AgentPublic/cnil huggingface dataset:
disposer de résultats descriptifs détaillés, fiables et à jour sur le nombre et les caractéristiques des accidents de la vie courante (ACVC) survenant en France et donnant lieu à recours aux soins d’urgence en milieu hospitalier ;
estimer l’incidence de survenue des ACVC, leur évolution dans le temps et dans l’espace, leurs caractéristiques et celles des populations accidentées ;
définir des actions de prévention et de règlementation pour éviter les ACVC.
EPAC inclut tous les cas d’accidents de la vie courante pris en charge dans les services d’urgence des hôpitaux participants (une quinzaine dont dix sont situés en France métropolitaine). Le dispositif concerne les urgences adultes et/ou les urgences pédiatriques.
Sont concernés par le système de surveillance EPAC :
les traumatismes non intentionnels, par opposition aux traumatismes intentionnels tels que suicides et tentatives de suicide, agressions, violences, faits de guerre ;
les accidents de la vie courante, par opposition aux accidents du travail et accidents de la circulation. 
Sont inclus dans le système EPAC, bien qu’étant intentionnels, les bagarres entre enfants de moins de dix ans. Sont inclus également, bien qu’étant des accidents de la  circulation, les accidents de véhicule à roues sans moteurs (vélo, trottinette, roller). 
Ce traitement est justifié par un intérêt public au sens de l’article 8 IV de la loi et doit être autorisé par la CNIL en application de son article 25 I 1°.
La Commission considère que ces finalités sont déterminées, explicites et légitimes au sens de l’article 6 2° de la loi.
Sur les données traitées
Le principe du recueil EPAC repose sur l’enregistrement des recours aux urgences pour ACVC dans les hôpitaux participants, et la transmission à l’ANSP de données concernant la personne accidentée (âge, sexe, résidence, profil social), sa prise en charge (date et heure d’arrivée aux urgences, traitement, hospitalisation éventuelle), les caractéristiques immédiates de l’accident (mécanisme, lieu, activité, type de lésion, partie du corps lésée), les produits (agents, éléments) ayant causé ou étant impliqués dans l’accident.
Chaque ACVC est décliné en quarante-cinq items. 
Certains items sont renseignés à l’aide d’un code numérique et associés à une nomenclature : par exemple, le sexe du patient est un code numérique composé d’un chiffre entre 1 et 3 en référence à la nomenclature suivante : 1 = homme ; 2 = femme, 3 = inconnu.    
D’autres items sont renseignés « directement » :
date de naissance du patient (huit caractères correspondant au jour, au mois et à l’année) ;
code postal du lieu de résidence (cinq caractères) ;
date de l’accident (huit caractères) ;
heure de l’accident (deux caractères correspondant à l’heure) ;
code postal du lieu de l’accident (cinq caractères) ;
date d’accueil aux urgences (huit caractères) ;
heure d’accueil aux urgences (deux caractères) ;
date de sortie de l’hôpital.
Il est proposé au patient, dans certains hôpitaux, de remplir une fiche qu’il remet à l’urgentiste, décrivant les circonstances de survenue de l’accident.
L’ANSP, à partir des informations transmises, consolide annuellement sa base de données en plusieurs étapes : 
génération d’un numéro d’ordre (correspondant au nombre des enregistrements de l’année pour l’ensemble des hôpitaux) ;
extraction d’un « fichier outil » contenant le numéro d’ordre, le code de l’hôpital, le numéro de cas (propre à chaque hôpital) et la date de naissance ;  
ces « fichiers outil » (un par année) sont conservés et archivés à l’ANSP, dans des conditions d’accès strictes, en prévision d’études ancillaires futures sur le devenir des patients accidentés, à long terme. Ces études feront, le cas échéant, l’objet de demandes d’autorisation spécifiques auprès de la Commission ;
suppression de l’item correspondant au numéro de cas, suppression du jour et mois de naissance pour les patients de plus de deux ans, suppression du jour de naissance pour les patients de moins de deux ans.
Sur les destinataires
L’ensemble des données est accessible à un nombre limité de personnes spécialement habilitées au sein de l’ANSP.
L’accès à la base de données consolidée pourra être accordé à des équipes scientifiques, sur demande à l’ANSP, qui jugera de la validité du projet scientifique. La Commission rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre, à des fins de recherche dans le domaine de la santé, à partir des données extraites du système de surveillance EPAC, sont des traitements distincts qui devront faire l’objet de formalités propres au titre du chapitre IX de la loi.
Sur l’information et les droits des personnes
Les modalités d’information des personnes sont les suivantes :
affichage dans les services d’urgence indiquant que l’hôpital contribue au système de surveillance EPAC ;
remise d’une note d’information aux patients qui se présentent à l’accueil des urgences pour accident de la vie courante. Cette note explicite les objectifs de la surveillance et mentionne les modalités d’exercice des droits prévus par la loi ;
lors de la prise en charge, le patient est informé par l’urgentiste de la participation de l’hôpital au recueil des données dans le cadre du système de surveillance EPAC et des modalités d’exercice de ses droits. Si le patient n’est pas en mesure de recevoir l’information, l’urgentiste s’adressera à un proche du patient.
Les droits s’exercent auprès de l’ANSP.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission note qu’afin de permettre la collecte des informations, un logiciel de saisie, développé sous la responsabilité de l’ANSP, est fourni gratuitement aux hôpitaux du réseau sur demande. 
Ce logiciel doit être installé sur un ordinateur sécurisé dans l’hôpital accessible par mot de passe uniquement aux seules personnes habilitées dans le cadre de leur travail de collecte des données EPAC.
La Commission prend acte de ce que les hôpitaux peuvent aussi, s’ils le souhaitent, développer leur propre logiciel dont les caractéristiques doivent être identiques.
La Commission rappelle, s’agissant des mots de passe, qu’elle a élaboré, dans sa délibération n° 2017-012 du 19 janvier 2017, plusieurs recommandations relatives à ces derniers. Elle invite dès lors le responsable de traitement à en prendre connaissance afin que sa politique de gestion des mots de passe soit en conformité avec ces recommandations.
La Commission note ensuite que les données ainsi collectées sont vérifiées, complétées et consolidées localement avant transmission sécurisée à l’ANSP. La Commission relève ainsi que le logiciel effectue un chiffrement des données avant ladite transmission. Par ailleurs, les hôpitaux ont la faculté de transmettre ces données à l’ANSP par tout autre moyen de leur choix à condition que cette transmission soit sécurisée.
La Commission prend acte du chiffrement des données et rappelle que les données doivent être chiffrées avec des algorithmes et des procédures de gestion de clés conformes à l'annexe B1 du référentiel général de sécurité.
La Commission note qu’à la réception le fichier chiffré arrive sur une plateforme de réception propre à l’ANSP où il est déchiffré puis transmis aux seules personnes de l’ANSP habilitées à y avoir accès. La Commission prend bonne note des moyens de sauvegardes mis en œuvre par l’ANSP, des outils de sécurité ainsi que de sa politique de sécurité interne.
Sur la durée de conservation des données
Les données sont conservées pendant vingt ans afin de permettre la réalisation d’analyses de l’évolution des ACVC, sur le long terme.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Agence nationale de santé publique à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président Délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de santé publique (ANSP) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un système de surveillance des donneurs de sang ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles R. 1221-36 et R. 1221-39-4° ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n°2066-99 du 1er février 2006 relatif à l'Etablissement français du sang et à l'hémovigilance et modifiant le code de la santé publique ;
Vu l’arrêté du 12 janvier 2009 fixant les  critères de sélection des donneurs de sang ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les propositions de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Etablissement public administratif placé sous la tutelle du ministre chargé de la santé, l’Agence nationale de santé publique (ANSP) a, en application de l’article L. 1413-1 du code la santé publique (CSP), pour missions :
l'observation épidémiologique et la surveillance de l'état de santé des populations ;
la veille sur les risques sanitaires menaçant les populations ;
la promotion de la santé et la réduction des risques pour la santé ; 
le développement de la prévention et de l'éducation pour la santé ;
la préparation et la réponse aux menaces, alertes et crises sanitaires ;
le lancement de l'alerte sanitaire.
Sur la finalité
Le traitement repose sur un dispositif de surveillance épidémiologique des donneurs de sang dont les objectifs sont les suivants :
suivre la prévalence des infections transmissibles par le sang ;
analyser les cas d’incidents ;
repérer d’éventuels nouveaux facteurs de risque ;
évaluer le risque résiduel de transmission de ces infections par transfusion ;
évaluer la sélection des donneurs de sang.
Ce traitement est justifié par un intérêt public au sens de l’article 8 IV de la loi et doit être autorisé par la CNIL en application de son article 25 I 1°.
Le traitement mis en œuvre répond aux obligations incombant à l’ANSP définies à l’article R. 1221-36 du CSP.
La Commission considère que ces finalités sont déterminées, explicites et légitimes au sens de l’article 6 2° de la loi.
Sur les données traitées
Les données traitées sont les suivantes :
le n° de don affecté par l’Etablissement français du sang (EFS). Ce numéro est constitué de onze caractères : les deux premiers représentent le n° de l’établissement, les deux suivants représentent l’année du don et les sept suivants constituent un numéro aléatoire ;
la date du don et la date du don antérieur négatif ;
les résultats détaillés des marqueurs pour chacun des agents transmissibles par transfusion dont le dépistage est obligatoire ;
les variables spécifiques à certains marqueurs : 
pour le VIH : mode de contamination (rapports sexuels entre hommes, rapports hétérosexuels, usage de drogues injectables), nombre de partenaires au cours des douze derniers mois, date présumée de contamination ;
pour la syphilis : antécédents de syphilis et autres infections sexuellement transmissibles, signes cliniques dans les douze derniers mois ;
les autres marqueurs ;
le type de donneur (nouveau donneur ou donneur connu) ;
le sexe, l’âge et le département de domicile du donneur ;
 l’origine géographique parmi quatre items : France métropolitaine, Antilles – Guyane, Afrique sub-saharienne et « autre » ;
le mode probable de contamination et les facteurs de risque ;
les informations relatives au suivi du donneur : « revu en consultation à l’EFS », « consultation externe à l’EFS », « perdu de vue ».
Le recueil des données est effectué par le biais de sept questionnaires trimestriels et deux questionnaires annuels. Les sept questionnaires trimestriels sont dédiés au dépistage des infections transmissibles par voie sanguine dont six contiennent des données individuelles/identifiantes. Les deux questionnaires annuels ne comportent que des données agrégées. L’un porte sur les donneurs homologues, l’autre sur les candidats à une transfusion autologue. 
Les dix-sept centres de l’EFS et le centre de transfusion des armées font parvenir les questionnaires trimestriels (à la fin de chaque trimestre) et les questionnaires annuels (en fin d’année) à l’ANSP qui procède à la saisie et à l’analyse des données.
L’EFS met à la disposition de l’ANSP les fichiers de données via l’application QuED. Cette application a été décrite dans la délibération n°2011-395 du 8 décembre 2011 autorisant la « mise en œuvre par l’Etablissement français du sang des traitements automatisés de données à caractère personnel ayant pour finalité la gestion des activités de transfusion sanguine dévolues par la loi à l’EFS  et notamment la gestion des dossiers des donneurs et des receveurs ».
L’Institut national de transfusion sanguine (laboratoire associé du Centre national de référence VIH et du Centre national de référence hépatite, pour les questions liées à la transfusion) transmet par courrier électronique une fois par mois un fichier Excel comprenant le n° de don, le résultat du test d’infection récente par le VIH et le génotypage pour le VIH et l’hépatite.
Sur les destinataires
L’ensemble des données est accessible à un nombre limité de personnes spécialement habilitées au sein de l’ANSP en raison de leurs fonctions.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et les droits des personnes  
Les donneurs de sang dont un marqueur au moins a été trouvé positif sont informés de la transmission des données les  concernant à l’ANSP, au moyen d’une note d’information remise  par le médecin lors de l’entretien de contrôle.  
Cet entretien de contrôle n’étant pas obligatoire,  les donneurs ne s’y présentant pas ne recevront pas l’information relative à la transmission de leurs données à l’ANSP.
La Commission rappelle que les obligations rappelées à l’article 32 de la loi doivent s’appliquer pour l’ensemble des personnes concernées.
  
L’exercice des droits des personnes s’effectue auprès de l’ANSP. 
Sur les mesures de sécurité
S’agissant de la transmission des données détenues par l’EFS à l’ANSP :
Les agents habilités de l’ANSP accèdent aux fichiers de données par le biais de l’application QuED (autorisation n° 2011-395 du 8 décembre 2011) à travers un portail internet. La Commission prend note que ces échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. 
La Commission relève que les moyens d’authentification, en l’espèce un identifiant et un mot de passe, sont gérés par la direction médicale de l’EFS. S’agissant de la gestion de l’authentification, la Commission a élaboré, dans sa délibération n° 2017-012 du 19 janvier 2017, plusieurs recommandations relatives aux mots de passe. Elle invite dès lors le responsable de traitement à en prendre connaissance et à procéder aux éventuelles modifications nécessaires afin de mettre sa politique des mots de passe en conformité avec les recommandations de la Commission.
Par ailleurs, la Commission recommande que les permissions d'accès soient attribuées pour une durée déterminée, après validation hiérarchique, qu’elles soient supprimées pour tout utilisateur n'étant plus habilité et qu’une revue globale des habilitations soit opérée régulièrement.
La Commission relève que l’agent de l’ANSP extrait les fichiers au format .pdf à travers un flux chiffrés. La Commission recommande sur ce point d’utiliser les versions de protocole les plus à jour possible. La Commission prend acte de ce que les impressions de ces fichiers sont stockées de façon sécurisée.
S’agissant de la transmission des données détenues par l’Institut national de transfusion sanguine à l’ANSP, la Commission est informée que les données sont transmises par l’envoi de fichier Excel par courriel. Ces échanges contiennent notamment le numéro de don.
La Commission rappelle que les échanges de données à caractère personnel doivent systématiquement faire l'objet de mesures visant à en garantir la confidentialité, et qu'à ce titre la transmission de telles données via courrier électronique nécessite la mise en place de mesures de chiffrement ayant recours à des algorithmes et des procédures de gestion de clés conformes à l'annexe B1 du référentiel général de sécurité.
Sur la durée de conservation des données
Le numéro de don est conservé pour une durée de trois ans.
Les données d’identification de la personne responsable du recueil de données et son numéro de téléphone sont conservées sous format papier pour une durée de trois ans.
Les autres données sont conservées pendant vingt ans.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Agence nationale de santé publique à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de santé publique (ANSP) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un système de surveillance active des cas graves de grippe ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L. 1413-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 19 juillet 2013 relatif à la mise en œuvre du Système national d'information inter-régimes de l'assurance maladie ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Etablissement public administratif sous tutelle du ministre chargé de la santé, l’Agence nationale de santé publique (ANSP) a, en application de l’article L. 1413-1 du code la santé publique, en charge :
l'observation épidémiologique et la surveillance de l'état de santé des populations ;
la veille sur les risques sanitaires menaçant les populations ;
la promotion de la santé et la réduction des risques pour la santé ; 
le développement de la prévention et de l'éducation pour la santé ;
la préparation et la réponse aux menaces, alertes et crises sanitaires ;
le lancement de l'alerte sanitaire.
Sur la finalité
Lors de l’épidémie de grippe A (H1N1) survenue en 2009, l’Institut national de veille sanitaire  a mis en œuvre un traitement destiné à surveiller les cas de grippe (autorisation n°341194 «Identifier la source et maitriser une épidémie »). Cette surveillance a été reconduite à chaque saison, puis étendue pour la saison grippale 2010-2011 aux cas graves de grippe A, puis en 2012-2013 aux cas graves de grippe.
Au vu du caractère pérenne de la surveillance des cas graves de grippe et des évolutions apportées en vue d’améliorer la qualité du dispositif, une demande d’autorisation spécifique pour cette surveillance est demandée par l’ANSP.
Le traitement poursuit les objectifs suivants :
décrire les caractéristiques épidémiologiques des cas graves de grippe en France métropolitaine et dans les territoires d’outre-mer pour adapter le cas échéant les mesures de contrôle ;
suivre le nombre hebdomadaire de cas graves pour anticiper un éventuel engorgement des structures et mesurer le poids de l’épidémie ;
contrôler la complétude du recueil en croisant les données recueillies dans les services de réanimation avec celles fournies par les laboratoires hospitaliers et en évaluant l’exhaustivité de la surveillance ;
mesurer l’exhaustivité du système de surveillance en croisant les données des cas graves de grippe avec celles du Système national d’information inter-régimes de l’assurance maladie (SNIIRAM).
Ce traitement est justifié par un intérêt public au sens de l’article 8 IV de la loi et doit être autorisé par la CNIL en application de son article 25 I 1°.
La Commission considère que ces finalités sont déterminées, explicites et légitimes au sens de l’article 6 2° de la loi.
Sur les données traitées
Les données traitées et échangées sont les suivantes :
le nom de l’hôpital et du service, le type de service, le numéro de téléphone du service, le nom du médecin déclarant ;
les nom et prénom du patient, sa date de naissance, son âge exact, sa date d’admission ;
les facteurs de risque, les éléments de gravité, l’évolution du patient, son statut vaccinal et les résultats virologiques. 
L’ensemble des services de réanimation adulte et de réanimation pédiatrique de toutes les régions françaises sont invités à participer à cette surveillance sur la base du volontariat.
Une fiche de notification au format papier est envoyée par le médecin le plus rapidement possible à la cellule interrégionale d’épidémiologie (CIRE) compétente afin que le cas soit enregistré au plus tôt et activer le système de surveillance.  Sur cette fiche est inscrit le nom, le prénom du patient, sa date de naissance et sa date d’admission, le  nom de l’hôpital et du service, le type de service ainsi que le nom du médecin déclarant.
 
A la réception de cette fiche, la CIRE attribue un numéro séquentiel au cas qu’elle reporte sur la fiche de notification papier et dans le fichier informatique. Ce fichier informatique ne comporte, quant à lui, aucune donnée directement identifiante (exclusion du nom, du prénom et  de la date de naissance ainsi que du nom du médecin déclarant et du numéro de téléphone du service).
Le système de surveillance vise à recenser les cas de façon exhaustive. Pour ce faire, sont réalisés :
un contact hebdomadaire (téléphone) de la CIRE avec le service est afin de s’assurer de la mise à jour des données des signalements antérieurs le cas échéant (données virologiques et décès essentiellement) ;
un contact de la CIRE avec chaque service au moins une fois par mois (relance par courrier électronique ou téléphone) en cas d’absence de données afin de s’assurer qu’il n’y a pas eu d’admission de cas graves et qu’il ne s’agit  pas d’un oubli de signalement ;