AgentPublic/cnil huggingface dataset:
La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l’étude s'effectue sous la responsabilité du responsable de traitement, y compris chez des tiers agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD ainsi que du référentiel de sécurité applicable au SNDS annexé à l’arrêté du 22 mars 2017 ou de toute autre mise à jour ultérieure de ce référentiel.
Les données seront mises à disposition auprès du responsable de traitement par l’intermédiaire du prestataire d’accès sécurisé désigné par l’Agence technique de l'information sur l'hospitalisation (ATIH), à savoir le CASD.
Seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction.
Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. Si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit avoir été menée afin de démontrer que ces derniers sont nuls et ainsi conclure à l’anonymat des données.
Sur le principe de transparence
L’encadrement de la mise à disposition des données du SNDS et de ses composantes est conçue de façon à permettre de rendre compte de leur utilisation au public. A cette fin, l’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé (PDS) de plusieurs éléments par le responsable de traitement, avant et après les études.
Ainsi, le responsable de traitement s’engage à enregistrer auprès du répertoire public tenu par la PDS l’ensemble des études réalisées dans le cadre de cette décision unique. Cet enregistrement, à effectuer par le responsable de traitement ou la personne agissant pour son compte avant le début des traitements, s’accompagne de la transmission à la PDS d’un dossier comportant :
le protocole, incluant la justification de l’intérêt public, ainsi qu’un résumé, selon le modèle mis à disposition par la PDS ;
la déclaration d’intérêts du responsable de traitement, en rapport avec l'objet des traitements.
A la fin des recherches, études ou évaluations, la méthode et les résultats obtenus devront être communiqués à la PDS en vue de leur publication. L’enregistrement des traitements et la transmission des résultats sont effectués conformément aux modalités définies par la PDS.
Par ailleurs, la Commission prend acte de l’engagement de la société IQVIA de transmettre annuellement à l’ATIH la liste des cohortes potentielles étudiées ainsi que les caractéristiques des traitements réalisés à partir des données du PMSI.
A l’issue du délai de trois ans, un bilan contenant notamment la liste des analyses réalisées dans le cadre de la décision unique ainsi que la méthodologie suivie dans le cadre des analyses devra être adressé à la Commission.
Sur les audits externes
Le responsable de traitement devra réaliser en son sein un audit externe indépendant à l’expiration du délai de validité de cette décision unique en vue de s'assurer du respect des principes portés par la loi, en particulier le respect des finalités interdites. Cet audit devra porter sur les finalités poursuivies et sur l'utilisation par le responsable de traitement des résultats des études réalisées.
Un rapport d'audit devra être transmis au président du comité d'audit du SNDS prévu par la loi informatique et libertés .
Autorise, conformément à la présente délibération, la société IQVIA OPERATIONS FRANCE à mettre en œuvre les traitements décrits ci-dessus pendant une durée de trois ans, avec obligation de remise d’un bilan à la Commission à l’issue de ce délai.
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par les sociétés Docaposte, AstraZeneca, Impact Healthcare et Takeda d’une demande de modification de l’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé Plateforme Agoria santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44 3° et 66 ;
Vu la délibération no 2022-063 du 23 mai 2022 autorisant le consortium AGORIA SANTE composé des sociétés Docaposte, AstraZeneca et Impact Healthcare à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé Plateforme Agoria santé ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Modification substantielle des responsables de traitements
La société Takeda France, filiale du groupe pharmaceutique international Takeda, qui produit et commercialise des produits mentionnés au II de l’article L. 5311-1 du code de la santé publique, intègre le consortium AGORIA SANTE en tant que membre associé.
Elle devient dès lors responsable conjoint du traitement ayant pour finalité la constitution d’un entrepôt de données de santé dénommé Plateforme Agoria santé .
Conformément à l'article 26 du règlement général sur la protection des données (RGPD), les responsables conjoints du traitement doivent définir de manière transparente leurs obligations respectives.
Sur l’information et le droit d’accès 
Toutes les notes d’information devront comporter l’ensemble des mentions prévues par le RGPD.
S’agissant des personnes ayant déjà reçu une note d’information individuelle lors la constitution de la Plateforme Agoria santé prévoyant un portail de transparence :
Elles seront informées de l’ajout de la société Takeda en qualité de responsable conjoint de traitement sur ce portail de transparence.
S’agissant des autres personnes dont les données ont vocation à intégrer la Plateforme Agoria santé :
La note d’information qui leur sera transmise devra mentionner l’ensemble des responsables conjoints de traitement.
Observations complémentaires
Les autres conditions de mise en œuvre de la Plateforme Agoria santé restent inchangées.
Autorise, conformément à la présente délibération, le consortium AGORIA SANTE composé des sociétés Docaposte, AstraZeneca, Impact Healthcare et Takeda à mettre en œuvre le traitement mentionné ci-dessus.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la société ELSAN SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé EDS ELSAN ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés ), notamment ses articles 44-3° et 66-III ;
Vu la délibération n° 2021-118 du 7 octobre 2021 portant adoption d’un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d’entrepôt de données dans le domaine de la santé ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur la responsabilité de traitement
La société ELSAN SAS est un acteur de l’hospitalisation privée en France regroupant 137 établissements de santé sur l'ensemble du territoire. Les établissements du groupe proposent des services de médecine, chirurgie et obstétrique, dialyse, services d’urgence, soins de suite et de réadaptation, d'hospitalisation à domicile, de radiologie, médecine nucléaire et radiothérapie et prennent en charge plus de 2 200 000 patients par an.
Sur les sous-traitants
Plusieurs sous-traitants interviendront dans la mise en œuvre de cet entrepôt. Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD.
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé EDS ELSAN .
Ce dernier a pour finalités :
la réalisation d’analyses en routine avec production d’indicateurs à des fins de pilotage médico-économique, opérationnel et stratégique et d’amélioration de la qualité de soins ;
la réalisation d’analyses avec production d’indicateurs en vue d’apprécier la faisabilité de recherches sur cohorte à l’échelle du groupe ELSAN ;
la réalisation d’études, recherches, évaluations dans le domaine de la santé.
La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD.
Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités interdites d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque.
Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est, au titre de cette base légale, licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi informatique et libertés modifiée.
Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres.
Sur le point de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception de la base légale du traitement.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel entrepôt de données dans le domaine de la santé .
Sur la gouvernance de l’entrepôt 
Le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt EDS ELSAN afin de maîtriser l’exploitation qui en sera faite dans le respect des finalités déclarées et de l’intérêt public.
Ce dispositif est composé :
d’un comité de pilotage opérationnel, qui est en charge notamment de la gestion des données, du respect du droit des personnes concernées, de proposer au comité stratégique des orientations opérationnelles à apporter à l’entrepôt, de gérer les requêtes d’accès aux données, de s’assurer du respect des règles de sécurité et de formaliser un bilan annuel du fonctionnement de l’entrepôt. Il est par ailleurs en charge d’assurer la tenue d’une liste exhaustive des données et de justifier de leur nécessité ;
d’un comité stratégique, qui détermine les orientations stratégiques de l'entrepôt et les ressources à allouer. Il a notamment la charge de s’assurer de la définition et du respect des bonnes pratiques de fonctionnement de l’entrepôt et de valider les habilitations données de manière permanente pour l’accès aux données ;
d’un comité scientifique et éthique pour la recherche, qui a pour mission notamment d’évaluer et d’approuver les propositions de projets nécessitant la réutilisation des données de l’entrepôt.
Sur les données traitées
Les données à caractère personnel de professionnels de santé et de patients pris en charge par les établissements de santé du groupe ELSAN et versées dans l’entrepôt sont :
les données de patients, provenant de la prise en charge et recueillies dans le cadre des soins : observations médicales et mots d’évolution ; antécédents personnels et familiaux, médicaux et chirurgicaux ; situation familiale, habitudes de vie, vie sexuelle ; situation professionnelle, scolarité, formation, exposition professionnelle ; notes et avis de professionnels de santé ; transmissions paramédicales et médico-sociales ; évaluation par le patient de son état de santé et de sa satisfaction ; prescription et administration de produits, actes médicaux et paramédicaux et prestations de santé médicaments ; établissement, service, unité fonctionnelle de prise en charge ; programmation et réalisation d’actes médicaux et paramédicaux ; administration de médicaments ; usage et traçabilité de dispositif médical ; compte-rendu de prise en charge : consultation, passage aux urgences, hospitalisation, anesthésie, opératoire ; compte-rendu d’examens complémentaires (imagerie, biologie) ; courriers de professionnels de santé ; données de surveillance médicale : constantes physiologiques ; résultats de biologie médicale ; résultats d’anatomopathologie ; données d’imagerie et vidéo ; date, lieu et cause de décès ;
les données de l’INSEE relatives aux personnes décédées : Fichier décès INSEE et Fichier Opposition décès INSEE ;
les données structurées issues du programme de médicalisation du système d’information (PMSI) : établissement ; médecin responsable du séjour ; prescripteurs ; diagnostics ; actes réalisés ; informations relatives au suivi de grossesse et au nouveau-nés ; administration de produits faisant l’objet d’un recueil d’information spécifique (liste des produits et prestations et unités communes de dispensation) ; mise en place ou utilisation de dispositifs médicaux faisant l’objet d’un recueil d’information spécifique (liste des produits et prestations) ; intervenants médicaux ; intervenants paramédicaux facturant des actes ;
les données d’identification des patients : numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) ; identifiant dans l’entrepôt ; identifiant permanent patient établissements ; identifiant de dossier médical ; nom d’usage ; nom de naissance ; prénoms ; date de naissance ; genre ; adresse de résidence ; numéro de téléphone ; courriel ;
les données des médecins : civilité ; nom ; prénom ; année de naissance ; numéro au répertoire partagé des professionnels de santé (RPPS) ; intitulé du poste et spécialisation ; établissement, service, unité fonctionnelle ; journaux de connexion et de saisie ;
les données des intervenants paramédicaux facturant des actes : numéro Adeli ; spécialité.
Ces données seront pseudonymisées avant leur intégration dans l’entrepôt.
Conformément au référentiel, le NIR des patients sera d’une part, conservé chiffré et, d’autre part, pseudonymisé de façon irréversible pour alimenter l’entrepôt.
Ces données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD.
Sur la conservation des données 
Les données versées dans l’entrepôt sont conservées dans l’entrepôt vingt ans à compter de leur collecte puis supprimées. Les traces fonctionnelles et techniques sont conservées un an.
Ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.
Sur les accédants et les destinataires des données
Pourront accéder aux données à caractère personnel :
les personnels spécifiquement habilités d’ELSAN, soumis au secret professionnel, dans les strictes limites de leur besoin d’en connaître pour l’exercice de leurs missions s’inscrivant dans les finalités de l’entrepôt EDS ELSAN ;
les partenaires extérieurs, organismes publics ou privés, porteurs de projets d’étude, d’évaluation ou de recherche dans le domaine de la santé ayant réalisé les formalités nécessaires auprès de la Commission.
En dehors des personnes visées ci-dessus, les demandeurs ne pourront être destinataires que de rapports contenant des données agrégées et anonymisées.
Sur l’information et les droits des personnes
S’agissant des patients pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis :
En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des participants pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis. Des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de l’étude, sur les réseaux sociaux et par communiqué de presse, ainsi que par voie d’affichage dans les établissements de santé ELSAN, d’une information comportant l’ensemble des mentions prévues par le RGPD.
S’agissant des patients pris en charge postérieurement à la constitution de l’entrepôt :
Une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD, sera remise aux patients et, le cas échéant, leurs représentants légaux, au moment de leur prise en charge.
S’agissant des médecins et paramédicaux facturant des actes :
Les médecins et paramédicaux facturant des actes et dont les données sont versées dans l’entrepôt recevront une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD.
S’agissant des utilisateurs de l’entrepôt :
Les utilisateurs sont informés de la collecte de leurs données au moment de leur connexion et préalablement à l’envoi du login et du mot de passe.
Les droits des personnes s’exercent auprès du délégué à la protection des données de l’établissement de prise en charge ou du délégué à la protection des données d’ELSAN.
L’information relative à la constitution de la base de données dénommée EDS ELSAN ne peut se substituer à l’information individuelle préalable prévue par les dispositions du RGPD et de la loi informatique et libertés , qui devra être réalisée pour chaque traitement de données réalisé à partir des données de l’entrepôt.
Sur les transferts de données
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne, vers un pays ne présentant pas un niveau de protection adéquat.
Sur la sécurité des données et la traçabilité des actions
À titre liminaire, la Commission prend acte de ce que le dossier de demande mentionne que le traitement envisagé est conforme à toutes les mesures de sécurité prévues dans le référentiel entrepôt de données dans le domaine de la santé .
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt.
L’alimentation de l’entrepôt avec les données de santé en provenance des établissements de santé sera effectuée sous forme d’archive chiffrée, accessible pour une durée limitée dans un espace sécurisé. Une purge automatique est prévue dès récupération des données. Le responsable de traitement devra s’assurer du respect des exigences du référentiel entrepôt de données de santé pour les échanges de données entrant et sortant de l’entrepôt.
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondront alors aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Autorise, conformément à la présente délibération, la société ELSAN SAS à mettre en œuvre, dans ces conditions et conformément à son plan d’actions, un traitement de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé EDS ELSAN pour une durée de dix ans.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier universitaire de Rennes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur les pratiques d’alerte des professionnels vis-à-vis des violences à enfant, intitulée ProVAC ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés , notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 septembre 2022 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement
Le responsable de traitement est le Centre hospitalier universitaire (CHU) de Rennes.
Sur la finalité du traitement et son caractère d’intérêt public
Le traitement envisagé a pour finalité la mise en œuvre d’une étude portant sur les pratiques d’alerte des professionnels concernant les violences à enfant intitulée ProVac destinée à :
identifier les paramètres évoqués par les professionnels orientant le type d’alerte ;
quantifier la part des alertes adressées par les professionnels de santé.
Cette étude vise, à plus long terme à :
exposer aux professionnels confrontés à des situations d’enfants en danger ou en risque de l’être , la conduite actuellement tenue par d’autres professionnels selon les faits portés à leur connaissance et le type d’alerte transmise, afin de les encourager à alerter sans perte de chance pour l’enfant ;
améliorer le dispositif d’alerte pour intervenir plus vite et plus efficacement en renforçant les connaissances des professionnels qui concourent à la protection de l’enfance.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b) du RGPD et que ce traitement présente une finalité d’intérêt public, conformément à l’article 66.I de la loi informatique et libertés .
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement mis en œuvre par le CHU de Rennes est nécessaire à l’exécution de la mission d’intérêt public dont il est investi.