AgentPublic/cnil huggingface dataset:
Dans le cas où il serait envisagé d’avoir recours à la pseudonymisation de documents non structurés (comme des comptes-rendus médicaux par exemple), la Commission rappelle qu’une telle opération doit être réalisée avec vigilance, notamment si elle met en œuvre des outils automatisés pour lesquels des erreurs sont susceptibles d’advenir.
Les actions des utilisateurs accédant à l’entrepôt font l’objet de mesures de traçabilité. En particulier, sont tracées les connexions à l’entrepôt (identifiants, date et heure) et les requêtes et opérations réalisées. La Commission recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et de générer des alertes le cas échéant.
La Commission observe que l’entrepôt est accessible uniquement sur le réseau interne du CHU de Lille à partir d’une interface prévue à cet effet. L’accès est sécurisé au moyen du protocole HTTPS. Celui-ci utilise des canaux de communication chiffrés et assure l’authentification de la source et du destinataire. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible.
S’agissant de l’accès aux données pseudonymisées accessibles via l’intranet du CHU, la Commission recommande la mise en place d’une politique d’authentification forte. Elle rappelle en outre que l’accès aux données de santé par des professionnels de santé doit se faire conformément aux référentiels d’interopérabilité et de sécurité en application de l’article L. 1110-4 du code de la santé publique.
La Commission relève toutefois qu’il est envisagé à terme d’ouvrir la possibilité d’accès distant. Elle rappelle à ce titre qu’il conviendra de préciser les modalités de délivrance et les moyens de sécurité mis en œuvre, cela afin d’assurer l’effectivité des mesures au regard des risques que de tels accès pourraient faire peser sur le traitement. 
Concernant la sécurisation des données :
Des mesures sont prévues pour assurer le cloisonnement du traitement. Le réseau fait l’objet de mesures de filtrage ayant pour but de restreindre l’émission et la réception des flux réseaux aux machines identifiées et autorisées.
La Commission note que les mises à jour des logiciels sont installées de manière régulière. Des mesures spécifiques sont prévues pour garantir la disponibilité des données et services. Une politique de lutte contre les maliciels est définie et des logiciels antivirus sont installés et régulièrement mis à jour sur tous les matériels prenant part au traitement. Enfin, une politique de maintenance des environnements informatiques est définie, assurant que des mesures appropriées relatives à la sécurité des données sont mises en œuvre. Les interventions font ainsi l'objet d'une traçabilité.
Une politique de sauvegarde est mise en œuvre. Les sauvegardes sont testées régulièrement afin de vérifier leur intégrité. Le transfert des sauvegardes est sécurisé. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité. De plus, lors de la mise au rebut, le matériel remisé est nettoyé de toute donnée à caractère personnel. Les supports de stockage usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement.
L'accès aux locaux hébergeant les équipements prenant part au traitement est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel. Des mesures de détection et de protection contre les risques d'incendie, de dégâts des eaux et de perte d'alimentation électrique sont proposées. Enfin, un plan de continuité de l’activité est prévu, permettant de reprendre l’activité en réduisant le plus possible l’impact d’un sinistre.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5-1-f et 32 du RGPD. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
Les données seront conservées conformément aux durées de conservation prévues par les dispositions de l’article R. 1112-7 du code de la santé publique pour la conservation des dossiers médicaux des patients.
La Commission considère que les durées de conservation prévues n’excèdent pas la durée nécessaire aux finalités pour lesquelles les données sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.
Autorise, conformément à la présente délibération, le CHU de Lille à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé visant à réaliser des recherches, études et évaluations dans le domaine de la santé.
Pour la Présidente La Vice-Présidente déléguée
Sophie LAMBREMON
(Demande d’autorisation n° 999305)
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier universitaire de Limoges d’une demande d’autorisation concernant un registre général des cancers en région Limousin ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données) ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44-3° et 66-III ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments, et notamment l’analyse d’impact relative à la protection des données ;
Sur la proposition de Mme Valérie Peugeot, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le Centre hospitalier universitaire de Limoges (le CHU de Limoges)
Sur la base légale et la finalité du traitement
Le CHU de Limoges met en œuvre un registre général des cancers en région Limousin.
Ce registre permet un recueil exhaustif des cas de cancers chez les personnes résidant en Haute-Vienne. Les données ainsi regroupées sont utilisées à des fins de surveillance épidémiologique et seront à terme utilisées à des fins de recherche en santé.
Le traitement a pour base légale l’exercice d’une mission d’intérêt public, au sens de l’article 6-1-e du Règlement européen sur la protection des données (ci-après RGPD).
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
Elle estime qu’il y a lieu de faire application des dispositions de l’article 44-3° et 66-III et suivants de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
La Commission rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre, à des fins de recherche dans le domaine de la santé, à partir des données contenues dans l’entrepôt sont des traitements distincts qui doivent faire l’objet de formalités propres au titre des articles 72 et suivants de la loi Informatique et Libertés.
Sur les données traitées
Le registre regroupe les données d’ordre administratif et médical produites par différentes sources d’information, tels que les départements d’information médicale des établissements publics et privés, les caisses d’assurance maladie, les laboratoires d’anatomie pathologique notamment.
Les catégories de données à caractère personnel traitées concernant les patients sont les suivantes :
les données d’identification des patients : les nom, prénom, date de naissance et lieu de naissance, le genre, l’adresse au moment du diagnostic ;
les données de santé des patients en lien avec la pathologie tumorale : les antécédents, l’histoire de la maladie, le diagnostic de la tumeur et ses caractéristiques spécifiques (date de diagnostic, localisation, morphologie, grade de différenciation, comportement tumoral et extension), les résultats des examens complémentaires permettant d’identifier la base du diagnostic, le siège de la tumeur et sa morphologie (prélèvements de liquides biologiques ou d’organes, examens d’imagerie) ;
le statut vital et la date de décès.
Les nom et prénom des médecins traitants des patients sont également recueillis le cas échéant.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
La Commission prend acte de ce que seul le personnel du registre accède aux données nominatives. Toute transmission hors du registre intervient sous forme anonymisée.
Des données anonymes sont envoyées à la base nationale des registres de cancers pour les estimations régionales et nationales. Elles peuvent également être mises à la disposition d’équipes de recherche partenaires du registre.
Sur l’information et les droits des personnes 
Les patients sont informés du traitement de leurs données au sein du registre et de leurs droits par la remise d’une notice d’information par leur médecin traitant ou le médecin les prenant en charge au sein de l’établissement de santé.
Une information est également effectuée par la Caisse d’assurance maladie dans le courrier de notification de prise en charge à 100 % au titre d’une affection longue durée.
Les droits des personnes concernées s’exercent auprès du médecin responsable du registre.
La Commission demande que les supports d’information soient complétés afin de contenir l’ensemble des mentions prévues par les articles 13 et 14 du RGPD.
Sous réserve de la modification des documents d’information, la Commission considère que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
L’équipe du registre est constituée de cinq personnes (un médecin, un gestionnaire des données et trois attachés de recherche). La base de données n’est visible et accessible qu’à cette équipe. Aucun sous-traitant n’a accès aux données ni à la base du registre. La Commission recommande qu’une revue globale des habilitations soit opérée régulièrement, lors des mouvements de personnels et au moins une fois par an.
Les membres de cette équipe ont signé une clause de confidentialité des données.
L’accès aux postes de travail nécessite un identifiant et un mot de passe ou une carte propre à chaque membre du personnel pour l’ouverture de sa session.
L’accès aux données du registre nécessite ensuite deux niveaux d’authentification : une première authentification pour accéder à l’environnement numérique du CHU, puis une seconde authentification pour accéder à la base du registre.
S’agissant de la complexité des mots de passe, la Commission rappelle que la politique mise en place doit être conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
La Commission rappelle que les communications vers les serveurs et applications hébergeant le registre doivent être chiffrées et utiliser des protocoles et algorithmes cryptographiques à l’état de l’art, dans leurs dernières versions. La Commission recommande de même le chiffrement de la base du registre.
Les fichiers électroniques transmis à partir des différentes sources de données ou envoyés aux destinataires sont chiffrés avec des logiciels et algorithmes à l’état de l’art.
Une journalisation des connexions, des accès aux données et des actions des utilisateurs est mise en place. La Commission rappelle que les interventions de maintenance doivent faire l’objet de mesures de traçabilité.
L'accès physique au serveur hébergeant le registre est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.
Des sauvegardes régulières sont réalisées. Elles sont chiffrées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission rappelle que celles-ci doivent être testées régulièrement afin de vérifier leur intégrité.
Un accès à des statistiques agrégées issues du programme de médicalisation des systèmes d’information (PMSI) est mis en place afin de vérifier l’exhaustivité des données du registre. La Commission rappelle que seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction. Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. A défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit être menée.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. À cet égard, elle rappelle qu’il conviendra d’apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour de l’analyse d’impact.
Sur la durée de conservation des données
Le CHU souhaite conserver les données du registre 20 ans à compter de la dernière notification reçue.
Il fait valoir la nécessité pour le registre de conserver l’historique médical et des antécédents du patient en termes de cancer afin de distinguer les récidives des nouveaux cas.
La Commission considère que cette durée de conservation des données n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise, le Centre hospitalier universitaire de Limoges, conformément à la présente délibération, à mettre en œuvre le traitement mentionné.
Pour la Présidente La Vice-Présidente déléguéeSophie LAMBREMON
(Saisine n° 919114)
La Commission nationale de l'informatique et des libertés,
Saisie par la société HEVA d’une demande d’autorisation de traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données nationales du programme de médicalisation des systèmes d’information ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique, notamment ses articles L. 6113-7 et L. 6113-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 193 ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé « Système national des données de santé » ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ;
Vu l’avis du Comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé du 19 mars 2019 ;
Vu l’avis de l’Institut national des données de santé du 8 juillet 2019 sur l’intérêt public présenté par les traitements envisagés par la société HEVA ;
Vu la délibération n° 2019-063 du 09 mai 2019 portant saisine de l’Institut national des données de santé pour avis sur le caractère d’intérêt public présenté par les traitements envisagés par la société HEVA ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Créée en 2005, la société HEVA analyse des données issues du Système national des données de santé pour réaliser des études dans le domaine de la santé. Elle a développé, depuis 2011, l’outil ADAPT (Analyse Dynamique de l’Attractivité, du Positionnement, des Territoires de santé des hôpitaux) conçu comme un outil d’aide à la décision. Ce dernier permet aux établissements de santé d’analyser les filières de soin grâce à un ensemble d’indicateurs calculés à partir des données du programme de médicalisation des systèmes d’information (ci-après « le PMSI ») et de données disponibles en open-data (données de la statistique annuelle des établissements de santé et données de l’outil Hospi-Diag géré par l’agence technique de l’information sur l’hospitalisation).
Sur l’opportunité du recours à la décision unique 
Les activités du responsable de traitement, la société HEVA, impliquent la mise en œuvre de traitements de données du PMSI afin d’alimenter l’outil ADAPT, lequel permet notamment à ses différents utilisateurs de formuler des requêtes. Le nombre de requêtes annuelles est estimé à plusieurs milliers. 
Les traitements décrits relèvent du régime de l’autorisation de traitement à des fins de recherche, d’étude ou d’évaluation.
La Commission a estimé opportun, au vu des éléments présentés dans le dossier de demande, d’autoriser la mise en œuvre de ces traitements sur le fondement des dispositions des articles 66 IV, 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après loi « informatique et libertés »), dans le cadre d’une décision unique.
Sur l’application des dispositions liées au SNDS
Les données du PMSI étant issues d’une des bases composant le Système national des données de santé (ci-après « SNDS »), la Commission rappelle que l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique. 
Sur la licéité des traitements et les conditions permettant de traiter des données concernant la santé
Les traitements mis en œuvre par la société HEVA s’inscrivent dans le cadre de son activité commerciale.
Ils sont nécessaires aux fins des intérêts légitimes poursuivis par le responsable de traitement, prenant en considération le caractère très indirectement identifiant des données et des garanties, notamment en termes de droits des personnes, prévues par les textes encadrant la mise à disposition des données du SNDS.
Ces traitements sont, à ce titre, licites au regard de l’article 6, paragraphe 1 point f) du Règlement général sur la protection des données (ci-après « RGPD »).
En outre, la Commission estime que ces traitements, nécessaires à des fins de recherche scientifique, remplissent la condition prévue à l’article 9 paragraphe 2 point j) du RGPD permettant de traiter des données concernant la santé.
Sur la finalité des traitements et leur caractère d’intérêt public
Les traitements nécessitant un accès aux données du PMSI ont pour finalité la réalisation d’études destinées à la construction d’indicateurs d’activités pour les établissements, groupes d’établissements ou groupements hospitaliers de territoires afin de leur permettre :
d’élaborer des projets médicaux en prenant en compte leur environnement, en termes d’offre de soins et en termes de coûts, et de répondre à leur obligation légale d’analyse de leur activité ;
de planifier l’offre de soins via l’analyse comparative des activités de soins, l’étude des bassins de recrutement (attractivité, fuite), l’étude de collaboration entre établissements d’un périmètre défini ; 
de valoriser l’offre de soins via la réalisation d’indicateurs de pilotage et de valorisation des séjours.
La Commission considère que la finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5 paragraphe 1 point b) du RGPD.
Par ailleurs, sous réserve du respect des conditions mentionnées dans l'avis de l'Institut national des données de santé du 8 juillet 2019, elle estime que les traitements présentent une finalité d'intérêt public, conformément à l’article 66 I de la loi « informatique et libertés ».
Sur les catégories de données traitées
La Commission rappelle que le responsable de traitement ne doit traiter, pour chacun des traitements mis en œuvre dans le cadre de la présente décision unique, que les données strictement nécessaires et pertinentes au regard des objectifs des traitements.
Les données concernant les activités suivantes sont nécessaires à la réalisation de ces études : médecine, chirurgie, obstétrique et odontologie (MCO).
Les traitements inclus dans le cadre de la décision unique portent sur les données nationales du PMSI des années 2018 à 2020, sous réserve qu’elles soient diffusables par l’ATIH.
La Commission rappelle que, conformément à l'article 30 du RGPD, le responsable de traitement devra tenir à jour, au sein du registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente décision unique. Par ailleurs, le caractère adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles les données sont traitées, la zone géographique concernée et la profondeur historique des données consultées devront être justifiés dans ce registre pour chaque traitement mis en œuvre dans le cadre cette décision unique.
Sur la durée de conservation des données 
Les données à caractère personnel du PMSI ne peuvent faire l’objet d’une conservation en dehors de la bulle sécurisée d’HEVA. Seuls des résultats anonymes peuvent en être exportés.
La durée de conservation des données dans la bulle sécurisée doit être limitée à la durée nécessaire à la mise en œuvre des traitements, qui ne saurait être supérieure à trois ans, à compter de l’accès effectif aux données.
Sur la publication des résultats
La Commission rappelle que, lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi « informatique et libertés ».
Les résultats des requêtes réalisées au sein de l’outil ADAPT seront accessibles aux établissements de soins, aux institutions et aux industries de santé utilisateurs de cet outil.
Sur les catégories de destinataires des données 
Seul le responsable du traitement et les personnes habilitées par lui ont accès aux données dans le cadre de la présente décision unique. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.