AgentPublic/cnil huggingface dataset:
Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ;
Vu les avis du Comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé du 20 novembre 2018 et du 18 décembre 2018 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Créée en 2011, la société HosMedis est une société de conseil et d’études spécialisée dans la construction d’indicateurs de l’activité hospitalière à des fins de valorisation de l’offre de soins. Pour ce faire, elle a développé des solutions de pilotage permettant d’analyser les données de santé en vie réelle telles que les données du programme de médicalisation des systèmes d’information (ci-après « PMSI »).
Parmi ces solutions, figurent les outils HospiLink GHT et HospiLink ARS destinés respectivement aux groupements hospitaliers de territoire ainsi qu’aux agences régionales de santé.
Sur l’opportunité du recours à la décision unique 
Les activités du responsable de traitement, et plus particulièrement le développement des applications susmentionnées, impliquent la mise en œuvre d’une centaine de traitements de données du programme de médicalisation des systèmes d’information (PMSI).
Les traitements décrits relèvent du régime de l’autorisation de traitement à des fins de recherche, d’étude ou d’évaluation.
La Commission a estimé opportun, au vu des éléments présentés dans le dossier de demande, d’autoriser la mise en œuvre de ces traitements sur le fondement des dispositions des articles 66 IV, 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après loi « informatique et libertés »), dans le cadre d’une décision unique.
Sur l’application des dispositions liées au SNDS
Les données du PMSI étant issues d’une des bases composant le Système national des données de santé (ci-après « SNDS »), la Commission rappelle que l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique. 
Sur la licéité des traitements et les conditions permettant de traiter des données concernant la santé
Les traitements mis en œuvre par la société HosMedis s’inscrivent dans le cadre de son activité commerciale.
Ils sont nécessaires aux fins des intérêts légitimes poursuivis par le responsable de traitement, au regard du caractère très indirectement identifiant des données et des garanties, notamment en termes de droits des personnes, prévues par les textes encadrant la mise à disposition des données du SNDS.
Ces traitements sont, à ce titre, licites au regard de l’article 6, paragraphe 1 point f) du Règlement général sur la protection des données (ci-après « RGPD »).
En outre, la Commission estime que ces traitements, nécessaires à des fins de recherche scientifique, remplissent la condition prévue à l’article 9 paragraphe 2 point j) du RGPD permettant de traiter des données concernant la santé.
Sur la finalité des traitements et leur caractère d’intérêt public
Les traitements nécessitant un accès aux données du PMSI ont pour finalité la réalisation d’études destinées à analyser et évaluer l’offre de soins sur un territoire ou une région afin de l’adapter et de mesurer les effets des mesures des aménagements pris grâce :
au suivi du projet médical et de la qualité de soins aux fins d’amélioration des filières inter-établissements et inter-champs au sein d’un territoire ;
à la caractérisation des patients ;
à l’évaluation des flux de patients et de leurs parcours de soins ; 
à l’évaluation de l’adéquation de l’offre de soins aux besoins de santé d’un territoire ou d’une région ;
à l’évaluation de l’impact des plans régionaux de santé mis en place sur une région ou un territoire.
La Commission considère que la finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5 paragraphe 1 point b) du RGPD.
Par ailleurs, elle estime que les traitements présentent une finalité d’intérêt public, conformément à l’article 66 I de la loi « informatique et libertés ».
Sur les catégories de données traitées
La Commission rappelle que le responsable de traitement ne doit traiter, pour chacun des traitements mis en œuvre dans le cadre de la présente décision unique, que les données strictement nécessaires et pertinentes au regard des objectifs des traitements.
Outre le fichier spécifique permettant de chaîner toutes les données du PMSI concernant un même patient (fichier « ANO »), les données concernant l’activité suivante sont nécessaires à la réalisation de ces études :
médecine, chirurgie, obstétrique et odontologie (MCO) ;
soins de suite et de réadaptation (SSR) ;
hospitalisation à domicile (HAD) ; 
fichier complémentaire (FICHCOMP).
Les traitements inclus dans le cadre de la décision unique portent sur les données nationales du PMSI des années 2013 à 2020, sous réserve qu’elles soient diffusables par l’ATIH.
La Commission rappelle que, conformément à l'article 30 du RGPD, le responsable de traitement devra tenir à jour, au sein du registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente décision unique. Par ailleurs, le caractère adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles les données sont traitées, la zone géographique concernée et la profondeur historique des données consultées devront être justifiés dans ce registre pour chaque traitement mis en œuvre dans le cadre cette décision unique.
Sur la durée de conservation des données 
Les données à caractère personnel du PMSI ne peuvent faire l’objet d’une conservation en dehors de la plateforme du Centre d’accès sécurisé aux données (ci-après « CASD ») par le responsable de traitement, leur exportation étant interdite. Seuls des résultats anonymes peuvent en être exportés.
La durée d’accès aux données dans la plateforme sécurisée doit être limitée à la durée nécessaire à la mise en œuvre des traitements, qui ne saurait être supérieure à trois ans, à compter de l’accès effectif aux données.
Sur la publication des résultats
La Commission rappelle que, lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi « informatique et libertés ».
Les résultats des études réalisées dans le cadre de la présente décision unique pourront notamment être adressés aux directeurs d’établissements ainsi qu’aux directeurs des agences régionales de santé. 
Sur les catégories de destinataires des données 
Seul le responsable du traitement et les personnes habilitées par lui ont accès aux données dans le cadre de la présente décision unique. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur l’information et les droits des personnes
L'information des personnes concernées, quant à la réutilisation possible de leurs données et aux modalités d'exercice de leurs droits, est assurée dans les conditions prévues à l’article R. 1461-9 du code de la santé publique, ainsi que par une mention figurant sur le site internet du responsable du traitement, des organismes d'assurance maladie et sur des supports permettant de la porter à la connaissance des personnes, notamment des affiches dans les locaux ouverts au public ou des documents qui leur sont remis.
Les droits d’accès, de rectification et d’opposition s’exercent auprès du directeur de l'organisme gestionnaire du régime d'assurance maladie obligatoire auquel la personne est rattachée, conformément aux dispositions de l’article R. 1461-9 du code de la santé publique.
Sur la sécurité des données et la traçabilité des actions 
La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l’étude s'effectue sous la responsabilité du responsable de traitement, y compris chez des tiers agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD ainsi que de l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS.
Les données seront mises à disposition auprès du responsable de traitement par l’intermédiaire du prestataire d’accès sécurisé désigné par l’ATIH, à savoir le CASD.
Seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction.
Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n°05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de réidentification doit être menée.
La Commission relève que, sous réserve d’une réévaluation régulière des risques, aucun résultat n’est accessible dans les applications HospiLink GHT et HospiLink ARS lorsque le nombre de personnes concernées est strictement inférieur à dix. 
La Commission attire cependant l’attention du responsable de traitement sur le fait que la suppression des résultats contenant de petits effectifs peut ne pas être suffisante pour respecter les trois critères définis par l’avis n°05/2014 précité et qu’une analyse complète de ses processus d’anonymisation doit être menée.
Sur le principe de transparence
La mise à disposition des données du SNDS et de ses composantes est conçue de façon à rendre compte de leur utilisation à la société civile. À cette fin, l’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à l’Institut national des données de santé (INDS) de plusieurs éléments par le responsable de traitement, avant et après les études.
Ainsi, le responsable de traitement s’engage à enregistrer auprès du répertoire public tenu par l’INDS l’ensemble des études réalisées dans le cadre de cette décision unique. Cet enregistrement, à effectuer par le responsable de traitement ou la personne agissant pour son compte, avant le début des traitements, s’accompagne de la transmission à l’INDS d’un dossier comportant :
le protocole, incluant la justification de l’intérêt public, ainsi qu’un résumé, selon le modèle mis à disposition par l’INDS ;
la déclaration d’intérêts du responsable du traitement, en rapport avec l'objet des traitements.
À la fin des études, la méthode et les résultats obtenus devront être communiqués à l’INDS en vue de leur publication. L’enregistrement des traitements et la transmission des résultats sont effectués conformément aux modalités définies par l’INDS.
Par ailleurs, la Commission prend acte de l’engagement de la société HosMedis de mettre en œuvre des efforts de transparence supplémentaire vis-à-vis de la société civile à travers la publication annuelle sur son site internet de la liste des traitements réalisés dans le cadre de la décision unique ainsi que des résultats agrégés des évaluations effectuées à partir des données du PMSI.
Sur les audits externes 
Le responsable de traitement devra réaliser en son sein un audit externe indépendant à l’expiration du délai de trois ans en vue de s'assurer du respect des principes portés par la loi, en particulier le respect des finalités interdites. Cet audit devra porter sur les finalités poursuivies et sur l'utilisation par le responsable de traitement des résultats des études réalisées. Un rapport d'audit devra être transmis au président du comité d'audit du SNDS prévu par la loi « informatique et libertés ».
Autorise, conformément à la présente délibération, la société HosMedis à mettre en œuvre les traitements décrits ci-dessus pendant une durée de trois ans, avec obligation, d’une part, de remise d’un bilan à la Commission à l’issue de ce délai et, d’autre part, de réaliser d’un audit externe indépendant.
La Présidente
Marie-Laure DENIS
(Demande d’autorisation n° 2107243 V1)
La Commission nationale de l'informatique et des libertés,
Saisie par la société IQVIA Opérations France d’une demande de modification de l’autorisation d’un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données à caractère personnel en oncologie, à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique, notamment son article L. 1461- et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment sa section 3 relative aux traitements de données à caractère personnel dans le domaine de la santé et ses articles 44-3° et 66 III ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-347 du 21 décembre 2017 autorisant la société IQVIA Opérations France à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données à caractère personnel en oncologie à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ;
Vu le dossier et ses compléments, notamment l’analyse d’impact relative à la vie privée produite en date du 29 janvier 2019 ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société IQVIA Opérations France (ci-après, « IQVIA »), société par actions simplifiée à associé unique, issue de la fusion des sociétés IMS Health, dont le cœur de métier historique est la fourniture de données actualisées régulièrement sur les volumes de médicaments vendus en pharmacie, et Quintiles, spécialisée dans les études et le conseil pour les industries du médicament et les acteurs de la santé.
Sur la finalité
IQVIA est à l’initiative de la création d’un réseau de données en oncologie, dont l’objectif est de décrire les usages de médicaments anticancéreux en pratique clinique en Europe, en se dotant d’un entrepôt de données dédié à l’oncologie et d’une plateforme dénommée « Co-Track » dédiée à son exploitation.
Cet entrepôt est constitué à partir des données en oncologie des établissements et services de santé, répartis sur le territoire français et européen, membres du réseau. Il est alimenté par des données issues des systèmes d’information des établissements et services de santé ayant un lien contractuel avec IQVIA. Selon IQVIA, hormis le versement d’une indemnité exclusivement destinée à couvrir les investissements et les dépenses effectués par l’établissement pour le déploiement du dispositif, aucune rémunération n’est versée aux établissements et services de santé ; ceux-ci disposent gratuitement, en retour, des analyses produites.
La constitution de l’entrepôt de données de santé à caractère personnel a vocation à permettre de mener des études portant sur l’évaluation et l’analyse des pratiques et activités de soins actuelles en oncologie.
Plus précisément, pourront être réalisées des études longitudinales sur la prise en charge thérapeutique d’un patient ou d’un groupe de patients en oncologie, sur l’utilisation effective en temps réel des produits d’oncologie et leur modalité de prescription, sur l’accès aux soins et aux traitements innovants, sur l’observance ou compliance aux bonnes pratiques et traitements de référence par les praticiens membres du réseau, sur des analyses comparatives de l’usage des traitements anti-cancéreux dans le cadre d’autorisations temporaires d’utilisation (ATU) ou après autorisation de mise sur le marché (AMM) des produits, des analyses de patients (« screening ») pour améliorer la conception et le recrutement des essais cliniques et accélérer l’identification des patients qui pourraient bénéficier d’essais cliniques, sur le pilotage médical visant à optimiser l’organisation des soins, sur des évaluations et analyses médico-économiques.
La Commission considère que la finalité du traitement présentée est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
Concernant l’exigence, posée par l’article 44-3° de la loi, de l’existence d’un intérêt public afin de traiter des données à caractère personnel de santé en dehors des activités de soins ou du consentement des personnes concernées, la Commission relève que la satisfaction de l’intérêt public n’est pas réservée aux seules personnes publiques.
Au cas présent, certaines des finalités, telles que présentées par la société IQVIA, visent à disposer d’une meilleure connaissance des traitements anti-cancéreux innovants. Selon la société, il s’agit, par une exploitation facilitée de données collectées en quasi temps réel, de permettre, tant au bénéfice des acteurs privés que des acteurs publics, des recherches dans le domaine médical (comme la veille et la réalisation d’études épidémiologiques, médico-économiques, d’observance, l’analyse de la pratique médicale actuelle en oncologie)  ou d’éclairer les pouvoirs publics dans leur prise de décision en matière de politique de santé (modifications de la consommation d’un traitement anti-cancéreux, fixation de prix et accès aux traitements par les patients, etc.). 
La Commission considère que la constitution de cet entrepôt de données issues des systèmes d’informations hospitaliers à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, présente un intérêt public.
La Commission tient à rappeler que les utilisations futures des données contenues dans cet entrepôt s’inscrivent dans le cadre des dispositions des articles 72 et suivants de la loi qui imposent également que chaque demande de recherche, étude ou évaluation réponde à une exigence d’intérêt public. Ainsi, la Commission estime que l’utilisation des données contenues dans le traitement qui sera mis en œuvre par IQVIA ne saurait, par analogie aux finalités interdites d’utilisation du système national des données de santé (SNDS), être exploitées à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d'un individu ou d'un groupe d'individus présentant un même risque. De même, la Commission rappelle l’interdiction de constituer et d’utiliser, à des fins de prospection ou de promotion commerciales, des fichiers composés à partir des données issues directement ou indirectement des prescriptions médicales, dès lors que ces fichiers permettent d’identifier directement ou indirectement le prescripteur (article L. 4113-7 du code de la santé publique).
Le circuit de validation du projet de recherche, étude ou évaluation est le suivant : chaque projet est examiné par IQVIA au regard des règles qui auront été définies par le CASC puis transmis au représentant de la société IQVIA, siégeant au sein du CASC. Ce représentant, décisionnaire sur le projet, a notamment la possibilité de saisir le CASC avant de se prononcer. Dans tous les cas, le projet et la décision prise sur le projet par IQVIA est communiqué au CASC et au CAG compétent avec la possibilité pour le CASC de revenir sur une décision d’IQVIA qui ne lui paraitrait pas conforme. La Commission prend acte de ce mécanisme d’examen des projets mis en place et de ce que le représentant d’IQVIA au sein du CASC et du CAG est désigné pour assurer une mission de liaison entre ces comités et IQVIA et qu’il ne prendra pas part à leurs décisions.
Enfin, la Commission prend acte :
de ce que la publication des résultats des projets de recherche, d’étude ou d’évaluation sera examinée au cas par cas selon des modalités identiques à celles décrites ci-dessus ;
de l’engagement d’IQVIA de publier chaque année une synthèse des types d’analyses produites depuis les données de l’entrepôt ;
de l’engagement d’IQVIA de communiquer à la CNIL un rapport annuel sur le fonctionnement de l’entrepôt de données et les requêtes réalisées depuis celui-ci. Ce rapport devra notamment comprendre un bilan relatif à l’information et aux droits des personnes.  
Sur les données traitées
Les données suivantes seront collectées : 
concernant le patient de l’établissement partenaire : 
un identifiant unique - autre que le numéro d’inscription au répertoire des personnes physiques (NIR) -  permettant de suivre un même patient pris en charge au sein d’un ou plusieurs établissements, composé à partir de l’identifiant du patient au sein de l’établissement, des nom, prénom, date de naissance, code postal de résidence et sexe de la personne ;
la date de naissance, le statut vital et la date de décès le cas échéant, le sexe, l’identifiant patient local, des informations relatives au diagnostic, au plan de traitement, à la dispensation et administration du traitement, à la fin du traitement et des informations concernant l’établissement de santé (le numéro FINESS et l’adresse) ;
concernant le prescripteur de l’établissement partenaire :
le numéro d’identification dans le répertoire partagé des professionnels de santé (RPPS), le mode et type d’exercice, la spécialité médicale, l’identifiant de l’établissement de santé et localisation géographique, date et heure de prescription et de modification de prescription le cas échéant ;
concernant l’utilisateur de la plateforme désigné par  l’établissement partenaire : l’adresse de courrier électronique.
La Commission prend acte de ce que la date de naissance sera transformée en année de naissance, que les date et heure d’enregistrement des données de prescription seront transformées en date du jour et que l’identifiant local du patient fait l’objet d’un mécanisme de pseudonymisation.
La Commission considère que les données traitées sont adéquates, pertinentes et limitées au regard de la finalité poursuivie, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
Les clients visés par la société IQVIA sont principalement les établissements et services de santé partenaires, les industriels du secteur de la santé et, le cas échéant, les pouvoirs publics.
La Commission relève que les clients d’IQVIA ne seront pas destinataires de données individuelles relatives aux patients des établissements de santé ou des services de santé. Les études fournies par le responsable de traitement à des tiers ne contiendront que des données rendues parfaitement anonymes au sens de l’avis n°05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G 29) le 10 avril 2014.
La Commission considère que les catégories de destinataires et les modalités de communication des résultats n’appellent pas d’observation. 
Elle attire toutefois l’attention du responsable de traitement sur les obligations qui lui incombent en matière de confidentialité des données et rappelle qu’il doit :