AgentPublic/cnil huggingface dataset:
S’agissant des patients qui consulteront un professionnel de santé partenaire à compter la présente autorisation :
 
Ils recevront une note d’information individuelle.
 
En tant que responsable de traitement, la société GERS SAS devra transmettre aux professionnels de santé partenaires une note d’information à destination des patients, de leurs représentants légaux, conforme aux dispositions du RGPD, et s’assurer que cette information leur sera remise. Les professionnels de santé partenaires sont contractuellement chargés d’informer leurs patients du traitement de données les concernant.
 
S’agissant des professionnels de santé partenaires :
 
Une note d’information devra leur être transmise par la société Gers SAS.
Sur les droits des personnes 
Les patients pourront exercer leurs droits directement auprès des professionnels de santé partenaires.
Les professionnels de santé devront pouvoir exercer leurs droits conformément au RGPD.
Sur les accédants et les destinataires des données
Pourront accéder aux données, les personnels salariés de la société GERS SAS et les acteurs externes (universités ; centres et équipes de recherche hospitaliers ; instituts de recherche médicale…) et spécifiquement habilités, soumis au secret professionnel, dans les strictes limites de leur besoin d’en connaître, pour l’exercice de leurs missions s’inscrivant dans les finalités de l’entrepôt.
Des documents tenus à jour indiquent la ou les personnes compétentes pour délivrer l'habilitation d’accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
 
Ces accès seront réalisés dans des espaces projets hébergés auprès de l’entrepôt. Seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction. Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement devra réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, le responsable de traitement doit démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par lui-même ou par toute autre personne, est négligeable.
 
Sur la sécurité des données et la traçabilité des actions
La plupart des mesures de sécurité du traitement mises en œuvre sont conformes à celles prévues par le référentiel entrepôt de données dans le domaine de la santé .
 
Un des points de non-conformité est la conservation du sexe et de l’année de naissance des patients dans la base de données principale de l’entrepôt. Cette absence de cloisonnement apparaît conforme eu égard aux caractéristiques du traitement.
 
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt, ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé .
 
Certaines des mesures nécessaires à la pleine couverture des risques de sécurité sont en cours de déploiement et d’amélioration dans le cadre d’un plan d’actions formalisé.
 
Ce plan d’actions devra être complété afin d’intégrer l’amélioration des mesures liées au respect des finalités interdites, et en particulier :
lors de la création du projet, l’obligation pour le responsable de projet de s’engager sur la non-poursuite des finalités interdites ;
lors de l’extraction de données, l’obligation pour le data-analyste ou data-scientiste de s’engager à utiliser les données uniquement dans le cadre du projet ;
un contrôle manuel supplémentaire afin de vérifier qu’aucun résultat n’est restitué au niveau d’un agrégat si celui-ci concerne moins de dix professionnels de santé.
 
Le responsable de traitement devra mettre en œuvre l’ensemble des mesures décrites dans son plan d’actions dans les meilleurs délais et, au plus tard, à la fin du premier trimestre 2025. La CNIL, au vu de la sensibilité et du volume des données, estime nécessaire d’évaluer dans un délai d’un an à compter de l’autorisation la réalité des mesures de sécurité mises en œuvre par la société GERS SAS.
 
Les mesures de sécurité, renforcées par ce plan d’actions, sont ainsi de nature à répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Le responsable de traitement doit procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Sur la conservation des données
Les données faisant l’objet d’un marquage spécifique seront conservées pendant trois mois pour les seules finalités décrites dans la présente autorisation puis détruites.
Dans l’hypothèse où la présente autorisation serait renouvelée :
les données des patients ayant eu plusieurs consultations avec un médecin généraliste ou spécialiste entre 2018 et la date de la présente autorisation et dont le contrat a pris fin seront conservées dix ans ;
les données des patients ayant eu plusieurs consultations avec un médecin généraliste ou spécialiste entre 2018 et la présente autorisation dont le contrat n’a pas pris fin seront conservées dix ans dans l’hypothèse où ils ne pourraient pas être informés individuellement, faute de nouvelle consultation chez ce médecin ;
les autres données ne pourront être conservées que pour une durée maximale de quinze ans à compter de leur collecte auprès des professionnels de santé partenaires.
Sur la réutilisation des données de l’entrepôt
Les données conservées dans l’entrepôt sont susceptibles d’être utilisées à des fins de recherches, d’études ou d’évaluations dans le domaine de la santé. Ces traitements devront se conformer aux dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ils devront faire l’objet de formalités propres par leur(s) responsable(s) de traitement. Les personnes concernées
 
devront être informées de chacun de ces traitements conformément au RGPD et à la loi informatique et libertés .
Observations complémentaires
Dans l’hypothèse où la société GERS SAS souhaiterait continuer à mettre en œuvre ce traitement à l’issue de la période d’un an, le dossier de renouvellement de demande d’autorisation devra notamment comporter :
les modalités de réalisation du plan d’actions ;
les modalités d’information déployées afin d’informer collectivement et individuellement l’ensemble des personnes concernées par ce traitement ;
la description des indicateurs calculés à partir des données ayant fait l’objet d’un marquage spécifique ;
la démonstration du caractère anonyme au regard des critères susmentionnés des indicateurs calculés à partir des données des patients ayant eu une seule consultation avec un médecin cardiologue, dermatologue, gastro-entérologue, neurologue ou pneumologue dont le contrat de partenariat relatif à l’alimentation de l’entrepôt THIN a pris fin.
 
Il appartiendra à la société GERS SAS de documenter l’effectivité de la suppression des données conformément aux termes de la présente décision.
AUTORISE, dans ces conditions, la SOCIETE GERS SAS à mettre en œuvre le traitement décrit ci-dessus, pendant une durée d’un an.
 
Le Directeur de l’accompagnement juridique
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 20 juin 2024.
Utilisation de données issues du SNDS historique
Composantes concernées : PMSI MCO.
Années concernées : 2015 à 2023
Modalités de consultation : plateforme sécurisée du Centre d’accès sécurisé aux données (CASD).
 
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment :
l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ;
le respect du référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017.
 
Recours à un laboratoire de recherche ou à un bureau d’études ayant fait réaliser un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui
Information et droits des personnes
Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé.
Une note d’information sera également rendue publique sur le site web du responsable de traitement. Elle devra comporter l’ensemble des mentions prévues par le RGPD.
Durées de conservation en base active et en archivage
Deux ans à compter de la mise à disposition des données.
AUTORISE l’INTERGROUPE FRANCOPHONE DU MYELOME à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT-BREAUD
La Commission nationale de l'informatique et des libertés,
Saisie par la société TALAN CORPORATE au nom et pour le compte du groupe TALAN (ci-après " TALAN ") d’une demande d’approbation de ses BCR " sous-traitant " ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD), notamment ses articles 47, 57 et 64 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
 
Formule les observations suivantes :
 
En vertu de l’article 47-1 du RGPD, la CNIL approuve des règles d’entreprise contraignantes (" BCR ") sous réserve que celles-ci répondent aux exigences prévues par cet article.
 
La mise en œuvre et l’adoption de BCR par un groupe d’entreprises visent à fournir des garanties aux responsables de traitement et aux sous-traitants établis sur le territoire de l’Union européenne (" UE ") afin qu’un niveau de protection uniforme soit appliqué aux données transférées vers des pays tiers, et ce, indépendamment du niveau de protection conféré par chacun de ces pays tiers.
Toutefois, avant de mettre en application ces BCR, il incombe à l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, d'apprécier si le niveau de protection requis par le droit de l’UE est respecté dans le pays tiers de destination, y compris dans les situations de transferts ultérieurs. Cette évaluation doit être effectuée afin de déterminer si les garanties établies par les BCR peuvent être respectées dans la pratique, compte tenu des circonstances du transfert et des conflits qui peuvent exister entre les exigences du droit du pays tiers et les droits fondamentaux garantis par l’UE. Si tel n'est pas le cas, l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, doit évaluer s'il peut prévoir des mesures supplémentaires pour assurer un niveau de protection substantiellement équivalent à celui garanti au sein de l’UE. La mise en œuvre des mesures supplémentaires relève de la responsabilité de l’exportateur, y compris après l’approbation des BCR par l’autorité compétente. Par conséquent, ces mesures supplémentaires ne font pas partie des éléments analysés dans le cadre de la procédure d’approbation des BCR.
Dans le cas où l'exportateur de données établi dans un État membre n'est pas à même de prendre des mesures supplémentaires suffisantes pour assurer un niveau de protection substantiellement équivalent à celui garanti dans l’UE, il ne peut y avoir de transfert de données à caractère personnel vers le pays tiers en vertu des BCR. Par conséquent, l'exportateur de données est tenu de renoncer, de suspendre ou de mettre fin au transfert de données à caractère personnel. Dans la même logique, lorsque l’exportateur prend connaissance de nouveaux développements touchant à la protection des données dans un pays tiers qui diminuent le niveau de protection attendu, il est tenu de suspendre le transfert concerné ou d’y mettre fin.
 
Conformément à la procédure de coopération décrite par le document de travail WP263 rev.01, la documentation relative aux BCR " sous-traitant " du groupe a été instruite par les services de la CNIL en qualité d’autorité compétente, puis par les services d’une autre autorité de protection des données agissant en qualité de co-examinatrice. Ces BCR ont également été revues par les autorités de protection des données des pays membres de l’espace économique européen (" EEE ") en application de la procédure d’approbation mise en place par le Comité européen de la protection des données (" CEPD ").
L’instruction des BCR " sous-traitant " du groupe permet de conclure que celles-ci sont conformes aux critères imposés par l’article 47-1 du RGPD et le document de travail WP257 rev.01, notamment parce que ces BCR :
 
i. sont rendues juridiquement contraignantes par un contrat intra-groupe et obligent chaque entité liée, y compris leurs employés, de les respecter (article I.3 des BCR) ;
 
ii. confèrent expressément aux personnes concernées des droits dont elles peuvent se prévaloir en tant que tiers bénéficiaires via l’article IV.2 des BCR ;
 
iii.. répondent aux exigences prévues par l’article 47-2 du RGPD :
 
a) la structure et les coordonnées du groupe d’entreprises et de chacune de ses entités sont détaillées dans le formulaire de soumission qui a été fourni dans le cadre de l’instruction du dossier ainsi qu’à l’annexe 1 des BCR ;
b) les transferts ou l'ensemble des transferts de données, y compris les catégories de données à caractère personnel, les types de traitements et leurs finalités, les types de personnes concernées affectées et les pays tiers sont précisés en annexes 1 et 2 des BCR ;
c) la nature juridiquement contraignante, tant interne qu’externe, des BCR " sous-traitant " est reconnue à l’article I.3 et à l’annexe 3 des BCR ;
d) l'application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données, la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d'entreprise contraignantes, sont visés aux articles II.2, III.3, IV.4.c et V.2 des BCR ;
e) le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente et devant les juridictions compétentes des États membres conformément aux articles 77 et 79 du RGPD et d'obtenir réparation et, le cas échéant, une indemnisation pour violation des règles d'entreprise contraignantes, sont prévus à l’article IV.3 des BCR ;
f) l'acceptation, par le sous-traitant établi sur le territoire d'un État membre, de l'engagement de sa responsabilité pour toute violation des règles d'entreprise contraignantes par toute entité concernée non établie dans l'UE est précisée à l’article IV.3 des BCR, de même que le principe selon lequel l’exonération, en tout ou en partie, de cette responsabilité ne peut intervenir que si l’entité responsable prouve que le fait générateur du dommage n'est pas imputable à l'entité en cause ;
g) la manière dont les informations sur les règles d'entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) de l’article 47.2 du RGPD, sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14 du RGPD, est spécifiée à l’article III.1 des BCR ;
h) les missions de tout délégué à la protection des données, désigné conformément à l'article 37 du RGPD, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d'entreprise contraignantes au sein du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations, sont détaillées à l’article IV.1 des BCR et en annexe 6 des BCR ;
l) les procédures de réclamation, y compris l’obligation du sous-traitant d’informer le responsable du traitement d’une demande ou d’une réclamation d’une personne concernée, sont décrites articles III.2 et IV.3 ainsi qu’en annexe 4 des BCR ;
j) les mécanismes mis en place au sein du groupe d’entreprises pour garantir le contrôle du respect des règles d’entreprise contraignantes sont détaillés à l’article III.5 et en annexe 5 des BCR. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits de la personne concernée. Les résultats de ces contrôles sont communiqués à la personne ou à l'entité visée au point h) ci-dessus et au conseil d'administration de l'entreprise qui exerce le contrôle du groupe, et sont mis à la disposition de l'autorité de contrôle compétente sur sa demande ;
k) les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l'autorité de contrôle sont précisés à l’article V.4 des BCR ;
l) le mécanisme de coopération avec l'autorité de contrôle, mis en place pour assurer le respect des règles par toutes les entités du groupe d'entreprises, est décrit à l’article IV.6 des BCR. L’obligation de mise à disposition de l'autorité de contrôle des résultats des contrôles des mesures visées au point j) ci-dessus est spécifiée à l’annexe 5 des BCR ;
m) les mécanismes permettant de communiquer à l'autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d'entreprises est soumise dans un pays tiers, et qui sont susceptibles d'avoir un effet négatif important sur les garanties fournies par les règles d'entreprise contraignantes, sont décrits à l’article V.3 et à l’annexe 7 des BCR ;
n) enfin, l’article III.4 des BCR prévoient une formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel.
 
Le CEPD a rendu l’avis n°21/2024 en date du 17 septembre 2024, conformément à l’article 64- 1-f du RGPD. La Commission a tenu compte de cet avis.
 
 
Décide : 
 
La CNIL approuve les BCR " sous-traitant " présentées par le groupe TALAN, en ce qu’elles fournissent des garanties appropriées pour le transfert de données à caractère personnel conformément aux articles 46-1, 46-2-b, 47-1 et 47-2 du RGPD. Afin de dissiper toute ambiguïté, la CNIL rappelle que l’approbation des BCR n’implique pas l’approbation de transferts spécifiques de données à caractère personnel effectués sur la base des BCR. En conséquence, l’approbation des BCR ne peut être interprétée comme une approbation des transferts vers des pays tiers inclus dans les BCR pour lesquels un niveau de protection substantiellement équivalent à celui assuré au sein de l'UE ne peut être garanti.
La mise en œuvre des BCR approuvées ne nécessite pas d’autorisation supplémentaire spécifique de la part des autorités européennes de protection des données concernées.
 
Conformément à l’article 58-2-j du RGPD, chaque autorité de protection des données concernée dispose du pouvoir d’ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale dans le cas où les garanties appropriées prévues par les BCR " sous-traitant " du groupe TALAN ne seraient pas respectées.
 
 
La présidente,
 
 
M.-L. Denis
 
 
 
 
 
 
Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
 
ANNEXE AU PROJET DE DECISION
 
 
Les BCR " sous-traitant " du groupe TALAN qui sont approuvées par la présente décision s’étendent au périmètre décrit ci-après :
 
a. Champ d’application.
 
Ces BCR " sous-traitant " s’appliquent à tous les transferts de données à caractère personnel effectués entre entités du groupe TALAN agissant en qualité de sous-traitants (article I.2.a BCR).
 
b. Etats membres de l’EEE depuis lesquels les transferts sont effectués.
 
Ces Etats membres sont visés à l’annexe 1 des BCR. Il s’agit de la France, la Belgique, l’Espagne et le Luxembourg.
 
c. Pays tiers vers lesquels les transferts sont effectués.
 
Ces pays tiers sont mentionnés en annexe 1 des BCR. Il s’agit du Royaume-Uni, de la Suisse, du Canada, des Etats-Unis et de la Tunisie.