AgentPublic/cnil huggingface dataset:
Les données de l'ATIH sont mises à disposition du laboratoire de recherche ou bureau d'études par l'intermédiaire d'une solution sécurisée. Aucune exportation de données à caractère personnel ne peut être réalisée en dehors de la solution sécurisée utilisée dans le cadre de la présente méthodologie de référence.
	Seul le personnel du laboratoire de recherche et du bureau d'études peut accéder aux données, dans le respect des dispositions prévues par l'article 3 du référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études.
	Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
	La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, par le laboratoire de recherche ou bureau d'études conformément aux modalités décrites dans la procédure d'habilitation qu'il a établie.
	2.4. Publication des résultats
	Conformément aux dispositions de la loi informatique et libertés, la présentation des résultats du traitement de données ne peut en aucun cas permettre l'identification directe ou indirecte des personnes concernées.
	2.5. Information et droits des personnes concernées par l'étude
L'information des personnes concernées, quant à la réutilisation possible de leurs données et aux modalités d'exercice de leurs droits, est assurée par une mention figurant sur le site internet des responsables de traitement, des laboratoires de recherche et bureaux d'études, des établissements de santé, des organismes d'assurance maladie et sur des supports permettant de la porter à la connaissance des personnes, notamment des affiches dans les locaux ouverts au public ou des documents qui leur sont remis.
	Les droits d'accès, de rectification et d'opposition s'exercent auprès du directeur de l'organisme gestionnaire du régime d'assurance maladie obligatoire auquel la personne est rattachée, conformément aux dispositions de l'article R. 1461-9 du CSP.
	2.6. Durée de conservation
	Les données à caractère personnel du PMSI ne peuvent faire l'objet d'une conservation en dehors de la solution sécurisée auquel le laboratoire de recherche ou le bureau d'études a recours. Seuls des résultats anonymes peuvent être exportés.
	La durée d'accès aux données dans la solution sécurisée doit être limitée à celle nécessaire à la mise en œuvre du traitement. Lorsque le responsable de traitement en justifie, l'accès aux données peut être maintenu à l'issue de l'étude, dans la limite de deux ans à compter de la dernière publication relative aux résultats.
Lorsque la solution sécurisée est détenue par le laboratoire de recherche ou le bureau d'études, la durée d'accès aux données et la durée de conservation dans la solution sécurisée doivent être limitées à la durée nécessaire à la mise en œuvre du traitement. Lorsque le responsable de traitement en justifie, l'accès aux données et leur conservation peuvent être maintenus à l'issue de l'étude, dans la limite de deux ans à compter de la dernière publication relative aux résultats.
Titre III : TRAITEMENTS RELATIFS AUX DONNÉES DES PERSONNES CHARGÉES DE LA RÉALISATION DE L'ÉTUDE
 
	Les traitements de données des personnes chargées de la réalisation de l'étude doivent avoir pour seule finalité la mise en œuvre de l'étude et le respect des obligations légales du responsable de traitement ou du bureau d'études/laboratoire de recherche.
	En particulier, les données traitées ont pour finalité la gestion des déclarations d'intérêts, leur transmission à l'INDS le cas échéant et la gestion des procédures d'habilitation internes du bureau d'études ou laboratoire de recherche.
	Les seules catégories de données à caractère personnel relatives aux personnes concernées pouvant faire l'objet du traitement sont les suivantes :
	- nom, prénom(s), fonction, profils d'accès ;
	- si pertinent : coordonnées téléphoniques, postales et/ou électroniques professionnelles, organisme employeur ;
	- formation, diplômes ;
	- éléments nécessaires à l'évaluation des connaissances afin de réaliser l'étude.
L'information des personnes concernées ainsi que les modalités d'exercice de leurs droits sont conformes au principe de transparence prévu au chapitre III du règlement général sur la protection des données.
	Les données à caractère personnel des personnes concernées chargées de la réalisation de l'étude ne peuvent être conservées au-delà d'un délai de cinq ans après la fin de l'étude ou selon une durée conforme à la réglementation en vigueur.
Titre IV : MISE EN ŒUVRE ET SÉCURITÉ
 
	La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l'étude s'effectue sous la responsabilité du responsable de traitement, et du laboratoire de recherche ou bureau d'études agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD, ainsi que de l'arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS et de l'arrêté du 17 juillet 2017 relatif au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études.
	Les systèmes mettant à disposition les données du PMSI doivent ainsi être conformes au référentiel de sécurité applicable au SNDS précité ; deux modalités de mise à disposition sont incluses dans le cadre de cette méthodologie de référence :
	- les données sont mises à disposition du laboratoire de recherche ou bureau d'études par l'intermédiaire du prestataire d'accès sécurisé désigné par l'ATIH ;
- les données sont exportées vers un laboratoire de recherche ou un bureau d'études disposant d'une solution sécurisée et ayant conclu une convention avec l'ATIH.
	La Commission rappelle qu'il appartient au responsable de traitement, conformément au référentiel fixé par l'arrêté du 17 juillet 2017 précité, de s'assurer que le contrat conclu avec le laboratoire de recherche ou bureau d'études précise les mesures et les conditions de sécurité attestant de la conformité à l'arrêté du 22 mars 2017 précité.
Titre V : SOUS-TRAITANTS
 
	Dans le cadre de cette méthodologie de référence, le responsable de traitement n'accède jamais aux données du PMSI et doit recourir, pour tous les traitements, à un laboratoire de recherche ou un bureau d'études indépendant, sous-traitant, s'étant déclaré conforme auprès de la Commission au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études, fixé par arrêté du 17 juillet 2017. Conformément à cet arrêté et à l'article 28 du RGPD, les engagements respectifs du responsable de traitement et du laboratoire de recherche ou bureau d'études sont formalisés dans un contrat dont le contenu est défini par ces textes.
	En particulier, le contrat doit prévoir que ce sous-traitant :
	- ne traite les données que sur instruction documentée du responsable de traitement et prend toutes les mesures de sécurité requises ;
- ne sous-traite pas sans autorisation écrite du responsable de traitement ;
	- aide le responsable de traitement à garantir le respect de ses diverses obligations (droits des personnes, sécurité du traitement, notification de violation, analyses d'impact, etc.) ;
	- met à disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect de ses obligations et pour permettre la réalisation d'audits ;
	- informe immédiatement le responsable de traitement en cas d'instruction qui, selon lui, constitue une violation du RGPD ou de la loi informatique et libertés.
	En outre, ce sous-traitant :
	- désigne, le cas échéant, un délégué à la protection des données conformément à l'article 37 du RGPD ;
	- tient un registre des catégories de traitements effectués pour le compte du responsable de traitement, conformément à l'article 30 du RGPD.
	Le responsable du traitement s'engage à :
	- ne pas avoir de liens d'intérêt avec le laboratoire de recherche ou le bureau d'études et l'objet du traitement de nature à constituer un conflit d'intérêts ;
	- ne pas chercher à accéder aux données à caractère personnel mises à disposition du laboratoire de recherche ou du bureau d'études ;
	- ne pas utiliser les résultats fournis pour l'une des finalités interdites.
Titre VI : MISE EN ŒUVRE DU PRINCIPE DE RESPONSABILITÉ
 
	6.1. Formalités
Chaque responsable de traitement désigne un délégué à la protection des données, en application de l'article 37 du RGPD. Ce délégué à la protection des données aura notamment pour mission de contrôler le respect de la conformité des traitements mis en œuvre selon la présente méthodologie.
	Les responsables de traitement adressent à la Commission un seul engagement de conformité à la présente méthodologie pour l'ensemble des traitements qu'ils mettent en œuvre dès lors qu'ils sont réalisés en conformité avec l'ensemble des dispositions de la méthodologie. Une demande d'avis auprès du comité d'expertise pour les études dans le domaine de la santé (CEREES) n'est pas requise.
	Conformément à l'article 30 du RGPD, le responsable de traitement tient à jour, au sein du registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente méthodologie.
	6.2. Principe de transparence
	La mise à disposition des données du SNDS et de ses composantes est conçue de façon à rendre compte de leur utilisation à la société civile. A cette fin, l' article L. 1461-3 du CSP subordonne l'accès aux données du SNDS et de ses composantes à la communication à l'INDS de plusieurs éléments par le responsable de traitement, avant et après l'étude.
Ainsi, le responsable du traitement s'engage à enregistrer auprès du répertoire public tenu par l'INDS chaque étude réalisée dans le cadre de cette méthodologie de référence. Cet enregistrement, à effectuer par le responsable de traitement ou la personne agissant pour son compte, avant le début de chaque étude, s'accompagne de la transmission à l'INDS d'un dossier comportant :
	- le protocole, incluant la justification de l'intérêt public, ainsi qu'un résumé, selon le modèle mis à disposition par l'INDS ;
	- en rapport avec l'objet de l'étude, la déclaration d'intérêts du responsable du traitement et celle du laboratoire de recherche ou du bureau d'études, telle que prévue par l'article 5 de l'arrêté du 17 juillet 2017 précité.
	A la fin de l'étude, la méthode et les résultats obtenus devront être communiqués à l'INDS en vue de leur publication dans le respect du secret des affaires et de la propriété intellectuelle.
	L'enregistrement du traitement et la transmission des résultats sont effectués conformément aux modalités définies par l'INDS.
	6.3. Audits externes
Le responsable de traitement s'engage à faire réaliser en son sein tous les trois ans un audit externe indépendant à compter de l'engagement de conformité à la présente méthodologie de référence puis tous les trois ans après le premier audit réalisé, en vue de s'assurer du respect des principes portés par la loi, en particulier le respect des finalités interdites. L'audit porte sur les finalités poursuivies et sur l'utilisation par le responsable de traitement des résultats des études réalisées.
	Le rapport d'audit est transmis au président du comité d'audit du SNDS prévu par la loi informatique et libertés.
Titre VII : ENTRÉE EN VIGUEUR
 
	La présente méthodologie de référence entre en vigueur à compter de sa publication au Journal officiel.
	La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé Système national des données de santé ;
Vu l'arrêté du 24 juillet 2013 relatif au recueil et au traitement des données d'activité médicale produites par les établissements de santé publics ou privés ayant une activité de médecine d'urgence et à la transmission d'informations issues de ce traitement dans les conditions définies à l' article L. 6113-8 du code de la santé publique et dans un but de veille et de sécurité sanitaires ;
Vu l'arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé,
 
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le RGPD ) et notamment son article 5, point 2, prévoit que le responsable de traitement doit être en mesure de démontrer que les principes du règlement sont respectés.
L'article 9, paragraphe 4 du RGPD précise que les Etats membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques ou des données concernant la santé.
Ainsi, en application de la loi du 6 janvier 1978 modifiée (ci-après loi informatique et libertés ), les traitements de données à caractère personnel à des fins de recherche, étude ou évaluation dans le domaine de la santé, sont autorisés par la Commission nationale de l'informatique et des libertés (ci-après la Commission ).
La Commission peut homologuer et publier des méthodologies de référence, au titre des référentiels mentionnés au II de l'article 54 de la loi informatique et libertés , établies en concertation avec l'Institut national des données de santé (ci-après INDS ), ainsi qu'avec les organismes publics et privés représentatifs des acteurs concernés.
Parmi les traitements les plus usuels figure l'accès par les établissements de santé aux données centralisées par l'Agence technique de l'information sur l'hospitalisation (ci-après ATIH ) et mises à disposition sur la plateforme sécurisée de l'ATIH, c'est-à-dire les données du Programme de médicalisation des systèmes d'information ou (ci-après PMSI ) et les données des Résumés de passage aux urgences (ci-après RPU ).
Le PMSI consiste en un recueil synthétique et standardisé d'informations administratives et médicales au sein des établissements de santé, publics ou privés, à but lucratif ou à but non lucratif, dont les objectifs principaux sont d'organiser les soins hospitaliers sur le territoire français (planification) et de financer les établissements en fonction de leur activité (tarification à l'activité). Il est de plus en plus utilisé en épidémiologie hospitalière pour comprendre les facteurs de variation des prises en charge, de l'offre de soins et son adéquation aux besoins des populations.
Régi par les articles L. 6113-7 et L. 6113-8 du Code de la santé publique (ci-après CSP ), le PMSI a été généralisé dans les années 1990 et est désormais appliqué quel que soit le secteur d'hospitalisation, mais avec des modes de recueils différents selon les catégories de prise en charge. Il comporte des données concernant les activités suivantes :
- médecine, chirurgie, obstétrique et odontologie (MCO) ;
- soins de suite et de réadaptation (SSR) ;
- recueil d'information médicalisée en psychiatrie (RIM-P) ;
- hospitalisation à domicile (HAD).
Un fichier spécifique permet de relier toutes les données du PMSI concernant un même patient (fichier ANO ).
Les données du PMSI permettent d'analyser et de comprendre l'activité des établissements de santé dans toutes leurs dimensions (volume, attractivité, taux de fuite, valeur, etc.) et établir des comparaisons entre établissements sur l'ensemble du territoire. Elles permettent ainsi aux établissements d'élaborer leur projet médical et les projets de territoire en prenant en compte leur environnement, en termes d'offre de soins et de coûts, et de répondre à leur obligation légale d'analyse de leur activité ( art. L. 6113-7 du CSP).
Le résumé de passage aux urgences (RPU) est un recueil standardisé des données médico-administratives des patients pris en charge par les services d'urgences hospitalières. Il a été rendu obligatoire par un arrêté du 24 juillet 2013. Ce recueil a pour finalité d'améliorer la connaissance de l'activité des structures des urgences et de permettre la mise en place d'une base de données nationale sur les urgences.
Les RPU ne sont chaînés ni avec le PMSI (qui constitue une base distincte), ni entre eux, si bien que les différents passages d'un même patient ne seront pas regroupés dans la base nationale de l'ATIH.
Bien que d'usage plus récent que le PMSI, les RPU représentent une source d'informations importante sur les urgences, qui permet des analyses complémentaires à celles menées à partir du PMSI.
Faciliter l'accès des établissements de santé à ces données s'inscrit également dans la volonté des pouvoirs publics d'améliorer l'accès aux soins et la qualité de la prise en charge médicale dans un cadre de maîtrise des dépenses générales qui conduit à renforcer les recompositions hospitalières et à rationaliser leur financement au regard de leur contribution à l'amélioration de la performance globale de l'offre de soins.
Directement concernées par cet objectif, les fédérations hospitalières qui informent, conseillent, assistent et représentent les établissements de santé auprès des pouvoirs publics, ont aussi besoin d'exploiter les données de l'ATIH de manière récurrente et itérative pour répondre aux besoins de leurs adhérents, qu'ils soient communs ou individuels.
Au regard de tous ces besoins, la Commission a estimé que le cadre d'une méthodologie de référence était approprié pour faciliter et encadrer les nombreux traitements de données réalisés par les établissements de santé et les fédérations hospitalières à partir des données détenues par l'ATIH.
Compte tenu de leurs missions, les fédérations et établissements réalisent un grand nombre d'études qui s'inscrivent dans un ensemble de finalités déterminées correspondant à leurs missions (par exemple : évaluation des parcours de santé ou de la qualité des soins, évaluations médico-économiques, réponses aux demandes des pouvoirs publics, actions auprès du grand public, conseil aux adhérents, etc.). Les responsables de traitement qui adressent un engagement de conformité à cette méthodologie de référence sont autorisés à mettre en œuvre les traitements dès lors que ceux-ci répondent aux conditions prévues par ces dispositions.
Décide :
Titre Ier : DÉFINITIONS, RESPONSABLES DE TRAITEMENT CONCERNÉS, CHAMP D'APPLICATION ET INTÉRÊT PUBLIC
 
	1.1. Définitions
	Au sens de la présente méthodologie, les termes suivants sont ainsi définis :
- donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée personne concernée ) ; est réputée être une personne physique identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
	- traitement : toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ;
	- responsable de traitement : la personne physique ou morale qui, seule ou conjointement avec d'autres, est responsable d'une recherche, étude ou évaluation n'impliquant pas la personne humaine, en assure la gestion, vérifie que son financement est prévu et qui détermine les finalités et les moyens des traitements nécessaires à celle-ci ;
- sous-traitant : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement.
	- personnes chargées de la réalisation de l'étude : la ou les personnes physiques qui travaillent sur les données individuelles du PMSI et des RPU ;
	- étude : recherche n'impliquant pas la personne humaine, étude ou évaluation dans le domaine de la santé ; une étude peut nécessiter la réalisation de plusieurs requêtes dans la base de données mise à disposition sur la plateforme sécurisée de l'ATIH ;
	- protocole : document indiquant notamment la méthodologie de l'étude, l'objectif du traitement des données à caractère personnel, les catégories de personnes concernées par le traitement, l'origine, la nature et la liste des données à caractère personnel utilisées et la liste des justifications de recours à celles-ci, la durée et les modalités d'organisation de l'étude, la méthode d'analyse des données, ainsi que, lorsque les caractéristiques de l'étude l'exigent, la justification du nombre de personnes et la méthode d'observation retenue ;
	- recherche opérationnelle : l'analyse de données dans le but d'optimiser des organisations ou de produire des éléments d'aide à la décision pour de nouvelles organisations.
	1.2. Responsables de traitement concernés
	Seuls peuvent réaliser un engagement de conformité à la présente méthodologie de référence :
- les établissements de santé (qu'ils soient publics ou privés, à but lucratif ou à but non lucratif) régis notamment par les dispositions des titres IV et VI du livre Ier de la sixième partie du CSP ;
	Les fédérations suivantes :
	- la Fédération hospitalière de France (FHF) ;
	- la Fédération de l'hospitalisation privée (FHP) ;
	- la Fédération des établissements hospitaliers et d'aide à la personne privés non lucratifs (FEHAP) ;
	- la Fédération Unicancer ;
	- la Fédération nationale des établissements d'hospitalisation à domicile (FNEHAD).
	1.3. Traitement de données à caractère personnel inclus dans le champ d'application de la présente méthodologie
	Seuls peuvent faire l'objet d'un engagement de conformité à la présente méthodologie de référence les traitements de données à caractère personnel ayant pour finalité la réalisation d'études présentant un caractère d'intérêt public et respectant les conditions de sécurité, d'organisation et de transparence suivantes :
	- Les traitements de données ne peuvent être réalisés que sur la plateforme sécurisée de l'ATIH, après signature par le responsable de traitement d'une convention d'accès aux données avec l'ATIH et engagement individuel de chaque personne habilitée à respecter les conditions d'utilisation définies par l'ATIH. Aucun export de données à caractère personnel n'est possible en dehors de la plateforme de l'ATIH. Seuls des résultats anonymes peuvent être exportés ;