AgentPublic/cnil huggingface dataset:
- Le responsable de traitement désigne un délégué à la protection des données et tient un registre des activités de traitement. Le responsable de traitement met en place une politique d'habilitation de son personnel autorisé à accéder aux données ; un protocole doit être validé par le responsable de traitement avant le début de la mise en œuvre du traitement des données ;
	- Le responsable de traitement s'engage à ne pas poursuivre l'une des finalités interdites, en particulier la promotion des produits mentionnés au II de l'article L. 5311-1 du CSP en direction des professionnels de santé ou des établissements de santé ;
	- Le responsable de traitement enregistre tous les traitements réalisés dans le cadre de la méthodologie de référence auprès d'un répertoire public tenu par l'INDS. La méthode et les résultats obtenus sont publiés par l'INDS à la fin du traitement, selon les modalités prévues au paragraphe 6.2 Principe de transparence .
	La présente méthodologie de référence n'est pas applicable aux traitements :
	- nécessitant un export des données à caractère personnel en dehors de la plateforme sécurisée ;
	- nécessitant un appariement à des données à caractère personnel autres que celles mises à disposition par l'ATIH.
	1.4. Intérêt public et finalités interdites
L'accès aux données à caractère personnel du Système national des données de santé (SNDS) et de ses composantes, dont font partie les données issues des systèmes d'information mentionnés à l' article L. 6113-7 du CSP, peut être autorisé pour permettre des traitements à des fins d'études répondant à un motif d'intérêt public.
	Les traitements réalisés dans le cadre de cette méthodologie de référence doivent répondre à un motif d'intérêt public, justifié par le responsable de traitement auprès de l'INDS.
	Au-delà de l'interdiction de réidentification des patients, deux finalités sont expressément interdites :
	1° La promotion des produits mentionnés au II de l'article L. 5311-1 en direction des professionnels de santé ou d'établissements de santé ;
	2° L'exclusion de garanties des contrats d'assurance et la modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque.
Titre II : TRAITEMENTS RELATIFS AUX DONNÉES DES PERSONNES CONCERNÉES PAR DES ÉTUDES
 
	2.1. Finalité des traitements
	Seules les finalités d'études dans le domaine de la santé ou encore de planification et de valorisation de l'offre de soins détaillées ci-dessous sont couvertes par la méthodologie de référence :
	- évaluation comparative de l'offre de soins : analyses spatiales, analyses stratégiques ;
	- évolution des pratiques de prises en charge, incidence de certains facteurs dans les hospitalisations, analyses temporelles ;
- analyses comparatives des activités de soins, études de trajectoire de patients, bassin de recrutement, devenir des patients ;
	- description et analyse des pathologies et parcours de soins des patients dans les établissements de santé ;
	- analyse du territoire de santé, des groupements hospitaliers de territoire (GHT), études de collaboration entre établissements d'un périmètre défini ;
	- analyse continue d'évaluations comparatives, meilleure adaptation de l'offre de soins, optimisation, valorisation des séjours, réalisation d'indicateurs de pilotage, stratégie ;
	- travaux de modélisation, simulation, planning, logistique hospitalière, recherche opérationnelle ;
	- études épidémiologiques ;
	- études médico-économiques.
	2.2. Origine et nature des données
	2.2.1. Origine des données à caractère personnel
	Les données doivent provenir exclusivement des bases de données constituées par l'ATIH au titre du PMSI et des RPU.
	2.2.2. Nature des données à caractère personnel
En application de l'article 5, paragraphe 1, point c, du RGPD, les données traitées doivent être pertinentes, adéquates et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (principe de minimisation des données). A cet égard, le responsable de traitement s'engage à ne traiter que les données strictement nécessaires et pertinentes au regard des objectifs de l'étude. Dès lors, chacune des catégories de données ne peut être traitée que si leur traitement est justifié dans le protocole.
	Les catégories de données à caractère personnel pouvant faire l'objet du traitement sont les données centralisées et mises à disposition sur la plateforme sécurisée de l'Agence technique de l'information sur l'hospitalisation (ATIH), en particulier sur l'ensemble des fichiers dans les champs :
	- médecine, chirurgie, obstétrique et odontologie (MCO) ;
	- soins de suite et de réadaptation (SSR) ;
	- recueil d'information médicalisée en psychiatrie (RIM-P) ;
	- hospitalisation à domicile (HAD) ;
	- avec la possibilité de relier toutes les données du PMSI concernant un même patient au moyen du fichier ANO .
	Par ailleurs, les données des résumés de passage aux urgences (RPU), qui sont mises à disposition par l'ATIH dans les mêmes conditions, sont également incluses dans le champ de la présente méthodologie.
Les traitements inclus dans le cadre de la présente méthodologie de référence portent sur les données nationales du PMSI et des RPU dont la profondeur historique maximale est de neuf ans plus l'année en cours.
	La zone géographique concernée ainsi que la profondeur historique des données consultées sont justifiées dans le protocole.
	2.3. Destinataires des données à caractère personnel traitées
	Les données de l'ATIH sont mises à disposition du responsable de traitement sur une plateforme sécurisée. Aucune exportation de données à caractère personnel ne peut être réalisée dans le cadre de la présente méthodologie de référence.
	Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
	Seul le personnel habilité par le responsable de traitement peut avoir accès aux données traitées au regard de leurs fonctions et dans des conditions conformes à la réglementation, notamment celles relatives aux modalités d'analyse et au rôle du médecin responsable de l'information médicale ( art. R. 6113-1 à R. 6113-11 du CSP).
	Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d'habilitation établie par le responsable de traitement.
	2.4. Publication des résultats
	Conformément aux dispositions de la loi informatique et libertés , la présentation des résultats du traitement de données ne peut en aucun cas permettre l'identification directe ou indirecte des personnes concernées.
	2.5. Information et droits des personnes concernées par l'étude
	L'information des personnes concernées, quant à la réutilisation possible de leurs données et aux modalités d'exercice de leurs droits, est assurée par une mention figurant sur le site internet des responsables de traitement, des organismes d'assurance maladie et sur des supports permettant de la porter à la connaissance des personnes, notamment des affiches dans les locaux ouverts au public ou des documents qui leur sont remis.
	Les droits d'accès, de rectification et d'opposition s'exercent auprès du directeur de l'organisme gestionnaire du régime d'assurance maladie obligatoire auquel la personne est rattachée, conformément aux dispositions de l'article R. 1461-9 du CSP.
	2.6. Durée de conservation
	Les données à caractère personnel du PMSI et des RPU ne peuvent faire l'objet d'une conservation en dehors de la plateforme sécurisée par le responsable de traitement, leur exportation étant interdite. Seuls des résultats anonymes peuvent être exportés.
La durée d'accès aux données dans la plateforme sécurisée doit être limitée à la durée nécessaire à la mise en œuvre du traitement. Lorsque le responsable de traitement en justifie, l'accès aux données peut être maintenu à l'issue de l'étude, dans la limite de deux ans à compter de la dernière publication relative aux résultats.
Titre III : TRAITEMENTS RELATIFS AUX DONNÉES DES PERSONNES CHARGÉES DE LA RÉALISATION DE L'ÉTUDE
 
	Les traitements de données des personnes chargées de la réalisation de l'étude doivent avoir pour seule finalité la mise en œuvre de l'étude et le respect des obligations légales du responsable de traitement.
	En particulier, les données traitées ont pour finalité la gestion des déclarations d'intérêts, leur transmission à l'INDS le cas échéant et la gestion des procédures d'habilitation internes.
	Les seules catégories de données à caractère personnel relatives aux personnes concernées pouvant faire l'objet du traitement sont les suivantes :
	- nom, prénom(s), fonction, profils d'accès ;
	- si pertinent : coordonnées téléphoniques, postales et/ou électroniques professionnelles, organisme employeur ;
	- formation, diplômes ;
	- éléments nécessaires à l'évaluation des connaissances afin de réaliser l'étude.
	L'information des personnes concernées ainsi que les modalités d'exercice de leurs droits sont conformes au principe de transparence prévu au chapitre III du RGPD.
Les données à caractère personnel des personnes concernées chargées de la réalisation de l'étude ne peuvent être conservées au-delà d'un délai de cinq ans après la fin de l'étude.
Titre IV : MISE EN ŒUVRE ET SÉCURITÉ
 
	La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l'étude s'effectue sous la responsabilité du responsable de traitement, y compris chez des tiers agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD ainsi que de l'arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS.
	L'ATIH met à disposition les données sur une plateforme sécurisée et homologuée au sens de l'arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS.
	Elle repose sur une connexion internet sécurisée (protocole HTTPS) et une authentification forte (mot de passe à usage unique généré par un token). La traçabilité des accès est assurée et un mécanisme de surveillance informatique enregistre toutes les actions réalisées par l'utilisateur.
	Un espace de travail sur la plateforme est fourni par l'ATIH afin que les utilisateurs puissent consulter les données. Seules des statistiques agrégées de telle sorte que l'identification, directe ou indirecte, des personnes est impossible, peuvent être extraites de la plateforme.
Une copie de toutes les sorties de données est conservée par l'ATIH, qui se réserve le droit de faire un signalement à la Commission si elle a connaissance d'informations de nature à révéler de graves manquements.
Titre V : SOUS-TRAITANTS
 
	Lorsque le responsable de traitement fait appel à un ou des sous-traitants, il s'assure que ceux-ci présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du RGPD, de la loi informatique et libertés et garantisse la protection des droits de la personne concernée.
	Un établissement de santé ou une fédération hospitalière responsable de traitement peut notamment choisir comme sous-traitant un autre établissement de santé ou une fédération hospitalière.
	Le responsable de traitement établit avec le sous-traitant un contrat ou un autre acte juridique précisant les obligations de chaque partie et reprenant les dispositions de l'article 28 du RGPD. En particulier, le contrat doit prévoir que le sous-traitant :
	- ne traite les données que sur instruction documentée du responsable de traitement et prend toutes les mesures de sécurité requises ;
	- ne sous-traite pas sans autorisation écrite du responsable de traitement ;
	- aide le responsable de traitement à garantir le respect de ses diverses obligations (droits des personnes, sécurité du traitement, notification de violation, analyses d'impact, etc.) ;
- met à disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect de ses obligations et pour permettre la réalisation d'audits ;
	- informe immédiatement le responsable de traitement en cas d'instruction qui, selon lui, constitue une violation du RGPD ou de la loi informatique et libertés .
	En outre, le sous-traitant :
	- désigne, le cas échéant, un délégué à la protection des données conformément à l'article 37 du RGPD ;
	- tient un registre des catégories de traitements effectués pour le compte du responsable de traitement, conformément à l'article 30 du RGPD.
Titre VI : MISE EN ŒUVRE DU PRINCIPE DE RESPONSABILITÉ
 
	6.1. Formalités
	Chaque responsable de traitement désigne un délégué à la protection des données, en application de l'article 37 du RGPD. Ce délégué à la protection des données aura notamment pour mission de vérifier le respect de la conformité des traitements mis en œuvre selon la présente méthodologie.
	Les responsables de traitement adressent à la Commission un seul engagement de conformité à la présente méthodologie pour l'ensemble des traitements qu'ils mettent en œuvre dès lors qu'ils sont réalisés en conformité avec l'ensemble des dispositions de la méthodologie. Une demande d'avis auprès du Comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé (CEREES) n'est pas requise.
Conformément à l'article 30 du RGPD, le responsable de traitement tient à jour, au sein du registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente méthodologie.
	6.2. Principe de transparence
	La mise à disposition des données du SNDS et de ses composantes est conçue de façon à rendre compte de leur utilisation à la société civile. A cette fin, l' article L. 1461-3 du CSP subordonne l'accès aux données du SNDS et de ses composantes à la communication à l'INDS de plusieurs éléments par le responsable de traitement, avant et après les études.
	Ainsi, le responsable du traitement s'engage à enregistrer auprès du répertoire public tenu par l'INDS les études réalisées dans le cadre de cette méthodologie de référence. Cet enregistrement, à effectuer par le responsable de traitement ou la personne agissant pour son compte, avant le début des études, s'accompagne de la transmission à l'INDS d'un dossier comportant :
	- le protocole, incluant la justification de l'intérêt public, ainsi qu'un résumé, selon le modèle mis à disposition par l'INDS ;
	- la déclaration d'intérêts du responsable du traitement, en rapport avec l'objet des études.
	A la fin des études, la méthode et les résultats obtenus devront être communiqués à l'INDS en vue de leur publication.
	L'enregistrement du traitement et la transmission des résultats sont effectués conformément aux modalités définies par l'INDS.
Titre VII : ENTRÉE EN VIGUEUR
La présente méthodologie de référence entre en vigueur à compter de sa publication au Journal officiel.
	La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé système national des données de santé ;
Vu l'arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le Règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le règlement général sur la protection des données - RGPD) et notamment l'article 5, point 2, prévoit que le responsable de traitement doit être en mesure de démontrer que les principes du règlement sont respectés. L'article 9, paragraphe 4 du RGPD précise que les États membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques ou des données concernant la santé.
Ainsi, en application de la loi du 6 janvier 1978 modifiée (ci-après loi informatique et libertés ), les traitements de données à caractère personnel à des fins de recherche, étude ou évaluation dans le domaine de la santé sont autorisés par la Commission nationale de l'informatique et des libertés.
La Commission peut homologuer et publier des méthodologies de référence, établies en concertation avec le Comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé (ci-après le CEREES) ainsi qu'avec les organismes publics et privés représentatifs des acteurs concernés.
Ces méthodologies, destinées à simplifier la procédure d'autorisation, portent sur les catégories les plus usuelles de traitements automatisés ayant pour finalité les recherches, études ou évaluations dans le domaine de la santé.
Les responsables de traitement qui adressent un engagement de conformité à cette méthodologie de référence sont autorisés à mettre en œuvre les traitements dès lors que ceux-ci répondent aux conditions prévues par ces dispositions.
Décide :
Titre Ier : DÉFINITIONS ET CHAMP D'APPLICATION
 
	1.1. Définitions
	Au sens de la présente méthodologie, les termes suivants sont ainsi définis :
	- donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée personne concernée ) ; est réputée être une personne physique identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
- traitement : toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ;
	- responsable de traitement : la personne physique ou morale qui, seule ou conjointement avec d'autres, est responsable d'une recherche, étude ou évaluation n'impliquant pas la personne humaine, en assure la gestion, vérifie que son financement est prévu et qui détermine les finalités et les moyens des traitements nécessaires à celle-ci ;
	- responsable scientifique ou responsable de la mise en œuvre de la recherche : la personne désignée par le responsable de traitement, et agissant sous sa responsabilité, veillant à la qualité, l'intégrité et la sécurité des informations et de leur traitement, ainsi qu'au respect de la finalité de celui-ci ;
- sous-traitant : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement. Il s'agit par exemple du centre participant, d'une société de recherche sous contrat ou d'un prestataire de services informatiques, de centres de ressources biologiques ou d'hébergeurs de données de santé ;
	- professionnel(s) intervenant dans la recherche : la (ou les) personne(s) physiques qui collecte(nt) les données, dirige(nt) ou surveille(nt) la réalisation de la recherche dans un centre participant. Il s'agit notamment des professionnels de santé, du personnel médical et de personnes qualifiées ;
	- centre participant : organisme détenant, collectant et/ou transmettant des données et/ou des échantillons biologiques utilisés dans le cadre de la recherche, de l'étude ou de l'évaluation ;
	- données génétiques : données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d'une personne physique qui donnent des informations uniques sur la physiologie ou l'état de santé de cette personne physique et qui résultent, notamment, d'une analyse d'un échantillon biologique de la personne physique en question ;
- protocole : document indiquant notamment la méthodologie de la recherche, l'objectif du traitement des données à caractère personnel, les catégories de personnes concernées par le traitement, l'origine, la nature et la liste des données à caractère personnel utilisées et la liste des justifications de recours à celles-ci, la durée et les modalités d'organisation de la recherche, de l'étude ou de l'évaluation, la méthode d'analyse des données, ainsi que, lorsque les caractéristiques de l'étude, de la recherche ou de l'évaluation l'exigent, la justification du nombre de personnes et la méthode d'observation ou d'investigation retenue ;
	- recherche : recherche n'impliquant pas la personne humaine, étude ou évaluation dans le domaine de la santé ;
	- système fils : système hébergeant ou mettant à disposition des données directement extraites du Système National des Données de Santé (SNDS) central ou d'un système source ou d'un autre système fils ; un système fils fait partie du SNDS élargi ;
	1.2. Traitements de données à caractère personnel inclus dans le champ d'application de la présente méthodologie