AgentPublic/cnil huggingface dataset:
Dans la mesure où ce module secondaire, mené par l’INSEE en qualité de service statistique ministériel, nécessite le traitement de données de santé, sa mise en œuvre doit être autorisée par la Commission en application de l’article 8-II-7° de la loi du 6 janvier 1978 modifiée, dans les conditions prévues à l’article 25-I-1° de la même loi.  
Sur les données traitées
La collecte des informations relatives aux ménages interrogés s’effectuera sous Capi (collecte assistée par ordinateur), par visite d’un enquêteur auprès des ménages. 
Les informations nominatives (nom, prénoms, adresse, date et lieu de naissance) sont conservées dans le cadre du dispositif de panel SRCV, séparément des réponses à l’enquête. 
Outre les données d’identification de la personne sélectionnée pour répondre à l’enquête, les données à caractère personnel susceptibles d’être collectées et traitées dans le cadre de la réalisation de ce module seront relatives, notamment au sein du questionnaire individuel :
à la santé : fréquence de consultation de médecins, poids, taille, difficulté à voir, à entendre, à marcher, à se concentrer, nombre de nuits passées à l’hôpital ;
données relatives aux déterminants de la santé : l’activité physique, la consommation de fruits, de légumes, de médicaments, de tabac, d’alcool, le recours à des services de soins et d’aide à domicile (…).
Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires
Les destinataires des données à caractère personnel sont :  
le personnel habilité de l’INSEE chargé de l’étude au moment de la collecte des données ; 
les archives de France, conformément aux dispositions de l’article L. 212-4 du code du patrimoine ;
les chercheurs et producteurs de statistique publique, en application de l’article 6 de la loi du 7 juin 1951 modifiée, sur décision de l’administration des archives publiques prise après avis du comité du secret statistique. 
Des fichiers de diffusions seront composés de données anonymisées et répartis en trois catégories : les « fichiers de production et de recherche », les fichiers « grand public » et « Eurostat ».
Les fichiers de données individuelles anonymisées, dits « de production et de recherche » seront principalement destinés aux services statistiques ministériels et aux chercheurs. Ils pourront également être accessibles par d’autres organismes, après signature d’une convention. Ces fichiers sont composés, après traitement, de l’ensemble des réponses aux questionnaires des enquêtes dès lors qu’elles ne constituent pas des informations individuelles. 
Les fichiers de données individuelles anonymisées, redressés et apurés, sont transmis à Eurostat. 
Sur l’information et le droit d’accès
Le module secondaire est obligatoire dans les mêmes conditions que le questionnaire principal: il est obligatoire lorsqu’il constitue l’une des quatre premières interrogations annuelles d’un ménage et facultatif pour les interrogations suivantes. 
Les personnes concernées sont informées de la réalisation de l’enquête et, en fonction de la situation dans laquelle elles se trouvent, de son caractère obligatoire ou non par une lettre-avis et un dépliant d'information, qui précise notamment la finalité et les thèmes de l’enquête, ainsi que la possibilité pour les personnes d’exercer leurs droits prévus aux articles 38 à 40 de la loi du 6 janvier 1978 modifiée. 
Par ailleurs, dans le cadre des quatre premières interrogations où l’enquête présente un caractère obligatoire, le droit d’opposition ne s’applique pas au traitement, conformément à l’alinéa 3 de l’article 38 de la loi « Informatique et Libertés ». 
Néanmoins, le caractère obligatoire concerne uniquement l’écoute des questions, la personne interrogée ayant la possibilité, pour chaque question, de refuser de répondre («REFUS») ou de ne pas se prononcer («NSP»).
Les enquêtés sont informés des modalités d’exercice de leurs droits d’accès, de rectification et, le cas échéant, d’opposition auprès de l’INSEE. Toutefois, la Commission demande que les lettres-avis soient complétées afin de préciser le service de l’INSEE auprès duquel s’exercent ces droits, conformément aux dispositions de l’article 29-2° de la loi « Informatique et Libertés ». 
Sur les mesures de sécurité
La Commission rappelle que l'anonymisation des données partagées avec d’autres organismes doit être effective, non seulement au regard des législations des Etats dans lesquels ces données sont transférées, mais aussi au regard de la législation de l’Etat dans lequel elles ont été collectées. En ce sens, il s’agit notamment de respecter les trois critères définis par l’avis du G 29 n° 05/2014 sur les techniques d’anonymisation. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit être menée et, en fonction du droit national, être soumise à l’autorité de protection des données compétente pour valider, ou non, le processus d’anonymisation proposé. Cette étude consistera à démontrer que les risques, liés à la publication du jeu de données anonyme, n’ont pas d’impact sur la vie privée et les libertés des personnes concernées.
La Commission observe que seuls les accès réseaux sont journalisés. Elle recommande de prévoir la mise en place d'une architecture de journalisation permettant de conserver une trace des opérations de consultation, de modification et de création. La Commission recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et lever des alertes.
La Commission demande à ce que les supports de stockages qui sont utilisés pour transférer les données fassent l’objet d’un chiffrement avec un algorithme de chiffrement robuste et que les clés soient transmises par un canal distinct.
Elle rappelle que l'obligation résultant de l'article 34 de la loi Informatique et Libertés nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La confidentialité des réponses au questionnaire est garantie par le secret statistique qui s’impose au responsable de traitement, ainsi qu’aux personnes chargées de la mise en œuvre de l’enquête. 
Concernant les durées de conservation : 
les documents de collecte sont détruits par l’INSEE dans les trois mois suivant la validation des fichiers de collecte ; 
la fiche « adresse » est conservée durant la période où l’individu fait partie du panel ; 
les fichiers non anonymisés sont conservés pendant cinq ans après la fin de la période maximale de suivi en panel.
La Commission considère que ces durées de conservation ne sont pas excessives au regard de la finalité poursuivie. 
Autorise, conformément à la présente délibération, le ministère de l’économie et des finances à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le groupement de coopération sanitaire pour le développement des systèmes d’information de santé partagés en Ile-de-France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre du programme Territoire de soins numérique en Ile-de-France, intitulé le numérique au service de la santé en métropole du Grand Paris (TERR-eSANTE) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
En décembre 2013, le Commissariat général aux investissements d’avenir a lancé un appel à projet Territoire de soins numérique (TSN) auprès des vingt-six Agences régionales de santé (ARS) afin de moderniser le système de soins en expérimentant, dans certaines zones pilotes, des services et des technologies innovants en matière d’e-santé.
 
Le programme TERR-eSANTE, porté par l’ARS d’Ile-de-France et le groupement de coopération sanitaire pour le développement des systèmes d’information de santé partagés en Ile-de-France (GCS D-SISIF), responsable du traitement de données à caractère personnel, a obtenu un financement afin de faire émerger un territoire de soins numérique en Ile-de-France pour conjuguer l’amélioration de la santé de la population du Grand Paris et le développement de l’économie numérique.
Sur la finalité du traitement :
Le traitement envisagé a pour finalité la mise en œuvre du programme TERR-eSANTE grâce à une plateforme de services, à destination des professionnels de santé et des patients. Chacune de ces catégories d’utilisateurs accèdera aux services suivants, dans la version correspondant à son profil (professionnel de santé / patient) :
un dossier de coordination patient, dossier médical partagé entre les professionnels de santé membres de l’équipe de soins et le patient ;
un service d’accès aux résultats d’examen (laboratoires d’analyses et imagerie médicale) ;
un service d’e-prescription (prescription, dispensation et administration du médicament) ;
un service de gestion des rendez-vous (prise de rendez-vous en ligne) ; 
un service de préadmission en cas d’hospitalisation ;
un service de paiement en ligne ;
une offre de formation en ligne, à destination des professionnels de santé.
La Commission rappelle que la présente autorisation ne porte que sur le traitement lié à la plateforme pour laquelle le GCS D-SISIF est responsable de traitement. Les professionnels utilisateurs demeurent responsables des traitements de données à caractère personnel qu’ils réalisent et de l’accomplissement des formalités préalables spécifiques auprès d’elle.
Sous cette réserve, la Commission considère que la finalité poursuivie est déterminée, légitime et explicite, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données à caractère personnel :
Les données dont le traitement est envisagé concernent les patients, les représentants et les aidants désignés par le patient, ainsi que les professionnels de santé. Il s’agit plus précisément des données suivantes :
Données des patients : 
données d’identification : nom, prénom, adresse, sexe, date et lieu de naissance, coordonnées (postales, électroniques, téléphoniques), photographie, numéro d’inscription au répertoire national d'identification des personnes physiques (NIR), INS-C ;
vie personnelle : habitudes de vie ;
données de connexion : identifiants des terminaux, identifiant de connexion, informations d’horodatage, identification des actions ;
données de santé : pathologie, affections, antécédents familiaux, données relatives aux soins.
Données des représentants :
données d’identification : nom, prénom, date et lieu de naissance, sexe, coordonnées (postales, électroniques, téléphoniques) ;
type de relation avec la personne concernée ;
données de connexion : identifiants des terminaux, identifiant de connexion, informations d’horodatage, identification des actions.
Données des aidants :
données d’identification : nom, prénom, coordonnées (postales, électroniques, téléphoniques) ;
relation avec la personne concernée (conjoint, aidant, famille, tuteur, personne de confiance).
Données des professionnels :
données d’identification : nom, prénom, spécialité, coordonnées (postales, électroniques, téléphoniques) ;
données de connexion : identifiants des terminaux, identifiant de connexion, informations d’horodatage, identification des actions.
La Commission relève que l’article L. 1111-8-1 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé permet l’utilisation du NIR comme identifiant de santé des personnes pour leur prise en charge à des fins sanitaires et médico-sociales, dans les conditions prévues à l'article L. 1110-4 du même code. Les modalités d’utilisation de cet identifiant seront précisées par décret en Conseil d’Etat pris après avis de la Commission.
La Commission demande que le NIR ne fasse l’objet d’un traitement comme identifiant des personnes concernées que lorsque les modalités d’utilisation auront été précisées par ce décret.
Sous cette réserve, la Commission considère que les données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés.
 
Sur la durée de conservation des données :
Les données reçues depuis les systèmes externes seront conservées durant cinq ans en base active, puis durant cinq ans à compter de la clôture du compte du patient.
Les données d’ordre administratif saisies sur la plateforme seront conservées durant cinq ans à compter de la clôture du compte du patient.
Les données d’ordre médical saisies sur la plateforme seront conservées pendant la durée prévue par les dispositions légales et règlementaires applicables à la conservation des dossiers médicaux.
Le NIR sera conservé durant sept jours, dans le cadre d’une conservation transitoire liée au temps de réponse du service régional de rapprochement d’identités (SRI).
La Commission considère que les durées de conservation prévues sont conformes aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
Les destinataires des données sont :
les professionnels de santé participant à la prise en charge du patient, membres de l’équipe de soins au sens des dispositions de l’article L. 1110-12 du code de la santé publique ; 
les représentants désignés par le patient. 
La Commission relève qu’une matrice d’habilitation a été établie afin de déterminer les accès aux données en lecture et/ou écriture, selon les catégories de professionnels qui peuvent être habilités, et que chaque destinataire n’est habilité à accéder qu’aux données nécessaires à l'exercice de sa mission.
En outre, le portail gère les accès au dossier du patient en intégrant le consentement du patient, l’appartenance à son équipe de soins et la désignation d’un médecin traitant ou coordinateur de soins. Des accès temporaires en cas d’urgence ( bris de glace de quinze minutes) sont possibles après saisie d’un motif, sauf opposition a priori du patient.
Le portail prend également en compte le niveau de confidentialité de chaque document transmis selon le cadre d’interopérabilité des systèmes d’information en santé, afin d’en déterminer l’accessibilité et les possibilités de bris de glace au sein de l’équipe de soins.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l'information et les droits des personnes :
Les patients et les représentants qu’ils désignent sont informés du traitement de données à caractère personnel les concernant au moyen d’un formulaire d’information, dans les conditions générales d’utilisation du service et par des mentions sur le site internet du programme TERR-eSANTE permettant d’accéder à la plateforme. Par ailleurs, les conditions générales d’utilisation du service détaillent les obligations du professionnel de santé en matière d’information du patient, de recueil du consentement et d’exercice des droits prévus par la loi Informatique et Libertés.
Le consentement des patients sera recueilli par le professionnel de santé de manière dématérialisée.
Concernant les aidants, la note d’information précise que le patient est tenu d’informer les personnes pour lesquelles des données à caractère personnel sont renseignées au bénéfice de son compte.
Les professionnels sont informés du traitement de données à caractère personnel les concernant dans les conditions générales d’utilisation du service.
L’existence et les modalités d’exercice des droits d’accès, de rectification et d’opposition, tels que reconnus par la loi Informatique et Libertés, sont explicitées sur les supports d’information précités.
La Commission demande que les personnes concernées soient également informées de leur droit de définir des directives relatives au sort des données à caractère personnel les concernant après leur mort, ainsi que de la durée de conservation des catégories de données traitées, conformément aux dispositions de l’article 32 de la loi Informatique et Libertés.
Sous cette réserve, la Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
Le traitement envisagé s’appuie sur une plateforme d’interopérabilité et d’échanges permettant le partage d’informations à travers les logiciels des professionnels de santé, complétée d’un portail internet pour les professionnels de santé, les patients et le grand public. La plateforme permet également de rendre accessibles des services ou des fonctionnalités hébergés par d’autres applications régionales ou nationales.
Sur les échanges de données :
Les échanges sont réalisés via des canaux de communication isolés, cloisonnés et chiffrés, reposant sur le réseau privé de l’ENRS (Espace numérique régional de santé) et sur des serveurs d’échanges mutuellement authentifiés pour les tiers interopérables. L’accès au portail internet est sécurisé par HTTPS. A cet égard, la Commission recommande d’utiliser le protocole TLS dans une version la plus à jour possible.
Un patient peut demander à récupérer l’ensemble de ses données médicales et administratives. Elles lui seront fournies sur support électronique (par exemple : cédérom, clé USB) ou sur papier. A cet égard, la Commission recommande de vérifier préalablement l’identité du patient demandeur ou de ses ayants droit. Le cas échéant, elle recommande de protéger la confidentialité et l’intégrité des données électroniques en les chiffrant et en envoyant la clé par un canal de communication distinct.
Pour faciliter le règlement des factures, la plateforme peut communiquer avec un système de paiement en ligne (par exemple, TIPI pour les établissements publics) et lui transmettre les références du paiement, mais elle ne traitera en propre aucune donnée bancaire attachée au patient ou à l’établissement bénéficiaire (RIB, numéro de compte, banque, etc.).
Pour la gestion des rendez-vous médicaux, le GCS D-SISIF a pour objectif de fédérer l’ensemble de l’offre de soins du territoire et notamment les professionnels de santé ayant adopté un service de prise de rendez-vous en ligne.
Il travaille actuellement avec les sociétés éditrices de ces services afin de permettre à un patient de prendre facilement rendez-vous depuis le portail TERR-eSANTE tout en alimentant en retour son agenda sur le portail.
Sur l’identification des utilisateurs et des structures et les habilitations :
L’identification des professionnels de santé et des structures interagissant avec les applications et services proposés par la plateforme repose sur un annuaire régional centralisé. Des profils d'habilitation sont mis en œuvre par la plateforme TERR-eSANTE afin de gérer les accès aux données en tant que de besoin.
La création d’un dossier patient dans TERR-eSANTE peut être effectuée par un professionnel de santé, depuis un outil externe (par exemple : un logiciel de gestion de cabinet, un système d’information hospitalier) ou depuis le portail professionnel. Il peut alors renseigner une adresse de messagerie pour le patient ou un représentant du patient afin de l’inviter à confirmer ses principaux traits d’identité et saisir un mot de passe pour créer son accès personnel sur le portail patient.
Un patient ou un représentant a également la possibilité de créer lui-même son accès sur le portail. Il bénéficie alors de certains services comme l’agenda et le paiement en ligne, mais son identité devra être vérifiée par un professionnel de santé afin de créer un dossier patient et permettre les échanges de données.
Dans le cadre du processus d’identito-vigilance régional, les données d’identité du patient alimentent le SRI permettant de rapprocher les identités d’un même patient au sein des différents systèmes et d’échanger des données sur la base de cette identité régionale .
La Commission recommande de fixer une durée d’inactivité au-delà de laquelle un accès patient sera automatiquement suspendu.
Au démarrage du programme TERR-eSANTE, les comptes des professionnels de santé seront initialisés par le chargement d’un fichier validé par le GCS D-SISIF. Dans le cas de professionnels ne disposant pas de carte de professionnel de santé (CPS), le GCS D-SISIF signera un document attestant l’identité du compte utilisateur afin d’autoriser une authentification par mot de passe à usage unique (one-time password, OTP). En outre, l’ouverture effective de l’accès à la plateforme s’appuiera sur un courriel de confirmation.
Par la suite, les demandes de création de comptes seront traitées par l’équipe support TERR-eSANTE qui contactera le professionnel demandeur pour vérifier son identité et sa spécialité en s’appuyant sur les annuaires régionaux. L’équipe support pourra alors créer le compte du professionnel, lui affecter ses habilitations et, après en avoir confirmé le besoin, lui ouvrir la possibilité d’une authentification par OTP.
A cet égard, la Commission recommande que les créations de comptes et les habilitations d’accès soient validées par un référent applicatif nommé par le directeur du GCS D-SISIF.
Une revue des droits d’accès sera effectuée tous les six mois afin de s’assurer qu’un utilisateur est toujours en poste avec un besoin d’accès à la plateforme, en s’appuyant notamment sur les annuaires régionaux. Dans la négative, le compte sera désactivé, de même que les comptes non utilisés depuis plus d’un an. Les habilitations seront également revues tous les six mois pour tenir compte des changements de poste et de fonction des utilisateurs.
Enfin, la liste des profils d’habilitation sera revue tous les six mois pour suivre les évolutions de la plateforme et de la réglementation.
Sur l’authentification des utilisateurs :
La connexion et l’authentification des utilisateurs pour l’ensemble des applications et des services proposés par TERR-eSANTE reposent sur le composant de SSO (Single Sign On) mis à disposition par l’ENRS.
Les patients et les représentants de patients se connectent à l’aide d’un identifiant et d’un mot de passe, initialisé par l’utilisateur à la première connexion puis renouvelé tous les quatre-vingt-dix jours. Un dispositif limite le nombre de tentatives de connexion.
Au vu de ces mesures de sécurité, la Commission considère que la structure des mots de passe des patients – à savoir huit caractères minimum, comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux – est conforme à ses recommandations.