AgentPublic/cnil huggingface dataset:
la qualité des personnes habilitées à accéder aux données du SNDS ;
sur la sécurité des données :
	
les incidents de sécurité, susceptibles d’impacter les droits des personnes, éventuellement révélés ou évités ;
toute modification substantielle de l’architecture de l’environnement maîtrisé ;
le nombre de publications scientifiques découlant des recherche, études et évaluations réalisées dans le cadre de la méthodologie ;
les bénéfices, apports scientifiques observés et/ou mesurés.
 
 
Titre VII : ENTRÉE EN VIGUEUR
7.1. La présente méthodologie de référence entre en vigueur à compter de sa publication au Journal officiel.
 
7.2. Lorsqu’une recherche, étude ou évaluation dans le domaine de la santé, autorisée antérieurement par la CNIL, fait l’objet d’une modification substantielle et est conforme à la présente méthodologie, il n’est pas nécessaire d’obtenir une nouvelle autorisation de la CNIL.
7.3. La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu le code de la santé publique, notamment son article L. 1461-3 ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement ;
Adopte une méthodologie de référence relative aux traitements de données de la base principale du Système national des données de santé mis en œuvre à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé par les organismes agissant dans le cadre de leur mission d’intérêt public (MR-007).
La Présidente
 
Marie-Laure DENIS
 
Méthodologie de référence relative aux traitements de données de la base principale du Système national des données de santé mis en œuvre à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé par les organismes agissant dans le cadre de leur mission d’intérêt public (MR-007)
Le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (le RGPD) prévoit, notamment en son article 5, point 2, que le responsable de traitement doit être en mesure de démontrer que les principes du règlement sont respectés.
L'article 9, paragraphe 4 du RGPD précise que les États membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques ou des données concernant la santé.
Ainsi, en application de la loi n° 78-17 du 6 janvier 1978 modifiée (loi "informatique et libertés"), les traitements de données à caractère personnel à des fins de recherche, étude ou évaluation dans le domaine de la santé peuvent être mis en œuvre à condition que le responsable de traitement ait réalisé une déclaration de conformité à une méthodologie de référence. En l’absence de conformité à une méthodologie de référence, le traitement doit faire l’objet d’une demande d’autorisation auprès de la Commission nationale de l'informatique et des libertés (la CNIL).
La CNIL peut homologuer et publier des méthodologies de référence, au titre des référentiels mentionnés au II de l'article 66 de la loi "informatique et libertés", établies en concertation avec la Plateforme des données de santé (PDS), ainsi qu'avec les organismes publics et privés représentatifs des acteurs concernés.
Compte tenu de leurs missions d’intérêt public, un grand nombre d’organismes réalisent des recherches, études et évaluations dans le domaine de la santé, qui s'inscrivent dans un ensemble de finalités déterminées correspondant à leurs missions (par exemple : évaluation des parcours de santé ou de la qualité des soins, évaluations médico-économiques, réponses aux demandes des pouvoirs publics, actions auprès du grand public, conseil aux adhérents, etc.).
En complément de celle relative aux traitements de données nécessitant l'accès par des établissements de santé et des fédérations aux données du programme de médicalisation des systèmes d’information (PMSI), mises à disposition sur la plateforme sécurisée de l'Agence technique de l’information sur l’hospitalisation (ATIH), la Commission adopte une méthodologie de référence relative à certains traitements de données du Système national des données de santé (SNDS) mis en œuvre par les responsables de traitement agissant dans le cadre de leur mission d’intérêt public.
Les responsables de traitement qui adressent une déclaration de conformité à cette méthodologie de référence sont autorisés à mettre en œuvre leurs traitements, dès lors qu’ils répondent aux conditions prévues par la méthodologie et qu’ils ont obtenu un avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES).
Titre Ier : DÉFINITIONS, RESPONSABLES DE TRAITEMENT CONCERNÉS, CHAMP D'APPLICATION ET INTÉRÊT PUBLIC
1.1. Définitions
Au sens de la présente méthodologie, les termes suivants sont ainsi définis :
Bilan : synthèse, transmise à la CNIL tous les trois ans par le responsable de traitement, faisant état des usages de la méthodologie de référence observés durant cette période.
Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES) : comité qui émet un avis motivé sur la méthodologie de la recherche, la nécessité du recours à des données de santé à caractère personnel, la pertinence de celles-ci par rapport à la finalité du traitement et, s’il y a lieu, sur la pertinence scientifique et éthique du projet ainsi que sur le caractère d’intérêt public que présente la recherche, l’étude ou l’évaluation ;
Donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable ("personne concernée") ; est réputée être une "personne physique identifiable" une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale (v. art. 4 du RGPD). À ce titre, les données du SNDS, bien que pseudonymisées, constituent des données à caractère personnel ;
Environnement maîtrisé : ensemble de ressources (matériel, logiciels, personnel, données) sur lesquelles le gestionnaire d’un système du Système national des données de santé (SNDS) applique les exigences du référentiel de sécurité du SNDS ;
Espace projet : espace de travail dédié à une étude, sécurisé et maîtrisé par le gestionnaire du système mettant à disposition des données du SNDS ;
Étude : recherche ou étude dans le domaine de la santé ne répondant pas à la définition des recherches impliquant la personne humaine telles que définies à l'article L. 1121-1 du code de la santé publique (CSP). Il peut également s’agir d’une évaluation ou d’une analyse des pratiques ou des activités de soins ou de prévention, au sens de l’article 72 de la loi "informatique et libertés". Ce traitement doit présenter un caractère d'intérêt public au sens de l’article 66 de cette même loi. Une étude peut nécessiter la réalisation de plusieurs requêtes à partir des données du SNDS ;
Expression de besoins : document indiquant les composantes de la base principale du SNDS concernées par la demande d’accès, la population ciblée, la période de ciblage, les données ou catégories de données nécessaires, la profondeur historique des données et la durée d’accès demandées, dont un modèle élaboré en collaboration avec la PDS et la Caisse nationale d’assurance maladie (CNAM) est mis à disposition ;
Laboratoire de recherche / bureau d'études : organisme responsable, le cas échéant, de la mise en œuvre du traitement de données et chargé de leur analyse, ayant réalisé un engagement de conformité auprès de la CNIL à l'arrêté du 17 juillet 2017 relatif au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études. Il s'agit d'un sous-traitant au sens du RGPD qui, dans le cadre de la présente méthodologie de référence, accède aux données du SNDS pour le compte du responsable de traitement ;
Plateforme des données de santé (PDS) : groupement d'intérêt public constitué entre l'État, des organismes assurant une représentation des malades et des usagers du système de santé, des producteurs de données de santé et des utilisateurs publics et privés de données de santé, y compris des organismes de recherche en santé, chargé de mettre en œuvre les grandes orientations stratégiques relatives au SNDS et ainsi de faciliter le partage des données de santé issues de sources variées afin de favoriser la recherche ;
Profondeur historique des données : années de production des données nécessaires à la réalisation de l’étude ;
Protocole : document rédigé par le responsable de traitement ou sous sa responsabilité, indiquant notamment :
la méthodologie de l'étude ;
l'objectif du traitement des données à caractère personnel ;
les catégories de personnes concernées par le traitement ;
l'origine, la nature et la liste des données à caractère personnel utilisées et la liste des justifications de recours à celles-ci ;
la durée et les modalités d'organisation de l'étude ;
la méthode d'analyse des données ;
la justification du nombre de personnes et la méthode d'observation retenue ;
Responsable de la mise en œuvre du traitement : organisme, ayant accès aux données par convention, chargé d’effectuer les analyses pour le compte du responsable de traitement. Il peut s’agir d’un laboratoire de recherche ou d’un bureau d’études ;
Responsable de traitement : personne physique ou morale qui, seule ou conjointement avec d’autres, est responsable d'une recherche, étude ou évaluation n’impliquant pas la personne humaine, en assure la gestion, vérifie que son financement est prévu et détermine les finalités et les moyens des traitements nécessaires à celle-ci ;
Sous-traitant : personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ;
Système national des données de santé : base de données de santé comprenant une base principale, couvrant l’ensemble de la population, ainsi que d’autres bases de données intégrées dans un "catalogue" ;
Traitement : toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ;
Utilisateur : personne physique qui accède aux données individuelles du SNDS mises à disposition dans un espace projet.
1.2. Responsables de traitement concernés
1.2.1. Seuls peuvent réaliser une déclaration attestant de la conformité à la présente méthodologie de référence le ou les responsables de traitements pour lesquels la mise en œuvre de la recherche, étude ou évaluation dans le domaine de la santé est nécessaire à l’exécution d’une mission d’intérêt public ou relève de l’exercice de l’autorité publique dont il est investi au sens de l’article 6.1.e du RGPD et répondant aux finalités mentionnées ci-dessous. À ce titre, il s’agira le plus souvent d’organismes publics.
 
1.2.2. Dans le cas d’une responsabilité conjointe de traitement, les responsables doivent définir de manière transparente leurs obligations respectives conformément à l'article 26 du RGPD.
1.3. Traitement de données à caractère personnel inclus dans le champ d'application de la présente méthodologie
 
1.3.1. Seuls peuvent faire l'objet d'une déclaration de conformité à la présente méthodologie de référence les traitements de données à caractère personnel ayant pour finalité la réalisation de recherches, études ou évaluations dans le domaine de la santé, présentant un caractère d'intérêt public au sens de l’article 66 de la loi "informatique et libertés" et respectant les conditions de sécurité, d'organisation et de transparence suivantes :
un protocole, ainsi qu’une expression de besoins, doivent être élaborés par le responsable de traitement avant le début de la mise en œuvre du traitement des données. Ces documents doivent être soumis au CESREES ;
les traitements visés par la présente méthodologie de référence doivent obtenir un avis expressément favorable du CESREES préalablement à leur mise en œuvre. Lorsque cet avis est accompagné de recommandations, le responsable de traitement s’engage à les prendre en compte et à modifier son dossier en conséquence, préalablement à la mise en œuvre du traitement ;
les données traitées doivent provenir exclusivement de la CNAM, seule compétente, dans le cadre de la présente méthodologie, pour extraire et transmettre les données du SNDS, dans le strict respect de l’expression de besoins ;
les données traitées doivent également provenir directement de la CNAM. Aucune réutilisation des données n’est permise dans le cadre de cette méthodologie de référence ;
les données sont mises à disposition du responsable de traitement ou du responsable de la mise en œuvre du traitement dans un environnement maîtrisé, tel que défini au point 1.1 (Définitions) et remplissant les conditions cumulatives suivantes :
a fait l’objet d’une homologation conformément au référentiel de sécurité applicable au SNDS. Cette homologation, qui ne doit pas avoir expiré, doit faire l’objet d’un suivi régulier et est régulièrement renouvelée dans les délais prévus par la décision d’homologation ;
a été expertisé par la CNIL dans le cadre d’un traitement de données ayant fait l’objet d’une autorisation expresse par la CNIL. Cette autorisation doit dater de moins de trois ans ;
est conforme au titre V de la présente délibération concernant les modalités d’hébergement des données et l’absence de transferts en dehors de l’Union européenne.
le responsable de traitement s'engage à ne pas poursuivre l'une des finalités interdites décrites à l’article L. 1461-1 V du code la santé publique ;
le responsable de traitement et le cas échéant, le responsable de la mise en œuvre du traitement, doivent signer préalablement une convention d’accès aux données avec le gestionnaire de l’environnement maîtrisé mettant à disposition les données du SNDS. Ils doivent également faire signer à chaque utilisateur habilité un engagement individuel à respecter les conditions d’utilisation définies par l’environnement maîtrisé. Le responsable de traitement doit enfin transmettre au gestionnaire de l’environnement maîtrisé la liste, actualisable, des laboratoires de recherche ou bureaux d'études auxquels il a recours ;
le responsable de traitement s’engage à transmettre tous les trois ans à la CNIL ainsi qu’au CESREES, un bilan synthétisant les usages de la méthodologie de référence, observés durant cette période. S’ils le jugent pertinent, la CNIL ou le CESREES peuvent partager ce bilan avec la CNAM et/ou la PDS ;
le responsable de traitement doit enregistrer chaque étude réalisée dans le cadre de la méthodologie de référence auprès du répertoire public tenu par la PDS. La méthode et les résultats obtenus seront publiés par la PDS à la fin du traitement, selon les modalités prévues au paragraphe 6.3 "Principe de transparence".
 
1.3.2. La présente méthodologie de référence n'est ainsi notamment pas applicable aux traitements :
hébergés en dehors d’un environnement maîtrisé répondant aux conditions cumulatives mentionnées ci-dessus ;
nécessitant un appariement des données du SNDS avec des données à caractère personnel issues d’autres sources (par exemple : dossiers médicaux) ;
nécessitant une réutilisation de données mises à disposition dans le cadre d’une précédente étude ou provenant d’un entrepôt de données de santé comportant des données du SNDS.
 
1.3.3. Les traitements mentionnés au paragraphe 1.3.2 ne pourront être mis en œuvre qu’après autorisation de la CNIL.
1.4. Intérêt public et finalités interdites
1.4.1. Les traitements réalisés dans le cadre de cette méthodologie de référence doivent :
présenter un caractère d'intérêt public, justifié par le responsable de traitement dans le protocole, qui sera transmis à la PDS lors de l’enregistrement dans le répertoire public ;
respecter l’ensemble des dispositions législatives et réglementaires relatives au SNDS (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment l’interdiction d’utiliser ces données pour poursuivre les finalités décrites à l’article L. 1461-1 V du code la santé publique :
	
la promotion des produits mentionnés au II de l'article L. 5311-1 en direction des professionnels de santé ou d'établissements de santé ;
l’exclusion de garanties des contrats d'assurance et la modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque.
Titre II : TRAITEMENTS RELATIFS AUX DONNÉES DES PERSONNES CONCERNÉES PAR DES ÉTUDES
2.1. Finalité des traitements
2.1.1. Seuls les traitements de données portant sur les finalités de recherches, études ou évaluations dans le domaine de la santé, ainsi que de planification et de valorisation de l'offre de soins détaillées ci-dessous, peuvent être réalisés dans le cadre de la méthodologie de référence :
 
évaluation comparative de l'offre de soins : analyses spatiales, analyses stratégiques ;
évolution des pratiques de prises en charge, incidence de certains facteurs dans les hospitalisations, analyses temporelles ;
analyses comparatives des activités de soins, études de trajectoire de patients, bassin de recrutement, devenir des patients ;
description et analyse des pathologies et parcours de soins des patients dans les établissements de santé ;
analyse du territoire de santé, des groupements hospitaliers de territoires (GHT), études de collaboration entre établissements d'un périmètre défini ;
analyse continue d'évaluations comparatives, meilleure adaptation de l'offre de soins, optimisation, valorisation des séjours, réalisation d'indicateurs de pilotage, stratégie ;
travaux de modélisation, simulation, planning, logistique hospitalière, recherche opérationnelle (analyse de données dans le but d'optimiser des organisations ou de produire des éléments d'aide à la décision pour de nouvelles organisations) ;
ciblage des centres et/ou réalisation d'études de faisabilité pour la réalisation d'une recherche impliquant ou n'impliquant pas la personne humaine ;
études épidémiologiques ;
études médico-économiques.
2.2. Origine et nature des données
2.2.1. Origine des données à caractère personnel
2.2.1.1. Les données doivent provenir exclusivement et directement des bases de données mises à disposition par la CNAM.
2.2.2. Nature des données à caractère personnel
2.2.2.1. En application de l'article 5, paragraphe 1, point c, du RGPD, les données traitées doivent être pertinentes, adéquates et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (principe de minimisation des données). À cet égard, le responsable de traitement s'engage à ne traiter que les données strictement nécessaires et pertinentes au regard des objectifs de l'étude. Dès lors, chacune des catégories de données ne peut être traitée que si leur traitement est justifié dans le protocole.
 
2.2.2.2. Les catégories de données à caractère personnel suivantes peuvent faire l'objet d’un traitement dans le cadre de la présente méthodologie :
Pour les personnes concernées :
2.2.2.3. Seules les données issues de la base principale du SNDS, telle que définie à l’article R. 1461-2 du code de la santé publique, peuvent être traitées. Cette dernière comporte à ce jour :
les données issues des systèmes d'information mentionnés à l'article L. 6113-7 du code de la santé publique (base PMSI) ;
les données du système national d'information interrégimes de l'assurance maladie mentionné à l'article L. 161-28-1 du code de la sécurité sociale (base SNIIRAM) ;
les données sur les causes de décès mentionnées à l'article L. 2223-42 du code général des collectivités territoriales (base du CépiDC de l’INSERM) ;
les données médico-sociales du système d'information mentionné à l'article L. 247-2 du code de l'action sociale et des familles (données relatives au handicap) ;
les données issues des bases de données "Vaccin-Covid" et "SI-DEP" (système d'information de dépistage).
 
2.2.2.4. Les traitements inclus dans le cadre de la présente méthodologie de référence portent sur les données dont la profondeur historique maximale est de neuf ans en plus de l’année en cours, sous réserve qu’elles soient diffusables par la CNAM.
 
2.2.2.5. Doivent notamment être justifiés dans le protocole au regard de la finalité du traitement : les catégories de données traitées, la période de ciblage des personnes concernées, les composantes du SNDS et la profondeur historique des données consultées demandées, la durée d’accès, la zone géographique et le nombre de personnes concernées.
Pour les utilisateurs :
2.2.2.6. Les catégories de données à caractère personnel relatives aux utilisateurs pouvant faire l'objet du traitement sont les suivantes :
nom, prénoms, fonction, profils d'accès ;
si pertinent :
	
coordonnées téléphoniques, postales et/ou électroniques professionnelles, organisme employeur ;
formation, diplômes ;
éléments nécessaires à l'évaluation des connaissances afin de réaliser l'étude.
2.2.2.7. Les traitements de données des utilisateurs doivent avoir pour seule finalité la mise en œuvre de l'étude et le respect des obligations légales du responsable de traitement.
 
2.2.2.8. En particulier, les données traitées ont pour finalité la gestion des déclarations d'intérêts, leur transmission à la PDS, le cas échéant et la gestion des procédures d'habilitation internes.
2.3. Accédants et destinataires des données traitées (utilisateurs)
2.3.1. Le responsable de traitement ou, le cas échéant, le responsable de la mise en œuvre du traitement, tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
 
2.3.2. Seules les personnes habilitées par le responsable de traitement ou, le cas échéant, par le responsable de la mise en œuvre du traitement, peuvent avoir accès aux données traitées au regard de leurs fonctions et dans des conditions conformes à la réglementation.
 
2.3.3. Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.