AgentPublic/cnil huggingface dataset:
Le dossier de demande d’autorisation mentionne :
 
d’une part, qu’une communication de grande ampleur sera déployée sur les réseaux sociaux, et via un communiqué de presse à l’échelle régionale et nationale et qui sera relayé auprès de deux cents médias et via les associations de patients ;
d’autre part, que des notes d’information collective seront affichées dans chaque pharmacie partenaire.
 
Le responsable de traitement devra compléter les mesures d’information collective prévues par d’autres canaux d’information visant les prescripteurs, par exemple en diffusant une information via les bulletins des ordres professionnels.
 
S’agissant plus spécifiquement des modalités d’information des clients des officines :
 
La société GERS SAS ne leur a fourni aucune information avant 2021 et, entre 2021 et 2024, l’information collective délivrée est incomplète au regard des exigences du RGPD. Il appartient à la société GERS SAS de remédier à l’absence d’information individuelle d’une partie conséquente des personnes dont les données ont été collectées selon les modalités suivantes.
 
S’agissant des clients dont le dernier passage en pharmacie est antérieur à l’année 2021 (absence totale d’information) :
Le dossier de demande mentionne que les données contenues dans l’entrepôt seront gelées et ne pourront être utilisées qu’à compter de la délivrance d’une information individuelle, qui devra intervenir au plus tard dans les deux ans suivant la date de délivrance de la présente autorisation. Ce délai a été justifié par le fait, qu’en moyenne, 70% des clients reviennent à la même pharmacie dans un délai de deux ans.
 
S’agissant des clients dont le dernier passage en pharmacie a eu lieu entre janvier 2021 et août 2024 (information collective incomplète) :
 
La société GERS SAS souhaite pouvoir conserver au sein de l’entrepôt :
 
les données collectées entre 2021et 2024 ;
 
 
les données collectées durant les quatre ans précédant le premier passage en pharmacie du client durant cette période afin de pouvoir assurer la qualité des résultats des analyses et mettre en œuvre certaines études longitudinales.
Pour ces clients, en application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés eu égard aux caractéristiques du traitement et notamment de sa finalité, à savoir la mise à disposition de données de vie réelle de ventes et de délivrances de produits aux clients des pharmacies à des fins de recherche et d’études non interventionnelles. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il peut être fait exception au principe d'information individuelle des personnes et les mesures appropriées décrites dans le dossier de demande devront être mises en œuvre par le responsable de traitement.
 
Les autres données collectées (dans la limite de la profondeur historique maximale de dix ans) seront gelées par la société GERS SAS et ne pourront être utilisées qu’à compter de la délivrance d’une information individuelle, qui devra intervenir au plus tard dans les deux ans suivant la date de délivrance de la présente autorisation.
 
S’agissant des clients qui passeront dans une pharmacie partenaire à compter de septembre 2024 :
 
Ils recevront une note d’information individuelle.
En tant que responsable de traitement, la société GERS SAS devra transmettre aux pharmacies partenaires une note d’information à destination des clients, de leurs représentants légaux, conforme aux dispositions du RGPD, et s’assurer que cette information leur sera remise. Les pharmaciens partenaires sont contractuellement chargés d’informer leurs clients du traitement de données les concernant.
 
S’agissant des pharmaciens partenaires :
 
Une note d’information individuelle est remise au pharmacien lors de la conclusion du contrat de partenariat avec la société GERS SAS.
 
 
 
S’agissant des prescripteurs :
 
En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement.
 
 
 
 
 
Sur les droits des personnes
Les clients pourront exercer leurs droits d’opposition et d’effacement directement auprès des pharmacies partenaires.
Les autres droits (accès, rectification et limitation) pourront être exercés auprès du responsable de traitement.
S’agissant du droit à la limitation, toutes les factures du patient issues de la pharmacie où il a exercé son droit seront marquées avec un indicateur spécifique et ne seront plus visibles par l’outil d’extraction alimentant l’entrepôt de la société GERS SAS.
 
Les autres personnes concernées par ce traitement devront pouvoir exercer leurs droits conformément au RGPD.
 
 
 
 
 
 
 
 
 
Sur les accédants et les destinataires des données
Pourront accéder aux données uniquement les personnels salariés de la société GERS SAS et spécifiquement habilités, soumis au secret professionnel, dans les strictes limites de leur besoin d’en connaître, pour l’exercice de leurs missions s’inscrivant dans les finalités de l’entrepôt.
 
Des documents tenus à jour indiquent la ou les personnes compétentes pour délivrer l'habilitation d’accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
 
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
En dehors des personnes visées ci-dessus, les organismes à l’initiative des études et des analyses ne pourront être destinataires que de rapports contenant des données agrégées et anonymisées.
 
 
Sur la sécurité des données et la traçabilité des actions
 
La plupart des mesures de sécurité du traitement mises en œuvre sont conformes à celles prévues par le référentiel " entrepôt de données dans le domaine de la santé ".
 
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt, ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel " entrepôt de données dans le domaine de la santé ".
 
Certaines des mesures nécessaires à la pleine couverture des risques de sécurité sont en cours de déploiement et d’amélioration dans le cadre d’un plan d’actions formalisé.
 
Ce plan d’actions devra être complété afin d’améliorer les mesures liées au respect des finalités interdites, et en particulier :
 
intégrer la dimension " finalités interdites " dans les mesures d’exploitations des traces, pour la surveillance et l’audit des projets ;
élargir la surveillance et la gestion des conflits d’intérêts jusqu’à la composition des équipes de recherche.
Le responsable de traitement devra mettre en œuvre l’ensemble des mesures décrites dans son plan d’actions dans les meilleurs délais et, au plus tard, dans un délai d’un an. La CNIL, au vu de la sensibilité et du volume des données, estime nécessaire d’évaluer à l’issue de ce délai la réalité des mesures de sécurité mises en œuvre par la société GERS SAS.
 
Les mesures de sécurité, renforcées par ce plan d’actions, sont ainsi de nature à répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Le responsable de traitement doit procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
 
 
 
 
Sur la conservation des données
 
Dans l’hypothèse où la présente autorisation serait renouvelée :
 
les données ne pourront être conservées que pour une durée maximale de dix ans à compter de leur collecte au sein des officines ;
les données gelées seront conservées dans la même limite de profondeur historique et devront être détruites à l’issue d’un délai de deux ans à compter de la présente autorisation si aucune information individuelle n’a pu être délivrée aux clients concernés durant cette période.
 
 
 
 
 
 
Sur la réutilisation des données de l’entrepôt
Les données conservées dans l’entrepôt sont susceptibles d’être utilisées à des fins de recherches, d’études ou d’évaluations dans le domaine de la santé. Ces traitements devront se conformer aux dispositions des articles 66 et 72 et suivants de la loi " informatique et libertés ", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ils devront faire l’objet de formalités propres par leur(s) responsable(s) de traitement. Les personnes concernées
 
devront être informées de chacun de ces traitements conformément au RGPD et à la loi " informatique et libertés ".
 
S’agissant des conditions spécifiques liées à la réutilisation des données de l’entrepôt :
 
Après échanges avec les représentants de la société GERS SAS, et comme indiqué dans le dossier de demande :
 
les données gelées ne pourront être réutilisées en l’absence d’information individuelle des personnes concernées ;
les données non gelées conservées dans l’entrepôt qui concerneraient des clients informés collectivement ne seront utilisées que par la société GERS.
 
Ces données seront identifiées et filtrées au sein de l’entrepôt via des indicateurs spécifiques.
 
 
 
 
Observations complémentaires
Dans l’hypothèse où la société GERS SAS souhaiterait continuer à mettre en œuvre ce traitement à l’issue de la période d’un an, le dossier de renouvellement de demande d’autorisation devra notamment comporter :
les modalités de réalisation du plan d’actions et la résolution d’incidents éventuels ;
les modalités d’information déployées afin d’informer collectivement et individuellement l’ensemble des personnes concernées par ce traitement.
 
AUTORISE, dans ces conditions, la SOCIETE GERS SAS à mettre en œuvre le traitement décrit ci-dessus pendant une durée d’un an. 
Le Directeur de l’accompagnement juridique
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé déjà mis en œuvre ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
Le traitement a pour finalité la constitution d’un entrepôt de données à caractère personnel, dénommé THIN , qui met à disposition des données de vie réelle de suivi des patients, collectées chez les médecins libéraux de ville, à des fins de recherche et d’études non interventionnelle portant notamment sur :
 
l’analyse de l’usage du traitement, des indicateurs d’observance et de persistance, de la prise en charge et des schémas thérapeutiques, des changements de traitements et des parcours des patients ;
la réduction de l’errance de diagnostic par analyse prédictive de survenue des maladies ;
l’évaluation de la bonne utilisation des médicaments (interactions médicamenteuses, effets secondaires, posologies prescrites respectant les recommandations de la Haute autorité de santé, etc. ) ;
l’évaluation de la consommation de soins et de coûts de prise en charge des patients à des fins d’études médico-économiques ;
les calculs de prévalence, d’incidence et évaluant le fardeau de la pathologie ;
le suivi des campagnes de vaccination et de dépistage au cabinet médical ;
le suivi de crises épidémiques.
 
La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du RGPD.
Les données contenues dans cet entrepôt ne devront pas être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque.
 
Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi informatique et libertés modifiée.
Sur les points de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel  entrepôt de données dans le domaine de la santé , à l’exception de la base légale du traitement et de la nature des données traitées. La CNIL relève néanmoins que certaines mesures de sécurité ne sont pas conformes au référentiel.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel.
Sur les sous-traitants
Plusieurs sous-traitants interviennent dans la mise en œuvre de cet entrepôt. Le traitement des données par chacun de ces sous-traitants doit être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD.
Sur la gouvernance de l’entrepôt
Le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt afin de maîtriser l’exploitation qui en est faite dans le respect des finalités déclarées et de l’intérêt public. Le dossier de demande mentionne que cette gouvernance est conforme au référentiel entrepôt de données de santé .
Sur les données traitées et leur profondeur historique 
Les différentes données conservées dans l’entrepôt sont listées dans le dossier de demande. Les données relatives à l’historique des remboursements de santé effectués par l’assurance maladie ne seront pas conservées au sein de l’entrepôt.
 
S’agissant des données relatives aux patients :
 
Sous réserve de l’exercice du droit d’opposition des patients suivis par un médecin partenaire, les données suivantes seront conservées au sein de l’entrepôt :
données administratives : code patient pseudonymisé non signifiant ; année de naissance et sexe du patient ; le cas échéant, mois et année de décès ; nombre de mois au moment de l’évènement médical pour les patients de trois ans et moins ;
nombre d’enfants si le patient est une femme âgée de 18 ans ou plus ;
visites (date et type) ;
diagnostics/pathologies (antécédents médicaux et date, type de diagnostic et date, facteurs de risque, allergies, effets secondaires, échelles et scores de sévérité des maladies, affection de longue durée) ;
traitement (produit prescrit et délivré, date de prescription, diagnostic associé, posologie prescrite, risque associé à la délivrance…) ;
examens (date, mesure biologique, résultat…) ;
actes médicaux (prescription d’examens complémentaires, acte médical, date de l’acte…) ;
arrêts de travail (date, durée…) ;
hospitalisation (date, durée, label…) ;
autres données (prescription de vaccins, adressage aux spécialistes, prescriptions de soins paramédicaux, transports médicaux).
 
S’agissant des patients dont la dernière consultation est antérieure à 2018 :
 
Eu égard à l’ancienneté de la date de la dernière consultation, le dossier de demande mentionne que leurs données ne seront pas conservées au sein de l’entrepôt.
 
S’agissant des patients dont la ou les dernières consultations ont eu lieu entre 2018 et la présente autorisation :
 
Le dossier de demande distingue plusieurs hypothèses.
Premièrement, les patients ayant eu une seule consultation avec un médecin cardiologue, dermatologue, gastro-entérologue, neurologue ou pneumologue dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin : le suivi de ces patients étant impossible suite à la rupture du contrat avec le médecin et les consultations uniques pour ces spécialités étant fréquentes, leurs données seront conservées pendant une durée de trois mois à compter de la présente autorisation aux seules fins de calcul d’indicateurs agrégés anonymes puis supprimées. Elles seront marquées avec un indicateur spécifique.
 
Deuxièmement, les patients ayant eu une seule consultation avec un médecin généraliste, un endocrinologue, un gynécologue, un pédiatre, un psychiatre, un rhumatologue dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin : leurs données ne seront pas conservées dans l’entrepôt.
 
Troisièmement, les patients ayant eu plusieurs consultations avec un médecin généraliste ou spécialiste dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin ou est toujours en cours : leurs données, correspondant à une profondeur historique maximale de dix ans à compter de la dernière consultation, seront conservées au sein de l’entrepôt afin de pouvoir assurer la qualité du suivi longitudinal des patients.
Par ailleurs, certaines données collectées (date d’enregistrement du diagnostic, le libellé du diagnostic enregistré et les antécédents médicaux personnels) durant les cinq années précédant cette profondeur historique seront conservées pendant trois mois aux seules fins de calcul d’indicateurs clés liés au parcours diagnostic des patients puis supprimées. Elles seront marquées avec un indicateur spécifique. La conservation des indicateurs calculée à partir de ces données devra être scientifiquement justifiée et être autorisée par la CNIL. Les autres données ne seront pas conservées au sein de l’entrepôt.
S’agissant des patients ayant une consultation à partir de septembre 2024 (en cours de suivi ou nouvellement inclus) :
 
Dans la limite d’une profondeur historique de quinze ans à compter de la dernière consultation, leurs données pourront être conservées au sein de l’entrepôt.
 
S’agissant des professionnels de santé :
Seront conservés au sein de l’entrepôt : le code médecin pseudonymisé, la spécialité médicale, le département du lieu d’exercice, l’année de naissance, le sexe et l’année d’obtention du diplôme du médecin.
Sur l’information des personnes 
La société GERS SAS, en sa qualité de responsable de traitement de l’entrepôt, doit assurer l’information des personnes dont les données sont traitées, conformément au RGPD et à l’article 69 de la loi informatique et libertés .
Tous les documents d’information (individuelle ou collective) devront :
comporter l’ensemble des mentions prévues par le RGPD ;
préciser la profondeur historique des données traitées afin d’assurer la transparence du traitement vis-à-vis des personnes concernées.
 
S’agissant des modalités d’information collective à destination de l’ensemble des personnes concernées par ce traitement :
Le dossier de demande d’autorisation mentionne :
d’une part, qu’une communication de grande ampleur sera déployée sur les réseaux sociaux, et via un communiqué de presse à l’échelle régionale et nationale et qui sera relayé auprès de deux cents médias et via les associations de patients ;
d’autre part, que des notes d’information collective seront affichées dans le cabinet de chaque professionnel de santé partenaire, ainsi que sur le site web du responsable de traitement.
S’agissant plus spécifiquement des modalités d’information des patients :
 
Le dossier de demande mentionne :
 
d’une part, que les médecins partenaires ont l’obligation contractuelle d’informer le patient de sa participation à l’entrepôt THIN et de leur transmettre la notice d’information mise à leur disposition via le logiciel ;
d’autre part, que le responsable de traitement entend faire application de l’article 14,5,b) du RGPD afin de déroger au principe d’information individuelle pour les patients dont la dernière consultation est antérieure à la présente autorisation.
La CNIL relève que l’information délivrée jusqu’alors aux patients était incomplète au regard des exigences de la loi informatique et libertés en vigueur et du RGPD.
 
Il appartient à la société GERS SAS de remédier à l’absence de conformité des modalités d’information des patients dont les données ont été collectées selon les modalités suivantes.
 
S’agissant des patients dont la ou les dernières consultations ont eu lieu entre 2018 et la présente autorisation :
 
En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés eu égard aux caractéristiques du traitement et notamment de sa finalité, à savoir la mise à disposition de données de vie réelle de suivi des patients collectées chez les médecins libéraux de ville, à des fins de recherches et d’études non interventionnelles. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il peut être fait exception au principe d'information individuelle des personnes et les mesures appropriées décrites dans le dossier de demande devront être mises en œuvre par le responsable de traitement.