AgentPublic/cnil huggingface dataset:
l'actuel CCTIRS. Il ajoute  aux domaines d'expertise des membres du comité les sciences humaines et  sociales et le traitement des données à caractère personnel. Les candidats sont nommés par arrêté conjoint du ministre chargé de  la recherche et du ministre chargé de la santé, après appel à  candidatures public et sur proposition d'un comité de sélection. La  composition du comité de sélection sera fixée par arrêté de ces  ministres. Parmi les candidats, au moins trois personnes seront choisies par la  Caisse nationale d'assurance maladie des travailleurs salariés  (CNAMTS), l'Agence nationale de santé publique (ANSP) et l'Institut  national de la santé et de la recherche médicale (INSERM) pour leur  connaissance des données de santé, et proposées au comité de sélection. La commission s'interroge sur l'interprétation à donner à l'article  25 tel qu'il résulte du projet, spécialement sur la faculté qu'aurait  chacun des trois organismes de choisir plusieurs candidats. Le projet d'article 26 prévoit que le CEREES sera saisi pour avis de  toute demande de mise en œuvre des traitements de données à caractère  personnel ayant pour finalités la recherche, l'étude ou l'évaluation  dans le domaine de la santé et n'impliquant pas la personne humaine,  conformément au 2° du II de l'article 54 de la loi Informatique et  Libertés. La commission relève par ailleurs que le projet d'article 26  ajoute l'INDS aux organismes disposant de la faculté de consulter le  CEREES. Enfin la
commission relève que le projet d'article 26 prévoit la publication par l'INDS des avis du CEREES. Le projet d'article 27 prévoit, notamment, les règles relatives aux  réunions du CEREES qui se tiendront au moins douze fois par an, le  président ayant la possibilité de fixer des réunions supplémentaires. Le  projet d'article 27 prévoit également que chaque dossier sera évalué  par deux membres du CEREES, sauf exception motivée par le président, qui  assure la distribution des dossiers entre les membres du comité en  fonction de leurs compétences. La commission propose que ces précisions, qui ne figurent pas dans  la version en vigueur du décret, soient intégrées dans le règlement  intérieur du comité dont l'adoption est prévue par ces mêmes  dispositions. Par ailleurs la commission prend acte de ce que le projet d'article  27 prévoit que le comité peut se prononcer sans débat sur des  traitements similaires à ceux déjà examinés, ce qui devrait permettre  d'accélérer les procédures d'instruction. Enfin la commission prend acte de ce que les experts extérieurs sont  choisis par le président du comité sur proposition de ses membres. A cet égard, elle recommande que le décret prévoie des règles  propres à garantir la transparence des liens d'intérêts des experts et à  prévenir les conflits d'intérêts. Le projet d'article 28 prévoit notamment que les conditions  d'indemnisation des membres du comité et des experts extérieurs sont  fixées par arrêté conjoint des ministres chargés
du budget, de la santé  et de la recherche. L'article 29 prévoit, de même que la version en vigueur du décret,  une durée de conservation des dossiers, rapports, délibération et avis  de dix ans minimum, avant leur versement aux Archives nationales. Dans la mesure où ces dossiers sont susceptibles de contenir des  données à caractère personnel, la commission demande que la durée  proposée soit une durée maximale, conformément aux dispositions de  l'article 6 (5°) de la loi Informatique et Libertés. L'article 30 prévoit que le CEREES établit un rapport annuel. Ce  dernier sera adressé au ministre chargé de la recherche, au ministre  chargé de la santé, des affaires sociales et de la sécurité sociale  ainsi qu'au président de la CNIL. L'article 32 prévoit la faculté pour le ministre chargé de la  recherche, ou le ministre chargé de la santé, des affaires sociales et  de la sécurité sociale de demander au CEREES de rendre un avis dans un  délai de quinze jours en cas d'urgence. Sur la composition et le fonctionnement des CPP : L'article 33 du décret renvoie aux  articles R. 1123-1 et suivants du code de la santé publique  concernant la composition et le fonctionnement des comités de  protection des personnes prévus par les articles L. 1123-1 et suivants  du même code. Sur les procédures simplifiées : Le projet d'article 34 du décret détaille les modalités d'homologation des méthodologies de référence. La commission relève qu'il n'est plus tait mention de la nécessité  de fixer
par voie d'arrêté la liste des organismes publics et privés  représentatifs pouvant participer aux concertations relatives à ces  textes, comme le prévoit l'article 27 du décret actuellement applicable.  La commission, qui précise que cet arrêté prévu par le décret  actuellement applicable n'a pas été publié, en prend acte. Le projet d'article 34-1 du décret prévoit que l'INDS peut adresser à  la commission des propositions de recommandations rendues publiques  relatives aux traitements visés au chapitre IX de la loi Informatique et  Libertés. La commission considère qu'une procédure de concertation avec l'INDS  et les organismes publics et privés représentatifs serait préférable,  ce qui nécessiterait alors une modification du texte. En outre, la commission relève que le projet de décret tend à  définir le champ d'application des recommandations pouvant être adoptées  par elle, en précisant que  ces recommandations peuvent s'appliquer à  des catégories d'opérations pouvant constituer des étapes indépendantes  de traitements automatisés , et que les dossiers de demande peuvent se  référer à ces recommandations. Afin de garantir la lisibilité du dispositif, et plus spécifiquement  la distinction entre les propositions de recommandations de l'INDS et  les recommandations de la commission, elle demande que le projet soit  modifié. Elle demande également que la notion d' étapes indépendantes  de traitements automatisés  soit précisée. Le projet d'article 34-2 prévoit que
lorsque le responsable d'un  traitement ou d'une catégorie de traitements similaires de données à  caractère personnel a pris un engagement de conformité à l'une des  méthodologies de référence homologuées conformément à l'article 34, seul  cet engagement est envoyé à la commission qui en accuse réception. Dès  lors, le responsable du traitement ou des traitements déclarés conformes  peut le ou les mettre en œuvre. Le responsable des traitements tient à  jour la liste des traitements entrant dans le cadre d'un engagement de  conformité . Le projet d'article 34-2 prévoit en outre que  pour les traitements  qui ne sont pas enregistrés dans le répertoire public mentionné à l' article L. 1121-15 du code de la santé publique, les traitements sont enregistrés dans un répertoire public mis à disposition par le secrétariat unique . L'article 34-3 du décret décrit les modalités d'homologation par la  commission des conditions de mise à disposition des jeux de données  agrégées ou échantillons mentionnés à l'article 54-V de la loi  Informatique et Libertés. Il prévoit pour ce faire que les demandes  d'homologation sont transmises à la commission accompagnées d'un avis du  CEREES. La décision de la commission devra être rendue dans un délai de  trois mois, assortie de ses motivations en cas de refus. La commission demande que le décret prévoie la possibilité de proroger ce délai. L'article 34-4 prévoit pour les responsables de traitement  l'obligation de tenir à jour la liste et les
caractéristiques du  traitement mis en œuvre et autorisé en application de l'article 54-VI de  la loi Informatique et Libertés. La commission relève par ailleurs que les dispositions de l'article  32 et du deuxième alinéa de l'article 35 du décret actuellement en  vigueur ne figurent plus dans le projet de décret qui lui a été soumis  pour avis. Sur les modalités d'information des personnes intéressées : L'article 35 détaille les modalités d'information des personnes  concernées. A cet égard, l'alinéa 3, relatif à l'utilisation des données  initialement recueillies pour un autre objet que le traitement  envisagé, exclut les cas prévus aux II et III de l'article 57 de la loi  Informatique et Libertés de ceux dans lesquels les personnes concernées  sont informées par écrit par le professionnel de santé en contact direct  avec elles et effectivement chargé de leur prise en charge  thérapeutique. Dans la mesure où le premier alinéa de l'article 35 indique que ses  dispositions ne s'appliquent pas lorsqu'une dérogation à l'obligation  d'informer est accordée, la commission propose de supprimer, dans le  projet d'article 35 (3°), la mention du II de l'article 57 de la loi  précitée, relatif aux dérogations à l'obligation d'information pouvant  être accordées par la commission. L'article 36 détaille les conditions d'information des personnes  concernées s'agissant des traitements réalisés dans le cadre de  l'article 57-III de la loi Informatique et Libertés et de l' article L.
1461-3 du code de la santé publique,  à savoir les recherches, les études ou les évaluations recourant à des  données de santé à caractère personnel non directement identifiantes  recueillies à titre obligatoire et destinées aux services ou aux  établissements de l'Etat ou des collectivités territoriales ou aux  organismes de sécurité sociale et contenues dans le Système national des  données de santé (ci-après le  SNDS ). L'information des personnes concernées consistera en une mention  figurant sur le site intemet des établissements de santé, des  établissements médico-sociaux et des organismes d'assurance maladie  obligatoire et sur d'autres supports, notamment des affiches dans les  locaux ouverts au public ou des documents qui seront remis aux personnes  intéressées. L'article 36 précise aussi que cette information est  effectuée sous la responsabilité des directeurs des établissements de  santé, des directeurs des établissements médico-sociaux et des  directeurs des organismes d'assurance maladie obligatoire, précision qui  ne paraît pas utile puisque que l'information des personnes concernées  est une obligation légale du responsable de traitement, réalisée sous la  responsabilité de son ou ses représentants. La commission suggère que cette information soit également relayée  par les organismes d'assurance maladie complémentaire, dans la mesure où  l' article L. 1461-1 (5°) du code de la santé publique  prévoit que le SNDS contient  un échantillon représentatif des
données  de remboursement par bénéficiaire  transmis par ces organismes. L'article 38, relatif au droit d'opposition des personnes concernées  prévoit notamment que ce droit ne peut s'exercer dans le cas prévu par  l'article R. 1461-6 du code de la santé publique. La commission indique que l'article visé ne figure pas à ce jour dans le  code de la santé publique, mais dans un projet de décret dont elle a été saisie pour avis concomitamment au projet de décret modificatif du  décret N° 2005-1309.  A cet égard, il convient de préciser que le projet d'article R. 1461-6  du code de la santé publique porte sur la sécurité des données, et n'est  donc pas relatif aux droits des personnes. Il semble que les dispositions visées soient celles de l'article R.  1461-7-Il qui prévoient notamment que le droit d'opposition des  personnes concernées s'exerce sauf dans les cas prévus par l'article L.  1461-3 (1,  2°) du code de la santé publique,  à savoir dans le cas des traitements prévoyant un accès aux données du  SNDS et nécessaires à l'accomplissement des missions des services de  l'Etat, des établissements publics ou des organismes chargés d'une  mission de service public compétents. La commission suggère, afin d'améliorer la lisibilité du projet, que  celui-ci opère un renvoi vers les dispositions législatives du code de  la santé publique. L'article 3 du projet de décret abroge le chapitre V du titre II du décret du 20 octobre 2005. Sur l'entrée en vigueur et les dispositions
transitoires : L'article 5 relatif à l'entrée en vigueur du décret prévoit que les demandes d'autorisation de traitements relevant du  chapitre IX ou du  chapitre X de la loi n° 78-17  du 6 janvier 1978 susvisée transmises à la Commission nationale de  l'informatique et des libertés, antérieurement à l'entrée en vigueur des  articles 2 et 3 du présent décret, sont examinées selon la procédure  fixée par les dispositions de ces mêmes chapitres, dans leur rédaction  antérieure à la  loi n° 2016-41 du 26 janvier 2016, en vigueur au moment de la transmission de la demande. Par ailleurs, l'article 6 du projet de décret prévoit que les  dispositions des articles 2 et 3 du décret entrent en vigueur à la date à  laquelle l'INDS et le CEREES auront tous deux été créés. Les autres dispositions du projet de décret n'appellent pas d'observation.
La Commission nationale de l'informatique et des libertés, Saisie par la ministre des affaires sociales et de la santé d'une  demande d'avis concernant un projet de décret en Conseil d'Etat relatif  au Système national des données de santé ; Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu le  code de la santé publique, notamment ses articles L. 1461-1 à 7, L. 4113-7 et L. 6113-7 à 9 ; Vu le  code de la sécurité sociale, notamment ses articles L. 115-4, L. 161-28, L. 161-28-1 ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son  rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses  observations, Emet l'avis suivant : La Commission a été saisie par la ministre des affaires sociales et  de la santé (ci-après le  ministère ) d'une demande d'avis sur un  projet de décret en Conseil d'Etat relatif au Système national des  données de santé (ci-après le  projet ). Ce projet fixe le cadre réglementaire du Système national des  données de santé (ci-après le  SNDS ). Il est pris en application des  articles L. 1461-1 et suivants du code de la santé publique (ci-après   CSP ) tels que modifiés par l' article 193 de la loi n° 2016-41 de modernisation de notre système de santé du 26 janvier 2016. Conformément à l' article L. 1461-1 du CSP,  la Caisse nationale de l'assurance maladie des travailleurs salariés  (ci-après la  CNAMTS ) est le responsable du traitement. Le présent projet vise à :
- désigner les organismes chargés de gérer la mise à disposition  effective des données du SNDS et déterminer leurs responsabilités  respectives ; - dresser la liste des catégories de données réunies au sein du SNDS et des modalités d'alimentation du SNDS ; - fixer, dans les limites prévues au  III de l'article L. 1461-3 du CSP,  la liste des services, des établissements ou des organismes bénéficiant  de l'autorisation de traiter les données du SNDS pour les besoins de  leurs missions de service public ; - fixer les conditions de désignation et d'habilitation des personnes autorisées à accéder au SNDS ; - déterminer les modalités selon lesquelles les organismes chargés  de gérer la mise à disposition effective des données du SNDS  garantissent à toute personne qui leur en fait la demande, en  application de l'article 56 de la loi Informatique et Libertés, que ses  données de santé à caractère personnel ne seront pas mises à disposition  dans le cadre du  1° du I de l'article L. 1461-3 du CSP.
La Commission a été concomitamment saisie d'un projet de décret en Conseil d'Etat visant à modifier le  décret n° 2005-1309 du 20 octobre 2005  modifié pris pour l'application de la loi Informatique et Libertés. Ce  projet vise à permettre l'application des dispositions relatives au  traitement du numéro d'inscription au répertoire national  d'identification des personnes physiques en cas d'alerte sanitaire et à  celles relatives à la fusion des chapitres IX et X de la loi  Informatique et Libertés. Un autre décret d'application prévu par l'article 193 de la loi du  26 janvier 2016, relatif aux données à caractère personnel qui, en  raison du risque d'identification directe des personnes concernées, sont  confiées à un organisme distinct du responsable du SNDS et des  responsables des traitements, est attendu pour compléter l'encadrement  du dispositif. A titre liminaire, la Commission observe que le SNDS est susceptible  de permettre l'accès à des données de santé à caractère personnel  concernant l'ensemble des bénéficiaires de l'assurance maladie. Elle  relève également que le nombre d'utilisateurs potentiels du SNDS est  susceptible d'être élevé et que le législateur a prévu que certains de  ces utilisateurs y auront un accès permanent. Dès lors, elle considère que la création de ce nouveau traitement de  données à caractère personnel d'ampleur nationale doit être assortie de  garanties particulières, notamment en termes de gestion des  habilitations, de confidentialité
et de sécurité des données, compte  tenu des risques d'atteinte à l'intimité et à la vie privée des  personnes. Sur la mise à disposition des données du SNDS : Le projet d'article R. 1461-2 prévoit que la CNAMTS peut charger  l'Institut national de la santé et de la recherche médicale (INSERM)  d'assurer la réalisation des extractions et la mise à disposition  effective de données du SNDS. Une convention doit être signée entre ces  deux organismes afin de préciser le service de l'INSERM chargé d'assurer  ces opérations et les responsabilités respectives des parties. Sans préjuger de la légalité du renvoi de la détermination des responsabilités à une convention, alors que l' article L. 1461-7 du CSP  prévoit qu'elle relève du décret en Conseil d'Etat, la Commission  précise que le ministère lui a adressé le projet de convention entre  l'INSERM et la CNAMTS à l'appui de la présente demande d'avis. La Commission relève que le projet de convention prévoit plusieurs  garanties de nature à protéger la confidentialité des données du SNDS :
- le service de l'INSERM disposera d'un correspondant informatique et libertés ; - les modalités de mise à disposition des données doivent être  conformes au référentiel de sécurité du SNDS (pris par un arrêté dont la  Commission a été saisie le 10 octobre) et aux standards de sécurité  fixés par la PGSSI-S ; - l'utilisation du NIR à des fins d'appariement sera effectuée en  conformité avec les textes réglementaires applicables. A cet égard, la  Commission rappelle que l'article L. 1111-8-1-II du CSP prévoit qu'un  arrêté du ministre chargé de la santé, pris après avis de la CNIL, doit  préciser les modalités d'appariement des données à partir du NIR, à des  fins de recherche dans le domaine de la santé ; - il est rappelé l'obligation de ne pas utiliser les données  extraites du SNDS pour des finalités non conformes à celles prévues par  les textes et les autorisations délivrées par la CNIL ; - l'INSERM tiendra des registres de suivi qui seront mis à la  disposition de la CNAMTS et des autorités de contrôle (liste des  extractions de données avec leurs finalités, liste des demandes d'accès  au SNDS avec leur état d'avancement, liste des personnels habilités à  réaliser des extractions, description des mesures de sécurité).
La Commission prend acte de ce qu'elle sera tenue informée de toute  modification substantielle de la convention ainsi que de son éventuel  renouvellement à l'issue du terme initial de 5 ans. Par ailleurs, la Commission relève que le projet de convention  envisage le recours par l'INSERM à des prestataires de service qui  pourraient accéder aux données du SNDS. Elle s'interroge sur la capacité de l'INSERM à recourir à de tels  prestataires dans la mesure où l'article R. 1461-4-1 du projet réserve  l'accès aux données du SNDS, en vue de leur mise à disposition, aux   personnels ou prestataires  s'agissant de la CNAMTS ou aux seuls   personnels dont les missions le justifient  s'agissant de l'INSERM. Plus généralement, elle estime que le recours aux tiers, qu'il  s'agisse de prestataires techniques ou de chercheurs, doit être ponctuel  et strictement encadré afin de ne pas affaiblir la sécurité de  l'ensemble du dispositif. Par ailleurs, le projet d'article R. 1461-4-IV, en ce qu'il prévoit  un encadrement général des habilitations pourrait être interprété comme  octroyant à un organisme bénéficiant d'un accès permanent le pouvoir de  donner accès librement au SNDS aux personnes de son choix. Afin d'éviter une telle interprétation, la Commission demande que le  décret soit précisé et qu'il limite clairement les possibilités  d'habilitation par un organisme disposant d'un accès permanent à son  personnel ainsi qu'aux chercheurs externes et aux prestataires, agissant  au nom et
pour le compte de cet organisme et dans le strict cadre des  missions de ce dernier. Ces accès à des prestataires et chercheurs  devraient en tout état de cause être ponctuels et limités aux seuls  besoins du projet concerné et n'être utilisés qu'à cette fin. La Commission rappelle qu'en vertu de l'article 35 de la loi  Informatique et Libertés, l'intervention d'un sous-traitant doit être  formalisée dans un contrat prévoyant les obligations lui incombant en  matière de protection de la sécurité et de la confidentialité des  données. En application de ce même article, le responsable du traitement  reste tenu d'une obligation de veiller au respect des mesures de  sécurité et de confidentialité mentionnées à l'article 34 de la loi  Informatique et Libertés. Enfin, la Commission estime que le décret devrait rappeler dans son  article R. 1461-5 que tout autre accès aux données à caractère personnel  du SNDS à des fins de recherche, d'étude ou d'évaluation qui n'entre  pas dans le cadre de l'article R. 1461-4 est soumis à la procédure  définie au chapitre IX de la loi Informatique et Libertés. Afin que les recours aux tiers soient efficacement suivis, la  Commission recommande que le registre tenu par le CIL de chaque  organisme détaille les prestataires et chercheurs ayant accès aux  données du SNDS, ainsi que leurs qualités et le périmètre de leurs  accès. Sur la nature des données du SNDS : En vertu de l'article L. 1461-1-I du CSP, le SNDS a vocation à  regrouper les données
de santé ville-hôpital (SNI IRAM-PMSI), les causes  médicales de décès (CépiDC), les données issues des Maisons  départementales des personnes handicapées (MDPH) ainsi qu'un échantillon  de données de remboursement d'assurance maladie complémentaire. Le projet d'article R. 1461-3 détaille les catégories de données  issues de ces différentes sources et précise en son dernier alinéa qu'il   ne comporte aucune autre donnée que celles de ses composantes telles  que prévues à l' article L. 1461-1 du code de la santé publique . Même si le SNDS ne comportera ni les noms et prénoms des personnes,  ni leur NIR, ni leur adresse, des informations relatives à leur prise en  charge médicale, médico-sociale, sanitaire et financière seront  accessibles ainsi que des informations relatives aux arrêts de travail  et au décès. Ainsi, un grand nombre des données appelées à y figurer  sont des données individuelles relatives à la santé qui sont donc des  données sensibles au sens de l'article 8 de la loi Informatique et  Libertés. S'agissant des informations relatives aux professionnels de santé,  le projet d'article R. 1461-3-V prévoit que des numéros d'identification  des professionnels seront utilisés. La Commission rappelle qu'ils  doivent être conservés et gérés séparément des autres données en  application de l'article L. 1461-4-I du code de la santé publique. Le projet d'article R. 1461-3 ouvre la possibilité de constituer des  jeux de données agrégées et semi-agrégées ainsi que des