AgentPublic/cnil huggingface dataset:
La mise à disposition des données du SNDS et de ses composantes est conçue de façon à rendre compte de leur utilisation à la société civile. À cette fin, l’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé de plusieurs éléments par le responsable de traitement, avant et après les études.
Ainsi, le responsable de traitement s’engage à enregistrer auprès du répertoire public tenu par la Plateforme des données de santé l’ensemble des études réalisées dans le cadre de cette décision unique. Cet enregistrement, à effectuer par le responsable de traitement ou la personne agissant pour son compte, avant le début des traitements, s’accompagne de la transmission à la Plateforme des données de santé d’un dossier comportant :
le protocole, incluant la justification de l’intérêt public, ainsi qu’un résumé, selon le modèle mis à disposition par la Plateforme des données de santé ;
la déclaration d’intérêts du responsable du traitement, en rapport avec l'objet des traitements.
À la fin des études, la méthode et les résultats obtenus devront être communiqués à la Plateforme des données de santé en vue de leur publication. L’enregistrement des traitements et la transmission des résultats sont effectués conformément aux modalités définies par la Plateforme des données de santé.
Par ailleurs, la Commission prend acte de l’engagement de la société PKCS de mettre en œuvre des efforts de transparence supplémentaire vis-à-vis de la société civile à travers la publication annuelle sur son site internet de la liste des traitements mis en œuvre dans le cadre de la décision unique ainsi que la liste des communications et des publications réalisées.
La Commission rappelle également qu’à l’issue du délai de trois ans, un bilan contenant notamment la liste des analyses réalisées dans le cadre de la décision unique ainsi que la méthodologie suivie dans le cadre des analyses devra être adressé à la Commission.
Sur les audits externes 
Le responsable de traitement devra réaliser en son sein un audit externe indépendant à l’expiration du délai de trois ans en vue de s'assurer du respect des principes portés par la loi, en particulier le respect des finalités interdites. Cet audit devra porter sur les finalités poursuivies et sur l'utilisation par le responsable de traitement des résultats des études réalisées. Un rapport d'audit devra être transmis au président du comité d'audit du SNDS prévu par la loi informatique et libertés .
Autorise, conformément à la présente délibération, la société PKCS à mettre en œuvre les traitements décrits ci-dessus pendant une durée de trois ans, avec obligation, d’une part, de remise d’un bilan à la Commission à l’issue de ce délai et, d’autre part, du rapport d’audit externe.
 
Pour la Présidente
La Vice-Présidente déléguée
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des solidarités et de la santé d’une demande d’avis concernant un projet d’arrêté portant sur l’utilisation par l’équipe de recherche EPICEA de l’Institut national de la santé et de la recherche médicale du répertoire national inter-régimes des bénéficiaires de l'assurance maladie aux fins d'assurer une surveillance sur le long terme de l'état de santé et de la qualité de vie des personnes atteintes d'un cancer dans l'enfance ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la sécurité sociale, notamment ses articles L. 161-32 et R. 161-34 à R. 161-38 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 64 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 octobre 1996 relatif au Répertoire national inter-régimes des bénéficiaires de l’assurance maladie, ainsi que la délibération de la Commission national de l’informatique et des libertés n° 96-070 du 10 septembre 1996 portant avis sur le projet d’arrêté ;
Vu la décision DR 2013-198 de la Commission nationale de l'informatique et des libertés autorisant l’institut de la santé et de la recherche médicale à mettre en œuvre un traitement de données ayant pour finalité la mise en œuvre d’une base de données commune au registre national des hémopathies malignes de l’enfant (RNHE) et au registre national des tumeurs solides de l’enfant (RNTSE) afin de répondre au mieux à leurs objectifs en recherche épidémiologique et à leur mission de veille sanitaires ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie le 27 juin 2019 pour avis par le ministère des solidarités et de la santé d’un projet d’arrêté (ci-après le projet ) relatif à l’utilisation par l’équipe de recherche Epidémiologie des cancers de l’enfant et de l’adolescent (EPICEA) de l’Institut national de la santé et de la recherche médicale (INSERM) du répertoire national inter-régimes des bénéficiaires de l’assurance maladie (ci-après le RNIAM ) dans le cadre du projet d’étude COHOPER (COHOrt of the PEdiatric cancer Registries) ci-après l’étude .
L’étude, qui concerne une cohorte de 21 000 personnes, a pour objectif principal de prolonger au-delà de l’âge pédiatrique la surveillance des personnes atteintes d’un cancer dans l’enfance, assurée par le Registre national des cancers de l’enfant (RNCE). La prolongation de cette surveillance à l’âge adulte devrait permettre un suivi de leur santé et de leur qualité de vie sur le long terme, ainsi que la délivrance d’une information adéquate et personnalisée sur les risques de séquelles, leur prise en charge et l’existence de modules de dépistage et de formation à la prévention.
Le RNCE, géré par l’équipe EPICEA sous la responsabilité de l’INSERM, contient les données d’environ 38 000 mineurs suivis pendant les premières années consécutives à leur diagnostic sur la période 1990-2015. Sur ces 38 000 mineurs, 21 000 sont aujourd’hui devenus majeurs et sont concernés par l’étude.
Le déroulement de l’étude est prévu en deux phases distinctes qui feront l’objet de formalités spécifiques auprès de la Commission sur le fondement des articles 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée. Le premier volet de l’étude, rétrospectif, consistera au rapprochement des données du Registre national des cancers de l’enfant (RNCE) avec les données du Système national des données de santé (SNDS). Le second volet de l’étude, prospectif, permettra la réalisation d’enquêtes sur la santé, le suivi médical et le mode de vie auprès d’un échantillon d’anciens patients enregistrés.
Pour réaliser l’étude, l’équipe de recherche EPICEA dispose de la dernière adresse connue des personnes concernées, enregistrée dans le RNCE lorsqu’elles étaient mineures et qui n’a pas été actualisée à leur majorité. Aussi, l’équipe EPICEA souhaite accéder au RNIAM afin de collecter l’adresse actuelle de ces personnes et, le cas échéant, l’indication sur leur statut vital, en vue de leur proposer de participer à l’étude.
L’article R. 161-37-V du code de la sécurité sociale interdisant l’utilisation du RNIAM à des fins de recherche en dehors des cas expressément prévus par la loi et prévoyant qu’ une telle utilisation peut être autorisée, dans l'intérêt de la santé des personnes concernées ou en raison du risque de maladie transmissible, par un arrêté du ministre chargé de la santé, pris sur avis de la Commission nationale de l'informatique et des libertés , la Commission a été saisie d’une demande d’avis sur ce projet d’arrêté.
Sur la finalité du traitement et son fondement juridique :
Le traitement envisagé a pour finalité de permettre et d’organiser l’utilisation du RNIAM par l’équipe de recherche EPICEA de l’INSERM, afin de rechercher et de collecter l’adresse des personnes concernées par l’étude et, le cas échéant, l’indication sur leur statut vital. Ces données devraient permettre à l’équipe de recherche de les solliciter pour leur proposer de participer aux différents volets de l’étude (enquête par questionnaire et accompagnement).
A cette fin, l’article 1er du projet d’arrêté prévoit que l’équipe de recherche EPICEA de l’INSERM est autorisée à utiliser le RNIAM afin d’obtenir, par l’intermédiaire des organismes servant les prestations d’assurance maladie, l’adresse des personnes concernées par l’étude.
La Commission relève que la finalité poursuivie par le traitement envisagé s’inscrit dans l'intérêt de la santé des personnes concernées, comme le prévoient les dispositions de l’article R. 161-37-V du code de la sécurité sociale.
Sur la nature des données traitées :
La Commission relève que l’article 1er du projet prévoit que le RNIAM est consulté afin de collecter l’adresse des personnes concernées alors que l’article 4 du projet prévoit que les données à caractère personnel collectées à partir du RNIAM et transmises à l’équipe de recherche EPICEA sont : le nom patronymique, les prénoms dans l’ordre de l’état civil, l’adresse des personnes et, le cas échéant, l’indication du décès.
La Commission prend acte que les articles 2 et 4 du projet d’arrêté ont été modifiés afin de préciser les données qui seront collectées dans le cadre de l’utilisation du RNIAM.
Elle suggère néanmoins que l’article 1er mentionne également les prénoms dans l’ordre de l’état civil et, le cas échéant, l’indication du décès.
Par ailleurs, l’article 3 du projet mentionne que la Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS) consulte les organismes d’assurance maladie afin d’obtenir le lieu de naissance des personnes concernées, alors que cette donnée lui est déjà transmise par l’équipe EPICEA (article 2 du projet).
La Commission s’interroge donc sur la nécessité de recueillir une nouvelle fois cette donnée auprès des organismes d’assurance maladie.
Sous réserve des précédentes observations, elle considère que les données dont le traitement est envisagé sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 5-1-c) du Règlement général sur la protection des données.
Sur l'information et les droits des personnes :
La Commission relève que le projet ne prévoit aucune modalité d’information des personnes concernées et aucune modalité d’exercice de leurs droits.
La Commission comprend qu’il n’est pas envisageable de procéder à une information individuelle des personnes concernées préalable à la consultation du RNIAM, l’accès à cette base ayant justement pour objet de permettre à l’INSERM de disposer de leur adresse afin de les informer du projet d’étude.
Elle rappelle cependant qu’en application de l'article 14-5-b du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information se révèle impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, conformément au Règlement général sur la protection des données, le responsable de traitement est tenu de prendre des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
Par conséquent, la Commission demande que l’INSERM mette en œuvre des mesures appropriées (diffusion sur le site web, affichage, etc.) préalablement à l’utilisation du RNIAM. Elle invite par ailleurs l’INSERM à en faire état dans les documents d’information qui seront individuellement adressés aux personnes concernées afin de leur proposer de participer aux différents volets de l’étude, lesquels devront également détailler les modalités d’exercice des droits des personnes.
Sur la sécurité des données :
La Commission relève que le projet ne fait pas mention des mesures de sécurité qui seront mises en œuvre pour assurer la sécurité des données.
La Commission rappelle que le responsable de traitement devra déterminer et mettre en place les mesures de sécurité techniques et organisationnelles adaptées aux risques conformément aux articles 5-1-f) et 32 du RGPD.
Sur la durée de conservation des données :
L’article 5 du projet prévoit que les données seront conservées pendant la durée de l’étude.
Dans la mesure où la durée de l’étude n’a pas été précisée, la Commission demande que la durée de conservation des données dans le cadre du traitement consistant en l’utilisation du RNIAM soit prévue par l’arrêté et fixée indépendamment de celles prévues pour les différents volets de l’étude, qui constituent des traitements de données distincts.
Pour la Présidente,
La Vice-Présidente déléguée,
Sophie LAMBREMON
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut national d’études démographiques (INED) d’une demande d’avis relative à la réalisation et à l’analyse des résultats d’une enquête statistique portant sur les mutations sociodémographiques dans les départements et régions d’Outre-mer dénommée Migrations, Famille, Vieillissement (MFV-2) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 51-711 du 7 juin 1951 modifiée relative à l’obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 44-6° ;
Vu le décret n° 2009-318 du 20 mars 2009 relatif au Conseil national de l'information statistique, au comité du secret statistique et au comité du label de la statistique publique ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2009-497 du 17 septembre 2009 autorisant l’Institut national d’études démographiques (INED) à mettre en œuvre les traitements automatisés de données à caractère personnel nécessaires à la réalisation et à l’analyse des résultats d’une enquête statistique portant sur les mutations sociodémographiques dans les départements d’Outre-mer dénommée Migration, Famille, Vieillissement (MFV) ;
Vu la délibération n° 2015-309 du 10 septembre 2015 autorisant l’Institut national d’études démographiques (INED) à mettre en œuvre des traitements automatisés de données à caractère personnel ayant pour finalités la réalisation et l’analyse des résultats d’enquête statistique portant sur les mutations sociodémographiques dans le département d’Outre-mer de Mayotte dénommée Migration, Famille, Vieillissement (MFV Mayotte) ;
Vu la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission relève que le projet d’enquête dont elle est saisie, qui s’inscrit dans la continuité de l’enquête Migration, Famille et Vieillissement menée en 2009 (MFV) sur lequel elle s’est déjà prononcée, vise principalement à mettre en lumière les évolutions survenues depuis, évaluer les incidences en termes de politiques publiques et mesurer leurs effets sur la vie économique et sociale en dégageant les spécificités de chacun des territoires étudiés.
Dans ce contexte, le traitement projeté poursuit des finalités de statistique et de recherche publiques. Elle estime à cet égard que le traitement relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après le RGPD ) et prend acte que l’INED entend se prévaloir de la base légale de l’exécution d’une mission d’intérêt public mentionnée à l’article au e) du 1) de l’article 6 du RGPD.
Dans la mesure où il porte sur des données sensibles au sens de la réglementation, le traitement projeté doit faire l’objet d’un avis préalable de la Commission conformément aux dispositions de l’article 44-6° de la loi du 6 janvier 1978 modifiée, sans préjudice de l’obligation de formaliser, le cas échéant, la création du traitement par un acte réglementaire spécifique. Elle rappelle qu’elle devra être tenue informée et saisie de toute modification substantielle affectant les caractéristiques du traitement, l’analyse d’impact relative à la protection des données (AIPD) transmise devant quant à elle faire l’objet d’une mise à jour.
Sur le contexte général de réalisation de l’enquête MFV2 
La Commission prend acte que le projet d’enquête porte sur un échantillon constitué pour obtenir un total d’environ 13 000 répondants (3 000 respectivement en Guadeloupe, à La Réunion et en Martinique ainsi que 4 000 en Guyane) afin de collecter des données à partir du 8 janvier 2020 et jusqu’en décembre 2021.
La collecte de données ainsi réalisée doit permettre l’analyse et la mesure des mutations sociodémographiques dans chacune des collectivités précitées et, plus particulièrement, l’importance et les caractéristiques des migrations, l’évolution des structures familiales, les changements dans les comportements de fécondité, la place et les perspectives d’avenir de la jeunesse, l’importance de la précarité sociale ou encore l’évolution des formes traditionnelles de solidarité en lien avec le vieillissement de la population.
Elle relève que la base de sondage constituée pour l’occasion par l’Institut national de la statistique et des études économiques (INSEE) à partir des données collectées lors des enquêtes annuelles de recensement (EAR) est décomposée en trois vagues pour les Antilles et la Réunion et quatre pour la Guyane. Le tirage de la première vague sera réalisé dans le cycle d’EAR 2014-2018, celui des deuxième et troisième vagues dans le cycle 2015-2019 et la quatrième vague dans le cycle 2016-2020 (sous réserve de la production des images du recensement associées à l’EAR 2020).
Dans chaque logement retenu à l’issue du tirage, la personne devant répondre au questionnaire sera sélectionnée parmi les individus entrant dans le champ de l’enquête, et dont c’est la résidence principale, par la méthode de la date d’anniversaire la plus proche.
La Commission relève que la maîtrise d’ouvrage de ce projet d’enquête est assurée par l’INED, tandis que l’INSEE assure la maitrise d’œuvre en qualité de sous-traitant en prenant notamment en charge la sélection de l’échantillon et la collecte des données. A cet égard, elle relève qu’une convention a été conclue entre l’INED et l’INSEE le 6 décembre 2019, définissant les responsabilités et obligations respectives de ces acteurs, conformément aux dispositions de l’article 28 du RGPD.
La Commission prend également acte des précisions apportées par l’INED selon lesquelles l’INSEE, intervenant dans la réalisation de cette enquête en qualité de sous-traitant, a renoncé à tout droit sur les données et ne les traitera pas à des fins statistiques.
Elle relève en outre que l’enquête sera réalisée en face à face par des enquêteurs de l’INSEE à partir d’un outil informatique permettant la saisie des données en temps réel.
La Commission observe enfin que le projet d’enquête a reçu l’avis de conformité du Comité du label de la statistique publique le 27 septembre 2019 permettant, par délégation du Conseil national de l’information statistique (CNIS), l’attribution du label d’intérêt général et de qualité statistique.
Ce projet d’enquête est par ailleurs inscrit au programme d’enquêtes statistiques des services publics et des autres services producteurs d’informations statistiques pour 2020, tel qu’approuvé par l’arrêté du 24 octobre 2019 du ministre de l’économie et des finances. Il a reçu le visa du ministre de l’économie et des finances conformément à l’article 2 de la loi n° 51-711 du 7 juin 1951 susvisée et s’est vu conférer à cette occasion le caractère d’enquête obligatoire.
Outre le projet d’enquête principal auprès des personnes de 18 à 79 ans vivant en ménage ordinaire dans les quatre DROM (La Réunion, Guadeloupe, Martinique et Guyane) distinguant les personnes natives des DROM, dont les natifs de retour (personnes natives du département ayant vécu en dehors avant de s’y réinstaller), et immigrants (personnes nées en dehors du département qui s’y sont installées), il est prévu que des post-enquêtes qualitatives, exclues de la présente demande d’avis, puissent être effectuées. Celles-ci seront réalisées auprès des personnes enquêtées ayant donné leur accord et, si elles y consentent, auprès d’ enfants-adultes  des personnes natives interrogées lors de l’enquête résidant en dehors du département.
Sur les finalités du traitement
La Commission relève que le projet d’enquête vise à permettre la production d’analyses et de publications statistiques par le responsable du traitement, ainsi que la mise à disposition de données indirectement identifiantes à la communauté scientifique en vue de leur réutilisation à des fins de recherche scientifique.
Elle prend acte des précisions selon lesquelles 
ces finalités doivent permettre de répondre 
aux besoins publics d’un renouvellement des connaissances sur l’importance et la rapidité des mutations sociodémographiques en cours dans les lieux visés.
La Commission considère que les finalités poursuivies par le traitement projeté sont déterminées, explicites et légitimes, conformément aux dispositions du b) du 1) de l’article 5 du RGPD.
Sur la nature des données traitées
La Commission observe que les finalités poursuivies impliquent la collecte de nombreuses données à caractère personnel de natures très variées auprès des personnes enquêtées, dont certaines relèvent de la catégorie des données dites sensibles au sens de l’article 9 du RGPD. Le questionnaire comprend ainsi dix modules sur les enfants de la personne enquêtée et de son conjoint, son union actuelle et les unions passées, la maîtrise et l’avenir de la fécondité, la trajectoire sociale et professionnelle, un module distinct selon que la personne enquêtée est native du département ou immigrante, les expériences de rejet ou de discrimination dans le département, la famille élargie, les solidarités et aides, l’état de santé et l’accès aux soins et les langues et la religion.
La Commission rappelle que, dans la décision n° 2007-557 DC du 15 novembre 2007, le Conseil constitutionnel a jugé que  si les traitements nécessaires à la conduite d'études sur la mesure de la diversité des origines des personnes, de la discrimination et de l'intégration peuvent porter sur des données objectives, ils ne sauraient, sans méconnaître le principe énoncé par l'article 1er de la Constitution, reposer sur l'origine ethnique ou la race .