AgentPublic/cnil huggingface dataset:
La loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé a consacré le principe de l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) comme identifiant national de santé (INS) afin de faciliter, sans risque d’erreur et dans l’intérêt des patients, les échanges et le partage d’informations de santé entre les multiples acteurs de la sphère sanitaire et médico-sociale. L’interopérabilité des traitements de données administratives et de données de santé, qui résulte de l’application de ce principe, doit permettre de coordonner de manière efficace les soins prodigués aux patients.
Les décrets n° 2017-412 du 27 mars 2017 et n° 2019-1036 du 8 octobre 2019 précités, codifiés aux articles R. 1111-8-1 et s. du code de la santé publique (CSP), ont encadré l’usage de l’INS en le subordonnant notamment au respect des garanties fondamentales suivantes :
l’INS est employé pour référencer les données de santé et les données administratives de toute personne bénéficiant ou appelée à bénéficier d’un acte diagnostique, thérapeutique, de prévention, de soulagement de la douleur, de compensation du handicap ou de prévention de la perte d’autonomie ou d’interventions nécessaires à la coordination de plusieurs de ces actes et à des fins exclusivement sanitaires ou médico-sociales ;
les acteurs directement concernés par l’obligation de référencement sont les professionnels, établissements, services ou organismes mentionnés à l’article L. 1110-4 du CSP et les professionnels constituant une équipe de soins et intervenant dans la prise en charge sanitaire ou médico-sociale de l’usager ;
pour les personnes en instance d’attribution d’un NIR et jusqu’à l’attribution du NIR, l’INS est le numéro identifiant d’attente (NIA) ;
tout autre identifiant ne peut être utilisé qu’en cas d’impossibilité d’accéder à l’INS ;
l’accès à l’INS et sa vérification s’effectuent par des téléservices (l’un de recherche et l’autre de vérification), dénommés ci-après téléservices INSi et mis en œuvre par la Caisse nationale de l’assurance maladie (CNAM).
Le projet d’arrêté portant approbation du référentiel Identifiant national de santé , soumis à l’examen de la Commission, a vocation à rendre opposable le référentiel qu’il contient. Il détermine, du point de vue de la sécurité des données personnelles, les conditions d’utilisation de l’INS. Il présente également l’architecture globale du dispositif nécessaire à l’utilisation de l’INS.
Compte tenu des enjeux du référencement des données par l’INS, le ministère s’est engagé à accompagner, au cours de l’année 2020, les acteurs concernés et leurs relais (fédérations, ordres, etc.), les institutionnels (agences régionales de santé, Haute Autorité de Santé, etc.) ainsi que les éditeurs de solutions logicielles, à mettre à jour les textes (notamment circulaires, instructions, etc.) ainsi qu’à produire différents guides et documents. Des ateliers à destination des éditeurs de solutions logicielles et des acteurs concernés par le référencement ont été organisés en 2019.
Ceci rappelé, la Commission estime que le recours à l’INS requiert une sécurisation juridique et technique de haut niveau, et adaptée à son régime particulier. Elle considère que les spécificités du NIR, notamment son caractère signifiant, facile à reconstituer à partir des éléments d’état civil, justifie que le recours à cet identifiant soit strictement encadré par la réglementation sur la protection des données personnelles et cantonné aux finalités pour lesquelles son utilisation est permise. En effet, parce qu’il rend plus aisées les possibilités de rapprochements de fichiers et qu’il facilite la recherche et le tri des informations dans les fichiers, le NIR reste associé au risque d’une interconnexion généralisée et d’une utilisation détournée des fichiers. Ce risque est d’autant plus important que les données de santé sont des données sensibles. Aussi, la Commission souhaite rappeler qu’elle s’est montrée favorable, en 2013, à l’utilisation du NIR dans la sphère sanitaire et médico-sociale, dès lors que des garanties suffisantes seraient mises en place. Elle formule, dans ce contexte, les observations suivantes.
Sur les catégories d’acteurs intervenant dans le référencement des données (responsables de l’opération de référencement, sous-traitants, responsables conjoints de traitement et responsables des téléservices d’accès et de vérification de l’INS) :
En premier lieu, en ce qui concerne les acteurs directement impliqués dans l’opération de référencement stricto sensu, le projet d’arrêté rappelle l’interdiction de procéder au référencement des données à caractère personnel à partir de l’INS sauf pour le cercle des acteurs directement concernés par l’obligation de référencement (ex. : professionnels de santé, établissements de santé, maisons de retraite, etc.) et pour ceux qui y seraient autorisés par une disposition légale spéciale. Le projet d’arrêté envisage par ailleurs que l’opération de référencement puisse être réalisée dans le cadre d’une sous-traitance ou d’une responsabilité conjointe de traitement.
La Commission observe que la sous-traitance est caractérisée dès lors qu’un tiers n’appartenant pas au cercle des acteurs concernés par l’obligation de référencement traite des données à caractère personnel pour le compte du responsable du traitement ayant pour finalité l’opération de référencement. Elle rappelle que, compte tenu de la nature des données traitées, le sous-traitant doit, au titre de l’article 28 du Règlement général sur la protection des données (RGPD), mettre en place des garanties suffisantes en ce qui concerne les mesures techniques et organisationnelles de manière à ce que le traitement ayant pour finalité le référencement réponde aux exigences du RGPD et garantisse la protection des droits des usagers concernés. Il doit, en outre, passer avec le responsable de traitement un contrat de sous-traitance (ou un autre acte juridique) formalisant les rôles, obligations et responsabilités respectives du sous-traitant et du responsable de traitement. Afin de sécuriser le recours à la sous-traitance, la Commission recommande de faire figurer, dans le contrat passé, un engagement de conformité, d’une part, au référentiel contenu dans le projet d’arrêté et, d’autre part, à la politique générale de sécurité des systèmes d’information de santé (PGSSI-S) et prend acte de l’engagement du ministère à ce que cette recommandation figure dans projet d’arrêté.
En revanche, la Commission n’identifie pas les hypothèses dans lesquelles pourrait être reconnue une responsabilité conjointe de traitement au sens de l’article 26 du RGPD et demande à ce que ces hypothèses soient clarifiées dans le projet d’arrêté.
Enfin, s’agissant de la possibilité d’autoriser à terme de nouveaux acteurs à utiliser le NIR aux fins d’INS sur la base d’une disposition légale spécifique, la Commission indique qu’elle sera particulièrement vigilante à cantonner strictement le NIR utilisé comme INS à des fins de prise en charge sanitaire ou médico-sociale.
En second lieu, en ce qui concerne la responsabilité de traitement des téléservices d’accès et de vérification de l’INS, l’article R. 1111-8-6 du CSP mentionne que ces téléservices sont mis en œuvre par la CNAM. Le ministère a précisé que cet article ne désigne pas la CNAM comme unique responsable de traitement et qu’  aucun acte réglementaire ne vient fixer explicitement la qualification juridique de chacun des acteurs . Il indique que, si la CNAM a géré les développements informatiques nécessaires à la mise en œuvre des téléservices, les cas d’usage (finalités), les spécifications fonctionnelles, les données et les moyens de sécurité retenus ont été conjointement définis avec le ministère et l’ASIP. Il considère à ce titre qu’il existe une responsabilité conjointe de traitement partagée entre ces trois acteurs, dont la formalisation est en cours.
Or, la Commission relève que le projet d’arrêté mentionne que  la CNAM est responsable de traitement du téléservice INSi
Sans remettre en cause la qualification retenue par le ministère, la Commission attire l’attention de ce dernier sur le fait que des travaux consacrés à la mise à jour des lignes directrices du G29 relatives aux notions de responsable de traitement et de sous-traitant (avis n° 1/2010 du 16 février 2010) sont en cours de réalisation au niveau du Comité européen sur la protection des données et que les conclusions de ces travaux concernant les critères à retenir pour établir une responsabilité conjointe de traitement font à ce jour l’objet d’échanges entre autorités de protection des données. Par ailleurs, elle rappelle que, par application des dispositions de l’article 26 du RGPD, les responsables conjoints de traitement doivent définir par voie d’accord, de manière transparente et préalablement à la mise en œuvre du traitement, leurs obligations respectives aux fins d’assurer le respect des exigences du RGPD ; elle constate qu’un tel accord n’a pas été conclu. Aussi, si le ministère fait le choix de retenir une responsabilité conjointe, la Commission signale que des modifications doivent être apportées au projet d’arrêté, dans la mesure où celui-ci désigne comme seul responsable de traitement la CNAM, et prend acte de l’engagement du ministère de procéder aux modifications nécessaires. Par ailleurs, elle demande que l’accord prévu par l’article 26 du RGPD aux fins de formaliser les relations entre les responsables conjoints de traitement soit finalisé préalablement au
déploiement des téléservices.
Sur l’utilisation d’identifiants autres que l’INS :
Dans la version soumise à l’examen de la Commission, le projet d’arrêté vise un maintien des identifiants locaux en plus de l’INS à des fins de prise en charge sanitaire ou médico-social, au-delà du 1er janvier 2021, sans que ce maintien ne soit expressément limité dans la durée et sans qu’il ne soit fait référence à des circonstances particulières qui justifierait le maintien des identifiants locaux. En effet, l’article 4.3.3 du projet d’arrêté mentionne :  l’obligation de référencement par l’INS (R. 1111-8-3 III) n’implique pas de supprimer tout autre identifiant local (exemple : IPP) pour le remplacer par l’INS. Il n’est pas non plus exigé par le législateur de remplacer les éléments d’identité gérés dans le SIS par les données provenant des bases de référence. L’INS (et les éléments d’identité provenant des bases de référence définis dans la partie suivante) s’ajoutent aux données déjà gérées dans le SIS ou peuvent les remplacer (cf chapitre 5.3.3 du présent référentiel) . Par ailleurs, un guide d’accompagnement précisant la trajectoire d’intégration de l’INS dans les systèmes d’information de santé est annoncé.
La Commission rappelle que les articles L. 1111-8-1 et R. 1111-8-1 I du CSP posent le principe selon lequel l’INS est le NIR. L’article R. 1111-8-1 II du CSP précise que  tout autre identifiant ne peut être utilisé pour le référencement qu’en cas d’impossibilité d’accès à l’identifiant national de santé, afin de ne pas empêcher la prise en charge sanitaire et médico-sociale des personnes et qu’ il est procédé au référencement des données (…) avec l’identifiant national de santé dès qu’il est possible d’y accéder . Par ailleurs, l’article R. 1111-8-1 III du CSP ajoute que  lorsque l’identification d’une personne par un professionnel, un établissement, un service ou un organisme (…) est nécessaire pour sa prise en charge à des fins sanitaires ou médico-sociales, cette identification ne peut être faite que par l’identifiant national de santé (…) . Enfin, l’article 2 du décret n° 2017-412 du 27 mars 2017 modifié par le décret n° 2019-1036 du 8 octobre 2019 susvisé prévoit que  les professionnels, établissements, services et organismes mentionnés à l’article R. 1111-8-3 du code de la santé publique sont tenus de se mettre en conformité avec les dispositions des articles R. 1111-8-1 à R. 1111-8-7 du même code (obligation d’utiliser l’INS pour référencer les données) avant le 1er janvier 2021 .
Compte tenu de ces éléments, la Commission indique que le maintien des identifiants locaux par les acteurs concernés ne pourra être justifié au-delà du 1er janvier 2021 que pour tenir compte des situations d’impossibilité de recueillir l’INS pour référencer les données administratives et les données de santé à des fins de prise en charge sanitaire ou médico-sociale (ex. : touristes ne disposant pas d’un NIR, personne prise en charge en urgence dont on ignore l’identité, indisponibilité ponctuelle des téléservices INSi , etc.) ou encore pour les situations non liées à la prise en charge sanitaire ou médico-sociale (ex. : identifiant utilisé pour de la gestion hôtelière). Elle considère que toute autre utilisation du maintien des identifiants locaux, au-delà de la période transitoire s’achevant au 1er janvier 2021, serait contraire aux dispositions précitées du CSP et du décret n° 2019-1036 du 8 octobre 2019 susvisé et serait par conséquent susceptible de remettre en cause l’objectif affiché d’utiliser un numéro fiable et homogène permettant l’interopérabilité des systèmes d’information utilisés localement. Dans ces conditions, la Commission demande au ministère de modifier le projet d’arrêté, en particulier son paragraphe 4.3.3, pour supprimer toute ambiguïté et circonscrire le maintien des identifiants locaux, au-delà de la période du 1er janvier 2021, aux situations susvisées d’impossibilité ou aux situations qui ne relèvent pas d’un référencement des données
administratives ou des données de santé au titre de la prise en charge sanitaire ou médico-sociale.
Sur les droits des personnes : 
Le projet d’arrêté vise le principe de l’information des personnes et l’absence de droit d’opposition.
La Commission relève que, conformément aux dispositions de l’article L. 1111-8-1 et R. 1111-8-1 et s. du CSP, l’opération de référencement des données est nécessaire au respect d’une obligation légale et que les conditions d’exercice des droits des usagers doivent être examinées sur cette base. En conséquence, elle invite le ministère à présenter aux responsables de traitement concernés le dispositif complet applicable à l’exercice des droits des usagers afin de prendre en compte les dispositions du RGPD. Elle demande que le projet d’arrêté soit complété pour y intégrer les modalités spécifiques de l’exercice des droits dont peuvent se prévaloir les personnes concernées par l’opération de référencement, tels que ces droits figurent aux articles 12 et s. du RGPD (notamment droit d’accès, de rectification, droit à la limitation du traitement).
Sur la maîtrise du risque d’erreur dans l’identification des personnes :
Le projet d’arrêté impose de disposer d’un INS et de traits d’identité qualifiés. Dans cette perspective, il impose notamment, en matière d’identitovigilance, de contrôler l’identité de l’usager en respectant les procédures locales prévues par les acteurs et d’exclure toute utilisation de l’INS en cas de doute sur l’identité de l’usager.
La Commission relève que le nouvel article R. 1111-8-6 du CSP mentionne que
le recours aux téléservices n’exonère pas les personnes susmentionnées (les acteurs concernés par l’obligation de référencement) de mettre en place toute procédure de surveillance, de correction et de prévention des erreurs relevant de l’organisation de la prise en charge des personnes et concourant à la maîtrise du risque d’erreur dans l’identification des personnes . 
La Commission prend également acte de la volonté du ministère de ne pas reprendre, dans son intégralité, l’ensemble des mesures applicables en matière d’identitovigilance auquel l’usage de l’INS est nécessairement subordonnée et de n’y inscrire que celles d’entre elles qu’il convient de respecter pour le cas particulier de l’INS. En effet, l’identitovigilance reste sous la responsabilité de chacun des acteurs concernés et son cadre doit être localement défini dans le cadre de procédures.
Toutefois, la Commission estime, comme elle l’a déjà indiqué dans la délibération n° 2019-102 du 18 juillet 2019 susvisée, que les données de santé et les données administratives le cas échéant, leur échange et leur partage doivent reposer sur un dispositif d’indexation fiable, ce qui implique de disposer de l’identité exacte de l’usager, conformément aux dispositions de l’article 5-1-d) du RGPD, en particulier dans les établissements de santé, tant lors de l’admission que tout au long du parcours de soins, afin d’éviter tout risque de confusion d’identité dont les conséquences pourraient être particulièrement graves. Elle rappelle qu’un recueil d’identité, qui ne serait pas suffisamment fiable, remettrait en cause non seulement l’opération de référencement en résultant mais aussi toute la chaîne de traitements de données de santé et de données administratives indexés sur l’INS à partir de ce référencement. Un recueil insuffisamment fiable d’identité constituerait en outre un risque important pour l’interopérabilité des systèmes d’information locaux, alors même que cette interopérabilité avait été initialement conçue par le ministère pour faciliter le décloisonnement des parcours de soins et éviter les doublons de dossiers ainsi que les collisions d’identité conduisant à rattacher des données d’une personne à une autre. Ainsi, il pourrait être un obstacle important au déploiement de réformes portées par les pouvoirs publics, comme par exemple celle introduite récemment par
l’article 45 de la loi n° 2019-774 du 24 juillet 2019 relative à l’organisation et à la transformation du système de santé prévoyant la création d’un espace numérique de santé conçu aux fins de permettre à chacun la construction d’un parcours de soins coordonné entre les acteurs des secteurs sanitaires et médico-sociaux. Plus largement, il affecterait la qualité et la sécurité des soins prodigués aux usagers.
Aussi, compte tenu des enjeux, la Commission appelle à ce que le projet d’arrêté ne renvoie pas simplement aux procédures locales d’identitovigilance mais précise les modalités de vérification de l’identité des usagers concernés par l’opération de référencement.
Les autres dispositions du projet d’arrêté n’appellent pas d’observations de la Commission.
La Présidente
M-L. DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’économie et des finances d’une demande d’avis concernant un projet de décret transposant la directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiée par la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ainsi que les directives 2009/138/CE et 2013/36/UE (Texte présentant de l'intérêt pour l'EEE) ;
Vu le code monétaire et financier,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés notamment son article 8 ; 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment son article 9 ;
Après avoir entendu M. Philippe-Pierre Cabourdin, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations.
 
Emet l’avis suivant :
La Commission a été saisie en application de l’article 9 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés d’une demande d’avis par le ministère de l’économie et des finances portant sur un projet de décret transposant la directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiée par la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018.
La Commission renvoie à la délibération n° 2019-154 du 12 décembre 2019 portant avis sur le projet d’ordonnance transposant la directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiée par la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018, et considère que le présent projet de décret n’appelle pas d’observation. 
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’économie et des finances d’une demande d’avis concernant un projet d’ordonnance transposant la directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme modifiée par la directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la charte des droits fondamentaux de l’Union européenne ; 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;