AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 41, 42 et 70-22 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 86 à 89 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 71 ;
Vu la délibération n° 2019-016 du 21 février 2019 portant désignation des membres de la Commission nationale de l'informatique et des libertés chargés de l'exercice indirect des droits des personnes concernées prévu aux articles 41, 42 et 70-22 de la loi du 6 janvier 1978 modifiée ;
 
Après avoir procédé au vote le 22 février 2019,
Constate :
 
Article 1
M. Marc DANDELOT, conseiller d'Etat honoraire, est élu président du collège des membres en charge de l'exercice indirect des droits.
 
Article 2
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le code de la défense, notamment ses articles R. 2311-7 à R. 2311-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 41, 42 et 70-22 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 86 à 89 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 72 ;
 
Après avoir entendu Mme Marie-Laure DENIS, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Décide :
 
Article 1
Sont désignés, aux fins de l'application de l'article 41 de la loi du 6 janvier 1978 modifiée, les membres suivants de la Commission, spécifiquement habilités à cet effet :
M. Marc DANDELOT, conseiller d'Etat honoraire.
Mme Marie-Laure DENIS, conseillère d'Etat.
M. Bertrand du MARAIS, conseiller d'Etat.
Mme Christine MAUGÜE, conseillère d'Etat.
Mme Sophie LAMBREMON, conseillère honoraire à la Cour de cassation.
M. Alexandre LINDEN, conseiller honoraire à la Cour de cassation.
M. Philippe-Pierre CABOURDIN, conseiller maître à la Cour des comptes.
Mme Sylvie LEMMET-SEVERINO, conseillère maître à la Cour des comptes.
 
Article 2
Les membres de la Commission désignés mènent les investigations utiles dans le cadre de l'exercice indirect des droits des personnes concernées tel que prévu aux articles 41, 42 et 70-22 de la loi du 6 janvier 1978 modifiée. Dans le cadre de ces vérifications, ils sont chargés de faire procéder aux modifications et suppressions nécessaires et de déterminer, en accord avec le responsable du traitement, si le résultat des vérifications menées ainsi que, le cas échéant, les données en cause peuvent être communiqués au requérant.
 
Article 3
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
(Demande d’autorisation n° 918123)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut universitaire européen d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel, nécessitant un accès aux données du Système national d'information inter-régimes de l'Assurance maladie et du fichier national des professionnels de santé de la Caisse nationale de l’assurance maladie ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-8°, 54, 61 et suivants ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 193 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé « Système national des données de santé » ;
Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ; 
Vu l’avis du Comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé du 20 mars 2018 ;
Vu l’avis sur l’intérêt public du Conseil d’administration de l’Institut national des données de santé du 25 septembre 2018 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Financé par l’Union européenne et par les États membres, l'Institut universitaire européen (ci-après « l’Institut ») est une organisation internationale ayant des activités d’enseignement et de recherche. Composé de quatre départements, il propose des contrats doctoraux ainsi que des programmes postdoctoraux.
Sur la licéité du traitement
La présente étude s’inscrit dans le cadre d’un doctorat en économie mené par une étudiante de l’Institut. Ce traitement, réalisé à des fins de recherche scientifique, est nécessaire à l’exécution d’une mission d’intérêt public du responsable de traitement.
Le traitement est donc licite au regard des articles 6 paragraphe 1 point e) et 9 paragraphe 2 point j) du Règlement général sur la protection des données (ci-après « RGPD »).
Sur la finalité du traitement et son caractère d’intérêt public
Le traitement, nécessitant un accès aux données du Système national d'information inter-régimes de l'Assurance maladie (ci-après « SNIIRAM ») et du fichier national des professionnels de santé, a pour finalité la réalisation d’une étude portant sur la féminisation des professions de santé et le dépassement d’honoraires.
La Commission considère que la finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5 paragraphe 1 point b) du RGPD.
Par ailleurs, sous réserve du respect des conditions mentionnées dans l'avis de l'Institut national des données de santé (ci-après « INDS »), la Commission estime que le traitement présente une finalité d’intérêt public, conformément à l’article 54 I de la loi de la loi du 6 janvier 1978 modifiée  (ci-après « loi informatique et libertés »).
Sur les catégories de données traitées
La Commission rappelle que le responsable de traitement ne doit traiter que les données strictement nécessaires et pertinentes au regard des objectifs du traitement.
Sous réserve que ces données puissent être diffusées par la Caisse nationale de l’Assurance Maladie (ci-après « CNAM »), certaines variables seront colligées à partir des bases suivantes :
Le SNIIRAM (notamment la spécialité médicale, le code postal du cabinet/commune d’implantation, les honoraires sur chaque type d’actes) ;
Le fichier national des professionnels de santé (notamment le sexe, âge / date de naissance, le mode d’exercice).
Le traitement inclus dans le cadre de la demande d’autorisation porte sur les données du SNIIRAM et du fichier national des professionnels de santé pour les années 2006 à 2018.
Sur l’application des dispositions liées au SNDS
Les données du SNIIRAM étant issues d’une des bases composant le Système national des données de santé (ci-après « SNDS »), la Commission rappelle que l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce et notamment : 
l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ;
le respect du référentiel de sécurité applicable au SNDS, fixé par l’arrêté du 22 mars 2017 ;
le principe de transparence prévu à l’article L. 1461-3 du code de la santé publique : transmission à l’INDS du protocole, de la déclaration d’intérêts et des résultats.
Sur la durée de conservation des données
Les données à caractère personnel du SNIIRAM et du fichier national des professionnels de santé ne peuvent faire l’objet d’une conservation en dehors de la plateforme de la CNAM par le responsable de traitement. Seuls des résultats anonymes peuvent en être exportés.
La durée d’accès aux données dans la plateforme sécurisée doit être limitée à la durée nécessaire à la mise en œuvre du traitement. Lorsque le responsable de traitement en justifie, l’accès aux données peut être maintenu à l’issue de l’étude, dans la limite de deux ans à compter de la dernière publication relative aux résultats.
Sur la publication des résultats
La Commission rappelle que, lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 56 de la loi «  loi informatique et libertés ».
Sur les catégories de destinataires des données
Seul le responsable du traitement et les personnes habilitées par lui ont accès aux données dans le cadre de la présente autorisation. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur l'information et les droits des personnes
Les données traitées ne provenant pas exclusivement du SNDS, l'article R. 1461-9 du code de la santé publique relatif aux modalités d’information des personnes quant à la réutilisation possible de leurs données à caractère personnel n’est pas applicable en l’espèce.
Conformément à l’article 58 de la loi « informatique et libertés », les personnes auprès desquelles sont recueillies des données à caractère personnel ou  à propos desquelles de telles données sont transmises doivent faire l’objet d’une information individuelle.
Par exception, en vertu de l'article 14 paragraphe 5 point b) du RGPD et de l'article 58 de la loi « informatique et libertés », l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information se révèle impossible, exigerait des efforts disproportionnés, rendrait impossible ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, conformément au RGPD, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
La Commission prend acte que les données n’ont pas été collectées auprès des personnes concernées et qu’il sera fait exception au principe d'information individuelle de ces dernières.
Elle relève qu’en application du RGPD, des mesures appropriées seront mises en œuvre, notamment la diffusion sur le site internet du responsable de traitement d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par l’article 14 du RGPD. En outre, la Commission prend acte de ce que le responsable de traitement complétera cette information collective en utilisant d'autres moyens de diffusion.
Enfin, la Commission rappelle que les droits d’accès, de rectification et d’opposition s’exercent auprès du responsable de traitement.
Sur la sécurité des données et la traçabilité des actions
La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l’étude s'effectue sous la responsabilité du responsable de traitement, y compris chez des tiers agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD ainsi que de l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS.
Les données seront mises à disposition auprès du responsable de traitement par l’intermédiaire de la plateforme de la CNAM.
Seules des statistiques agrégées de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction. 
Sur le principe de transparence
La mise à disposition des données du SNDS et de ses composantes est conçue de façon à rendre compte de leur utilisation à la société civile. À cette fin, l’article L. 1461-3 du code de la santé publique subordonne l’accès aux données du SNDS et de ses composantes à la communication à l’INDS de plusieurs éléments par le responsable de traitement, avant et après les études.
À la fin de l’étude, la méthode et les résultats obtenus devront être communiqués à l’INDS en vue de leur publication. L’enregistrement du traitement et la transmission des résultats sont effectués conformément aux modalités définies par l’INDS.
Autorise, conformément à la présente délibération, l’Institut universitaire européen à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(Saisine n°918105)
La Commission nationale de l'informatique et des libertés,
Saisie par la Fédération française de l’assurance d’une demande d’autorisation de traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données de l’échantillon généraliste des bénéficiaires, aux datamarts et aux données des tableaux de bord du Système national d'information interrégimes de l'Assurance maladie ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la sécurité sociale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-8°, 54, 61 et suivants ; 
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 193 ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé système national des données de santé ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système National des Données de Santé (SNDS) ;
Vu l’arrêté du 19 juillet 2013 relatif à la mise en œuvre du Système national d'information interrégimes de l'assurance maladie modifié ;
Vu l’avis du Comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé du 20 mars 2018 ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés (ci-après « la Commission »)  a été saisie le 28 mars 2018 par la Fédération française de l’assurance (ci-après « la Fédération »), agissant en qualité de responsable de traitement, d’une demande d’autorisation des traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données de l’échantillon généraliste des bénéficiaires (EGB), aux datamarts et aux données des tableaux de bord du Système national d'information interrégimes de l'Assurance maladie (SNIIRAM), composantes du Système national des données de santé (SNDS).
La Fédération française de l’assurance est une fédération représentative réunissant la Fédération française des sociétés d’assurances et le groupement des entreprises mutuelles d’assurance qui, pour l’exercice de ses missions, réalise des études à partir des bases de données médico-administratives. 
Pour ce faire, elle a déposé à la Commission une demande d’autorisation fondée sur l’article 54 de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après « loi informatique et libertés »). La réalisation de ces études implique chaque année la mise en œuvre rapide d’une dizaine traitements de données nécessitant l’accès aux données de l’EGB, aux datamarts et aux données du tableau de bord du SNIIRAM. Si certains traitements sont récurrents, d’autres, liés à l’actualité législative, réglementaire ou conventionnelle, ne peuvent être anticipés. 
Les traitements décrits relèvent du régime de l’autorisation de traitement à des fins de recherche, d’étude ou d’évaluation. La Commission a estimé opportun, au vu des éléments présentés dans le dossier de demande, d’autoriser la mise en œuvre de ces traitements sur le fondement des dispositions des articles  54 IV et 61 et suivants de la loi  « informatique et libertés », dans le cadre d’une décision unique. 
Sur l’application des dispositions liées au SNDS :
Les données de l’EGB, les datamarts et les données des tableaux de bord du SNIIRAM  étant issues d’une composante du SNDS, la Commission rappelle que l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable.
Par ailleurs, la Commission rappelle l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique (ci-après « les finalités interdites ») :
la promotion des produits mentionnés au II de l’article L. 5311-1 en direction des professionnels de santé ou d’établissements de santé ;
l’exclusion de garanties des contrats d’assurance ou la modification de cotisations ou de primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque.
Enfin, la Commission rappelle l’obligation pour les personnes visées à l’article L.1461-3 II du code de la santé publique (les organismes mentionnés au 1° du A et aux 1°, 2°, 3°, 5° et 6° du B du I de l'article L. 612-2 du code monétaire et financier ainsi que les intermédiaires d'assurance mentionnés à l'article L. 511-1 du code des assurances) de :
confier le traitement des données à un bureau d’études ou laboratoire de recherche ayant réalisé un engagement de conformité au référentiel incluant les critères de confidentialité, d’expertise et d’indépendance, fixé par l’arrêté du 17 juillet 2017 ;
ou de démontrer que les modalités de mise en œuvre du traitement rendent impossible toute utilisation des données pour l’une des finalités interdites. 
La Commission prend acte que, compte tenu de ses missions de représentation des entreprises d’assurance et de réassurance, la Fédération ne fait pas partie des personnes visées à l’article L.1461-3 II du code de la santé publique.
Sur la licéité des traitements :
La Fédération est membre de l’Union nationale des organismes d’assurance maladie complémentaire (ci-après « l’UNOCAM ») dont la composition et les missions sont prévues par le code de la sécurité sociale. En tant que représentante des sociétés d’assurance et de réassurance auprès des pouvoirs publics, la Fédération est consultée sur les évolutions du fonctionnement du système de santé et participe à des négociations conventionnelles. Pour mener à bien ses missions, la Fédération a besoin de disposer des données statistiques essentielles à la profession. Pour ce faire, elle réalise des études destinées à lui permettre d’avoir une meilleure connaissance du système de santé français et de ses évolutions. 
Compte tenu des missions du responsable de traitement, les traitements sont nécessaires aux fins des intérêts légitimes qu’il poursuit ainsi et sont, à ce titre, licites au regard de l’article 6 paragraphe 1 point f) du Règlement général sur la protection des données (ci-après « RGPD »). 
Sur la finalité des traitements et leur caractère d’intérêt public :
Les traitements nécessitant un accès aux données du SNDS ont pour finalité la réalisation d’études destinées à lui permettre d’avoir une meilleure connaissance du système de santé français grâce :
à l’évaluation ex-ante et ex-post des impacts financiers des mesures réglementaires ;
à l’évaluation ex-ante et ex-post des impacts financiers des négociations conventionnelles en vue d’émettre des propositions dans le cadre des décisions, concertations et négociations avec les pouvoirs publics ;
au suivi de l’évolution du système de santé par poste de dépenses, sur certains actes ou prestations, par population ou par professionnel de santé. 
La Commission considère que la finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5 paragraphe 1 point b) du RGPD.
Par ailleurs, elle estime que ces traitements, qui s’inscrivent dans les missions dévolues à la Fédération, présentent une finalité d’intérêt public, conformément à l’article 54 I de la loi « informatique et libertés ».
Sur les catégories des données traitées :
La Commission rappelle que le responsable de traitement ne doit traiter, pour chacun des traitements mis en œuvre dans le cadre de la présente décision unique, que les données strictement nécessaires et pertinentes au regard des objectifs des traitements. 
Les données pouvant être consultées sur le portail de la Caisse nationale de l’Assurance maladie (ci-après la « CNAM ») dans le cadre de cette décision unique sont exclusivement :
les données de l’EGB du SNIIRAM ;
les datamarts du SNIIRAM ;
les données des tableaux de bord du SNIIRAM. 
Sur la durée de conservation des données :
Aucune exportation de données à caractère personnel ne peut être réalisée dans le cadre de la présente décision unique.
La durée d’accès aux données dans la plateforme sécurisée pour le traitement envisagé doit être limitée à la durée nécessaire à la réalisation de la recherche, l’étude ou l’évaluation, et ne peut excéder deux ans. 
Sur la publication des résultats:
La Commission rappelle que, conformément à l’article 56 de la loi « informatique et libertés », lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible.
Les résultats des études réalisées dans le cadre de la présente décision unique pourront être adressés aux collaborateurs de la Fédération en charge de ces sujets tels que les collaborateurs de la direction des études et des statistiques et les collaborateurs de la direction santé ainsi que leurs homologues dans les entreprises d’assurance adhérentes à la Fédération.
Sur les catégories de destinataires des données :