AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés est saisie pour avis par la ministre des solidarités et de la santé, conformément aux dispositions de l’article R. 1111-10 du code de la santé publique, de la demande d’agrément présentée par le Centre hospitalier de Béziers, candidat à l’hébergement de données de santé à caractère personnel.
La Commission doit se prononcer, conformément auxdites dispositions, sur les garanties présentées par le candidat à l’agrément en matière de protection des personnes à l’égard des traitements de données de santé à caractère personnel et de sécurité de ces données .
La Commission rappelle que quel qu’ait été son avis, émis au vu du dossier qui lui a été communiqué, elle a le pouvoir de diligenter des contrôles auprès de tout responsable de traitement afin de procéder à toute opération de vérification nécessaire, conformément aux dispositions des articles 19 de la loi du 6 janvier 1978 modifiée et 16 et suivants du décret n° 2019-536 du 29 mai 2019 pris pour application de cette loi.
Emet dans ces conditions l’avis suivant :
Candidat hébergeur : Le candidat à l’agrément est un établissement public de santé, le Centre Hospitalier de Béziers.
Le candidat propose un service d’hébergement de données de santé à caractère personnel de type PaaS ( Platform as a Service ) où le candidat fournit au client des prestations de mise à disposition, d’exploitation et de gestion de plateformes techniques destinées à héberger des applications contenant des données médicales à caractère personnel.
Le candidat ne fait appel à aucun sous-traitant.
Le candidat est membre du Groupement Hospitalier de Territoire (GHT) de l'Ouest Hérault. Le candidat propose ces prestations exclusivement aux membres du GHT de l’Ouest Hérault.
Ces prestations peuvent inclure une fonctionnalité d'accès direct du patient aux applications hébergées.
Le périmètre de l’agrément est conforme aux exigences de la Commission.
La politique de sécurité des systèmes d’informations est conforme aux critères exigés par la Commission.
La procédure de gestion du personnel et des habilitations est conforme aux critères exigés par la Commission, sous la réserve suivante :
	- la politique de gestion des accès mentionne l'utilisation de comptes génériques. A cet égard, la Commission recommande que l'utilisation de comptes génériques soit limitée au strict minimum, se fasse sous le contrôle du RSSI et soit associée à des outils de traçabilité spécifiques.
Le Plan de continuité d’activité est conforme aux critères exigés par la Commission, sous la réserve suivante :
- le candidat dispose potentiellement de trois sites d’hébergement distants de plusieurs kilomètres ( Montimaran , Perréal et Camille Claudel ). Toutefois les salles d’hébergement sont toutes situées sur le site de Montimaran, même si l’activité d’hébergement sur le site de Perréal est en projet. Un projet de transfert d’une salle de secours sur le site de Perréal est également en cours ;
	- la Commission note que les sauvegardes sont chiffrées avec l’algorithme AES-256 et que des tests de restauration réguliers sont effectués. Les sauvegardes sont stockées sur disques dans un réseau de stockage spécialisé.
La procédure de traçabilité est conforme aux critères exigés par la Commission, sous les réserves suivantes :
	- le candidat reporte contractuellement sur son client l'obligation de définir une politique de traçabilité des actions effectuées sur les équipements et applications de ce dernier ;
	- les traces techniques des équipements sous la responsabilité du candidat sont collectées, exploitées et sécurisées. L’algorithme de chiffrement de ces traces n’est toutefois pas précisé ;
	- la durée de conservation de ces traces techniques est fixée à un an, ce qui est conforme aux préconisations de la Commission.
Les droits des personnes concernées sont respectés conformément aux exigences de la Commission :
- les documents contractuels sont à jour des textes applicables (Article L. 1111-8 du code de la santé publique, modifié par la loi n° 2016-041 du 26 janvier 2016 de modernisation de notre système de santé) ;
	le candidat reporte sur ses clients l'information des personnes et effectue son devoir de conseil en fournissant un modèle de note d'information annexée au contrat.
Le personnel concerné est formé conformément aux exigences de la Commission, sous les réserves suivantes :
	- des formations et sensibilisations sont effectuées à l’arrivée du personnel puis tous les trois ans. La Commission recommande de former le personnel de manière annuelle et de prendre en compte la spécificité des données de santé ;
	- la Commission recommande qu’une formation soit effectuée lors du départ d’un membre du personnel, au cours de laquelle lui seront rappelées ses responsabilités légales, ainsi que ses obligations en matière de confidentialité.
Avis de la Commission : Favorable
Pour la présidente
La Vice-Présidente déléguée
Sophie LAMBREMON
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut National du Cancer d’une demande d’autorisation relative à un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé visant à étudier les trajectoires des personnes atteintes d’un cancer ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44-3° et 66 et suivants ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 193 ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé Système national des données de santé ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ;
Vu la décision DE-2011-058 du 11 juin 2012 autorisant l’INCa à mettre en œuvre un traitement de données de santé à caractère personnel ayant pour finalité la constitution de tableaux de bord et l’étude de la trajectoire des patients atteints d'un cancer à partir des données du SNIIRAM (Demande d’autorisation n 911297) de la Commission ;
Après avoir entendu Mme.Valérie PEUGEOT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
 
Formule les observations suivantes :
Sur le responsable de traitement
L’Institut National du Cancer (INCa), dont les missions sont précisées à l’article L. 1415-2 du code de la santé publique (CSP), est l’agence d'expertise sanitaire et scientifique en cancérologie de l’État chargée de coordonner les actions de lutte contre le cancer.
Sur la finalité du traitement et sa formalité
En 2012, l’INCa a été autorisé par la Commission à mettre en œuvre un traitement de données de santé à caractère personnel aux fins de constituer des tableaux de bord et d’étudier la trajectoire des patients atteints d’un cancer à partir des données du SNIIRAM (Système national d'information inter-régimes de l'Assurance maladie) et du Programme de médicalisation des systèmes d'information (PMSI), détenues par la Caisse nationale de l'assurance maladie (CNAM) (demande d’autorisation n° 911297).
En parallèle, la Commission relève que l’INCa, en tant qu’organisme chargé d’une mission de service public, dispose d’un accès permanent à l’ensemble des données individuelles du Système national des données de santé (SNDS) avec croisement des identifiants potentiels pour les traitements nécessaires à l'accomplissement de ses missions en application des articles R. 1461-12 et R.1461-14 du CSP. La profondeur historique de cet accès permanent est limitée à dix-neuf ans, en plus de l'année en cours (article R. 1461-13 du CSP).
Afin d’exploiter ces données, l’INCa a constitué un système fils du SNDS, tel que défini par l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS.
La Commission relève à ce titre que la base de données actuellement exploitée par l’INCa ne comprend que des données déjà disponibles dans le SNDS (SNIIRAM, PMSI, causes de décès), et a vocation à être enrichie des données des autres composantes du SNDS dès lors que celles-ci seront disponibles (données issues du handicap, données issues des régimes d’assurance complémentaire).
L’INCa souhaite également enrichir sa base avec des données issues des registres des cancers ainsi que des structures de gestion des dépistages du cancer, afin de disposer d’une information de qualité et pertinente d’un point de vue épidémiologique.
Le traitement envisagé a ainsi pour but la réalisation de tableaux de bord visant à évaluer les dispositifs de lutte contre le cancer (notamment les plans cancers), la réalisation d’expertises à la demande des ministères sur les questions relatives à la cancérologie et la réalisation d’études observationnelles portant sur l’ensemble de la cancérologie.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5 paragraphe 1 point b) du RGPD et qu’elle présente une finalité d’intérêt public, conformément à l’article 66-I de la loi du 6 janvier 1978 modifiée (ci-après loi informatique et libertés ).
La Commission relève que cette base de données, nécessitant un appariement entre des données du SNDS et des données issues des registres des cancers ainsi que des structures de gestion des dépistages du cancer, n’a pas pour objectif la réalisation d’un projet de recherche spécifique mais s’apparente à un entrepôt de données.
Dès lors, la constitution de cet entrepôt, intitulé Plateforme de données en cancérologie , doit être autorisée sur le fondement des dispositions de la sous-section 1 de la section 3 du chapitre III de la loi informatique et libertés modifiée par l’ordonnance n°2018-1125 du 12 décembre 2018 (articles 65 et suivants de la loi informatique et libertés ).
La Commission rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre ultérieurement, à des fins d’études, recherches et évaluations dans le domaine de la santé, sont des traitements distincts qui doivent faire l’objet de formalités propres prévues aux articles 72 et suivants de la loi informatique et libertés modifiée.
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement mis en œuvre par le responsable de traitement a vocation à coordonner les actions de lutte contre le cancer et est nécessaire à l’exécution d’une mission d’intérêt public dont est investi l’INCa.
Il est, à ce titre, licite au regard de l’article 6, paragraphe 1 point e) et remplit une condition permettant le traitement des données concernant la santé au regard de l’article 9, paragraphe 2, point i) du Règlement général sur la protection des données (RGPD).
Sur les sources de données et l’appariement envisagé
S’agissant des données issues du Système National des Données de Santé (SNDS)
Il s’agit des données pour lesquelles l’INCa dispose d’un accès permanent conformément au décret n°2016-1871 du 26 décembre 2016 et en application de l’article L. 1461-3-III du code de la santé publique. Elles devront être limitées au périmètre autorisé par ce décret, en termes de nature des données et de profondeur historique.
S’agissant des données issues des registres du cancer
Les données issues des registres résultent d’un enregistrement exhaustif des personnes atteintes d’un cancer et nouvellement diagnostiquées habitant le territoire couvert par le registre.
Les registres contiennent des informations relatives à l’identification du type de cancer (topographie, histologie, stade au diagnostic, etc.), aux facteurs d’exposition, aux soins, au suivi et à la survie des personnes, ainsi que des informations complémentaires sur le parcours de santé ou l’impact du cancer (vécu des personnes, qualité de vie, recours à des soins spécifiques, etc.).
L’intégration de cette source d’information dans la base actuelle a pour objectif d’améliorer la précision et l’exactitude des résultats des traitements effectués, en particulier en améliorant la précision des informations (confirmation de l’organe du cancer primitif, stade au diagnostic, type histologique du cancer, latéralité du cancer ou décès des personnes le cas échéant) et en apportant des informations complémentaires relatives notamment aux expositions et aux soins.
La Commission rappelle que seules les données des registres ayant fait l’objet d’une évaluation par le Comité d’Evaluation des Registres et ayant accompli les formalités appropriées auprès de la Commission devront alimenter l’entrepôt de l’INCa.
La Commission demande que l’INCa l’informe de tout nouveau registre ayant vocation à intégrer l’entrepôt et qui ne serait pas mentionné à l’annexe du document en date du 4 septembre 2018 figurant dans le dossier soumis à la Commission.
S’agissant des données issues des structures de gestion des dépistages
Les structures de gestion des dépistages recueillent des informations relatives au niveau de risque des personnes par rapport au cancer dépisté, au parcours en santé (participation aux actions de dépistage, motif de refus, etc.) et, le cas échéant, au parcours de soins (éléments du diagnostic, premiers traitements, etc.).
Enfin, la Commission relève que les informations transmises par les registres du cancer et les structures de gestion des dépistages ne comporteront ni le nom et le prénom des personnes ni leur jour de naissance.
Sur la nature des données traitées
Les catégories de données suivantes seront collectées :
S’agissant des patients
sexe, mois et année de naissance des personnes concernées, commune de résidence ;
les informations médicales, médicosociales et médico-économiques relatives au parcours en santé (incluant la prévention, le dépistage, le diagnostic, les soins hospitaliers, les soins de ville, le suivi et l’après cancer) ;
les informations médico-sociales relatives à la situation des personnes en situation de handicap, sous réserve de leur disponibilité dans le SNDS ;
les informations relatives au lieu de vie, aux habitudes de vie, à la vie professionnelle, à la défavorisation sociale ou pouvant contribuer à l’étude des inégalités sociales et géographiques et d’ordre économique ;
les informations relatives aux arrêts de travail et aux prestations en espèces ;
les informations relatives au statut vital et au décès (mois et années, lieu et causes médicales) ;
les informations relatives aux organismes d’assurance maladie obligatoire et, s’il y a lieu, aux organismes d’assurance maladie complémentaire intervenant dans la prise en charge financière du bénéficiaire des soins et prestations.
S’agissant des professionnels de santé
les mois et année de naissance, sexe, lieux, modes d’exercices… ;
les services de santé et sociaux (type, lieux…) intervenant dans le parcours de santé des personnes.
Sur le numéro d’identification des personnes concernées ( code personne ) et l’appariement envisagé des données
Pour chaque source de données, un code unique est attribué à chaque personne par l’organisme à l’origine de la production des données et intégré dans l’entrepôt. Ce code est différent du numéro d’identification utilisé par l’organisme source dans ses bases de données. Une table de correspondance (non transmise à l’INCa) est conservée par l’organisme source et complétée à chaque nouvelle livraison de données à l’INCa.
L’appariement entre les données de la base actuelle et celles issues des registres des cancers ou des structures de gestion des dépistages se fera de façon probabiliste en utilisant les variables suivantes :
sexe, mois et année de naissance, commune de résidence ;
l’année du diagnostic et éventuellement la consommation de soins (par exemple chimiothérapie ou réalisation d’un test de dépistage).
Une table de correspondance propre à l’INCa lui permettra de relier un même individu à plusieurs sources de données.
La Commission considère que les données traitées sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5 paragraphe 1 point c) du RGPD.
Sur la durée de conservation des données
Les données seront conservées dans l’entrepôt pendant une durée de vingt ans.
La Commission considère que cette durée n’excède pas la durée nécessaire au regard de la finalité pour laquelle elles sont collectées et traitées, conformément aux dispositions de l’article 5 paragraphe 1 point e) du RGPD.
Sur les destinataires des données
Seul l’INCa a accès aux données dans le cadre de la présente autorisation. Il tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. Seules les personnes habilitées par le responsable de traitement peuvent avoir accès aux données.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par l’INCa.
La Commission relève que l’INCa envisage d’ouvrir ultérieurement les données de l’entrepôt auprès de la communauté des chercheurs externes à l’INCa pour différents projets de recherche, études ou évaluations.
La Commission souligne qu’une telle ouverture à de nouvelles catégories de destinataires devra faire l’objet par l’INCa d’une demande de modification de la présente autorisation.
Sur l'information des personnes
S’agissant des personnes dont les données sont issues exclusivement du SNDS (non appariées)
L’information est réalisée conformément à l’article R. 1461-9 du code de la santé publique et à l’article 111 du décret informatique et libertés, c’est-à-dire sur le site internet des établissements de santé, des organismes d’assurance maladie ou des affiches dans les locaux ouverts au public ou des documents qui leur sont remis.
La Commission relève que l’INCa diffusera également une information relative au présent entrepôt sur son site internet.
S’agissant des personnes dont les données seront collectées à partir des registres ou structures de gestion de dépistage postérieurement à la présente autorisation (nouveaux patients ou patients en cours de suivi)
Conformément à l’article 69 de la loi informatique et libertés , les personnes auprès desquelles sont recueillies des données à caractère personnel ou à propos desquelles de telles données sont transmises doivent faire l’objet d’une information individuelle, incluant les éléments prévus à l’article 13 ou 14 du RGPD.
La Commission relève que, dans la mesure où l’INCa ne dispose ni de l’identité ni de l’adresse des personnes concernées, l’information des personnes sera réalisée de façon concomitante à l’information des personnes réalisée dans le cadre :
de la constitution des registres du cancer ;
des traitements mis en œuvre par les structures de gestion de dépistage.
Ainsi, la Commission prend acte que les personnes concernées sont informées individuellement par les professionnels de santé lors de la collecte de leurs données en vue de compléter les registres des cancers, ainsi que par les structures de gestion du dépistage du cancer, par le biais d’un courrier d’information individuel.
La Commission relève que les notes d’information mentionneront l’INCa en tant que destinataire des données, l’appariement envisagé avec les données du SNDS ainsi qu’un lien vers le site internet dédié à l’exploitation des données de l’INCa.
La Commission demande que la référence au présent traitement, relatif à la constitution d’un entrepôt, soit explicitement ajoutée sur ces supports d’information, ainsi que l’ensemble des mentions prévues à l’article 14 du RGPD, s’agissant de la collecte indirecte de données à caractère personnel.
S’agissant des personnes dont les données ont été collectées à partir des registres ou structures de gestion de dépistage préalablement à la présente autorisation 
La Commission relève, comme évoqué ci-dessus, que l’INCa ne dispose pas de l’identité et de l’adresse des personnes concernées.
Elle relève en outre, que, compte tenu du nombre de personnes concernées (environ 7 millions), de l’incertitude sur leur statut vital et de l’ancienneté d’une partie des données, le responsable de traitement estime qu’informer individuellement l’ensemble des personnes concernées exigerait un effort disproportionné.
Ainsi, conformément à l’article 14 paragraphe 5 point b) du RGPD, le responsable de traitement entend prendre les mesures suivantes pour protéger les droits et libertés ainsi que les intérêts légitimes des personnes concernées :
D’une part, l’INCa s’engage à mettre à disposition sur son site internet une information collective relative à cet entrepôt ainsi que des informations sur les projets de recherche ultérieurs menés à partir des données qu’il contient et comportant l’ensemble des mentions prévues par l’article 14 du RGPD.
D’autre part, il s’engage à mettre en œuvre une information par voie d’affichage dans l’ensemble des centres où sont pris en charge habituellement les personnes concernées (établissements de santé, centres de lutte contre le cancer, etc.), ainsi que lors de campagnes d’information institutionnelles et par le biais des associations de patients.
Sous réserve de la prise en compte de ces observations, la Commission estime que ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi informatique et libertés .
Sur les droits des personnes
Les personnes concernées exercent leurs droits en contactant directement les responsables de traitement des organismes à l’origine de la collecte des données concernées, conformément aux dispositions applicables à chacune d’elles (SNDS, registre des cancers ou structures de gestion des dépistages).
L’INCa facilite l’exercice de ces droits en renvoyant vers ces différentes structures lorsque la personne exerce ses droits directement auprès de lui.
La Commission estime que ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi informatique et libertés .
Sur la sécurité des données et la traçabilité des actions
S’agissant du transfert des données, celles-ci sont transmises sous forme de fichiers chiffrés avec des algorithmes à l’état de l’art. La Commission rappelle que les algorithmes et procédures de gestion clés doivent être conformes à l’annexe B1 du référentiel général de sécurité de l’Agence nationale de la sécurité des systèmes d'information (ANSSI).
La Commission prend acte de la décision d’homologation prononcée le 17 mai 2019 conformément au référentiel de sécurité applicable au SNDS fixé par l’arrêté du 22 mars 2017 incluant l’analyse d’impact sur la protection des données (AIPD), les risques résiduels et le plan d’action identifiés et acceptés par le responsable de traitement. La Commission recommande de mettre en œuvre dans les meilleurs délais les mesures destinées à améliorer la traçabilité et les alertes, et dans cette attente, d’opérer une surveillance manuelle régulière.