AgentPublic/cnil huggingface dataset:
, elle relève qu’il est prévu de collecter auprès des répondants de l’enquête principale des données relatives à de nombreuses personnes de leur entourage, à la fois des proches (par exemple les enfants) mais également six personnes de leur réseau de sociabilité, notamment de contact, afin que l’INED puisse étendre l’échantillon de l’enquête et décrire la nature du réseau de sociabilité du premier répondant. 
19. Si la Commission prend acte des raisons invoquées au soutien d’une telle collecte, à savoir l’absence d’une base de sondage nationale permettant de tirer aléatoirement les personnes appartenant à la population cible, elle considère au regard de la finalité poursuivie par le traitement projeté, que seules les données d’identité, de contacts et de relation avec le premier répondant sont nécessaires pour que l’enquêteur contacte directement la personne concernée dans le délai maximal d’un mois à compter de la collecte auprès du premier répondant. 
20. Ces éléments rappelés, la Commission estime, qu’il reviendra à l’INED de contacter le membre de réseau de sociabilité du premier répondant pour l’informer, y compris, lorsque l’enquêteur devra lui indiquer qu’il n’est pas éligible à l’échantillonnage. Auquel cas, les données à caractère personnel le concernant devront être supprimées à l’issue de la communication.
21. La Commission prend par ailleurs acte que le répondant ne recueille pas le consentement des membres de son réseau de sociabilité au traitement de leurs données par l’INED, mais uniquement leur accord à être contactés par un enquêteur dans le cadre de la méthodologie scientifique retenue. Il résulte de ces éléments qu’un tel accord ne saurait être à un consentement des membres de son réseau au traitement de leurs données à caractère personnel, au sens du RGPD. 
22. En troisième lieu
, la Commission relève qu’il est envisagé que l’enquêteur indique des observations relatives à l’attitude de l’enquêté (hostile, impatiente et agitée) et l’acceptabilité du registre (combien de coordonnées de ses amis données ; demande des justifications sur la raison pour laquelle on demande le registre etc.) dans un Questionnaire qualité . Au regard des finalités poursuivies par le traitement projeté, elle estime qu’une telle collecte n’apparaît pas justifiée.
 
Sur les droits des personnes
23. La Commission relève qu’une information sera délivrée, en français ou en chinois, aux personnes concernées, dans le formulaire de consentement à la participation de l’enquête, et de manière publique via un mini-site web disponible en français et en chinois. Elle prend acte que le formulaire de consentement fait mention de la possibilité de refuser de répondre à certaines questions.
24. La Commission rappelle que l’information délivrée doit être conforme aux mentions prévues à l’article 13 du RGPD et, s’agissant des personnes dont les données sont collectées indirectement, aux dispositions de l’article 14 du RGPD et de l’article 79 de la loi n° 78-17 du 6 janvier 1978 modifiée. En particulier, elle demande que les supports précités soient modifiés afin de mentionner la base légale du traitement ou encore les durées de conservation des données.
24. En outre, ces mêmes supports indiquent que les réponses seront anonymisées et qu’aucune utilisation des données ne permettra d’identifier les personnes concernées. À cet égard, la Commission rappelle que conformément à l’avis 05/2014 du groupe de travail  de l’article 29  sur la protection des données sur les techniques d’anonymisation, l’anonymisation est un processus technique irréversible garantissant que les données ne puissent plus permettre l’identification des personnes que ce soit par individualisation, corrélation ou inférence.
25. Dans la mesure où il n’est pas établi qu’un procédé d’anonymisation sera effectivement mis en œuvre dans le cadre du traitement projeté, elle demande que les supports précités soient modifiés sur ce point.
26. Les autres droits des personnes n’appellent pas d’observation particulière.
Sur les destinataires des données
27. La Commission, qui prend acte de l’engagement de l’INED selon lequel seul le cloud de l’INED hébergera les données personnelles collectées, rappelle qu’il convient de mettre en œuvre les mesures de sécurité nécessaires au traitement des données par des chercheurs situés sur le territoire des États-Unis au regard du choix du responsable de traitement de ne pas organiser un transfert des données hors de l’Union européenne.
28. La Commission demande, conformément aux articles 13 et 14 du RGPD, que l’ensemble des catégories de destinataires, notamment la communauté scientifique via des réseaux de diffusion, apparaisse dans les informations délivrées aux personnes concernées.
Sur les durées de conservation
29. Il résulte des précisions apportées par l’INED que plusieurs durées de conservation sont susceptibles d’être appliquées. La Commission estime que la durée de conservation ne saurait être supérieure à cinq ans à compter de la dernière publication scientifique dont l’INED indique qu’elle interviendra au plus tard en 2023. 
 
Sur les mesures de sécurité
30. De manière générale, la Commission prend acte qu’une formation spécifique sera délivrée aux enquêteurs afin de les sensibiliser à la réglementation applicable en matière de protection des données. De la même manière, elle relève que le formulaire de recueil de données sera rempli directement sur la base cible en connexion distante, ce qui est de nature à constituer une bonne pratique.
31. Par ailleurs, si la Commission relève qu’il est prévu qu’un engagement de non téléchargement des données soit souscrit entre l’INED et les membres de l’équipe de recherche situés aux États-Unis, elle estime – au regard de l’ensemble des éléments portés à sa connaissance – que des mesures de sécurité complémentaires devraient être mises en place afin de répondre à l’exigence de sécurité prévue à l’article 32 du RGPD. La Commission rappelle, en tout état de cause, que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. À cet égard, la Commission rappelle qu’il conviendra d’apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour régulière de l’analyse d’impact.
 
Pour la Présidente
La Vice-Présidente déléguée
Sophie LAMBREMON
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier universitaire de Rennes d’une demande d’autorisation concernant un entrepôt de données de santé dénommé eHop Rennes ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44-3° et 66-III ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments, et notamment l’analyse d’impact relative à la protection des données ;
Sur la proposition de Mme Valérie Peugeot, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le Centre hospitalier universitaire de Rennes (le CHU)
Sur la base légale et la finalité
Le CHU souhaite constituer un entrepôt de données de santé dénommé eHop Rennes .
Cet entrepôt regroupera les données produites lors de la prise en charge des patients par le CHU à des fins de recherche en santé,
d’amélioration de la prise en charge des patients dans l’établissement, de pilotage de l’établissement et d’enseignement.
Le dossier précise que les traitements réalisés ne seront pas effectués à visée commerciale .
La Commission précise qu’à l’instar du système national des données de santé (SNDS), les données issues du CHU ne devront pas être exploitées à des fins de promotion des produits de santé pour les professionnels de santé ou d’établissements de santé ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque.
La Commission relève qu’une gouvernance spécifique est mise en œuvre pour l’entrepôt. Elle est confiée au centre de données cliniques (CDC) et organisée autour d’un comité de pilotage, en charge de valider les orientations stratégiques et scientifiques et d’un comité scientifique et éthique en charge d’examiner les projets de recherche effectués depuis les données de l’entrepôt.
Le traitement a pour base légale l’exercice d’une mission d’intérêt public, au sens de l’article 6-1-e du Règlement européen sur la protection des données (ci-après le RGPD ).
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
Elle estime qu’il y a lieu de faire application des dispositions des articles 44 3° et 66 III de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
La Commission rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre, à des fins de recherche dans le domaine de la santé, à partir des données contenues dans l’entrepôt sont des traitements distincts qui doivent faire l’objet de formalités propres au titre des articles 66 et 72 et suivants de la loi informatique et libertés .
Sur les données traitées
L’entrepôt regroupera les données produites dans le cadre de la prise en charge des patients issues du système d’information hospitalier du CHU.
Plus précisément, s’agissant des patients, les données suivantes sont recueillies :
des données d’identification et coordonnées : numéro identifiant du patient dans l’établissement, nom, prénoms, date de naissance (transformée en mois et année de naissance), sexe, coordonnées téléphoniques et électroniques, coordonnées géographiques (génération des latitude et longitude depuis l’adresse postale des patients), pays et code postal de naissance ;
des données relatives à la situation professionnelle (catégorie socio-professionnelle) ;
des données de santé et des données d’analyses génétiques ;
des données médico-administratives issues du PMSI local.
S’agissant du personnel du CHU, des données d’identification et coordonnées sont recueillies : titre, nom, prénom, fonction, service et unité d’exercice, adresse électronique et numéro de téléphone professionnels.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
Les destinataires des données de l’entrepôt sont des professionnels de santé du CHU, des membres des équipes de recherche internes ou extérieures à l’établissement dans le cas de projets de recherche en santé multicentriques.
La Commission rappelle que les destinataires n’appartenant pas à l’équipe de soins ne sont autorisés à accéder aux données de l’entrepôt que dans la limite des données strictement nécessaires et pertinentes au regard des objectifs du projet de recherche, de leurs fonctions et du mandat donné par le responsable du traitement mis en œuvre dans le cadre du projet.
La Commission rappelle en outre que ces accès devront s’effectuer dans le strict respect de la confidentialité des données.
Le dossier indique que la transmission de données nominatives à une équipe extérieure au CHU ne peut se faire que dans le cadre d’un traitement de données autorisé par la CNIL. La Commission en prend acte.
Sous ces réserves, la Commission considère que les catégories de destinataires n’appellent pas d’observation.
Sur l’information et les droits des personnes
S’agissant de l’information des personnes
S’agissant des patients admis antérieurement à la constitution de l’entrepôt :
La Commission relève que compte tenu du nombre de personnes concernées (environ 1 million de patients), du faible nombre d’adresses électroniques exploitables dont dispose le CHU (le dossier indique que les courriels de 47 000 patients ont été collectés pour les besoins d’une enquête de satisfaction, mais sans être en mesure d’évaluer la pertinence de ces adresses), le CHU estime qu’informer individuellement l’ensemble des personnes concernées exigerait un effort disproportionné.
Conformément à l’article 14-5-b du RGPD, le responsable de traitement s’engage à prendre les mesures suivantes pour protéger les droits et libertés ainsi que les intérêts légitimes des personnes concernées :
diffusion sur son site web d’une information collective relative à l’entrepôt ;
relayer cette information collective via les réseaux sociaux, les médias régionaux et communiqué de presse ;
solliciter des associations de patients pour relayer cette information.
S’agissant des patients admis (ou réadmis) postérieurement
à la constitution de l’entrepôt :
La Commission relève qu’ils seront informés individuellement de la façon suivante, en fonction du mode de prise en charge du patient :
par la remise d’une note d’information aux patients lors de leur admission ou de leur enregistrement en consultation par les agents du bureau des entrées ou les secrétariats médicaux ;
par la remise d’une note d’information aux patients lors leur pré-admission par les secrétariats médicaux ou les infirmières de programmation.
Le CHU de Rennes prévoit en outre une information collective via une diffusion sur son site web et le recours à des campagnes d’information (sur les réseaux sociaux, les médias régionaux, les associations de patients et communiqué de presse).
S’agissant du personnel du CHU :
Le personnel sera informé individuellement au moyen d’un courrier du CHU joint au bulletin de paie.
L’information sera également diffusée en Commission Médicale d’Etablissement et sur le site intranet de l’établissement.
Les droits des personnes concernées s’exercent, pour les patients auprès du délégué à la protection des données, pour le personnel du CHU auprès du centre de données cliniques.
La Commission rappelle que les supports d’information devront contenir l’ensemble des mentions prévues par les articles 13 et 14 du RGPD.
Sous réserve de la prise en compte de ces observations, la Commission considère que ces modalités d’information et d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi informatique et libertés .
Sur les mesures de sécurité
En premier lieu, la Commission relève que le responsable de traitement a réalisé une analyse d'impact relative à la protection des données afin de démontrer la conformité de l’entrepôt de données de santé ; elle prend acte du plan d’action qui l’accompagne.
Les données sont stockées sur un serveur sécurisé du CHU, pour lequel une démarche de certification HDS est en cours.
La Commission relève que des mesures sont prévues pour assurer le cloisonnement du traitement. Le réseau fait l’objet de mesures de filtrage ayant pour but de restreindre l’émission et la réception des flux réseau aux machines identifiées et autorisées. L’entrepôt est accessible uniquement sur le réseau interne du CHU de Rennes à partir d’une interface prévue à cet effet. L’accès est sécurisé au moyen du protocole HTTPS, qui permet de garantir la confidentialité des données échangées ainsi que l’authentification de la source et du destinataire. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible. Enfin, la Commission prend acte de l’engagement du responsable de traitement de mettre en place un bastion d’administration.
La Commission relève également que les données directement identifiantes sont séparées logiquement des données pseudonymisées et que le plan d’action prévoit, à terme, une séparation physique de ces données.
La Commission prend acte que les noms d’usage sont remplacés par un numéro pseudonyme unique résultant de l’application d’une fonction de hachage au numéro IPP et que la date de naissance est remplacée par l’âge.
Elle rappelle que le recours à la pseudonymisation doit assurer que les données manipulées ne peuvent plus être attribuées à une personne précise sans avoir recours à des informations supplémentaires, ces informations supplémentaires devant être conservées séparément et soumises à des mesures techniques et organisationnelles adéquates.
En outre, la Commission souligne que les documents ajoutés à l’entrepôt font l’objet d’un processus spécifique de déidentification dès leur intégration dans la base : les informations directement identifiantes telles que nom, prénom, code postal, ville et numéro de téléphonique sont alors remplacées par un terme générique ( NOM DE NAISSANCE , PRENOM , CP , VILLE , TEL ).
La Commission relève que différents profils d’habilitation sont prévus afin de gérer les accès aux données en tant que besoin (utilisateurs, experts, et administrateurs). La Commission recommande au responsable de traitement de mettre en place des mesures techniques et organisationnelles permettant de s’assurer que ces droits et profils sont exclusifs :
* Pour les utilisateurs et les experts qui accèdent à la partie datamart (ensemble de données associées à une étude) de l’entrepôt, trois droits indépendants sont définis :
- accès aux données agrégées ;
- accès aux données individuelles déidentifiées ;
- accès direct aux données individuelles nominatives.
* Pour les experts, des droits spécifiques sont définis pour leur permettre la création de jeux de données ou l’extraction de fichiers d’études à partir de la partie pseudonymisée de l’entrepôt. Les données seront ensuite mises à disposition des équipes de recherche à travers les interfaces de l’entrepôt. A cet égard, la Commission relève que les exports sont restreints à un espace de travail contrôlé et que des mesures de traçabilité spécifiques sont mises en œuvre : les exports atypiques font l’objet d’une remontée d’alerte automatisée et sont soumis à validation d’un responsable. En outre, la transmission de données nominatives à une équipe extérieure au CHU de Rennes ne peut se faire que dans le cadre d’un traitement de données autorisé par la CNIL.
* Enfin, les responsabilités d’administration sont séparées en différents rôles : administrateur des études, administrateur des données, administrateur des traces et administrateurs des bases.
Pour chaque étude ultérieure, correspondra un accès spécifique aux données. Les autorisations d’accès concernant une étude seront accordées pour une durée et un périmètre limités correspondant aux besoins de l’étude. Les permissions d'accès seront supprimées pour tout utilisateur n'étant plus habilité. Une revue globale sera réalisée annuellement. Chaque utilisateur disposera d’un compte d’utilisation unique, individuel et nominatif.
En outre, la Commission relève qu’un module d’analyse de données permettra la réalisation de statistiques agrégées sur les données pseudonymisées de l’entrepôt, qui seront ensuite accessibles à l’ensemble des utilisateurs. La Commission rappelle qu'un tel outil ne doit permettre que des restitutions parfaitement anonymes. A défaut, des mesures complémentaires doivent être mises en œuvre afin de limiter les risques de réidentification des personnes, notamment en limitant les interrogations ciblées et le niveau de détail des données fournies.
Concernant les mécanismes d’authentification des professionnels de santé, la Commission relève que le responsable de traitement recommande l’usage de la carte CPX pour l’accès à l’entrepôt, sans pour autant la rendre obligatoire.
La Commission rappelle à cet égard que l’accès aux données de santé par des professionnels de santé doit s’effectuer conformément aux référentiels d'interopérabilité et de sécurité, en application de l’article L. 1110-4-1 du CSP.
S’agissant de l’accès aux données par les administrateurs, les chercheurs et membres des équipes des chercheurs, la Commission prend acte que le responsable de traitement s’est engagé à mettre en place un mécanisme d’authentification forte.
De façon générale, la Commission recommande la mise en place d’une politique d’authentification forte à l’état de l’art pour l’ensemble des accès aux données pseudonymisées d’un entrepôt de données de santé.
La Commission relève que les actions des utilisateurs accédant à l’entrepôt font l’objet de mesures de journalisation. En particulier, les connexions à l’entrepôt (identifiants, date et heure), les requêtes et opérations réalisées sont tracées, et certaines actions sensibles font l’objet d’une traçabilité renforcée (notamment l’affectation des droits à un utilisateur, un accès aux données nominatives, la levée de l’opposition d’un patient, la suppression d’un lot de données, l’import d’un fichier d’appariement).
Un contrôle des traces sera réalisé à la fin de chaque période d’habilitation liée à un projet de recherche. La Commission recommande en outre de mettre en place un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et de lever des alertes le cas échéant.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5-1-f et 32 du RGPD.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité et de l’analyse d’impact relative à la protection des données au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
Les données sont conservées dans l’entrepôt pendant 20 ans à compter du dernier séjour du patient et seront supprimées au moyen d’une requête programmée annuellement.
La Commission considère que cette durée de conservation des données n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise le Centre hospitalier universitaire de Rennes, conformément à la présente délibération, à mettre en œuvre le traitement mentionné.
La Présidente
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par la ministre des solidarités et de la santé d’une demande d’avis portant sur un projet de décret relatif aux dispositifs d’appui à la coordination et aux dispositifs spécifiques régionaux ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 6327-1 et suivants, R. 1435-16 et suivants, R. 1527-1, R. 3224-2, R. 4031-2, R. 5124-69, R. 6122-32-1 et suivants ;
Vu le code de l’action sociale et des familles, notamment ses articles D. 146-29-2, D. 146-29-2, D. 312-155-0, R. 232-40 et R. 232-45 ;
Vu le code de la sécurité sociale, notamment ses articles R. 161-71 et R. 162-1-16 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Vu la loi n° 2019-774 du 24 juillet 2019 relative à l’organisation et à la transformation du système de santé ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;