AgentPublic/cnil huggingface dataset:
Vu les délibérations de la Commission n° 00-045 du 3 octobre 2000, n° 02-020 du 21 mars 2002, n° 02-082 du 19 novembre 2002 et n° 2006-258 du 5 décembre 2006 ;
Vu le dossier et ses compléments, et notamment l’analyse d’impact relative à la protection des données produite en date du 15 novembre 2018 ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
L’Agence nationale de santé publique (ANSP).
Sur la finalité
Les dispositions de l’article L. 3113-1 du code de la santé publique (CSP) prévoient que les maladies à déclaration obligatoire (MDO) font l’objet d’une transmission de données individuelles à l’autorité sanitaire par les médecins et les responsables des services et laboratoires de biologie médicale publics et privés.
Le VIH et la tuberculose figurent sur la liste des MDO qui font l’objet d’une notification obligatoire à l’autorité sanitaire selon des modalités de transmission définies par les articles R. 3113-1 et suivants du CSP.
Par délibération n° 02-082 du 19 novembre 2002, la Commission a autorisé l’ANSP à mettre en place l’application informatique destinée à la surveillance épidémiologique nationale des maladies infectieuses à déclaration obligatoire dont le VIH. En ce qui concerne la tuberculose, le circuit particulier des déclarations qui sont saisies par les agences régionales de santé (ARS) avait amené la Direction Générale de la Santé (DGS) à saisir la CNIL d’une demande d’autorisation (n° 902313).
L’ANSP, dans le cadre de la présente demande souhaite : dématérialiser la procédure concernant le VIH/Sida par la mise en place de « e-DO » ; mettre en œuvre la saisie par les ARS des données concernant la tuberculose dans l’application « e-DO » et permettre leur consultation par les ARS et l’ANSP ; actualiser à cette occasion les fiches de notification ; allonger la durée de conservation des données nominatives, tel que le permet l’article R. 3113-3 du CSP, modifié par le décret n° 2018-338 du 4 mai 2018. Ces évolutions visent à simplifier le processus de notification ; améliorer l’adhésion des professionnels de santé ; augmenter le nombre de déclarations et raccourcir leur délai ; suivre les tendances, les caractéristiques des cas et évaluer les programmes de lutte contre ces pathologies.
La Commission considère que la finalité du traitement présentée est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-a du Règlement général sur la protection des données (RGPD). Elle estime qu’il y a lieu de faire application des dispositions des articles 8-II 8° et 54 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les informations qui doivent figurer sur la fiche de notification des données individuelles sont énumérées à l’article R. 3113-2 du CSP, dont le « numéro d’anonymat » établi par codage informatique à partir des éléments d’identité de la personne.
L’arrêté du 22 août 2011 relatif à la notification obligatoire des maladies infectieuses et autres maladies mentionnées à l’article D. 3113-7 du CSP détaille en son annexe 24 (tuberculose) et 29 (VIH) la liste des informations que doivent contenir les fiches de notification.
Des variables supplémentaires sont recueillies, dans les fiches de notification, s’agissant du VIH et de la tuberculose, à l’occasion de la mise en œuvre d’« e-DO ».
La Commission précise que, dans la mesure où l’article R. 3113-2 du CSP prévoit qu’un arrêté fixe les données cliniques, biologiques et sociodémographiques devant figurer sur la fiche de notification, la collecte des données supplémentaires précitées ne pourra débuter qu’une fois cet arrêté publié.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
La Commission prend acte de ce que le projet de dématérialisation ne modifie pas les destinataires du traitement actuellement autorisé.
Ont accès aux données strictement nécessaires à l’exercice de leur fonction les acteurs de la déclaration obligatoire et de la surveillance virologique, c’est-à-dire des professionnels de santé déclarants, des agents habilités des ARS du lieu d’exercice du médecin, des agents habilités des Cellules d’intervention en région (Cire) de l’ANSP.
L’application « e-DO » permet aux biologistes et médecins de créer des comptes afin de permettre aux personnels nommément désignés, placés sous leur autorité et soumis au secret professionnel, de compléter et d’envoyer les déclarations. Lors de l’instruction, il a été précisé aux services de la CNIL que ce personnel n’aurait en aucun cas accès, dans l’application « e-DO », aux données directement identifiantes des personnes ayant fait l’objet de déclaration.
La Commission considère que les catégories de destinataires n’appellent pas d’observation.
Sur l’information et les droits des personnes 
Une note d’information destinée aux personnes concernées par la déclaration obligatoire leur est remise par leur médecin.
Elle fait état des objectifs de ce recueil, du contenu des informations collectées, des garanties de sécurité des données et des modalités d’exercice des droits.
Une note d’information spécifique à la surveillance virologique de l’infection à VIH est également remise aux personnes concernées.
Les droits d’accès et de rectification s’exercent auprès du département des maladies infectieuses de l’ANSP par l’intermédiaire du médecin qui a procédé à la notification.
S’agissant du VIH, ces droits s’exercent uniquement pendant le délai de douze mois après que le médecin a transmis la fiche de notification. S’agissant de la tuberculose, les droits peuvent s’exercer pendant trois ans (passé ces délais, la correspondance est supprimée).
La déclaration du VIH et de la tuberculose découlant d’une obligation légale, le droit d’opposition ne s’applique pas.
La Commission demande que les supports d’information soient complétés afin qu'ils comportent l'ensemble des mentions prévues par l'article 13 du RGPD.
Sur les mesures de sécurité
L’application web « e-DO » est hébergée auprès d’un hébergeur agréé de données de santé.
La Commission relève que différentes mesures de sécurité visant à assurer la confidentialité, l’intégrité et la disponibilité des données sont mises en œuvre au sein de ce réseau (cloisonnement bas niveau, filtrage applicatif, lutte contre les logiciels malveillants, hébergements physiques redondés, sauvegardes délocalisées, développement des applications à partir de jeux de données anonymisées, effacement sécurisé des données en cas de mise au rebut de matériel, architecture spécifique et dédiée d’enregistrement des traces fonctionnelles).
En particulier, la Commission prend acte de ce que les professionnels de santé accédant à l’application s’authentifient exclusivement de manière forte via leur carte de professionnel de santé. Les listes de révocation associées aux certificats déployés dans ces cartes sont régulièrement récupérées auprès de l’Agence des systèmes d’information partagés de santé. 
De plus, la Commission relève que des mesures techniques spécifiques de protection de l’identité des patients sont mises en œuvre (hachage de l’identifiant transmis par le médecin, cloisonné par maladie à déclaration obligatoire).
La Commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
S’agissant du VIH, la table de correspondance entre le « numéro d’anonymat » et les données d’identification de la personne est conservée par le médecin pendant douze mois.
La Commission prend acte de ce qu’au terme de ce délai, la table de correspondance est détruite, l’ANSP procédant de son côté à la suppression des coordonnées du prescripteur et à celles du responsable du service de biologie ou du laboratoire.
L’ANSP envisage de conserver les données de la surveillance épidémiologique expurgées de toute donnée d’identification et du « numéro d’anonymat », pendant une durée de quatre-vingt-dix ans, afin de pouvoir apprécier l’évolution de l’infection tant au niveau du cas individuel déclaré (de l’infection au sida jusqu’au décès, le cas échéant) qu’au niveau collectif sur l’ensemble des déclarations effectuées.
S’agissant de la tuberculose, la table de correspondance entre les données identifiantes du cas et son numéro d’anonymat est conservée par le médecin pendant trois ans et pendant cinq ans spécifiquement pour les données des années 2018 et 2019 (prise en compte du retard du traitement des données lié à leur intégration dans « e-DO »).
La Commission prend acte de ce qu’au terme de ce délai de trois ans et cinq ans pour les années de transition, la table de correspondance est détruite, l’ANSP procédant de son côté à la suppression des coordonnées du prescripteur et à celles du responsable du service de biologie ou du laboratoire, conformément aux dispositions de l’article R. 3113-2-II-2°.
L’ANSP envisage de conserver les données de la surveillance épidémiologique, expurgées de toute donnée d’identification et du « numéro d’anonymat », pendant une durée de vingt-cinq ans.
Concernant les autres données, dont la date de naissance et le code postal de résidence, elles sont conservées pendant vingt-cinq ans à des fins de surveillance, afin de pouvoir mesurer les tendances dans le temps pendant une période suffisamment longue et d’évaluer sur le long terme les programmes de contrôle.
La Commission considère que ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise l’ANSP, conformément à la présente délibération, à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(Demande d’autorisation n° 2112336)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Etablissement français du sang (EFS) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de la relation avec les donneurs de sang et la promotion du don du sang ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1221-1 et suivants, L. 1222-1 et suivants, L. 1223-1 et suivants, R. 1222-40 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu la loi du 1er juillet 1998 relative au renforcement de la veille sanitaire et du contrôle de la sécurité sanitaire des produits destinés à l'homme ;
Vu l’ordonnance n° 2016-1406 du 20 octobre 2016 portant adaptation et simplification de la législation relative à l'Etablissement français du sang et aux activités liées à la transfusion sanguine ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments et notamment l’analyse d’impact relative à la protection des données produite en date du 5 octobre 2018 ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
L’établissement français du sang (EFS) est un établissement public placé sous la tutelle du ministère de la santé. Il est l’opérateur unique du service public de la transfusion sanguine en France. 
À ce titre, il est chargé de l’ensemble des activités liées aux produits sanguins labiles : collecte, préparation, qualification, distribution et délivrance aux établissements de santé des produits sanguins labiles.
L’EFS comprend quinze établissements régionaux dont trois sont situés outre-mer.
Sur la finalité
La présente autorisation concerne le traitement de données à caractère personnel relatif à la relation avec les donneurs de sang dans le cadre :
de l’activité de don du sang ;
d opérations de communication destinées à promouvoir les activités de l’EFS.
Le traitement a pour base légale, au sens de l’article 6 du Règlement général sur la protection des données (RGPD) :
le respect d’une obligation légale à laquelle est soumis le responsable de traitement ;
l’exercice d’une mission d’intérêt public, ou relevant de l’exercice d’une autorité publique dont est investi le responsable de traitement.
Les objectifs du traitement sont les suivants :
la fiabilisation des données par la mise à jour des informations directement par les donneurs concernés ;
l’amélioration, la fidélisation et l’optimisation des relations avec les donneurs de sang ;
la contribution à l’atteinte des objectifs de prélèvement de manière quantitative et qualitative ;
l’accroissement de la fréquentation des collectes et des sites fixes ;
le pilotage de la relation à distance ;
le recrutement de nouveaux donneurs ; 
l’offre de nouveaux services (espace Webdonneur) ;
la mesure de l’efficacité des actions prises dans le cadre de la relation donneur ;
la diffusion d’informations relatives au don de sang ;
la réalisation d’enquêtes auprès des donneurs et de l’ensemble des parties prenantes dans le processus encadrant le don de sang (études liées à la satisfaction, à la mesure de la performance, à la perception et à l’image de l’EFS ou bien destinées à recueillir de l’information).
La Commission considère que les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 5-1-b du RGPD.
Elle estime qu’il y a lieu de faire application des dispositions de l’article 8-II 8° et 54 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les personnes concernées par le traitement sont :
les donneurs (candidats au don pour lesquels une poche de produit sanguin a été prélevée, même s’il a été exclu à la suite des examens biologiques) ;
les candidats (personnes se présentant pour donner leur sang sur un lieu de don, avec l’intention de donner) ;
les promettants : personnes ayant formalisé une promesse de don (p. ex.  : par téléphone, par message électronique, etc.) ;
les prospects : personnes susceptibles de devenir candidats au don, c'est-à-dire des personnes ayant contacté l’EFS ou ayant manifesté leur intérêt pour le don ou personnes ayant transmis volontairement leurs coordonnées à un tiers partenaire de l’EFS ;
le personnel de l’EFS ;
les partenaires de l’EFS.
Les données recueillies relatives aux donneurs et aux candidats sont les suivantes : nom d’usage, nom de naissance, prénom, sexe, date de naissance, lieu de naissance, civilité, adresse postale, adresse électronique, liste des lieux de don, numéro de téléphone du domicile, numéro de téléphone portable, poids, taille, numéro de donneur, dates des derniers dons, types de don, date d’éligibilité aux prochains dons, nombre de dons effectués, nombre de jours depuis le dernier don, groupe sanguin, rhésus, type de prélèvements, nombre d’invitations réalisées, numéro de collecte, date de la collecte, code ensemble de la collecte.
Les données recueillies relatives aux prospects et aux promettants sont les suivantes : nom d’usage, nom de naissance, prénom, sexe, date de naissance, lieu de naissance, civilité, adresse postale, adresse électronique, poids, taille.
Les données recueillies relatives au personnel de l’EFS sont les suivantes : nom, prénom, adresse électronique, numéro de téléphone professionnel,  catégorie socioprofessionnelle, données de connexion.
Les données recueillies relatives aux partenaires de l’EFS sont les suivantes : nom du contact,  prénom du contact, qualité, fonction, titre ou distinction, adresse électronique du contact, numéro de téléphone professionnel du contact.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
Les destinataires des données sont les suivants :
- les personnels individuellement habilités au sein de chaque établissement régional, en fonction de leurs attributions ;
- les prestataires ;
- les partenaires de l’EFS (associations pour le don de sang bénévoles,  associations de malades, entreprises, organismes publics), à condition que les personnes concernées par le traitement aient au préalable été informées et qu’elles aient donné leur consentement exprès à la communication des données les concernant. Cet échange est encadré par une convention signée entre l’EFS et le partenaire destinataire afin de garantir la sécurité et la confidentialité des données.
Les sous-traitants qui interviennent dans la mise en œuvre des outils de promotion ont accès aux données enregistrées dans le cadre et la limite de leurs fonctions et dans les conditions définies par le contrat les liant à l’EFS.
L’EFS a recours à des sous-traitants s’agissant, notamment : 
de l’envoi de messages électroniques ;
de l’envoi de SMS ;
de l’appel téléphonique des donneurs ou des promettants et destiné à organiser un rendez-vous ;
du routage de l’impression et des invitations sur support papier ;
de la réalisation de certaines études ou enquêtes ;du développement de sites web et d’applications mobiles ;
du nettoyage des adresses dans le cadre de la Restructuration Normalisation Validation Postale ou dans le cadre de recherche des personnes ayant déménagé et par conséquent changé d’adresse postale.
Sur l’information et les droits des personnes
Les candidats au don et les donneurs sont informés de la mise en œuvre du traitement par voie d’affichage, sur les formulaires de collecte de données ainsi que sur l’ensemble des sites web et applications web destinés à promouvoir le don de sang.
Les candidats et les donneurs ne peuvent s’opposer au recueil de de leurs données, eu égard aux obligations légales de traçabilité et sécurité sanitaire auxquelles est soumis l’EFS.
S’agissant spécifiquement de la promotion du don du sang, les candidats aux dons et les donneurs peuvent s’opposer à tout moment à ce que l’EFS les contacte, dans ce cadre précis, et ce pour chaque moyen de communication (courrier, courriel, SMS).
Dans l’espace Webdonneur, le donneur est invité à cocher une case afin de consentir à ce que ses coordonnées (nom, prénom, adresse de messagerie et numéro de téléphone) soient transmises par l’EFS à ses partenaires.
Les prospects sont informés de la mise en œuvre du traitement au moyen du formulaire de collecte des données, ou sur les interfaces web lorsque ces données sont complétées via un formulaire dématérialisé.
Les promettants sont informés du traitement de données à caractère personnel les concernant sur les supports de communication qui leur sont adressés.
Les personnels de l’EFS sont informés de la mise en œuvre du traitement au moyen de la charte d’utilisation du système d’information.
La Commission rappelle que la note d’information doit être complétée afin d’y faire figurer l’ensemble des mentions obligatoires prévues à l’article 13 du RGPD.
Le droit d’accès des candidats au don et des donneurs s’exerce auprès du directeur de l’établissement de transfusion sanguine dont dépend le site de collecte ou de réception du sang.
Le droit d’accès des promettants et des prospects s’exerce auprès de la direction marketing.
Le droit d’accès des personnels s’exerce auprès de la direction des ressources humaines.
La Commission considère que ces modalités d’exercice des droits sont satisfaisantes, mais appelle l’attention du responsable de traitement sur la nécessité de prévoir les conditions d’exercice des droits prévus par le RGPD et qui s’appliqueraient dans le cadre de la mise en œuvre du traitement.
Sur les mesures de sécurité
Le traitement a fait l'objet d'une étude des risques sur la protection des données des personnes concernées et des mesures ont été déterminées pour les traiter de manière proportionnée.
S’agissant du site web, la Commission prend acte de l’engagement du responsable de traitement d’attester de sa conformité au référentiel général de sécurité. Elle demande que cette conformité soit mentionnée sur le site, dans le cadre de l'homologation préalable.
Le responsable de traitement a mis en œuvre une politique de mots de passe exigeant huit caractères alphanumériques, une majuscule et une minuscule. À cet égard, la Commission a élaboré une délibération 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. Elle relève ainsi que la mise en place de la politique de mots de passe élaborée par le responsable de traitement nécessite une mise à jour afin de maintenir sa conformité aux recommandations de la CNIL.
La Commission relève qu’un module d’analyse de données permet une exploitation statistique. Elle rappelle qu'un tel outil ne doit permettre que des restitutions parfaitement anonymes. A défaut, des mesures complémentaires doivent être mises en œuvre afin de limiter les risques de ré identification des personnes, notamment en limitant les interrogations ciblées et le niveau de détail des données fournies.
La Commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
Les données relatives aux candidats au don et aux donneurs sont conservées pendant trente-cinq ans, en application de la décision du 6 novembre 2006 définissant les bonnes pratiques de l’article L. 1222-12 du CSP.
Les données traitées, spécifiquement dans le cadre de la finalité de promotion du don, seront conservées, au sein des outils de communication dédiés, pendant huit ans. En cas de sollicitations infructueuses et au plus tard dans un délai de huit ans, les données relatives aux candidats sont supprimées.
La durée de conservation des données relatives aux promettants est fixée à deux ans maximum à compter de la date depromesse de don.
La durée de conservation relative aux prospects est de six mois maximum.
Les coordonnées des personnes à contacter au sein des organismes partenaires  de l’EFS sont conservées jusqu’à la fin de l’exercice de leurs fonctions au sein de l’organisme partenaire.
La Commission considère que ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise, conformément à la présente délibération, l’EFS à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS