AgentPublic/cnil huggingface dataset:
8.2.3.2. Ces mentions d'information doivent intégrer la politique de protection des données à caractère personnel du responsable de traitement et être présentées dans une section dédiée.
8.2.3.3. La réutilisation des données ainsi que les modalités d'exercice des droits d'accès et d'opposition doivent faire l'objet d'une mise en avant spécifique dans la note d'information.
8.2.3.4. Le responsable de traitement peut faire valoir une exception à l'obligation d'information individuelle pour la constitution de l'entrepôt, s'il justifie dans son registre d'activité de traitement que la fourniture des informations exigerait des efforts disproportionnés, conformément à l'article 14.5.b du RGPD.
8.2.3.5. A ce titre, peuvent notamment être invoqués, au vu de sa situation :
- le nombre de personnes concernées ;
- l'ancienneté des données ;
- le coût et le temps de la délivrance des informations (3).
Dans la plupart des cas, l'exception à l'obligation d'information ne sera justifiée que pour une catégorie de personnes concernées. A titre d'exemple, cette exception peut s'appliquer aux personnes pour lesquelles le responsable de traitement dispose d'un dossier médical mais qui ne sont plus suivies au sein de l'établissement ou centre où s'exercent des activités de prévention, de diagnostic et de soins. L'exception ne pourrait cependant être invoquée afin de ne pas informer les personnes qui viendraient consulter après la mise en œuvre de l'entrepôt.
L'AIPD devra détailler précisément en quoi l'information individuelle des personnes concernées constituerait un effort disproportionné, ainsi que les garanties mises en œuvre par le responsable de traitement afin de protéger les droits et libertés ainsi que les intérêts légitimes des personnes concernées.
8.2.3.6. En cas de recours à l'exception à l'obligation d'information individuelle, le responsable de traitement rend les informations publiquement disponibles, notamment en :
- diffusant la note d'information relative à la constitution de l'entrepôt sur son site web, dans une rubrique dédiée et accessible depuis la page d'accueil, complétée par des informations détaillées sur chaque traitement mis en œuvre à partir des données de l'entrepôt ;
- communiquant au sujet de l'entrepôt sur les réseaux sociaux, dans les médias régionaux, auprès des associations de patients ;
- diffusant un communiqué de presse informant de la mise en place de l'entrepôt.
8.3. L'information relative à l'intégration dans l'entrepôt de données issues de la recherche
8.3.1. Si l'entrepôt intègre des données issues de recherches, les personnes concernées doivent être informées individuellement de la réutilisation des données issues de la recherche afin de constituer un entrepôt conformément aux dispositions de l'article 14 du RGPD. Dans cette hypothèse, le recours à l'exception à l'information individuelle est possible, dans les conditions mentionnées aux points 8.2.3.4 à 8.2.3.6.
8.3.2. Seules des données issues de traitements dont la durée de conservation n'a pas expiré pourront être intégrées dans l'entrepôt de données de santé.
8.4. Les personnes concernées doivent en outre être informées de chacune des réutilisations des données la concernant à des fins de recherche, d'étude ou d'évaluation, sauf lorsque les responsables de traitement se trouvent dans l'impossibilité de réaliser l'information ou qu'elle exigerait des efforts disproportionnés.
8.5. L'information des professionnels
8.5.1. Concernant l'information des professionnels exerçant au sein des établissements du responsable de traitement postérieurement à la mise en œuvre de l'entrepôt :
- les professionnels dont les données sont versées dans l'entrepôt doivent être informés individuellement et par écrit des mentions prévues par l'article 13 du RGPD ;
- si le responsable de traitement est l'employeur des professionnels, la fiche d'information pourra prendre la forme d'un courrier ou d'un courriel joint au bulletin de paie ou au contrat de travail. L'information devra également être diffusée en commission ou conférence médicale d'établissement, sur l'intranet de celui-ci et à l'aide d'affiches dans les lieux de repos des personnels.
8.5.2. Concernant l'information des professionnels n'exerçant pas ou plus au sein des établissements du responsable de traitement lors de la mise en œuvre de l'entrepôt :
- si le responsable de traitement n'est pas l'employeur des professionnels dont les données sont collectées dans l'entrepôt, il devra réaliser une information individuelle par écrit de chacun d'entre eux, comportant les mentions prévues à l'article 14 du RGPD.
9. Droits des personnes
9.1. En complément de l'information individuelle, le responsable de traitement diffuse une information générale, via une campagne d'information publique (p. ex. : sur les réseaux sociaux, au sein de l'établissement et par la publication d'encarts dans la presse régionale), préalablement à la mise en place de l'entrepôt afin de garantir qu'une période de temps raisonnable (p. ex. : un mois) s'écoule entre la notification des patients et le commencement du traitement de leurs données, afin que ceux-ci puissent faire valoir leur droit d'opposition.
9.2. Les personnes concernées (professionnels et patients) dont les données figurent dans l'entrepôt disposent des droits suivants, qu'elles exercent dans les conditions prévues par le RGPD :
- droit d'accès ;
- droit de rectification ;
- droit à l'effacement ;
- droit à la limitation du traitement ;
- droit d'opposition.
9.3. Le droit d'opposition des professionnels de santé s'exerce sous réserve des conditions d'exercice de ce droit en application des dispositions de l'article 21 du RGPD.
9.4. Le droit d'opposition des patients doit pouvoir s'exercer par tout moyen. Dans le cadre du présent référentiel, le responsable de traitement doit permettre aux personnes de s'opposer au traitement dès leur information (p. ex., par la transmission d'un document papier pouvant être rempli immédiatement ou par une case à cocher par le professionnel, attestant de l'exercice du droit d'opposition).
9.5. Ces droits s'exercent auprès de toute personne spécifiquement formée et habilitée à cette fin par le responsable de traitement, et dont les coordonnées sont communiquées aux personnes concernées. Le cas échéant, il peut s'agir du délégué à la protection des données du responsable de traitement.
9.6. Le responsable de traitement ne peut se prévaloir des dispositions de l'article 11 du RGPD pour limiter l'exercice des droits des personnes concernées. En effet, lorsque les modalités de constitution de l'entrepôt n'impliquent pas la conservation de données identifiantes ou de moyens de correspondance avec l'identité des personnes, le responsable de traitement reste en capacité de répondre aux demandes des personnes si celles-ci fournissent des informations complémentaires permettant la réidentification de leurs données dans l'entrepôt. Il devra pour cela mettre en place un mécanisme garantissant la correspondance entre les données transmises par la personne exerçant ses droits et les données de l'entrepôt la concernant. Le responsable de traitement précisera dans la note d'information les informations qui devront lui être transmises pour l'exercice des droits.
9.7. En tout état de cause les mécanismes d'alimentation de l'entrepôt doivent permettre aux personnes d'exercer de façon pérenne leur droit d'opposition et peuvent constituer un moyen de réidentifier les données des personnes exerçant leurs autres droits.
10. Sécurité
10.1. De manière générale, le responsable de traitement, ainsi que les sous-traitants auxquels il fait appel, doivent prendre toutes les précautions utiles au regard des risques présentés par son traitement pour préserver la sécurité des données à caractère personnel et, notamment, au moment de leur collecte, durant leur transmission et leur conservation, empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.
10.2. En particulier, dans le contexte particulier du présent référentiel, le responsable de traitement doit adopter les mesures techniques et organisationnelles suivantes :
			Numéros d'exigence
			Exigences de sécurité
			Cloisonnement réseau
			SEC-RES-1
			Le réseau de communication sur lequel l'entrepôt est hébergé ou rendu accessible doit faire l'objet de mesures de cloisonnement séparant les flux réseau spécifiques à l'entrepôt du reste des flux du système d'information.
			SEC-RES-2
			Des mesures de filtrage doivent également restreindre l'émission et la réception de ces flux réseau aux machines spécifiquement identifiées et autorisées pour le fonctionnement de l'entrepôt.
			SEC-RES-3
			Toutes les transmissions de données depuis ou vers l'entrepôt, ainsi que tous les flux de données internes à l'entrepôt, doivent faire l'objet de mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité ( RGS ) afin d'en garantir la confidentialité.
			Cloisonnement logique et cryptographique
			SEC-LOG-1
Le responsable de traitement doit collecter et stocker les données à caractère personnel faisant partie de l'entrepôt sur des systèmes et bases de données distincts de ceux assurant la prise en charge des patients.
			SEC-LOG-2
			Les données à caractère personnel doivent être chiffrées au repos par des algorithmes et tailles de clé conformes à l'annexe B1 du RGS. Une procédure opérationnelle de gestion des clés doit être formalisée.
			SEC-LOG-3
			Les sauvegardes de ces données doivent également faire l'objet d'un chiffrement conforme à l'annexe B1 du RGS.
			SEC-LOG-4
			Dans le cas où des données directement identifiantes ou des tables de correspondance sont stockées dans l'entrepôt, celles-ci doivent être séparées logiquement des données pseudonymisées par des moyens cryptographiques. Par exemple, les données administratives des patients et les tables de correspondance doivent être chiffrées avec des clés différentes de celles utilisées pour chiffrer les données de santé de l'entrepôt.
			SEC-LOG-5
			L'accès aux deux catégories de données séparées définies à l'exigence SEC-LOG-4 doit être effectué via des comptes utilisateur différents, ou via un seul compte utilisateur devant choisir à la connexion un des profils d'habilitation différents qui lui sont attribués.
			SEC-LOG-6
Dans le cas où des données génétiques ou de suivi de localisation sont collectées, celles-ci doivent faire l'objet d'un chiffrement distinct avec une clé spécifique par rapport aux autres données de l'entrepôt.
			La clé de déchiffrement des données génétiques ou de suivi de localisation ne doit être mobilisable que par les profils d'habilitation responsables de l'alimentation de l'entrepôt et de l'exportation de données vers un espace de travail.
			Constitution et alimentation de l'entrepôt
			SEC-ALI-1
			Les circuits de collecte des données doivent faire l'objet de mesures de sécurité appropriées, en particulier la purge régulière des répertoires de transit et un contrôle d'accès strict aux données collectées.
			SEC-ALI-2
			Dans le cas où l'entrepôt est alimenté manuellement via des logiciels de saisie autorisant également la consultation des données saisies, les accès à ces logiciels doivent être sécurisés via une authentification forte conforme à l'exigence SEC-AUT-1.
			Pseudonymisation des données
			SEC-PSE-1
Aucun numéro interne, tel qu'un numéro de dossier patient ne peut être directement réutilisé comme identifiant au sein de l'entrepôt. Seul un identifiant pseudonyme unique peut être utilisé, permettant le cas échéant la correspondance entre les données pseudonymisées stockées dans l'entrepôt et des données directement identifiantes. Cet identifiant doit être dédié à un seul entrepôt. Il doit être généré par une fonction de hachage cryptographique résistante aux attaques par force brute ou un générateur de nombres pseudo-aléatoires cryptographiquement sûr. Les données doivent être pseudonymisées préalablement à leur intégration dans l'entrepôt.
			SEC-PSE-2
			Dans le cas où l'entrepôt intègre des jeux de données existants déjà pseudonymisés, un nouveau numéro pseudonyme unique respectant les conditions de l'exigence SEC-PSE-1 doit être généré lors de l'alimentation de l'entrepôt.
			SEC-PSE-3
			Dans le cas où des données relatives aux professionnels de santé sont collectées, le responsable de traitement doit pseudonymiser ces données.
			SEC-PSE-4
Les documents non structurés ajoutés à l'entrepôt doivent faire l'objet d'une étape de suppression ou de masquage avant leur intégration dans l'entrepôt. Cette étape consiste à supprimer les données identifiantes des patients et des professionnels de santé ou à les remplacer par des termes génériques ou des données fictives. Par exemple, les NIR, nom de naissance, prénom, code postal, ville ou numéro de téléphone seront remplacés par des termes génériques tels que NIR , NOM_DE_NAISSANCE , PRENOM , CODE_POSTAL , VILLE ou TEL .
			Cette exigence s'applique notamment aux documents bureautiques et aux fac-similés d'impression (comme les comptes rendus médicaux et les prescriptions), aux numérisations de documents, à l'imagerie médicale et à toute forme de résultats d'analyse biomédicale. Elle concerne également les commentaires en saisie libres contenus dans les bases de données.
			L'opération de masquage ou suppression devra s'appliquer au contenu visible des documents (comme les entêtes des courriers et les cartouches des images), aux métadonnées contenues dans ces fichiers (comme le nom de l'opérateur d'imagerie) et aux attributs des fichiers (comme leur nom).
			Accès physique aux données
			SEC-PHY-1
			L'accès physique aux serveurs et aux locaux hébergeant les infrastructures de l'entrepôt doit être sécurisé par des mesures de protection adéquates. En particulier, des mesures de contrôle d'accès physique doivent être mises en place.
Gestion des habilitations et accès logique aux données
			SEC-HAB-1
			Différents profils d'habilitation doivent être prévus afin de gérer les accès aux données en tant que besoin et de façon exclusive.
			SEC-HAB-2
			Une granularité des accès aux données doit être prévue pour chaque profil d'habilitation, tout en respectant l'exigence SEC-LOG-5 relative au cloisonnement des tables de correspondance et données directement identifiantes. Par exemple, un profil peut contenir soit un accès uniquement à des données agrégées et/ou un accès à des données pseudonymisées, soit un accès uniquement à des données directement identifiantes.
			SEC-HAB-3
			Les personnes autorisées à accéder aux données à caractère personnel doivent être individuellement habilitées selon une procédure impliquant une validation par :
			- une des instances assurant la gouvernance de l'entrepôt ; ou
			- par leur responsable hiérarchique dans le cas des ingénieurs et administrateurs système et réseau.
			SEC-HAB-4
			Les accès privilégiés disposant de droits étendus, notamment pour l'administration et la maintenance doivent être réservés à une équipe restreinte et être limités au strict nécessaire.
			SEC-HAB-5
			Une revue manuelle ou automatique des habilitations doit être réalisée régulièrement et a minima annuellement, ainsi qu'à la fin de chaque projet de recherche utilisant les données de l'entrepôt.
			SEC-HAB-6
Les permissions d'accès doivent être retirées dès le retrait des habilitations, par exemple après le départ d'un collaborateur ou une modification de ses missions.
			Authentification pour la consultation et l'administration de l'entrepôt
			SEC-AUT-1
			L'accès aux données à caractère personnel doit être subordonné à une authentification forte faisant intervenir a minima deux facteurs d'authentification distincts. Si un de ces facteurs est un mot de passe, celui-ci doit être conforme aux recommandations de la CNIL en matière de mot de passe (délibération n° 2017-012 du 19 janvier 2017 à la date de rédaction de ce référentiel).
			SEC-AUT-2
			Cette authentification forte doit être mise en place à la fois pour les accès internes et externes à l'entrepôt.
			SEC-AUT-3
			Toutes les transmissions de données depuis ou vers l'entrepôt, ainsi que tous les flux internes à l'entrepôt, réalisés automatiquement sans action d'un utilisateur, doivent être effectués par des serveurs mutuellement authentifiés par certificat ou dispositif d'authentification équivalent (4).
			Espace de travail
			SEC-ESP-1
Les données de l'entrepôt doivent être manipulées par les chercheurs uniquement dans des espaces de travail internes à l'entrepôt et spécifiques à chaque projet de recherche, étanches avec la base de données de l'entrepôt et étanches les uns des autres. Des capacités d'échange entre les espaces de travail sont néanmoins possibles pour le partage de données qui auront subi le processus d'anonymisation détaillé à l'exigence SEC-EXP-1.
			SEC-ESP-2
			Les jeux de données importées dans un espace de travail spécifique à un projet de recherche doivent être minimisés et limités aux seules données nécessaires au projet. Un numéro pseudonyme unique spécifique à chaque espace de travail devra être généré dans les mêmes conditions qu'à l'exigence SEC-PSE-1.
			SEC-ESP-3
			En cas de suivi de cohorte, le même numéro pseudonyme unique peut être réutilisé dans plusieurs espaces de travail.
			Exportation de données hors de l'entrepôt et hors des espaces de travail
			SEC-EXP-1
A l'exception des données relatives aux procédures de ré-identification SEC-REI-1 à SEC-REI-3, seuls des jeux de données anonymes peuvent faire l'objet d'une exportation hors de l'entrepôt ou d'un espace de travail. Le processus d'anonymisation doit produire un jeu de données conforme aux trois critères définis par l'avis du G29 n° 05/2014 ou à tout avis ultérieur du CEPD relatif à l'anonymisation. Cette conformité doit être documentée et démontrable. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification devra être menée et documentée.
			SEC-EXP-2
			Les exports de données doivent être soumis à la validation préalable d'un responsable afin d'en avaliser le principe, notamment au regard de l'exigence SEC-EXP-1.
			SEC-EXP-3
			Les exports doivent faire l'objet d'une surveillance automatique ou manuelle par un opérateur spécialisé afin d'en vérifier le caractère anonyme. Dans le cas où cette surveillance est automatique, tout export identifié comme non conforme doit faire l'objet d'une remontée d'alerte et d'une mise en quarantaine dans l'entrepôt, puis doit être vérifié manuellement par un responsable spécifiquement formé et spécifiquement habilité.
			SEC-EXP-4
Les systèmes mis en place dans l'entrepôt relatifs à la production d'indicateurs et au pilotage stratégique de l'activité d'un établissement de santé ne doivent permettre que des restitutions anonymes, y compris en tenant compte des fonctionnalités de filtrage et de sélection de ces restitutions. Ce processus de restitution doit être conforme aux trois critères définis par l'avis du G29 n° 05/2014 ou à tout avis ultérieur du CEPD relatif à l'anonymisation. Cette conformité doit être documentée. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification devra être menée et documentée.
			SEC-EXP-5
			Les restitutions mentionnées à l'exigence SEC-EXP-4 doivent être exportées conformément aux exigences SEC-EXP-2 et SEC-EXP-3.
			Sensibilisation des utilisateurs et sécurité des postes de travail
			SEC-SEN-1
			Chaque personne habilitée à accéder à l'entrepôt doit être formée au respect du secret médical et sensibilisée régulièrement aux risques et obligations inhérents au traitement de données de santé.
			SEC-SEN-2
			Chaque personne habilitée à accéder à l'entrepôt doit signer une charte de confidentialité précisant notamment ses obligations au regard de la protection des données à caractère personnel de santé et au regard des mesures de sécurité mises en place dans l'entrepôt, ainsi que les sanctions afférentes au non-respect de ces obligations.
			SEC-SEN-3
Les postes de travail des personnes habilitées à accéder à l'entrepôt y compris les utilisateurs externes accédant uniquement aux espaces de travail, doivent faire l'objet de mesures de sécurité spécifiques, par exemple en mettant en place des comptes nominatifs, une authentification adéquate, un verrouillage automatique des sessions, un chiffrement des supports de stockage et des mesures de filtrage. Dans le cas où les postes de travail ne sont pas sous le contrôle du responsable de traitement, les mesures de sécurité à mettre en place sur les postes de travail doivent être encadrées au moyen d'une convention entre les parties concernées.
			Journalisation
			SEC-JOU-1
			Les actions des utilisateurs des espaces de travail de l'entrepôt doivent faire l'objet de mesures de journalisation. En particulier, les connexions à l'entrepôt (identifiants, date et heure), les requêtes et opérations réalisées doivent être tracées.
			SEC-JOU-2
			Les accès des ingénieurs et administrateurs système et réseau doivent être effectués à travers un système spécifique assurant une authentification forte ainsi que la traçabilité détaillée des accès et actions réalisés. Par exemple, un bastion d'administration peut être utilisé pour contrôler les accès et enregistrer les sessions.
			SEC -JOU-3
Un contrôle des traces doit être réalisé régulièrement et a minima bimestriellement, ainsi qu'à la fin de chaque période d'habilitation liée à un projet de recherche. Ce contrôle doit être réalisé par :
			- une solution réalisant une surveillance automatique avec une remontée d'alertes traitées manuellement par un opérateur habilité ;
			- ou par un contrôle semi-automatique via exécution de programmes permettant une sélection des traces anormales, suivi d'une relecture manuelle par un opérateur habilité.
			SEC-JOU-4
			Les traces de journalisation définies aux exigences SEC-JOU-1 et SEC-JOU-2 doivent être conservées pendant une durée de comprise entre 6 mois et un an.
			Procédures de ré-identification
			SEC-REI-1
			Le responsable de traitement met en place une procédure opérationnelle sécurisée afin d'assurer l'exercice des droits des personnes et le cas échéant la levée du pseudonymat et la bonne ré-identification des personnes concernées. Cette procédure permet, à partir des informations supplémentaires nécessaires à l'identification unique de la personne, de retrouver ou de calculer le numéro pseudonyme unique correspondant (5), puis de sélectionner dans l'entrepôt, avec ce seul numéro pseudonyme unique, les données correspondant au demandeur et d'effectuer les opérations nécessaires au bon exercice de ses droits (suppression des données ou extraction pour transmission).
			SEC-REI-2
Le cas échéant, et en cas de nécessité dûment justifiée et documentée, le responsable de traitement met en place une procédure opérationnelle sécurisée afin de recontacter des patients pour leur proposer de participer à des recherches. Cette procédure permet, à partir d'une liste de critères médicaux, de sélectionner les identifiants pseudonymes uniques correspondants aux patients visés, puis, en mobilisant la ou les tables de correspondance de l'entrepôt avec ces seuls pseudonymes, de sélectionner les données identifiantes correspondant à ces patients afin de les exporter pour cette seule finalité.
			SEC-REI-3
			Le cas échéant, le responsable de traitement met en place une procédure opérationnelle sécurisée afin de ré-identifier des patients en cas d'urgence médicale. Cette procédure permet, en mobilisant la ou les tables de correspondance de l'entrepôt, de sélectionner les données identifiantes des patients concernés à partir de leur numéro pseudonyme unique, et de les exporter pour cette seule finalité.
			SEC-REI-4
			Les habilitations et accès relatifs aux procédures de ré-identification définies aux exigences SEC-EXC-1 à SEC-EXC-3 doivent être réservés à une équipe restreinte et être limités au strict nécessaire. Les membres de cette équipe restreinte doivent être formés spécifiquement à cette procédure.
			SEC-REI-5