AgentPublic/cnil huggingface dataset:
Le développement du diagnostic des prédispositions aux formes héréditaires de cancer a été porté successivement par les derniers Plans cancer (2003-2007, 2009-2013, 2014-2019).
Les personnes ainsi diagnostiquées, soit parce qu’elles sont porteuses d’une mutation génétique les prédisposant au cancer, soit parce qu’elles ne présentent pas de mutation identifiée mais un risque élevé de cancer étant donnée leur histoire familiale ou personnelle, doivent pouvoir bénéficier d’une prise en charge spécifique, basée sur la surveillance et/ou la chirurgie prophylactique, et adaptée aux différents risques tumoraux associés.
L’établissement d’un programme personnalisé de suivi constitue le point de départ indispensable de ce suivi à long terme au sein d’un réseau de partenaires clairement identifiés et qualifiés.
Suite à un premier appel à projets lancé par l’Institut national du cancer (INCa) en 2010, sept expériences pilotes ont engagé les actions nécessaires à la mise en œuvre de tels programmes de suivi.
Le bilan de ces expériences a confirmé leur intérêt de santé publique et démontré que l’informatisation des échanges constituait une étape indispensable au suivi à long terme, permettant d’améliorer la programmation des consultations et examens de suivi, ainsi qu’un rappel des rendez-vous planifiés.
La phase pilote ayant été concluante, l’INCa a lancé en 2012 un second appel à projets pour le déploiement national des dispositifs de suivi.
Le Réseau de cancérologie d’Aquitaine (RCA) est un groupement de coopération sanitaire qui a été retenu au terme de cet appel à projets pour le déploiement d’un dispositif de suivi dans les régions Limousin et Aquitaine, appelé dispositif « CaPLA » (Cancer Prédisposition Limousin Aquitaine).
Le dispositif CaPLA repose sur la collaboration entre le Réseau de cancérologie d’Aquitaine, les centres hospitaliers universitaires de Bordeaux et Limoges, ainsi que le centre de lutte contre le cancer « Institut Bergonié ».
La Commission est saisie par le RCA, sur le fondement des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, d’une demande d’autorisation relative au traitement automatisé de données de santé à caractère personnel inhérent à la mise en œuvre du dispositif CaPLA.
Sur la finalité du traitement :
Le dispositif CaPLA n’intervient pas dans les circuits de prise en charge au sein des établissements de santé partenaires mais est organisé autour d’une cellule de coordination interrégionale qui soutient les équipes locales en encadrant l’ensemble des missions transversales liées à la prise en charge multidisciplinaire des personnes à haut risque.
Les personnes restent libres de consulter les professionnels de leur choix mais leur intégration dans le dispositif CaPLA a pour objectif d’améliorer la diffusion de l’information et des recommandations de prise en charge concernant le suivi de ces personnes.
En cas de survenance d’un cancer, le suivi dans le cadre du dispositif CaPLA est mis en sommeil et la personne diagnostiquée entre dans un circuit de prise en charge classique en dehors du dispositif CaPLA.
Il est prévu que les données soient gérées initialement dans une application développée par le RCA, avec des accès strictement réservés aux personnels du RCA (pas de partage Internet).
Ultérieurement, sous condition de l’obtention d’un financement spécifique, le RCA pourrait envisager d’externaliser le traitement dans une application commerciale hébergée chez un hébergeur agréé de données de santé (HDS), accessible à distance par le réseau Internet.
Le traitement projeté poursuit les finalités suivantes :
formaliser un suivi individualisé des personnes qui présentent un risque majoré de développer un cancer du fait d’antécédents familiaux et personnels ;
améliorer le suivi des personnes présentant une prédisposition génétique au cancer en permettant la constitution d’un dossier informatisé regroupant les informations et documents médicaux nécessaires à un dépistage et une prise en charge précoces des personnes suivies ;
harmoniser les outils diagnostics et les plans de suivi personnalisés par l’élaboration de référentiels communs, afin de garantir une plus grande fiabilité et homogénéité des pratiques professionnelles et une meilleure évaluation de celles-ci ;
gérer un annuaire de professionnels de santé impliqués dans le dispositif CaPLA, réservé à un usage interne ;
établir des statistiques à partir des données afin de produire des indicateurs d’activité. 
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Elle rappelle qu’en cas de réutilisation des données à des fins de recherche dans le domaine de la santé ou d’évaluation des pratiques de soins, il conviendra, le cas échéant, de se conformer aux dispositions des chapitres IX et X de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Concernant les patients, les données traitées et échangées portent sur :
l’identification (nom, prénom, sexe, date et lieu de naissance) ;
les coordonnées ;
les données médicales nécessaires au suivi personnalisé : notamment les données génétiques en lien avec la pathologie, les antécédents médicaux et chirurgicaux, les données relatives aux examens de suivi.
Les fiches d’inclusion, nécessaires à l’examen de chaque cas, sont établies selon un modèle standardisé.
Concernant les professionnels de santé chargés du suivi des patients, les données traitées ou échangées portent sur l’identification (nom, prénom, numéro d’inscription au répertoire partagé des professionnels de santé (RPPS), les coordonnées professionnelles et la spécialité.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Le dossier fourni à l’appui de la demande précise que les données sont conservées jusqu’à la sortie de la personne du dispositif CaPLA, qui peut intervenir :
à tout moment, par la manifestation par la personne de sa volonté de voir son dossier fermé : dans ce cas, ses données seront encore hébergées pendant deux années afin de pouvoir éventuellement l’inclure à nouveau dans le dispositif. Sans manifestation spécifique de la part de la personne à expiration du délai de 2 ans, les données seront détruites ;
à la manifestation expresse de la personne de voir ses données supprimées avec effet immédiat : auquel cas ses données seront détruites sous un délai de trente jours ouvrés à compter de la réception de sa demande ;
à l’initiative du RCA quand la personne est perdue de vue ou quand elle décède.
La Commission estime que de telles durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 6-5° de la loi Informatique et Libertés.
A l’issue de cette période, les données pourront être conservées de façon anonymisée à des fins statistiques.
Pour considérer qu’un jeu de données est effectivement anonyme, deux solutions s’offrent au responsable de l’anonymisation.
La première consiste à évaluer les procédés d’anonymisation mis en œuvre préalablement à la diffusion des résultats du traitement à la lumière des trois critères suivants :
le jeu de données ne comporte pas de données individuelles ;
il n’est pas possible de corréler le jeu de données considéré comme anonyme avec un autre jeu de données ;
et il n’est pas possible d’en déduire de nouvelles informations sur des individus.
Si le jeu de données obtenu via le processus d’anonymisation respecte ces critères, il peut alors être considéré comme anonyme et le responsable de traitement devra rédiger une démonstration de conformité motivant sa conformité à chaque critère par les techniques et paramètres prévus, transmise à l’autorité de protection des données compétente.
En revanche, si les trois critères ne sont pas réunis, la deuxième solution consiste à mener une étude des risques de ré-identification, qui doit, en fonction du droit national, être soumise à l’autorité de protection des données compétente pour valider, ou non, le processus d’anonymisation proposé. Cette étude consiste à démontrer que les risques, liés à la publication du jeu de données anonyme, n’ont pas d’impact sur la vie privée et les libertés des personnes concernées.
Sur les destinataires des données :
Les destinataires des informations sont les professionnels de santé participant au dispositif, dûment habilités, dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à l’exercice de leurs missions.
Les membres de la cellule de coordination du dispositif CaPLA, au sein du RCA, seront également destinataires des données, sous la responsabilité du médecin coordonnateur du projet.
Enfin, un patient pourra être contacté directement par le dispositif CaPLA en cas de non réponse de ses médecins référents.
La Commission considère que la liste des destinataires du traitement est appropriée au regard de la finalité du traitement.
Sur l'information des personnes :
Les patients sont informés du fonctionnement du dispositif CaPLA, ainsi que des droits qui leur sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’une note d’information individuelle sous format papier, rédigée dans le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée. Cette note d’information précise que le refus de participation au dispositif CaPLA est sans conséquence sur la prise en charge médicale de la personne.
L’inclusion des personnes requiert leur consentement éclairé et exprès ou celui de leurs représentants légaux, le cas échéant. Ce consentement sera recueilli par le médecin onco-généticien en contact direct avec la personne au cours d’une consultation effectuée dans l’un des centres participant au dispositif, à l’aide d’un document formalisant son accord.
La Commission demande qu’une information soit délivrée aux personnes sur les modalités d’hébergement de leurs données et que leur consentement soit recueilli pour l’hébergement des données de santé qui doit être réalisé auprès d’un hébergeur agréé à cet effet, conformément aux dispositions de l’article L. 1111-8 du code de la santé publique.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès et de rectification s’exercent en adressant un courrier postal au service en charge du dispositif CaPLA au sein du Réseau de cancérologie d’Aquitaine ou par l’intermédiaire d’un médecin.
Les patients ont la possibilité de quitter le dispositif CaPLA à tout moment sans conséquence sur la qualité des soins qui leur sont dispensés et ils en sont clairement informés.
La Commission estime que ces modalités d’exercice des droits reconnus par la loi Informatique et Libertés sont suffisantes.
Sur la sécurité des données et la traçabilité des actions :
Sur l’hébergement des données :
La Commission relève les circuits d’information suivants au sein du dispositif CaPLA :
la cellule de coordination du dispositif recueille des informations issues des établissements partenaires et des médecins du patient ;
ces informations sont reçues par courrier ou par messagerie sécurisée de santé, puis saisies localement dans l’application CaPLA par des attachés de recherche clinique ;
après définition d’un programme de suivi au long terme, le RCA adresse régulièrement aux médecins (ou sinon, aux patients), par courrier ou par messagerie sécurisée de santé, des relances afin de leur rappeler les examens de dépistage à  réaliser.
Dans la mesure où le dossier relatif à chaque participant au programme centralise des informations et documents médicaux produits au sein des différents établissements participant au dispositif CaPLA et par les médecins des patients, l’hébergement de ces données doit satisfaire aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique.
La Commission prend acte de l’engagement du responsable de traitement de conserver les données de santé auprès d’un hébergeur agréé à cet effet.
La Commission rappelle que, conformément aux dispositions de l’article L. 1110-4 du code de la santé publique, le contrôle d’accès aux données de santé doit être opéré par une authentification forte des professionnels de santé grâce à l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé.
Concernant les autres mesures :
Les habilitations d’accès au système d’information du dispositif CaPLA sont définies en fonction des attributions des intervenants et des données concernées et sont matérialisées sous forme de profils d’accès. Les procédures d’attribution, de gestion et de suppression des comptes et des profils sont formalisées dans un document propre au projet.
Les accès à l’application font l’objet d’une journalisation répertoriant le dossier, l’opération effectuée, l’identification de l’utilisateur et l’horodatage. Les personnels concernés sont informés de la mise en œuvre de ces mesures dans la charte d’utilisation du dispositif CaPLA.
La Commission recommande qu’un contrôle des traces soit effectué de manière automatique pour détecter les comportements anormaux et assorti d’une levée d’alerte. Elle recommande également que des mesures soient mises en œuvre pour assurer l’intégrité des traces associées aux actions effectuées sur les données de santé.
L’application CaPLA met en œuvre des procédés de chiffrement du transport des données (protocole HTTPS). La Commission recommande d’utiliser la version de TLS la plus à jour possible.
Une sauvegarde distante est effectuée avec une périodicité journalière, hebdomadaire et mensuelle ; les données et les flux sont sécurisés par chiffrement.
La Commission demande que l’accès au local de stockage des sauvegardes soit sécurisé au même niveau que celui du serveur principal.
La Commission recommande également que des procédures de continuité et de reprise d’activité soient formalisées et mises en œuvre, et que les opérations de maintenance soient strictement encadrées et surveillées.
La Commission relève que l’exploitation statistique des données se fera sur des extractions anonymisées. 
En complément de cette mesure, elle recommande de réduire le risque de ré-identification des personnes en limitant les interrogations ciblées sur ces données et les détails produits dans les rapports.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise le groupement de coopération sanitaire Réseau de cancérologie d’Aquitaine à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité un dispositif de suivi des personnes prédisposées héréditairement au cancer.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1789707)
La Commission nationale de l'informatique et des libertés,
Saisie par Monsieur Nicolas ROEDINGER, pris en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 361-1, L. 471-1 à L. 473-4 et R. 472-1 à R. 472-26 ;
Vu le code civil ;
Vu le code de procédure pénale, notamment ses articles 706-112 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu la loi n° 2007-308 du 5 mars 2007 portant réforme de la protection juridique des majeurs ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté nominatif d'agrément du Préfet de l’Ain en date du 12 mai 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Monsieur Nicolas ROEDINGER, en sa qualité de mandataire judiciaire à la protection des majeurs, exerçant à titre individuel à l’adresse BP20 – 01340 ATTIGNAT.Le responsable de traitement exerce la mission de mandataire judiciaire à la protection des majeurs que le juge des tutelles lui confie conformément aux dispositions de l’article L. 471-1 du code de l’action sociale et des familles (CASF).Le responsable de traitement est spécifiquement agréé en tant que tel par le préfet de son département.
Sur la finalité
Monsieur Nicolas ROEDINGER a saisi la Commission, en qualité de mandataire judiciaire à la protection des majeurs, d’une demande d’autorisation afin de mettre en œuvre un traitement de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous tutelle ou sous curatelle relevant de son mandat.A ce titre, une gestion administrative et comptable du service de tutelle est nécessaire. La Commission considère que cette finalité est déterminée, explicite et légitime.Le traitement, justifié par l’intérêt public, peut faire apparaître, directement ou indirectement, des données relatives à la santé des personnes et à leurs opinions religieuses. Dès lors, il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements, automatisés ou non, portant sur de telles données.Il convient également de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.La Commission estime qu’il y a également lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire
Sur les données traitées
Les données collectées dans le cadre du présent traitement sont, en fonction du type de la mesure de protection (sauvegarde de justice, curatelle ou tutelle), du contenu précis de la mesure prononcée par le juge et de la nature des actes à accomplir, relatives :
à  l’identification des personnes et, le cas échéant, à celle de leurs conjoints et enfants (nom, prénom, adresse, date et lieu de naissance) ;
à leur vie personnelle (situation familiale, habitudes de vie) ;
à leur vie professionnelle (situation professionnelle) ;
à des informations d’ordre économique et financier (revenus, situation financière, dépenses) ;
à la santé  (pathologie, affection, antécédents médicaux, données relatives aux soins, situations ou comportements à risques) ;
aux opinions religieuses ;
aux infractions, condamnations ou mesures de sûreté, dans les limites prévues par les dispositions législatives en vigueur ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), uniquement dans le cadre d’échanges avec des professionnels de santé, des organismes de sécurité sociale, de prévoyance ou de retraite, ainsi que des financeurs de prestations sociales ou médico-sociales ;
aux appréciations sur les difficultés sociales des personnes.
Seul le responsable de traitement et, le cas échéant, les membres habilités de son personnel soumis à une obligation de confidentialité peuvent accéder au présent traitement. Le responsable de traitement, exerçant en nom propre et à titre indépendant, est habilité à transmettre des données aux destinataires suivants. Le juge des tutelles compétent peut être destinataire de l’intégralité des données du traitement.La direction départementale de la cohésion sociale et les organismes financeurs, au nombre desquels figurent notamment les caisses d’allocations familiales ou de mutualité sociale agricole, la caisse des dépôts et consignations ou encore les caisses primaires d’assurance maladie, peuvent être destinataires des données d’identification, des données relatives à la vie personnelle et des numéros de sécurité sociale.La Commission considère que ces destinataires présentent un intérêt légitime à connaître de ces données.Elle estime, par ailleurs, que le responsable du traitement peut également communiquer des données aux organismes en relation avec les personnes représentées, sous réserve que ces transmissions soient indispensables à ces relations, d’une part, et que les données concernées soient limitées au strict nécessaire, d’autre part. 
Sur les durées de conservation
Les données à caractère personnel enregistrées dans le présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et le droit d’accès 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales figurant sur les notices d’information et le livret d’accueil remis par le responsable de traitement aux personnes concernées lors de l’ouverture de la mesure.La Commission considère que cette modalité d’information des personnes est satisfaisante. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de Monsieur Nicolas ROEDINGER par courrier, fax ou courriel.  La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes. 
Sur les mesures de sécurité
Autorise, conformément à la présente délibération, Monsieur Nicolas ROEDINGER, en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel,  à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN