AgentPublic/cnil huggingface dataset:
En outre, l'article 4 de l'arrêté modifié prévoit qu'en cas de rapprochement positif, les données et informations mentionnées à l'article 3 sont conservées pendant une durée d'un mois à compter de ce rapprochement sans préjudice des nécessités de leur conservation pour les besoins d'une procédure pénale ou douanière. La CNIL prend acte des précisions apportées par le ministère selon lesquelles cette durée est une durée maximum et l'effacement de ces données se fera au terme d'un mois à compter de la date de validation de la levée de doute.
E. - Sur les accédants et destinataires des données
En premier lieu, l'article 5 du projet d'arrêté modifié énumère les personnes de la police, gendarmerie et des douanes pouvant accéder, à raison de leurs attributions, à tout ou partie des données.
En l'état des finalités poursuivies, l'accès aux données prévu pour ces agents n'appelle pas d'observations particulières de la part de la CNIL.
En second lieu, l'article 5 du projet d'arrêté prévoit que peuvent être destinataires les organismes de coopération internationale en matière de police judiciaire et les services de police étrangers dans les conditions énoncées à l'article L. 235-1 du CSI.
A cet égard, la CNIL prend acte du fait que les transferts de données hors de l'Union européenne seront réalisés dans le cadre de la coopération internationale en matière de police judiciaire et aux services de police étrangers dans le strict respect des engagements internationaux, conformément à l'article L. 235-1 du CSI. Elle prend également acte du fait que ces transferts ne pourront être opérés que sous réserve du respect des conditions énoncées aux articles 112 à 114 de la loi 6 janvier 1978 modifiée.
Cependant, dans la mesure où la transmission des données à ces organismes est prévue par la loi, l'arrêté n'a pas nécessairement à les mentionner.
Au regard de ce qui précède, la CNIL considère que la consultation des données par les personnes mentionnées à l'article 5 du projet d'arrêté apparait justifiée et proportionnée.
F. - Sur les droits des personnes concernées
En premier lieu, un nouvel article 7 inséré à la suite de l'article 6 prévoit que le droit d'opposition prévu à l'article 110 de la loi du 6 janvier 1978 modifiée ne s'applique pas aux traitements LAPI, ce qui n'appelle pas d'observation au regard des finalités poursuivies.
En second lieu, l'article 7 nouveau du projet d'arrêté modifié prévoit que les droits d'accès, de rectification, d'effacement et à la limitation des données s'exercent directement auprès du responsable des traitements créés.
Ces droits peuvent faire l'objet de restrictions afin d'éviter de gêner des enquêtes, des recherches ou des procédures administratives ou judiciaires ou d'éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales ou de protéger la sécurité publique, conformément aux 2° et 3° du II et du III de l'article 107 de cette même loi.
La personne concernée par ces restrictions pourra alors exercer ses droits auprès de la CNIL dans les conditions prévues à l'article 108 de cette même loi, ce qui n'appelle pas d'observation au regard des finalités poursuivies par le traitement projeté.
G. - Sur les mesures de sécurité
a. Sur l'accès aux données n'ayant pas fait l'objet d'un rapprochement positif avec les données de la base de comparaison
La CNIL prend acte du fait que des mesures de contrôle renforcées sont mises en place concernant l'accès à la base de données dite BD15 , c'est-à-dire l'accès aux données des véhicules n'ayant pas fait l'objet d'un rapprochement positif avec la base de comparaison (issue de la mise en relation avec le SIS, le FOVeS, etc.).
L'accès à ces données, y compris le cas échéant aux photographies des véhicules, est conditionné au renseignement d'un formulaire demandant de préciser le cadre juridique et le numéro de procédure. Le défaut de renseignement de l'un de ces champs interdit toute consultation. La CNIL recommande au ministère la mise en œuvre d'audits réguliers afin de s'assurer de l'effectivité de cette mesure.
b. Sur l'authentification des personnes accédant au traitement
L'accès technique aux systèmes LAPI et la consultation locale des bases de données sont possibles après une procédure d'authentification par mot de passe. La composition et la longueur des mots de passe utilisés varient selon les modèles de système LAPI.
A cet égard, la CNIL estime que toute connexion aux systèmes LAPI permettant la consultation, la modification, la suppression ou l'export de données à caractère personnel devrait faire l'objet d'une authentification multifacteur, reposant, par exemple, sur la carte à puce des agents habilités et un code d'activation de celle-ci.
La CNIL rappelle également que l'utilisation de comptes nominatifs est indispensable afin de permettre la traçabilité des actions effectuées sur le système. Les identifiants partagés et les comptes de service ne devraient donc pas permettre de procéder à des opérations concernant des données à caractère personnel.
c. Sur les mesures de journalisation
L'article 6 de l'arrêté modifié prévoit que les opérations de collecte, de modification, de consultation, de communication, de transferts, d'interconnexion et d'effacement des données à caractère personnel font l'objet d'une journalisation. Parmi ces opérations, le même article prévoit que les opérations de consultation et de communication enregistrées permettent d'établir l'identité de l'auteur, la date, l'heure et le motif de l'opération .
A cet égard, la CNIL estime que toutes les interventions concernant des données à caractère personnel devraient faire l'objet d'une journalisation permettant l'identification de leur auteur, dès lors qu'elles ne résultent pas d'opérations automatiques (par exemple liées à la suppression automatique de données dont la durée de conservation aurait expiré).
d. Sur l'homologation de sécurité du traitement
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024.
Sur le rôle de la Plateforme des données de santé
La Plateforme de données de santé (PDS) interviendra dans le cadre de l’extraction des données du Système national des données de santé (SNDS) sur le portail de la Caisse nationale de l’assurance maladie (CNAM) en sa qualité de responsable conjoint de traitement du SNDS.
Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront ciblées puis extraites sur le portail de la CNAM par la PDS. Tous les filtrages et les appariements de données seront réalisés en amont de la transmission des données vers la solution technique de la PDS. La vérification de la concordance entre les données nécessaires au projet et les données extraites sera effectuée en lien avec la CNAM.
Par ailleurs, s’agissant des autres opérations de traitement dont l’hébergement des données de l’étude, la CNIL estime que la PDS interviendra en qualité de sous-traitant. A ce titre, la répartition des rôles et responsabilités entre le responsable de traitement et la PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes, devra être formalisée par une convention entre les deux parties conformément à l’article 28 du règlement général sur la protection des données (RGPD).
Sur les points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Sur la finalité du traitement et caractère d’intérêt public
Le traitement envisagé a pour finalité la mise en œuvre d’une étude visant à évaluer de nouvelles méthodologies destinées à faciliter le développement de traitements innovants pour les maladies rares. Les objectifs de ces méthodologies, décrites dans le dossier de demande, visent à :
développer, au moyen de techniques de modélisation et de simulation, et à des données d’essais cliniques et de vie réelle, des essais virtuels permettant d’améliorer les connaissances dans les maladies rares et des méthodes permettant de générer des patients simulés dans différents scenarii,
accroître la robustesse des essais cliniques incluant de petits effectifs en utilisant des données provenant d’autres sources ;
proposer une nouvelle stratégie de développement des médicaments validée par les autorités permettant de diminuer le nombre d’essais cliniques nécessaires en optimisant l’utilisation des informations collectées pour diminuer le temps nécessaire à la mise sur le marché de nouveaux produits pour les patients atteints de maladies rares.
Sous réserve de l’exercice du droit d’opposition, plusieurs cohortes seront constituées dans le cadre de cette étude :
une première cohorte constituée à partir des données du Système national des données de santé (SNDS) composée des patients traités avec les trois traitements d’intérêt ou des traitements comparatifs ou ayant un code diagnostique pour lequel ces médicaments peuvent être prescrits ;
une seconde cohorte constituée à partir des données de la Banque nationale de maladies rares (BNDMR) incluant tous les patients atteints d'une maladie rare pour laquelle un des traitements d’intérêt est prescrit.
Réutilisation des données de bases existantes
Les données de la BNDMR autorisée par la CNIL (délibération n° 2019-113 du 5 septembre 2019) seront réutilisées dans le cadre de la présente étude. Ces données seront appariées aux données du SNDS. Les données de la BNDMR ont vocation à intégrer la base du catalogue du SNDS en application de l’article 3 de l’arrêté du 12 mai 2022 relatif aux données alimentant la base principale et aux bases de données du catalogue du SNDS.
Catégories particulières de données (hors données de santé)
S’agissant du traitement de données du SNDS :
Sous réserve qu’elles soient diffusables par la CNAM, le responsable de traitement sollicite un accès aux données du système national d'information inter-régimes de l'assurance maladie (SNIIRAM), du programme de médicalisation des systèmes d'information (PMSI) et des causes médicales de décès (CépiDc) des années 2008 à 2023.
 
Les données du SNIIRAM, du PMSI et du CépiDc étant issues de bases composant le SNDS, l’ensemble des dispositions législatives (articles L. 1461-1 à L. 1461-7 du code de la santé publique – CSP) et réglementaires relatives au SNDS sont applicables en l’espèce, notamment le respect du référentiel de sécurité applicable au SNDS.
S’agissant des modalités d’appariement des données de la BNDMR avec les données du SNDS :
 
Plusieurs modalités d’appariement des données de la BNDMR avec les données du SNDS sont prévues dans le dossier de demande :
 
dans un premier temps, l’appariement sera réalisé de façon déterministe grâce au numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) des patients recueillis dans l’application BaMaRa (application web qui permet aux professionnels des centres de référence et de compétences maladies rares de collecter et d’exploiter eux-mêmes leurs données de maladies rares). Les NIR seront envoyés à la CNAM directement depuis la base BaMaRa, par l’équipe en charge de cette base, qui est distincte de celle en charge de la BNDMR ;
pour les patients dont les données n’auront pas été appariées grâce au NIR faute de disponibilité de ce dernier, un appariement probabiliste sera réalisé grâce à la date et au lieu de prise en charge du patient dans le réseau expert, à sa date de naissance (mois et année), à son lieu de résidence (commune et département), à son sexe et au diagnostic.
 
En ce qui concerne la première modalité d’appariement (recueil du NIR à partir de l’application BaMaRa), la Commission attire l’attention du responsable de traitement sur :
la nécessaire effectivité du cloisonnement entre les deux équipes intervenant sur la BNDMR et sur BaMaRa, dont il doit s’assurer par des mesures organisationnelles et techniques adaptées aux risques et par des vérifications régulières ;
la nécessité que le pôle " Opérations ", qui exploite BaMaRa et réalisera l’extraction des NIR, supprime la table de correspondance [IDMR – IDacc] qui lui est transmise comme paramètre du programme d’extraction ; cette suppression devra intervenir dès la fin de la procédure d’extraction, la table n’étant conservée que par l’équipe de la BNDMR ;
la nécessité que chaque demande d’extraction utilise une série de numéros d’accrochage (IDacc) différente, pour limiter les risques de réidentification croisée.
Information et droits des personnes
S’agissant des patients ayant reçu une note d’information individuelle lors de la constitution de la BNDMR prévoyant un dispositif spécifique d’information auquel ils pourront se reporter préalablement à la mise en œuvre de chaque nouvelle étude réalisée à partir des données de l’entrepôt :
Une note d’information relative à la présente étude sera diffusée avant le début de l’étude sur le site web dédié à la BNDMR.
 
S’agissant des autres patients dont les données proviendront exclusivement du SNDS :
En vertu de l'article 69 de la loi " informatique et libertés " et de l’article 14.5.b du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par la diffusion d’une information collective sur le site web du responsable de traitement.
Ce traitement sera également enregistré au sein du portail de transparence de la PDS.
Sur la sécurité des données et leurs modalités d’hébergement
La sécurité des données de l’espace projet dédié au projet " INVENTS-3CU " dépend essentiellement de la solution technique de la PDS, qui a fait l’objet d’une analyse globale des risques et d’impact sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS.
Plus spécifiquement, une analyse d’impact relative à la protection des données a été transmise à la CNIL concernant la solution technique de la PDS, qui correspond à une bulle sécurisée SNDS et qui hébergera le projet " INVENTS-3CU ".
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au projet " INVENTS-3CU " et intégrant les éléments fournis par la PDS pour sa solution technique.
Une homologation de l’espace projet a ainsi été réalisée par le responsable de traitement le 16 mai 2024, pour une durée de cinq ans, sous réserve de la mise en œuvre du plan d’actions qu’il a défini. Cette décision d’homologation est valable jusqu’au 16 mai 2029. Conformément aux dispositions de l’arrêté du 6 mai 2024, relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra à l’AP-HP de s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement.
Les mesures de sécurité mises en œuvre par le responsable de traitement apparaissent proportionnées aux risques présentés par le traitement.
Transferts hors Union européenne
Les dispositions de l’article R. 1461-1 du CSP prévoient qu’aucun transfert de données à caractère personnel ne peut être réalisé en dehors de l'Union européenne, sauf dans le cas d'accès ponctuels aux données par des personnes situées en dehors de l'Union européenne, pour une finalité relevant du 1° du I de l'article L. 1461-3 du CSP. En l’espèce, le dossier de demande mentionne que, bien que le prestataire ne soit pas exclusivement soumis aux lois et juridictions de l’Union européenne, aucun transfert en dehors de l’Union européenne de données individuelles du SNDS n’est prévu, aucun membre de l’équipe de recherche n’étant situé en dehors de l’Union européenne.
Durée de conservation en base active et en archivage
Les NIR et les dates de naissance complètes des patients ne seront pas conservés après l’appariement.
Durée d’accès aux données du SNDS : cinq ans.
 
AUTORISE l’ASSISTANCE PUBLIQUE – HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Responsables de traitement
La société Clinityx et les Centres hospitaliers universitaires de Poitiers et Bordeaux déterminent conjointement les finalités et les moyens du traitement.
Conformément à l'article 26 du Règlement général sur la protection des données (RGPD), elles doivent définir de manière transparente leurs obligations respectives.
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-008, à l'exception de la nature des données traitées. La CNIL relève également que la base légale n’est pas conforme aux dispositions de la méthodologie de référence, le traitement étant nécessaire à l’exécution d’une mission d’intérêt public, dont sont investis les centres hospitaliers universitaires, co-responsables de traitement
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante 
Les données réutilisées dans le cadre de cette étude proviendront exclusivement de l’entrepôt de données de santé dénommé "Magellan" autorisé par la CNIL (délibération n° 2022-009 du 27 janvier 2022).
Utilisation de données issues du SNDS historique
Les données traitées, décrites dans le dossier de demande, concerneront :
la date de décès ;
la ré-hospitalisation en service de cardiologie ou en chirurgie cardiaque ;
la réintervention cardiologique (chirurgie cardiaque, cardiologie interventionnelle).
Seule la société Clinityx traitera les données individuelles des personnes concernées dans le cadre de cette étude.
L’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce, et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code de la santé publique (CSP).
Information et droits des personnes
S’agissant des modalités d’information : 
Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par les responsables de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par la société Clinityx afin de rendre l’information publiquement disponible concernant la réalisation de cette étude.
Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé.
Une note d’information sera rendue publique sur le portail de transparence dédié à l’entrepôt "Magellan" (via l’outil Sémaphore ) mis en place par la société Clinityx, ainsi que sur le site web des centres hospitaliers universitaires de Poitiers et de Bordeaux. Elle devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD. 
S’agissant des modalités d’exercice des droits : 
Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données de la société Clinityx.
Mesures de sécurité
L’infrastructure technique de la société Clinityx utilisée pour l’hébergement de systèmes fils du SNDS (notamment l’entrepôt "Magellan") a été analysée par la CNIL à diverses reprises, notamment dans le cadre de précédentes demandes d’autorisation.
Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 31 janvier 2023, conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS. Cette décision d’homologation n’est valable que jusqu’au 31 décembre 2024.
Conformément aux dispositions de l’arrêté du 6 mai 2024, relatif au référentiel de sécurité applicable au SNDS et notamment son article 3, il appartiendra à la société Clinityx de s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement.