AgentPublic/cnil huggingface dataset:
Dès à présent, la Commission alerte sur les risques inhérents à la concentration éventuelle de données sensibles sur la plateforme technologique, qui nécessiteront la mise en place de mesures de sécurité appropriées et adaptées aux risques.
Sur la création de la Plateforme des Données de Santé en tant que Groupement d’Intérêt Public (GIP)
A la différence du choix effectué par la loi de modernisation de notre système de santé, la mise en œuvre du SNDS modifié ne reposerait pas sur un unique responsable de traitement. Le projet de loi renvoie en effet à un décret en Conseil d’Etat, pris après avis de la CNIL, le soin de déterminer les responsables ou catégories de responsables des traitements du SNDS, et leurs rôles respectifs.
En outre, le projet de loi prévoit la création de la Plateforme des Données de Santé, groupement d’intérêt public (GIP), qui se substituerait à l’Institut National des Données de Santé (INDS). La Plateforme des Données de Santé reprendrait, pour partie, les missions actuelles de l’INDS, en particulier le secrétariat unique pour les recherches n’impliquant pas la personne humaine.
Parmi ses nouvelles missions, figurerait celle, essentielle au regard du choix d’une architecture décentralisée du SNDS, de  réunir, organiser et mettre à disposition les données du SNDS (…) . La Commission estime que ce GIP serait susceptible, selon les cas de figure, d’être qualifié de responsable (par exemple, pour les traitements constitués avant exportation des données aux demandeurs), ou de co-responsable de traitements (par exemple, ceux destinés à être exploités par les demandeurs dans le cadre de la plateforme technique que le GIP aura vocation à offrir). La Commission estime que les textes pourraient utilement prévoir, comme le permet l’article 4 du RGPD, les critères spécifiques applicables à sa désignation en tant que responsable ou co-responsable de traitement.
La Plateforme des Données de Santé pourrait également être considérée comme sous-traitant au sens de l’article 4 du RGPD lorsqu’elle réalisera des opérations pour le compte d’un demandeur.
En tout état de cause, le rôle de la Plateforme des Données de Santé tel que prévu par le projet de loi – sans commune mesure avec le rôle actuel de l’INDS – commandera la mise à disposition de moyens humains et techniques importants afin que les principes du RGPD et de la loi soient effectivement respectés dans le cadre de la mise à disposition des données issues du SNDS.
Enfin, eu égard au changement de nature du SNDS, la Commission estime que la Plateforme des Données de Santé devrait se voir confier une mission additionnelle d’information des patients et de promotion et de facilitation de leurs droits, en particulier concernant les droits d’opposition ou, le cas échéant, à la portabilité.
Sur l’ouverture de l’accès au SNDS à tout traitement de données de santé
Le projet de loi vise à modifier l’article L. 1461-3 du CSP afin de permettre un accès aux données du SNDS pour tout traitement présentant un caractère d’intérêt public, et non plus seulement ayant une finalité  de recherche, étude ou évaluation .
Cette modification conduira notamment à permettre les appariements des données du SNDS avec des bases de données telles que des entrepôts (privés ou publics) ou registres constitués pour de longues durées, voire de façon pérenne, sous réserve d’une autorisation de la CNIL. La Commission souligne la portée majeure, compte tenu de la nature du dispositif en cause, de la suppression de tout encadrement exprès des finalités dans la loi. Elle rappelle qu’en tout état de cause, conformément au principe de limitation des finalités résultant de l’article 5 du RGPD, les traitements mis en œuvre devront répondre à une ou plusieurs finalités déterminées, explicites et légitimes.
Par ailleurs, dans le cadre des demandes d’autorisation qu’elle sera amenée à recevoir, la Commission sera particulièrement vigilante au strict respect des principes liés à la protection des données – à savoir les principes de minimisation, des durées de conservation et des destinataires des données – tout comme aux aspects de sécurité des données. Dans l’hypothèse où des données seraient dupliquées au sein de la plateforme technologique, elle accordera une attention particulière à leur durée de conservation et à leur cloisonnement.
En outre, la Commission estime que cette ouverture conduit par elle-même, à étendre les cas de présentation de demandes de constitution des systèmes fils contenant des données issues du SNDS, y compris pour des traitements effectués en dehors d’une recherche précise et limitée dans le temps, quand bien même le référentiel de sécurité relatif au SNDS pose des exigences strictes de sécurité.
La Commission prend acte cependant de la volonté du gouvernement de diminuer le nombre de systèmes fils. À cet égard, elle suggère que le décret puisse encadrer les conditions de création de ces systèmes fils (durée, modalités, etc.), en particulier dans l’hypothèse où ceux-ci seraient constitués en dehors de la plateforme technologique.
Sur la procédure d’accès aux données
À titre liminaire, au vu notamment des modifications relatives à la nature des données mises à disposition, et ce, quel que soit le statut du demandeur, la Commission alerte sur la nécessité d’une doctrine solide sur le caractère d’intérêt public et, le cas échéant, sur un examen approfondi de ce critère lors des demandes d’autorisation.
La Commission remarque que la nouvelle formulation du II de l’article L. 1461-3 du CSP limiterait les demandes d’autorisation auprès de la Commission d’accès au SNDS aux seuls traitements concernant la santé . Or, certains projets de recherche n’utilisent que les données des professionnels de santé du SNDS (et non des données à caractère personnel de santé). La Commission s’interroge sur le choix opéré d’exclure ceux-ci du principe d’une autorisation à partir du moment où les données du SNDS sont mobilisées.
La Commission relève que le comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé (CEREES) serait remplacé par un nouveau comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CES). Ce comité reprendrait les missions du CEREES et pourrait également être saisi, ou se saisir, du caractère d’intérêt public d’une recherche, rôle précédemment assigné au Comité d’Expertise pour l’Intérêt Public (CEIP) placé auprès de l’INDS.
La Commission attire l’attention sur la composition de ce futur comité aux compétences élargies notamment aux questions éthiques. Elle estime que les statuts des membres des Comités des Protection des Personnes (CPP) ainsi que de ceux du CEIP pourraient servir de référence pour la composition de ce comité. Enfin, la Commission regrette que ses missions ne soient pas précisées au niveau législatif, comme c’était le cas pour le CEREES ou comme c’est le cas actuellement pour les CPP.
S’agissant des modalités de tarification pour l’accès au SNDS, l’article L. 1461-5 du CSP prévoit un accès gratuit aux données du SNDS pour l’autorité publique et les recherches réalisées exclusivement pour les besoins de services publics administratifs. A contrario, les acteurs privés seraient tenus de payer l’accès au SNDS. Elle attire l’attention du gouvernement sur la nécessité de définir précisément les statuts de chaque demandeur et les conséquences qui en découlent sur cette tarification. S’agissant des partenariats public-privé, la Commission prend acte de la précision du ministère sur la gratuité de l’accès dès lors que le traitement serait demandé par l’autorité publique ou lors d’une recherche réalisée exclusivement pour les besoins des services publics.
S’agissant de la modification de l’article 30 de la loi informatique et libertés sur le traitement du NIR, la Commission prend acte de l’ajout de cette disposition, qui vient préciser qu’une autorisation est nécessaire lors d’un traitement du NIR INS dans le cadre de bases de données (type entrepôts) utilisées à des fins ultérieures de recherche.
Les autres dispositions de cet article n’appellent pas d’observation de la part de la Commission.
Concernant l’article 15 du projet de loi
L’article 15 procède à la suppression du tiers de confiance chargé de procéder à la réidentification des personnes concernées dans le SNDS.
Selon les pouvoirs publics, la réalité de ces besoins n’a pas été établie car les mécanismes d’identification, notamment pour alerter une personne d’un risque sanitaire grave auquel elle serait exposée, peuvent être mis en œuvre via les bases sources du SNDS, qui sont nominatives.
La Commission, dans la mesure où un tel mécanisme ne porte pas atteinte au principe de non réidentification des personnes consacré par l'article L.1460-1 du CSP, est favorable à la suppression de la disposition susvisée.
Concernant l’article 12 du projet de loi (espace numérique de santé)
Le présent projet de loi a pour objet de permettre à chaque usager du système de santé de disposer gratuitement, d’ici 2022, d’un espace numérique de santé (ENS) comprenant ses données personnelles de santé et ses données de remboursement de soins et lui permettant également à terme d’accéder à des services et outils de santé numériques (tels notamment l’usage d’une messagerie sécurisée, d’un service de prise de rendez-vous en ligne ou d’un service de télémédecine). Ces outils et services additionnels pourront le cas échéant être proposés par des acteurs privés externes.
La Commission relève que cette offre constitue un traitement de données à caractère personnel au sens de l’article 4-2 du RGPD et qu’elle devra dès lors être saisie du décret en Conseil d’Etat prévu pour définir les conditions et modalités d’application de l’ENS. Par conséquent, la Commission demande à ce que le projet soit complété pour préciser que les conditions et modalités d’application [de cet article] sont définies par décret en Conseil d’Etat pris après avis de la CNIL.
L’article L. 1111-13-1 du projet de loi prévoit que l’ENS permettra à son titulaire d’accéder en particulier à son dossier médical partagé (DMP) ainsi qu’à l’ensemble des données relatives au remboursement de ses dépenses de santé présentés comme les deux premiers dispositifs alimentant l’ENS.
La Commission s’interroge d’une façon générale sur l’articulation avec ces dispositifs déjà existants dans un contexte où le DMP est en pleine phase de généralisation et de développement technique. Elle souligne qu’une confusion pourrait naître dans l’esprit des utilisateurs entre ces différents dispositifs dont les modalités de fonctionnement diffèrent. Dans ce contexte, elle se montrera particulièrement vigilante quant au contenu et modalités d’information des personnes sur l’ENS et suggère que ces modalités d’information soient précisées par le décret en Conseil d’Etat.
La Commission s’interroge, par ailleurs et plus précisément, sur l’intérêt et la nécessité de permettre l’accès des professionnels de santé à l’ensemble des informations de l’ENS au-delà des informations figurant dans le DMP. Elle suggère que l’accès soit restreint à certains contenus de l’espace numérique et que les modalités selon lesquelles cet accès est permis soient précisées.
La Commission relève également que le projet de loi prévoit que l’ENS est ouvert à l’initiative des personnes tandis que les dispositions encadrant le DMP prévoient la nécessité de recueillir le consentement exprès des personnes. Dans la mesure où le ministère a confirmé que la base légale retenue pour l’ENS serait celle du consentement, elle suggère pour éviter toute confusion de faire également mention du consentement de l’usager à la création de l’ENS dans le projet de loi.
Le projet de loi prévoit la possibilité pour toute personne ou son représentant légal d’ouvrir un ENS. La Commission demande que les modalités d’ouverture d’un ENS, le cas échéant lorsque le titulaire est une personne mineure, soient précisées dans le décret d’application.
S’agissant des données personnelles collectées à l’ouverture de l’ENS énumérées à l’article L. 1111-13-1 du projet, la Commission rappelle que les données collectées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité pour lesquelles elles sont traitées, conformément aux dispositions de l’article 5-1-c du RGPD. Elle demande que la nature des informations de l’ENS soit détaillée par le décret en Conseil d’Etat qui serait pris après avis de la CNIL et s’interroge sur l’encadrement des croisements de données entre les différents services de l’ENS et sur les conditions d’une portabilité des données sécurisée.
La Commission attire l’attention sur le fait que le référencement des services et outils doit également conduire à ce que seules des données pertinentes puissent y être versées afin de palier d’éventuelles mauvaises pratiques dans l’alimentation de l’ENS de la part des usagers.
Elle demande à être associée aux travaux relatifs à l’élaboration des référentiels, labels et normes imposés dans l’ENS et à être consultée préalablement à leur validation.
Concernant les aspects de sécurité, la Commission souligne que l’ENS, en tant qu’agrégateur de services et de données, devra respecter les règles d’authentification, les matrices d’habilitation et les principes de traçabilité définis pour chacun des différents services qu’il agrègera. La Commission relève également que l’ENS, en tant que traitement à part entière – proposant qui plus est des fonctionnalités spécifiques de partage d’accès et d’extraction de données – devra disposer de sa propre gestion des risques sur la vie privée. Enfin, la Commission observe que l’ENS devra faire l’objet d’un hébergement auprès d’un hébergeur de données de santé agréé/certifié dans le respect de l’article L. 1111-8 du CSP.
Concernant l’article 13 du projet de loi
Le projet de loi introduit à la suite des dispositions relatives à la télémédecine qui permet une prise en charge médicale à distance d’un patient par un médecin, une nouvelle pratique de soins à distance entre un patient et un/des pharmaciens(s) ou un/des auxiliaires médicaux, intitulé télésoin .
Le projet de loi prévoit que seules les conditions de prise en charge des activités de télésoin sont fixées par décret. Les activités de télésoin sont autorisées par arrêté du ministre de la santé, pris après avis de la Haute Autorité de Santé, qui portera sur les conditions de réalisation garantissant la qualité, la sécurité et la pertinence.
La Commission relève que l’activité de télémédecine, dont le télésoin est le pendant pour les professionnels de santé hors professions médicales stricto sensu, a fait l’objet d’un décret portant sur les conditions de mise en œuvre et de prise en charge dont la CNIL avait été saisie pour avis.
Compte tenu des enjeux importants que soulève l’usage des nouvelles technologies de l’information et de la communication en matière de protection des données personnelles et dans la mesure où le télésoin constitue un traitement de données à caractère personnel au sens de l’article 4-2 du RGPD, la Commission estime que le décret pris pour application du télésoin doit également porter expressément sur les conditions de mise en œuvre.
Concernant l’article 20 du projet de loi (dispositifs mis en place pour faire face aux situations sanitaires exceptionnelles)
Le projet de loi étend la possibilité de recueillir les informations strictement nécessaires à l’identification des victimes et à leur suivi en cas de situation sanitaire exceptionnelle ou pour tout événement de nature à impliquer de nombreuses victimes, notamment les accidents collectifs.
La Commission s’interroge sur les hypothèses visées par tout événement de nature à impliquer de nombreuses victimes, notamment les accidents collectifs . Elle sera en tout état de cause particulièrement vigilante aux garanties apportées par le ministère des solidarités et de la santé quant à ce dispositif soumis à autorisation de la CNIL.
Les autres dispositions n’appellent pas d’observation de la part de la Commission.
Conformément à l’article 22 de la loi du 20 janvier 2017, cet avis sera rendu public.
La Présidente
I. FALQUE-PIERROTIN
La Présidente
 
 
 
X
[…]
 
 
PAR HUISSIER
 
Références à rappeler dans toute correspondance : 
[…]
 
Monsieur le Président,
Je fais suite à la décision n° MED-2018-035 du 25 septembre 2018 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2018-023C.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
 
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée.
Je vous indique que le Règlement général sur la protection des données, entré en application le 25 mai 2018, s’inscrit dans la continuité de la loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.
Pour toute information complémentaire, vous pouvez contacter […], juriste au service des sanctions ([…]) ou […], assistante au service des sanctions ([…]).
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.
 
 
 
 
 Marie-Laure DENIS
La Présidente
 
 
 
X
[…]
 
 
 
PAR PORTEUR
 
Références à rappeler dans toute correspondance : 
N/Réf. : […]
 
Monsieur le Président,
Je fais suite à la décision n° MED-2018-038 du 25 septembre 2018 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2018-023C.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
 
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée.
Je vous indique que le Règlement général sur la protection des données, entré en application le 25 mai 2018, s’inscrit dans la continuité de la loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.
Pour toute information complémentaire, vous pouvez contacter […], juriste au service des sanctions ([…]) ou […], assistante au service des sanctions ([…]).
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées. 
 
 
 
 
 Marie-Laure DENIS
La Présidente
 
 
 
X
 […]
 
 
PAR PORTEUR
 
 
Références à rappeler dans toute correspondance :
[…]
 
Monsieur le Directeur Général,
Je fais suite à la décision n° MED-2018-036 du 25 septembre 2018 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que des procédures de contrôle n° 2018-044C et 2019-026C.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
 
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée.
Je vous indique que le Règlement général sur la protection des données, entré en application le 25 mai 2018, s’inscrit dans la continuité de la loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.
Pour toute information complémentaire, vous pouvez contacter […], juriste au service des sanctions ([…]) ou […], assistante au service des sanctions ([…]).
Je vous prie d’agréer, Monsieur le Directeur Général, l’expression de mes salutations distinguées.
 
 
 
 
 Marie-Laure DENIS
La Présidente
 
 
 
X
[…]
 
 
 
PAR PORTEUR
 
 
Références à rappeler dans toute correspondance : 
N/Réf. : […]
 
Monsieur le Président,
Je fais suite à la décision n° MED-2018-034 du 25 septembre 2018 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que des procédures de contrôle n° 2018-044C et 2019-025C.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
 
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée.
Je vous indique que le Règlement général sur la protection des données, entré en application le 25 mai 2018, s’inscrit dans la continuité de la loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.
Pour toute information complémentaire, vous pouvez contacter […], juriste au service des sanctions ([…]) ou […], assistante au service des sanctions ([…]).
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.
 
 
 
 
 Marie-Laure DENIS