AgentPublic/cnil huggingface dataset:
Ainsi, les codes identifiant des établissements (FINESS, etc.) et professionnels de santé (RPPS, ADELI, etc.) et les indications géographiques, initialement présents dans la plateforme de télésurveillance, seront transmis à la CNAM pour appariement avec les données du SNDS. La Commission prend note que ces données identifiantes seront supprimées par la CNAM avant transmission à la Plateforme des données de santé, et que ce dernier en contrôlera la suppression avant la mise à disposition du jeu de données dans l’espace projet HYDRO.
Les transmissions de données depuis le responsable de traitement vers la Plateforme des données de santé seront ponctuelles (trois fois par an) et se feront sur des canaux chiffrés (réseau privé virtuel IPsec). Les données elles-mêmes seront chiffrées avec une clé temporaire et signées par le responsable de traitement, à l’aide de secrets dédiés à cette transmission, stockés dans un coffre-fort numérique et renouvelés régulièrement ou en cas de doute sur leur compromission. La CNAM transmettra les données appariées à la Plateforme des données de santé selon les mêmes mesures de sécurité, après avoir reçu les données à apparier via sa plateforme SAFE.
Sur les mesures de sécurité de l’espace projet HYDRO :
La Commission relève que la sécurité des données de l’espace projet HYDRO dépend essentiellement de la solution technique de la Plateforme, qui a fait l’objet d’une analyse globale des risques et des impacts sur la vie privée, suivie d’une homologation le 16 décembre 2019 selon le référentiel de sécurité du SNDS, avec un plan d’action conséquent de mise en œuvre de mesures de sécurité.
Plus spécifiquement, une analyse d’impact relative à la protection des données a été transmise à la Commission concernant la solution technique de la Plateforme en version 1.0, qui correspond à une bulle sécurisée SNDS et qui hébergera à ce titre le projet HYDRO.
Également, le responsable de traitement a réalisé une analyse d’impact relative à la protection des données spécifique au projet HYDRO et intégrant les éléments fournis par la Plateforme des données de santé pour sa plateforme 1.0, ainsi qu’une analyse des risques de ré-identification en lien avec les finalités interdites, toutes deux transmises à l’appui de la demande d’autorisation.
La Commission relève que le responsable de traitement a fourni des éléments démontrant une bonne maturité en termes de management de la sécurité et qu’il s’est engagé dans une certification selon la norme internationale ISO/IEC 27001, qui implique notamment une formalisation et une surveillance régulière des procédures liées à la sécurité des systèmes d’information.
A cet égard, la Commission prend acte que la répartition des rôles et responsabilités entre le responsable de traitement et la Plateforme des données de santé, concernant la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que l’encadrement des transferts de données hors de l’Union européenne, devra être formalisée par une convention entre les deux parties.
Elle prend acte que le responsable de traitement déléguera à la Plateforme l’analyse des traces d’utilisation de son espace projet et la transmission d’un tableau de bord d’indicateurs de sécurité défini conjointement, dont le suivi régulier sera intégré au système de management de la sécurité du responsable de traitement. En outre, la Plateforme des données de santé communiquera des indicateurs globaux sur la sécurité et les risques liés à la vie privée pour sa plateforme technologique sous-jacente à l’espace projet.
La Commission prend également acte que la gestion des incidents et des violations sera globalement formalisée dans les Conditions générales d’utilisation de la solution technique de la Plateforme des données de santé.
Sur ces questions, la Commission recommande que soient précisées dans la convention les processus liés aux indicateurs de sécurité, les procédures de gestion des incidents et des violations de données, ainsi que les modalités de sensibilisation des utilisateurs, en distinguant les particularités liées à l’espace projet HYDRO et à la solution technique de la Plateforme sous-jacente.
Elle rappelle notamment que des indicateurs de sécurité opérationnels doivent reposer sur un objectif et un mode de calcul précis, un mode et une fréquence de collecte, ainsi que sur des règles de décision permettant de lever des alertes.
Elle souligne également que la sensibilisation des utilisateurs de l’espace projet HYDRO incombe à la fois au responsable de traitement et à la Plateforme des données de santé, de manière globale (par exemple, via des formations régulières) mais aussi par des messages ciblés lors d’opérations particulières (par exemple, une alerte circonstanciée dans l’interface utilisateur lors d’un export de données devant être anonymes).
En outre, la sensibilisation des utilisateurs devra se nourrir de la surveillance des indicateurs de sécurité, afin de corriger d’éventuelles dérives de comportement et de prendre en compte l’apparition de nouveaux risques.
Dans ces conditions, la Commission autorise la société IMPLICITY à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité une étude portant sur le développement et la validation d’algorithmes de prédiction des crises de décompensation cardiaque chez les patients porteurs d'implants cardiaques connectés, intitulée HYDRO .
La Présidente
 
Marie-Laure DENIS
Le bureau de la Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données ;
Vu le code de la sécurité intérieure, notamment son article L. 253-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8.2.g, 10, 11 et 19 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 16 à 19 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu Mme Sophie LAMBREMON, vice-présidente déléguée, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Décide :
Article 1 En savoir plus sur cet article...
Les agents de la Commission nationale de l'informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 19 de la loi du 6 janvier 1978 modifiée et à l'article L. 253-3 du code de la sécurité intérieure :
M. Belaïd AÏT HAMOUDA, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Dorine ARNAUDEAU, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Monir AZRAOUI, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Audrey BACQUIE, assistante au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Isabelle BARBE, assistante juridique au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Siré BARRY, assistante juridique au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Barbara BAVOIL, assistante au service des affaires économiques à la direction de la conformité ;
Mme Nacéra BEKHAT, juriste au service des affaires économiques à la direction de la conformité ;
Mme Khadija BELGHITI-ALAOUI, assistante à la direction de la protection des droits et des sanctions ;
Mme Justine BERTAUD du CHAZAUD, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
M. Thomas BIZET, adjoint au chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;
Mme Claire BIZOT-ESPIARD, juriste au service de la santé à la direction de la conformité ;
M. Maxime BLANCHOT, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Nana BOTCHORICHVILI, juriste au service des affaires européennes et internationales ;
Mme Aziza BOUALLAGA BENHASSI, chargée du développement des outils au service des outils de la conformité à la direction de la conformité ;
Mme Soumia BOUASSAM, juriste au service de la santé à la direction de la conformité ;
M. Tanguy BOUCHER, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Erik BOUCHER-DE-CREVECOEUR, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Valérie BOURRIQUEN, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Stéphanie BOISSEAU, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Sophie BORY, juriste au service des affaires européennes et internationales ;
Mme Flora BRAC DE LA PERRIERE, juriste au service des affaires économiques à la direction de la conformité ;
Mme Justine BRAIVE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Véronique BREMOND, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Emilie BRUNET, juriste au service des affaires européennes et internationales ;
Mme Solenn BRUNET, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Marjolaine CASSAR, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Marion de CASTELBAJAC, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Régis CHATELLIER, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ;
Mme Virginie CLAUDE-LOONIS, adjointe au chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Nastassia COGNÉE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Olivier COUTOR, chargé d'études à la direction des relations avec les publics et la recherche ;
M. Thomas DAUTIEU, directeur de la conformité ;
Mme Christine DECHESNE-CEARD, chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;
M. Guillaume DELAFOSSE, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Isabelle DELERUE, assistante à la direction de la protection des droits et des sanctions ;
M. Éric DELISLE, chef du service des questions sociales et ressources humaines à la direction de la conformité ;
M. Xavier DELPORTE, chef du service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Sadio DIOUMASSY, assistante juridique au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Alexandra DORÉ, juriste au service de la santé à la direction de la conformité ;
M. Julien DROCHON, auditeur des systèmes d'information référent au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Antoine DROIN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Gabrielle DU BOUCHER, juriste au service des affaires régaliennes et des collectivités territoriales ;
Mme Marie DUBOYS FRESNEY, juriste au service des affaires économiques à la direction de la conformité ;
M. Corentin DUPOUEY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Hugo DUSSERT, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Louis DUTHEILLET de LAMOTHE, secrétaire général ;
Mme Viktorija ELENSKI, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Manon de FALLOIS, juriste au service de la santé à la direction de la conformité ;
Mme Anne FONTANILLE, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Florence FOURETS, directrice chargée de projets régaliens auprès du secrétaire général ;
Mme Marie FROMENTIN, juriste au service de la santé à la direction de la conformité ;
M. Émile GABRIÉ, conseiller auprès de la présidente et du secrétaire général ;
Mme Marion de GASQUET, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
M. Gaston GAUTRENEAU, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Rodolphe GENISSEL, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Sophie GENVRESSE, adjointe au chef du service des plaintes à la direction de la protection des droits et des sanctions ;
M. Mathieu GINESTET, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme . Zelda GERARD, juriste au service des outils de la conformité à la direction de la conformité ;
Mme Lorena GONZALEZ, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
M. Jérôme GORIN, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Michel GUEDRÉ, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Hélène GUIMIOT-BREAUD, chef du service de la santé à la direction de la conformité ;
M. Basile GULEY, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
Mme Estelle HARY, designer au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Paul HEBERT, directeur adjoint de la conformité ;
M. Jean HECKLY, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Armand HESLOT, chef du service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Sonia HUDELA, assistante à la direction de la protection des droits et des sanctions ;
Mme Nathalie JACQUES, assistante au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Amandine JAMBERT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Hugo JAUFFRET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Julien JEDRZEJCZAK, assistant juridique à la direction de la protection des droits et des sanctions ;
Mme Véronique JENNEQUIN, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Maya JOUBIN, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Pauline KIENLEN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Karin KIEFER, directrice adjointe de la protection des droits et des sanctions ;
Mme Joana KOJUNDZIC, assistante juridique au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Névine LAHLOU, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Alice de LA MURE, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Nina LE BONNIEC, juriste au service des affaires régaliennes et des collectivités territoriales ;
M. Gwendal LE GRAND, secrétaire général adjoint ;
Mme Maud LETAY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Noémie LICHON, chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Marie-Françoise MAINDRON, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Isabelle MANTZ, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Delphine MARGULIS, assistante juridique au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Astrid MARIAUX, chef de service des contrôles à la direction de la protection des droits et des sanctions ;
M. Tony MARTIN, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Joanna MASSON, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Etienne MAURY, juriste au service des affaires européennes et internationales ;
Mme Marjorie MENAPACE, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Elise MERY-BOUDONNAT, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Thomas MOREAU, juriste au service des affaires économiques à la direction de la conformité ;
M. Mathias MOULIN, directeur de la protection des droits et des sanctions ;
Mme Sophie NERBONNE, directrice chargée de co-régulation économique ;
M. Bao-Khanh NGUYEN TRUNG, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Ingrid NKOUENJIN, chef du service des outils de la conformité à la direction de la conformité ;
Mme Rabia OUADDAH, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Marie PACALET, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
Mme Adélaïde PATERNOGA, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Benoît PELLAN, chargé du développement des outils de la conformité à la direction de la conformité ;
Mme Lorraine PERRONNE, juriste au service des affaires régaliennes et des collectivités territoriales ;
Mme Bertrande PIAT-TAMBAREAU, assistante juridique au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Antoine PLANCHOT, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Benjamin POILVÉ, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Florence RAYNAL, chef du service des affaires européennes et internationales ;
M. Vincent RASNEUR, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Albane RICHET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Ismini RIGOPOULOU, juriste au service des affaires européennes et internationales ;
Mme Caroline RILOS MACIAS, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Valentin ROGER, responsable de la sécurité des systèmes d'information au secrétariat général ;
Mme Guilda ROSTAMA, juriste au service des affaires économiques à la direction de la conformité ;
Mme Mathilde ROUSSEL, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Stéphanie SAULNIER, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
Mme Clémence SCOTTEZ, chef du service des affaires économiques à la direction de la conformité ;
Mme Émilie SERUGA-CAU, chef du service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
M. Félicien VALLET, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Benjamin VIALLE, chef de service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Anne VIDAL, juriste au service de la santé à la direction de la conformité ;
Mme Albine VINCENT, chef du service des délégués à la protection des données à la direction de la conformité ;
M. Paul VINCENT, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Christophe VIVENT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Clémentine VOISARD, chargée de mission au service des relations avec les publics ;
Mme Sophie VULLIET-TAVERNIER, directrice des relations avec les publics et la recherche.
Article 2
La délibération n° HAB-2019-002 du 12 septembre 2019 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée.
Article 3
Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 4
La présente décision prendra effet à compter de la date de sa publication au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par la ministre des solidarités et de la santé du dossier de demande d’agrément de le Centre Hospitalier de Béziers, candidat à l’hébergement de données de santé à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8 et suivants et R. 1111-1 à R. 1111-15-1 ;
Vu le code de la sécurité sociale, notamment son article L. 161-36-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :