AgentPublic/cnil huggingface dataset:
La commission recommande que la gestion et l'usage des habilitations fassent l'objet de procédures formalisées, validées par le responsable de traitement et portées à la connaissance des utilisateurs.
Elle recommande également que les permissions d'accès soient supprimées pour tout utilisateur n'étant plus habilité et qu'une revue globale des habilitations soit opérée régulièrement.
Comme indiqué plus haut, la commission note que les agents contrôleurs devront systématiquement s'authentifier pour avoir accès aux données détaillées que ce soit via un terminal comportant un lecteur de flash-code (de type Smartphone) ou via un navigateur web. Par ailleurs, les maîtres d'ouvrage et les donneurs d'ordre scannant le Q-R Code présent sur la carte ne pourront que vérifier qu'une carte CIP est valide ou non.
Le contrôle des accès repose sur des mots de passe d'une validité de deux mois. La commission rappelle qu'elle recommande le recours à des mots de passe d'une longueur minimale de huit caractères, composés de minuscules, majuscules, chiffres et caractères spéciaux. Le mot de passe doit être modifié par l'utilisateur dès sa première connexion puis régulièrement.
Concernant les administrateurs du traitement, la commission recommande en outre de porter la longueur du mot de passe à dix caractères minimum.
La commission rappelle également que les mots de passe ne doivent pas être stockés en clair en base de données et recommande ainsi de stocker les empreintes obtenues par une fonction de hachage à clé secrète adaptée.
Les transferts de données sont sécurisés par l'utilisation de réseaux isolés et compartimentés et la mise en œuvre du protocole SSLITLS pour le chiffrement des flux et l'authentification du serveur. À cet égard, la commission recommande d'utiliser la version de TLS la plus à jour possible.
Des sauvegardes régulières, au minimum mensuelles, sont réalisées. La commission recommande que le transfert et le stockage des sauvegardes soit sécurisé, notamment par chiffrement des sauvegardes, et que des tests de continuité d'activité soient effectués régulièrement.
La mise au point des logiciels s'effectue sur des données anonymisées.
Les interventions de maintenance font l'objet d'une traçabilité et d'une surveillance. Les supports de stockages destinés à la destruction font l'objet d'une procédure de protection particulière.
Les consultations, créations, modifications et suppressions de données sont journalisés en répertoriant, notamment, l'identification de l'utilisateur et du poste de travail, l'horodatage, l'opération effectuée et la référence des données accédées. Les traces des accès et des opérations effectuées dans l'application sont conservées pendant un an, afin d'apporter une traçabilité étendue des actions des usagers du site, ainsi que des gestionnaires de l'UCF-CI BTP.
La commission rappelle qu'elle préconise une conservation des traces de six mois en l'absence de contrainte légale ou réglementaire spécifique, ou lorsqu'il n'y a pas de risque à l'impact potentiel particulièrement grave sur les individus.
La commission recommande qu'un contrôle des traces soit effectué de manière automatique, pour détecter les comportements anormaux et assorti d'une levée d'alerte. Elle recommande également que des mesures soient mises en œuvre pour assurer l'intégrité des traces.
Enfin, l'accès aux locaux et équipement hébergeant le traitement est sécurisé par un contrôle d'accès physique et la présence d'un gardien.
Sous réserve de ces observations, la commission estime que les mesures de sécurité décrites par le responsable de traitement dans le dossier d'instruction sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi Informatique et Libertés .
La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques et de l'évolution des technologies.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des affaires sociales et de la santé d'une demande d'avis concernant un projet d'arrêté relatif au référentiel de sécurité applicable au Système national des données de santé ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1461-1 à L. 1461-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé système national des données de santé ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie, le 14 octobre 2016, par le ministère des affaires sociales et de la santé d'une demande d'avis concernant un projet d'arrêté relatif au référentiel de sécurité applicable au Système national des données de santé (ci-après SNDS ), pris en application de l' article L. 1461-1 du code de la santé publique.
Aux termes de ces dispositions législatives, l'accès aux données du SNDS s'effectue dans des conditions assurant la confidentialité et l'intégrité des données et la traçabilité des accès et des autres traitements, conformément à un référentiel défini par un arrêté des ministres chargés de la santé, de la sécurité sociale et du numérique, pris après avis de la CNIL.
L'article 2 du projet d'arrêté prévoit une mise en application progressive du référentiel de sécurité selon les règles suivantes:
- dès la création du SNDS, le responsable du traitement et les gestionnaires de systèmes d'information existants traitant des données de santé issues du SNDS doivent définir un plan d'action de mise en conformité indiquant les mesures à prendre dans l'immédiat puis à court et moyen terme. Ils doivent, dans les mêmes délais, mener une analyse de risques et mettre en place des actionsgarantissant la protection des données et le respect de la vie privée des personnes afin d'assurer la confidentialité et l'intégrité des données et la traçabilité des accès ;
- le SNDS et tous les systèmes d'information traitant des données de santé issues du SNDS existants à la date d'entrée en vigueur de l'arrêté devront être en conformité totale avec le référentiel mentionné à l'article 1er dans un délai maximum de deux ans à compter de cette même date ;
- les nouveaux systèmes d'information, créés après l'entrée en vigueur de l'arrêté, traitant des données de santé issues du SNDS doivent être en conformité avec le référentiel dès leur création.
La commission rappelle que dans sa délibération n° 2016-316 du 13 octobre 2016, portant avis sur le projet de décret relatif au SNDS, elle avait demandé à recevoir un plan d'action détaillé incluant un calendrier prévisionnel de déploiement des mesures prévues dans le référentiel de sécurité et un engagement du responsable de traitement pour la mise en œuvre dans les meilleurs délais du respect de l'ensemble des exigences du référentiel de sécurité SNDS.
A cet égard, elle prend acte de ce que le directeur général de la CNAMTS lui a communiqué ce plan d'action dans un courrier du 9 décembre 2016 et de l'engagement de la CNAMTS à le mettre en œuvre.
Elle relève que l'ouverture du SNDS se fera en avril 2017.
Le référentiel de sécurité du SNDS porté par le projet d'arrêté a été défini à la suite d'une analyse de risques du traitement SNDS dans son ensemble, en incluant le système central et les systèmes fils qui hébergeront une copie de tout ou partie des données du système central.
La commission estime que ce référentiel a pris en compte la diversité des problématiques de sécurité inhérentes à un tel traitement massif de données personnelles sensibles, et qu'il fixe des exigences de sécurité à la hauteur des enjeux d'un tel traitement. Elle prend acte de ce que les nouveaux systèmes créés après l'entrée en vigueur de l'arrêté devront être conformes dès leur création.
Sur la conformité des systèmes SNDS :
Le référentiel dispose que tout système destiné à traiter des données du SNDS, que ce soit le SNDS central ou les systèmes fils, devra avoir préalablement apporté la preuve de sa conformité au présent référentiel, au règlement européen sur la protection des données personnelles, à la Politique générale de sécurité des systèmes d'information en santé (PGSSI-S), à la Politique de sécurité des systèmes d'information pour les ministères chargés des affaires sociales (PSSI MCAS), aux règles applicables dans le cadre du Référentiel Général de Sécurité (RGS) et à la loi Informatique et libertés.
En particulier, chaque système devra avoir été homologué au vu d'une analyse de risques et d'une étude d'impacts sur la vie privée, avec le suivi de la mise en œuvre des mesures destinées à couvrir les risques identifiés.
La commission en prend acte et rappelle la nécessité d'intégrer les évaluations de conformité et de risques dès les premières étapes de développement des systèmes. Par conséquent, et afin d'accompagner au mieux le déploiement du SNDS, elle demande que les procédures de preuve de conformité et d'homologation soient définies bien avant l'échéance de fin 2018 qui est indiquée dans le plan d'action.
De même, la commission rappelle l'importance de mettre en place au plus tôt les procédures d'audit fonctionnel et technique des systèmes et de revue des habilitations. A cet égard, elle prend acte de l'engagement à mettre en œuvre une politique de contrôle et d'audit dès l'ouverture du SNDS dans le cadre de la gouvernance générale du projet.
Sur la gestion des risques de réidentification :
La commission prend acte de ce que des données du SNDS ne pourront être qualifiées comme étant à faible risque de réidentification qu'à l'issue d'une analyse de risques.
Elle considère que cette analyse de risques de réidentification devra alors être intégrée au dossier d'homologation.
Enfin, concernant les mécanismes de pseudonymisation des données du SNDS, la CNAMTS indique qu'elle partage l'objectif de remplacer le dispositif utilisé pour le SNIIRAM et qu'elle a entrepris les études préalables sur cette action, qui sera réalisée dans le cadre de sa prochaine convention d'objectifs et de gestion, sans pour autant mentionner d'échéance.
La commission rappelle qu'elle recommande une mise en place dans les meilleurs délais, afin de traiter les risques croissants de réidentification des données liés à l'accroissement considérable du nombre d'utilisateurs et de systèmes fils du SNDS par rapport au SNIIRAM.
Sur les droits des personnes concernées :
La commission prend acte de ce que le référentiel dispose que le gestionnaire du SNDS central doit définir et appliquer un processus d'exercice du droit d'accès. Celui-ci doit notamment viser à s'assurer de l'identité de la personne exerçant le droit d'accès, de l'intégrité des informations communiquées et des modalités de communication permettant de garantir leur confidentialité.
Elle prend acte également de ce que le référentiel prévoit que le gestionnaire du SNDS central doit s'assurer qu'aucune donnée d'une personne ayant fait jouer son droit d'opposition n'est exportée vers un système fils généré à des fins de recherche, d'étude ou d'évaluation.
Sur les destinataires de données :
La commission relève que les conditions générales d'utilisation (CGU) du SNDS sont en cours de finalisation. Elles auront pour objet d'encadrer les accès aux données du SNDS et leurs usages, de sensibiliser les acteurs au respect des exigences du référentiel de sécurité et de responsabiliser l'ensemble des utilisateurs. Elles devront être signées par les utilisateurs avant d'accéder aux données du SNDS.
Concernant la durée limitée des habilitations d'accès au SNDS prévue par le référentiel, ainsi que les modalités de renouvellement de celles-ci, la commission rappelle sa recommandation de prévoir des habilitations d'accès par projet plutôt que par fonction.
Concernant l'identification et l'authentification des utilisateurs du SNDS, le référentiel de sécurité renvoie aux exigences des référentiels correspondants de la PGSSI-S.
A cet égard, la commission relève que ces référentiels sont destinés à être rendus opposables par arrêté du ministère, pris après avis de la CNIL, et qu'elle n'a pas encore été saisie à ce sujet. Elle prend néanmoins acte de l'exigence portée par le référentiel SNDS de recourir à une identification de palier 2 et à une authentification forte de palier 2.
Sur la traçabilité :
La CNAMTS indique que les CGU s'accompagneront d'un rappel des sanctions encourues en cas de non-respect, lesquelles s'appuieront dans un premier temps sur les mécanismes de traçabilité mis en place pour le SNIIRAM puis sur des dispositifs adaptés à l'architecture du SNDS étendu aux systèmes fils.
Les exports de données seront également surveillés par des outils dédiés. Une politique spécifique encadrera la gestion et l'exploitation des traces selon les risques, en intégrant les bonnes pratiques de surveillance.
A cet égard, la commission rappelle l'importance de la traçabilité des accès aux données de santé et demande à être destinataire de points d'avancement sur la mise en place des outils et des politiques de traçabilité.
Sur les environnements techniques :
Concernant les exigences portant sur les environnements techniques de la CNAMTS hors production (recette, qualification, intégration, test, développement, préproduction) pouvant être amenés à traiter des données réelles, la CNAMTS indique étudier plusieurs pistes de sécurisation. La commission demande à être régulièrement informée de l'avancée de ces travaux.
De même, la commission souhaite être informée des exigences et solutions techniques qui seront retenues pour les environnements maîtrisés dans lesquels les données du SNDS doivent être traitées.
Concernant l'exigence d'exclusion d'accès internet pour les environnements des administrateurs, la commission relève que la solution proposée dans le plan d'action, à savoir la mise en place d'un bastion d'administration, ne couvre pas entièrement le besoin. Elle recommande d'y ajouter un cloisonnement réseau, avec un réseau séparé dédié à l'administration des systèmes SNDS.
Enfin, de manière plus générale, la commission comprend que l'architecture cible du SNDS est en cours de détermination et évoluera avec son déploiement progressif, ce qui complique la planification précise du respect de certaines exigences du référentiel. Elle demande donc à recevoir les mises à jour du plan d'action et répond favorablement à la proposition de la CNAMTS d'organiser des rencontres régulières entre services respectifs.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de sécurité du médicament et des produits de santé d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre de l’application E-SATURNE de dématérialisation des demandes d’autorisation temporaire d’utilisation nominative de médicaments ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5121-12 et R. 5121-69 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’Agence nationale de sécurité du médicament et des produits de santé (ANSM) est un établissement public à caractère administratif qui procède à l’évaluation des bénéfices et des risques liés à l’utilisation des produits à finalité sanitaire destinés à l’homme et des produits à finalité cosmétique. Elle est chargée de garantir l’indépendance, la compétence scientifique et l’efficacité administrative des études et des contrôles relatifs à la fabrication, aux essais, aux propriétés thérapeutiques et à l’usage des produits de santé, en vue d’assurer la santé et la sécurité de la population et de contribuer au développement des activités industrielles et de recherches pharmaceutiques.
La délivrance d’autorisations temporaires d’utilisation nominatives (ATUn) constitue une partie des missions de l’ANSM en matière d’accès à l’innovation thérapeutique, conformément aux dispositions des articles L. 5121-12 et R. 5121-69 du code de la santé publique. Cette mission consiste à favoriser un accès précoce et exceptionnel à une spécialité pharmaceutique ne disposant pas d’une autorisation de mise sur le marché en France, pour traiter une maladie grave ou rare, en l’absence de traitement approprié disponible et pour lequel la mise en œuvre du traitement ne peut être différée, en s’assurant que le rapport bénéfice/risque du médicament est présumé favorable dans l’indication considérée et qu’il répond à un besoin thérapeutique non couvert. L’ATUn est délivrée pour un patient nommément désigné pour une durée donnée.
Sur la finalité
Le traitement de données envisagé a pour finalité la mise en œuvre de l’application « E-SATURNE » permettant la dématérialisation des demandes d’ATUn ainsi que la mise en place d’un système d’échanges entre les pharmacies à usage intérieur (PUI), les prescripteurs des établissements de santé et l’ANSM.
L’application E-SATURNE a vocation à remplacer le traitement existant au format papier, dénommé « SATURNE » et déclaré auprès de la Commission le 7 août 1996 sous la référence 466383.
Plus précisément, l’application E-SATURNE permettra de :
remplir en ligne les demandes d’ATUn et de les soumettre électroniquement à l’ANSM ;
faciliter les échanges entre l’ANSM et les professionnels concernés par une ATUn (prescripteur et pharmacien de la PUI) ;
mettre en place un « reporting » vers les PUI et les prescripteurs afin d’effectuer des analyses statistiques, pour les demandes qui les concernent.
Sur les données traitées
Les données traitées dans le cadre d’E-SATURNE sont les suivantes :
concernant le prescripteur : nom, prénom, titre, lieu d’exercice, identifiant au Répertoire partagé des professionnels de santé (RPPS), numéro de téléphone ;
concernant le pharmacien de la PUI : nom, prénom, titre, lieu d’exercice, identifiant au RPPS, numéro de téléphone ;
concernant le patient :
données d’identification : trois premières lettres du nom et deux premières lettres du prénom, date de naissance ;
données de santé : pathologie, domaine thérapeutique et justification, médicaments demandés, traitements associés.
Sur les destinataires
L’accès à l’application E-SATURNE est réservé aux médecins prescripteurs et pharmaciens de PUI des établissements de santé et aux évaluateurs cliniques de l’ANSM.
Les personnes autorisées à traiter les données sont astreintes au secret professionnel.
Sur l’information et le droit d’accès
Conformément à l'article L. 5121-12 du code de la santé publique, le médecin prescripteur doit informer le patient du cadre de la prescription, des risques encourus, des contraintes et des bénéfices potentiels. Il est rappelé que les patients sont libres d'accepter ou de refuser leur traitement par un médicament prescrit sous ATUn. En cas d'acceptation des soins, la mise en œuvre de l’ATUn implique une transmission d'informations à l’ANSM dont le patient doit être informé par son médecin prescripteur. 
Les droits d'accès et de rectification reconnus par les articles 39 et 40 de la loi Informatique et Libertés peuvent s’exercer directement auprès de la direction de l’évaluation de l’ANSM ou par l'intermédiaire du médecin prescripteur ou du pharmacien de la PUI.
S'agissant des médecins prescripteurs et des pharmaciens de PUI, ils sont informés du traitement de leurs données à caractère personnel et des modalités d’exercice de leurs droits lors de leur connexion à l’application E-SATURNE.
Sur les mesures de sécurité
L’application E-SATURNE est un portail accessible sur internet à destination des prescripteurs d’ATUn, des pharmaciens de PUI et des évaluateurs cliniques de l’ANSM.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin (gestionnaire, évaluateur et administrateur). Celles-ci sont préalablement délivrées par voie hiérarchique.
Chaque utilisateur dispose d'un identifiant qui lui est propre. Le responsable de traitement impose une authentification forte des utilisateurs par l’utilisation d’une carte de professionnel de santé (CPS) ou d’une carte de directeur d’établissement (CDE) pour toute transmission ou tout accès aux données de santé par les prescripteurs et les pharmaciens de PUI.
Les agents de l’ANSM ne disposant pas de CPS ou de CDE s’authentifient par mot de passe. A ce sujet, la Commission recommande de se rapporter à sa délibération n° 2017-012 du 19 janvier 2017 présentant les modalités relatives à la création du mot de passe, à sa complexité, à la gestion du compte associé, à l'authentification, à la conservation, au changement et au renouvellement du mot de passe, et à la notification de violations de données à la personne.
L’ensemble des accès et actions opérés sur les données sont tracés et horodatés. La Commission rappelle que la durée de conservation des journaux préconisée est de six mois sauf contrainte légale ou réglementaire ou risques exceptionnellement graves sur les personnes. 
Les transferts de données sont sécurisés par le recours au protocole HTTPS. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible.
Des mesures sont prévues pour assurer le cloisonnement du traitement et les transferts de données sont sécurisés par l’utilisation de réseaux isolés et compartimentés.
Les données sont hébergées au sein de l’organisme et l'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.
Des sauvegardes quotidiennes sont réalisées. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.
La Commission relève qu’un module d’extraction des données est disponible pour les pharmacies à usage intérieur et les prescripteurs, pour les seules demandes qu’ils ont soumises via l’application afin d’effectuer des analyses statistiques. 
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi Informatique et Libertés.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Dans la mesure où des incidents susceptibles d’être liés aux médicaments peuvent survenir longtemps après la fin du traitement, l’ANSM conserve les données pendant soixante-dix ans à compter de l’enregistrement d’une demande d’ATUn dans la base E-SATURNE. 
A l’expiration du délai, les données seront supprimées ou archivées sous une forme anonymisée.
Autorise, conformément à la présente délibération, l’Agence nationale de sécurité du médicament et des produits de santé à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS