de la direction de la sécurité sociale aux catégories de données visées par l'article R. 1461-14-1° du code de la santé publique :
L'article R. 1461-14-1° du code de la santé publique en vigueur prévoit que la direction de la sécurité sociale peut accéder aux données du SNDS suivantes :
- les échantillons généralistes avec au maximum l'utilisation de deux identifiants potentiels ;
- les données semi-agrégées, individualisées pour les professionnels ou établissements de santé et agrégées pour les bénéficiaires ;
- les données agrégées présentant un risque résiduel de réidentification.
L'article 3 du projet vise à étendre les catégories de données du SNDS auxquelles la direction de la sécurité sociale peut accéder de manière permanente. Il s'agit de lui permettre d'accéder à l'ensemble des données individuelles du SNDS avec croisement des identifiants potentiels, ainsi qu'aux échantillons généralistes avec croisement des identifiants potentiels, tout en maintenant ses accès aux données semi-agrégées, individualisées pour les professionnels ou établissements de santé et agrégées pour les bénéficiaires, et aux données agrégées présentant un risque résiduel de réidentification.
Jusqu'à présent, disposaient d'un tel accès, en application des dispositions de l'article R. 1461-14-1 du code de la santé publique, les services de l'Etat, les établissements publics et les organismes chargés d'une mission de service public suivants :
- la direction de la recherche, des études, de l'évaluation et des statistiques ;
- la direction générale de la santé ;
- la direction générale de l'offre de soins ;
- les caisses nationales des régimes de l'assurance maladie obligatoire ;
- la caisse nationale de solidarité pour l'autonomie ;
- la Haute Autorité de santé ;
- l'Agence nationale de santé publique ;
- l'Agence nationale de sécurité du médicament et des produits de santé ;
- l'Agence de biomédecine ;
- l'Institut national du cancer ;
- l'Etablissement français du sang ;
- l'Agence technique de l'information sur l'hospitalisation ;
- l'Institut national des données de santé ;
- l'Institut de recherche et documentation en économie de la santé ;
- l'Institut national d'études démographiques.
Lors des échanges entre les services de la Commission et le ministère, ce dernier a précisé que l'accès à de telles données était nécessaire à la direction de la sécurité sociale, notamment :
- pour mener des travaux d'évaluation des réformes efficaces et homogènes par rapport aux autres directions du même ministère disposant d'un accès à davantage de données du SNDS ;
- pour mesurer finement les implications de certaines réformes pour les acteurs du système de santé concernés.
Le ministère indique par ailleurs que des études récentes menées par la direction de la sécurité sociale à partir des données auxquelles elle a déjà accès ne permettaient pas d'obtenir des résultats suffisamment précis.
Au regard de ces éléments, la Commission considère que l'accès par la direction de la sécurité sociale aux données du SNDS mentionnées à l'article R. 1461-14-1° du code de la santé publique est justifié.
Les autres dispositions du projet n'appellent pas d'observations de la Commission.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé système national des données de santé ;
Vu l'arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au système national des données de santé ;
Vu l'arrêté du 17 juillet 2017 relatif au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études ;
 
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le RGPD), et notamment son article 5, point 2, prévoit que le responsable de traitement doit être en mesure de démontrer que les principes du règlement sont respectés.
L'article 9, paragraphe 4, du RGPD précise que les Etats membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques ou des données concernant la santé.
Ainsi, en application de la loi du 6 janvier 1978 modifiée (ci-après loi informatique et libertés ), les traitements de données à caractère personnel à des fins de recherche, étude ou évaluation dans le domaine de la santé sont autorisés par la Commission nationale de l'informatique et des libertés (ci-après la Commission ).
La Commission peut homologuer et publier des méthodologies de référence, au titre des référentiels mentionnés au II de l'article 54 de la loi informatique et libertés, établies en concertation avec l'Institut national des données de santé (ci-après l' INDS ), ainsi qu'avec les organismes publics et privés représentatifs des acteurs concernés.
Parmi les traitements les plus usuels figurent les traitements réalisés par les personnes produisant ou commercialisant des produits mentionnés au II de l'article L. 5311-1 (ci-après produits de santé ) du code de la santé publique (ci-après CSP ) à partir des données centralisées par l'Agence technique de l'information sur l'hospitalisation (ci-après ATIH ), c'est-à-dire les données du programme de médicalisation des systèmes d'information (ci-après PMSI ).
Le PMSI consiste en un recueil synthétique et standardisé d'informations administratives et médicales au sein des établissements de santé, publics ou privés, à but lucratif ou à but non lucratif, dont les objectifs principaux sont d'organiser les soins hospitaliers sur le territoire français (planification) et de financer les établissements en fonction de leur activité (tarification à l'activité).
Régi par les articles L. 6113-7 et L. 6113-8 du CSP, le PMSI a été généralisé dans les années 1990 et est désormais appliqué quel que soit le secteur d'hospitalisation mais avec des modes de recueil différents selon les catégories de prise en charge. Il comporte des données concernant les activités suivantes :
- médecine, chirurgie, obstétrique et odontologie (MCO) ;
- soins de suite et de réadaptation (SSR) ;
- recueil d'information médicalisée en psychiatrie (RIM-P) ;
- hospitalisation à domicile (HAD).
Un fichier spécifique permet de relier toutes les données du PMSI concernant un même patient (fichier ANO ).
Ces traitements permettent notamment de préparer les dossiers de discussions avec les autorités et les comités compétents principalement dans le domaine des médicaments et des dispositifs médicaux (mise sur le marché, discussions tarifaires, marquage CE, etc.) et la réalisation d'études en conditions réelles d'utilisation.
Au regard de ces besoins, la Commission a estimé que le cadre d'une méthodologie de référence était approprié pour faciliter et encadrer les nombreux traitements de données réalisés par les personnes produisant ou commercialisant des produits mentionnés au II de l'article L. 5311-1 du CSP à partir des données du PMSI.
Les responsables de traitement qui adressent un engagement de conformité à cette méthodologie de référence sont autorisés à mettre en œuvre les traitements dès lors que ceux-ci répondent aux conditions prévues par ces dispositions.
Décide :
Titre Ier : DÉFINITIONS, RESPONSABLES DE TRAITEMENT CONCERNÉS, CHAMP D'APPLICATION ET INTÉRÊT PUBLIC
 
	1.1. Définitions
	Au sens de la présente méthodologie, les termes suivants sont ainsi définis :
- donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée personne concernée ) ; est réputée être une personne physique identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
	- traitement : toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ;
- responsable de traitement : la personne physique ou morale qui, seule ou conjointement avec d'autres, est responsable d'une recherche, étude ou évaluation n'impliquant pas la personne humaine, en assure la gestion, vérifie que son financement est prévu et qui détermine les finalités et les moyens des traitements nécessaires à celle-ci. Il s'agit des personnes produisant ou commercialisant des produits mentionnés au II de l'article L. 5311-1 du CSP ;
	- sous-traitant : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ;
	- laboratoire de recherche/bureau d'études : responsable de la mise en œuvre du traitement de données et chargé de leur analyse, ayant réalisé un engagement de conformité auprès de la Commission à l'arrêté du 17 juillet 2017 relatif au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études. Il s'agit d'un sous-traitant au sens du RGPD qui, dans le cadre de la présente méthodologie de référence, est seul à pouvoir accéder aux données du PMSI ;
	- personnes chargées de la réalisation de l'étude : la ou les personnes physiques qui travaillent sur les données individuelles du PMSI ;
- étude : recherche n'impliquant pas la personne humaine, étude ou évaluation dans le domaine de la santé ; une étude peut nécessiter la réalisation de plusieurs requêtes dans la base de données mise à disposition par l'ATIH par l'intermédiaire d'une solution sécurisée ;
	- protocole : document indiquant notamment la méthodologie de l'étude, l'objectif du traitement des données à caractère personnel, les catégories de personnes concernées par le traitement, l'origine, la nature et la liste des données à caractère personnel utilisées et la liste des justifications de recours à celles-ci, la durée et les modalités d'organisation de l'étude, la méthode d'analyse des données, ainsi que, lorsque les caractéristiques de l'étude l'exigent, la justification du nombre de personnes et la méthode d'observation retenue.
	1.2. Responsables de traitement concernés
	Seuls peuvent réaliser un engagement de conformité à la présente méthodologie de référence les personnes produisant ou commercialisant des produits mentionnés au II de l'article L. 5311-1 du CSP.
	1.3. Traitement de données à caractère personnel inclus dans le champ d'application de la présente méthodologie
	Seuls peuvent faire l'objet d'un engagement de conformité à la présente méthodologie de référence les traitements de données à caractère personnel ayant pour finalité la réalisation d'études présentant un caractère d'intérêt public et respectant les conditions de sécurité, d'organisation et de transparence suivantes :
- les traitements de données ne peuvent être réalisés que par l'intermédiaire d'un laboratoire de recherche ou d'un bureau d'études, public ou privé, ayant réalisé un engagement de conformité auprès de la Commission à l'arrêté du 17 juillet 2017 relatif au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études ; le responsable de traitement signe une convention d'accès aux données avec l'ATIH et lui transmet la liste, actualisable, des laboratoires de recherche ou bureaux d'études auxquels il a recours ; les données sont mises à disposition du laboratoire de recherche ou du bureau d'études par l'ATIH par l'intermédiaire d'une solution sécurisée ; aucun export de données à caractère personnel n'est possible en dehors de la solution sécurisée utilisée. Seuls des résultats anonymes peuvent être exportés ;
	- le responsable de traitement désigne un délégué à la protection des données et tient un registre des activités de traitement. Un protocole doit être validé par le responsable de traitement avant le début de la mise en œuvre du traitement des données ;
- le responsable de traitement s'engage à ne pas poursuivre l'une des finalités interdites, en particulier la promotion des produits mentionnés au II de l'article L. 5311-1 du CSP en direction des professionnels de santé ou des établissements de santé ; le responsable de traitement réalise un audit externe indépendant sur le respect des finalités dans un délai de trois ans à compter de l'engagement de conformité à la présente méthodologie de référence puis tous les trois ans après le premier audit réalisé ;
	- le responsable de traitement enregistre tous les traitements réalisés dans le cadre de la méthodologie de référence auprès d'un répertoire public tenu par l'INDS ; la méthode et les résultats obtenus sont publiés par l'INDS à la fin du traitement, selon les modalités prévues au paragraphe 6.2 Principe de transparence .
	La présente méthodologie de référence n'est pas applicable aux traitements :
	- nécessitant un export des données à caractère personnel en dehors de la solution sécurisée utilisée ;
	- nécessitant un appariement à des données à caractère personnel autres que celles mises à disposition par l'ATIH.
	1.4. Intérêt public et finalités interdites
L'accès aux données à caractère personnel du système national des données de santé (ci-après SNDS ) et de ses composantes, dont font partie les données issues des systèmes d'information mentionnés à l' article L. 6113-7 du CSP, peut être autorisé pour permettre des traitements à des fins d'étude répondant à un motif d'intérêt public.
	Les traitements réalisés dans le cadre de cette méthodologie de référence doivent répondre à un motif d'intérêt public, justifié par le responsable de traitement auprès de l'INDS.
	Au-delà de l'interdiction de réidentification des patients, deux finalités interdites sont rappelées :
	1° La promotion des produits mentionnés au II de l'article L. 5311-1 en direction des professionnels de santé ou d'établissements de santé ;
	2° L'exclusion de garanties des contrats d'assurance et la modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque.
Titre II : TRAITEMENTS RELATIFS AUX DONNÉES DES PERSONNES CONCERNÉES PAR DES ÉTUDES
 
	2.1. Finalité des traitements
	Les traitements de données à caractère personnel des personnes concernées ne doivent pas avoir pour objectif principal ou secondaire, ou pour effet de permettre la réalisation d'une ou des finalités interdites, décrites à l'article L. 1461-1 V du CSP.
Le motif d'intérêt public est justifié par le responsable de traitement dans le protocole et auprès de l'INDS conformément au paragraphe 6.2 Principe de transparence de la présente méthodologie de référence.
	En tout état de cause, les traitements de données d'études répondant aux finalités suivantes peuvent être réalisés dans le cadre de la méthodologie de référence :
	- préparation des dossiers de discussions et réunions avec les autorités et comités compétents (exemple : réunions annuelles du comité de prospective des innovations médicamenteuses (CPIM), comité économique des produits de santé (CEPS), etc.) ;
	- réalisation d'études en conditions réelles d'utilisation à destination ou à la demande des autorités ;
	- ciblage des centres et/ou réalisation d'études de faisabilité dans le cadre d'une recherche impliquant ou n'impliquant pas la personne humaine ;
	- réalisation d'études dans le cadre de la vigilance et de la surveillance après commercialisation.
	2.2. Origine et nature des données
	2.2.1. Origine des données à caractère personnel
	Les données doivent provenir exclusivement des bases de données constituées par l'ATIH au titre du PMSI.
	2.2.2. Nature des données à caractère personnel
En application de l'article 5, paragraphe 1, point c, du RGPD, les données traitées doivent être pertinentes, adéquates et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (principe de minimisation des données). A cet égard, le responsable de traitement s'engage à ne traiter que les données strictement nécessaires et pertinentes au regard des objectifs de l'étude. Dès lors, chacune des catégories de données ne peut être traitée que si leur traitement est justifié dans le protocole.
	Les catégories de données à caractère personnel pouvant faire l'objet du traitement sont les données centralisées et mises à disposition par l'Agence technique de l'information sur l'hospitalisation (ATIH), sur l'ensemble des fichiers dans les champs :
	- médecine, chirurgie, obstétrique et odontologie (MCO) ;
	- soins de suite et de réadaptation (SSR) ;
	- recueil d'information médicalisée en psychiatrie (RIM-P) ;
	- hospitalisation à domicile (HAD) ;
	- avec la possibilité de relier toutes les données du PMSI concernant un même patient au moyen du fichier ANO .
	Les traitements inclus dans le cadre de la présente méthodologie de référence portent sur les données nationales du PMSI dont la profondeur historique maximale est de neuf ans plus l'année en cours.
	La zone géographique concernée ainsi que la profondeur historique des données consultées sont justifiées dans le protocole.
	2.3. Destinataires des données à caractère personnel traitées