AgentPublic/cnil huggingface dataset:
La finalité du traitement est de permettre le recueil d’informations relatives aux caractéristiques des patients traités par NINTEDANIB, à l’utilisation effective du médicament et aux effets indésirables graves ou inattendus résultant de cette utilisation. Cette surveillance particulière, prévue par l’article L. 5121-12 du code de la santé publique, s’effectue conformément à un protocole d’utilisation thérapeutique pour chaque ATU, visé par l’ANSM.La Commission considère que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.Les ATUs NINTEDANIB répondent à un besoin thérapeutique en permettant la délivrance et la prise en charge d’un médicament utile aux patients tout en fournissant un cadre qui apporte des garanties de sécurité d’emploi.La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données traitées concernent les patients auxquels le médicament sous ATU a été prescrit. Ces données sont collectées, par l’intermédiaire des professionnels de santé dispensateurs du médicament, à l’occasion du suivi médical des patients. Il s’agit de :
Les destinataires des données sont les personnels dûment habilités du laboratoire Boehringer Ingelheim France, à savoir des membres des départements en charge de la pharmacovigilance, des affaires médicales et des opérations cliniques.L’habilitation à consulter des données de santé à caractère personnel ne peut être attribuée qu’à des personnes soumises au secret médical et dans la stricte limite de leurs missions.Le laboratoire Boehringer Ingelheim France fait appel à un prestataire pour mettre en œuvre les ATUs NINTEDANIB. Cette prestation fera l’objet d’un accord contractuel définissant les opérations susceptibles d’être réalisées à partir des données transmises, ainsi que les engagements que le prestataire prend concernant la garantie de leur sécurité et de leur confidentialité, l’interdiction de les utiliser à ses propres fins et leur absence de conservation à l'issue de la prestation.Peuvent également être destinataires de données, sous une forme agrégée (rapports périodiques), les organismes publics nationaux ou locaux en charge de la surveillance des médicaments sous ATU dans le cadre de l'exercice de leurs missions telles que définies par les textes : l’ANSM, les centres régionaux de pharmacovigilance, les centres anti-poison.Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les professionnels de santé prescripteurs ont l’obligation d’informer les patients des modalités de mise à disposition exceptionnelle du médicament, des caractéristiques du médicament (notamment des bénéfices, risques et contraintes) et des modalités de surveillance auxquelles la prescription est soumise.Une note d’information sera remise au patient par son médecin prescripteur. Cette note d’information précisera les objectifs de l’ATU, les données recueillies et les droits reconnus aux patients, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée.S’agissant des professionnels de santé, une mention, reprenant les différentes informations devant être communiquées aux personnes dont les données à caractère personnel sont traitées, est insérée dans un courrier qui leur est adressé par le laboratoire Boehringer Ingelheim France.Les professionnels de santé peuvent exercer leurs droits d'accès et de rectification auprès de Boehringer Ingelheim France.S’agissant des patients, ces droits s’exercent auprès du professionnel de santé qui leur prescrit la spécialité NINTEDANIB.Les patients sont libres d’accepter ou de refuser leur traitement par un médicament prescrit sous ATU. En cas d’acceptation des soins, les dispositions légales susvisées imposent le recueil de données de santé à caractère personnel. Les patients ne peuvent donc pas s’y opposer en application de l’article 38 de la loi du 6 janvier 1978 modifiée.La Commission estime que ces modalités d’information et
Sur les mesures de sécurité
Un code alphanumérique est attribué à chaque patient suivi dans le cadre de la mise en œuvre des ATUs dont est titulaire le laboratoire Boehringer Ingelheim France. L’accès aux données nominatives des patients est strictement limité au médecin les prenant en charge.
Les informations relatives aux patients sont renseignées par le médecin prescripteur dans des formulaires de recueil d’informations transmis par fax ou par courrier.
La Commission rappelle, s’agissant des transmissions par fax, que les mesures de sécurité suivantes doivent être mises en place :
le fax doit être situé dans un local physiquement contrôlé et accessible uniquement au personnel habilité ;
l’impression des messages doit être subordonnée à l’introduction d’un code d’accès personnel ;
lors de l’émission des messages, le fax doit afficher l’identité du fax destinataire afin d’être assuré de l’identité du destinataire ;
le carnet d’adresses des fax doit préenregistrer, dans la mesure du possible, les destinataires potentiels.
Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les personnels dûment habilités du laboratoire Boehringer Ingelheim France.
Le contrôle d’accès aux données est opéré par l’usage d’un identifiant et d’un mot de passe. La Commission recommande des mots de passe d’une longueur minimale de huit caractères, composés de trois types de caractères distincts parmi les minuscules, majuscules, chiffres et caractères spéciaux. Le mot de passe doit être choisi par l’utilisateur, ou modifié dès sa première connexion, puis modifié régulièrement. Le mot de passe ne doit pas être conservé en clair dans un fichier ou une base de données.
Le laboratoire Boehringer Ingelheim France prévoit des mesures de sécurisation physique des matériels et des locaux où sont conservées les données, ainsi que des dispositifs de sauvegarde des fichiers. 
Concernant les mesures de traçabilité, l’ensemble des accès en consultation, modification et création est tracé.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données seront conservées jusque quinze ans après la fin de l’autorisation temporaire d’utilisation de la spécialité NINTEDANIB.La Commission estime que cette durée n’excède pas la durée nécessaire à la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le laboratoire Boehringer Ingelheim France à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1691388)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut de veille sanitaire d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel, dénommé  SurSaUD®, ayant pour finalité l’amélioration de la surveillance sanitaire des urgences et des décès; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code général des collectivités territoriales, notamment son article L. 2223-42 et R. 2213-1-1 à R. 2213-1-6 ; 
Vu le code de la santé publique, notamment ses articles L. 1413-2, L. 1413-4 et L.6113-8;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I°1);
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n°2006-938 du 27 juillet 2006 relatif au certificat de décès et modifiant le code des collectivités territoriales ;
Vu l’arrêté du 24 juillet 2013 relatif au recueil et au traitement des données d’activité médicale produites par les établissements de santé publics ou privés ayant une activité de médecine d’urgence et à la transmission d’informations issues de ce traitement dans les conditions définies à l’article L. 6113-8 du code de la santé publique et dans un but de veille et de sécurité sanitaires, notamment son article 6 ;
Vu l’instruction N°DGS/DAD/BSIIP/2013/291 du 12 juillet 2013 relative au déploiement dans les établissements de santé de la certification électronique en matière de certificats de décès ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le traitement, dénommé SurSaUD®, a pour finalité la surveillance épidémiologique des urgences et des décès afin de détecter de façon précoce de nouvelles menaces pour la santé publique d’origines diverses (environnementale, infectieuse ou malveillante) et d’en suivre l’impact sanitaire pour la population.
La Commission rappelle qu’elle a autorisé, le 17 décembre 2009, l’InVS à mettre en œuvre un traitement de données à caractère personnel (demande d’autorisation n°1363151) portant sur un  système de surveillance à la fois non spécifique et réactif, prévoyant une remontée des données en temps réel issues de différentes sources la suite de la canicule de l’été 2003, l’événement ayant montré les limites du système de surveillance mis en place. 
A ce jour, le système s’appuie sur la collecte de données émanant de trois sources qui ne font pas l’objet de croisement :
Les données issues des structures d’urgence hospitalières appartenant au réseau OSCOUR (Organisation de la surveillance coordonnée des urgences), dont l’InVS est destinataire conformément aux dispositions de l’arrêté susvisé du 24 juillet 2013 ;
Les données transmises par la plateforme nationale du réseau des associations SOS Médecins ;
Les données relatives aux décès enregistrés dans les bureaux d’état civil transmises à  l’Institut National de la statistique et des études économiques (INSEE).
mettre en évidence des signaux sanitaires d’événements prévisibles ou émergents pouvant constituer une menace pour la santé publique ;
contribuer à suivre, décrire et mesurer l’impact d’une situation sanitaire ;
surveiller des pathologies ou des populations en dehors de tout événement identifié pour contribuer à la surveillance pérenne de l’état sanitaire de la population. 
L’InVS souhaite dorénavant pouvoir intégrer dans l’application une quatrième source de données : les données de mortalité issues de la certification électronique des décès, dont la transmission par le Centre d’épidémiologie sur les causes médicales de décès de l'Institut national de la santé et de la recherche médicale (« INSERM - CépiDc ») à l’InVS est prévue par le décret n°2006-938 du 27 juillet 2006 relatif au certificat de décès et modifiant le Code général des collectivités territoriales. 
Compte tenu de l’enrichissement du  système d’information à l’aide de données supplémentaires, dont le numéro de certificat de décès, l’InVS a saisi la CNIL d’une demande d’autorisation sur le fondement des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Le dispositif poursuit, en effet, les objectifs de santé publique suivants :
Les données issues des structures d’urgence hospitalières appartenant au réseau OSCOUR (Organisation de la surveillance coordonnée des urgences), dont l’InVS est destinataire conformément aux dispositions de l’arrêté susvisé du 24 juillet 2013 ;
Les données transmises par la plateforme nationale du réseau des associations SOS Médecins ;
Les données relatives aux décès enregistrés dans les bureaux d’état civil transmises à  l’Institut National de la statistique et des études économiques (INSEE).
mettre en évidence des signaux sanitaires d’événements prévisibles ou émergents pouvant constituer une menace pour la santé publique ;
contribuer à suivre, décrire et mesurer l’impact d’une situation sanitaire ;
surveiller des pathologies ou des populations en dehors de tout événement identifié pour contribuer à la surveillance pérenne de l’état sanitaire de la population. 
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites au sens de l’article 6 de la loi du 6 janvier 1978 modifiée et estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° précitées.
Sur les données traitées
La Commission relève qu’aucune donnée directement nominative n’est enregistrée dans l’application.Selon les sources, sont collectées des informations différentes relatives aux : - données d’identification suivantes : date de naissance ; sexe ; date de décès ;  code postal de résidence; nom de la commune de résidence, commune de décès ; code INSEE de la commune ; - dates et heures d’appel (SOS Médecins) ; dates et heures d’entrée et de sortie aux urgences (OSCOUR) ; motifs de recours aux urgences ; diagnostics (codé selon la classification internationale des maladies (CIM10), score de gravité (selon une graduation de 1 à 5) ; orientation à la sortie ; moyens de transport jusqu’aux urgences ;- données relatives à la structure de prise en charge (code de l’association SOS médecins).S’agissant des données issues du CépiDC, sont recueillis le numéro du certificat des décès ; le code postal de la commune de naissance, les données relatives à la nationalité, au statut matrimonial, au déroulement de la grossesse le cas échéant et à l’activité professionnelle.Interrogé sur la nécessité de collecter la date de naissance complète des intéressés, l’InVS a souligné la pertinence de cette donnée au regard de la nécessité de disposer de données permettant de repérer d’éventuels doublons en l’absence d’identifiant unique des individus, ainsi que dans le cadre de l’étude des syndromes affectant les enfants. En outre, la collecte des dates complètes se justifierait dans un objectif de veille
et de surveillance sanitaires par la construction d’indicateurs épidémiologiques menée sur chacune des sources par l’agrégation de données individuelles selon différents critères (par jour, semaine, ou mois, par classes d’âges ou par sexe, par différents niveaux géographiques de l’établissement ou de la commune jusqu’au niveau national). La Commission relève, en outre, que sa communication à l’InVS est prévue par l’arrêté du 24 juillet 2013 précité.S’agissant du numéro de certificat de décès, la Commission prend acte de ce qu’il s’avérerait nécessaire pour permettre la gestion de l’intégration successive des données au cours du temps, plusieurs transmissions d’un même certificat pouvant être effectuées, ainsi que pour permettre le repérage d’éventuels doublons. La Commission prend également acte de l’engagement de l’InVS de procéder à une évaluation de la possibilité de supprimer cette donnée une fois le certificat de décès validé compte tenu du retour d’expérience permettant de fixer la durée moyenne de validation de ces certificats.  La Commission demande à être rendue destinataire de cette évaluation.Enfin, la Commission prend acte de ce que les agrégations menées sur chacune des sources le sont indépendamment les unes des autres et que les données individuelles issues des différentes sources de données du système ne sont pas croisées entre elles.La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités
poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
 Seule l’équipe en charge de l’exploitation des données appartenant au département de la coordination des alertes en région (DCAR-Saint Maurice) de l’InVS a accès aux données individuelles contenues dans l’application.Toutefois, les données issues de la certification électronique des causes médicales de décès ne sont accessibles qu’à des agents nommément désignés par la direction générale de l’InVS, conformément aux dispositions de l’article R. 2213-1-3 du code général des collectivités territoriales.Les autres départements de l’InVS ont accès aux données nationales pour le ou les syndromes qui entrent dans leur champ de compétence.Les Cellules interrégionales d’épidémiologie (CIRE), chargées de la déclination des missions de l’InVS en région, ont accès aux données concernant leur territoire de compétence.Les partenaires fournisseurs de données (services d’urgence des hôpitaux, associations SOS médecins, l’INSEE et le CépiDc) ont exclusivement accès aux  données qu’ils fournissent au système de surveillance.Les résultats de cette surveillance seront adressés aux pouvoirs publics sous format agrégé quel que soit le support de communication utilisé (tableaux de bord, bulletins épidémiologiques…) et donneront lieu à des publications, dans des conditions de nature à garantir l’anonymat des personnes.Cette liste de destinataires n’appelle pas d’observations de la Commission.
Sur l’information et le droit d’accès
En application de l’article 32 de la loi du 6 janvier 1978 modifiée, une information est délivrée par voie d’affichage dans chacun des centres d’urgence participant au réseau OSCOUR, ainsi que sur le site internet de SOS médecins. Le système de surveillance SurSaUD® est également présenté sur le site internet de l’InVS et des plaquettes de présentation du dispositif sont produites régulièrement, envoyées aux établissements de santé et disponibles sur le site internet de l’InVS. La Commission estime que les modalités d’information n’appellent pas d’observation. Toutefois, elle estime nécessaire de substituer, dans les affichettes, à la notion d’anonymat celle de confidentialité qui apparaît plus appropriée au regard de la nature des données collectées, susceptibles de permettre une identification indirecte des personnes.Les droits d’accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s’exercent auprès du service des urgences de la structure d’urgence ou de l’association SOS Médecins, ainsi qu’auprès de l’InVS. La remontée vers l’InVS de données relatives aux résumés de passage aux urgences (RPU), ainsi qu’aux causes médicales de décès présente un caractère obligatoire en application du décret n°2006-938 du 27 juillet 2006 et de l’arrêté du 24 juillet 2013, susmentionnés.  Le droit d’opposition prévu par l’article 38 de la loi du 6 janvier 1978 modifiée s’applique donc exclusivement aux données recueillies dans le cadre du recours à SOS
médecins et les personnes en sont clairement informées. La Commission en prend acte.
La Commission prend acte de ce que les données individuelles ne seront accessibles qu’à un nombre limité de personnes spécialement habilitées. Elles sont conservées dans des conditions de nature à garantir leur confidentialité.Tous les transferts de données vers l’application SurSaUD® sont chiffrés du logiciel GnuPG permettant la mise en œuvre de la cryptographie asymétrique avec une clé RSA d’une longueur de clé d’une taille de 2048 bits.Les données sont hébergées sur un serveur interne et sécurisé de l’InVS. Les habilitations d’accès au système d’information SurSaUD® sont définies en fonction des attributions et des besoins des destinataires dans les strictes limites de l’exercice de leurs missions respectives. Le contrôle des accès à l’application par les personnels habilités se fait par un identifiant associé à un mot de passe dont la complexité apparaît conforme aux exigences de la CNIL.La Commission rappelle toutefois que le mot de passe doit être modifié par l’utilisateur dès sa première connexion, puis régulièrement. Elle rappelle également que les mots de passe ne doivent pas être stockés en clair en base de données. Elle recommande ainsi d’appliquer la fonction de hachage HMAC à clé secrète avant de conserver les mots de passe.Les accès à l’application doivent faire l’objet d’une journalisation. La Commission rappelle que les traces des accès à l’application et aux données doivent être analysées et qu’il convient d’informer les personnels concernés de la mise en
œuvre de ces mesures.La Commission relève, en outre, que les accès à l’application pour les utilisateurs internes à l’InVS et les partenaires fournisseurs sont subordonnés à la signature d’une charte « utilisateur » rappelant les règles de confidentialité et d’utilisation des données.
Les données sont sauvegardées de façon quotidienne et hebdomadaire sur baie de stockage et sur bandes magnétiques chiffrées conservées dans des coffres-forts sécurisés par digicode dans des locaux à accès restreint (par badge) aux personnels autorisés du service des systèmes d’information. Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
Sur la durée de conservation des données, l’InVS a indiqué que l’efficacité du système de surveillance mis en œuvre nécessite que les données soient collectées dans des conditions homogènes au cours du temps et dans l’espace, qu’elles soient susceptibles d’être mobilisées rapidement et sans travail supplémentaire et conservées  pendant une longue durée, estimée à 20 ans. Interrogé sur la possibilité d’un appauvrissement progressif des données au cours du temps sans compromettre l’efficacité du système de surveillance, l’InVS a indiqué que le risque de perte irréversible des données serait très important au regard des  intérêts de santé publique en jeu, sans une évaluation préalable  du degré de précision de l’historique nécessaire à des études statistiques comparées efficaces.L’InVS s’est donc engagé à mener une évaluation sur cinq ans portant sur ce point. La Commission en prend acte et demande que les résultats de cette évaluation lui soient communiqués au plus tard à l’issue d’une période de cinq ans à compter de la date de notification de la présente délibération. 
Autorise, conformément à la présente délibération, l’Institut de veille sanitaire à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN