AgentPublic/cnil huggingface dataset:
Afin de réduire les risques de réidentification des patients à partir de cet identifiant SNDS, ainsi que les risques d’appariement non autorisé avec d’autres données extraites du SNDS, cet identifiant SNDS sera strictement spécifique à l’entrepôt. La table de correspondance avec les numéros d’accrochage devra être transmise par la CNAM séparément des données extraites du SNDS, via un canal sécurisé dédié. Enfin, cet identifiant SNDS sera remplacé par un nouvel identifiant lors de l’étape de dédoublonnage et de versement des données dans l’entrepôt.
 
Des mesures de sécurité renforcées seront mises en place par les différents acteurs pour la conservation des tables de correspondance nécessaires à la mise à jour régulière des données de l’entrepôt.
 
Les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD.
Sur la durée de conservation des données :
Le NIR et les dates de naissance complètes des patients ne seront pas conservés après l’appariement.
 
Les données issues des dossiers médicaux appariées avec les données du SNDS sont conservées pour une durée de vingt ans à compter de leur collecte dans le cadre du soin.
 
Les données exclusivement issues du SNDS sont conservées pour une durée de vingt ans.
Ces durées de conservation n’excèdent pas les durées nécessaires aux finalités pour lesquelles les données sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.
Sur les accédants et les destinataires des données :
Seul le personnel désigné et habilité du GIP PDS peut accéder aux données.
 
Sont destinataires des données :
le personnel désigné et habilité des sous-traitants ;
les porteurs de projets de recherche, d’étude ou d’évaluation dans le domaine de la santé (par exemple, des établissements de santé, des autorités et institutions publiques nationales, des associations de patients ou des agences européennes).
Conformément à l’article L. 1461-1.IV.2° du CSP, ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
Sur l’information des personnes :
Le GIP PDS s’est engagé à :
mettre en œuvre, pendant au moins un mois, une campagne d’information relative à la constitution d’EMC2 (diffusion sur les réseaux sociaux, communication via des médias d’envergure nationale, diffusion d’une actualité sur son site web) ;
respecter un délai d’un mois entre la remise de la note d’information individuelle ou la diffusion de la note d’information collective et le versement des données dans EMC2.
L’information relative à la mise en œuvre de EMC2 devra également être accessible sur les sites web des établissements de santé partenaires. Il appartient au GIP PDS, en sa qualité de responsable de traitement de l’entrepôt, de transmettre aux établissements de santé partenaires une note d’information individuelle à destination des patients, de leurs représentants légaux et des professionnels de santé conforme aux dispositions du RGPD et de s’assurer que cette information leur sera remise.
 
Lorsque l’information individuelle est impossible ou disproportionnée, l’information devra être diffusée de façon collective. Les différents cas d’information individuelle ou collective sont détaillés ci-après.
 
Les supports d’information devront par ailleurs comporter l’ensemble des mentions prévues par l’article 14 du RGPD.
 
Les courriers électroniques adressés aux personnes concernées ou leurs représentants légaux ne devront révéler aucune information sur l’état de santé réel ou supposé du patient. Par ailleurs, les coordonnées électroniques utilisées ne devront pas correspondre à des coordonnées électroniques communes à plusieurs personnes.
Lorsque le responsable de traitement souhaite adopter une approche à plusieurs niveaux pour informer les personnes, la première modalité d’information devrait contenir, conformément aux lignes directrices sur la transparence au sens du RGPD du 29 novembre 2017 du groupe de travail " de l’Article 29 " (G29), les informations relatives à la finalité du traitement, l’identité du responsable de traitement, une description des droits des personnes concernées, ainsi que toute information sur le traitement qui aurait une forte incidence sur la personne concernée.
 
La CNIL demande que ce premier niveau d’information mentionne également :
que l’exercice du droit d’opposition n’aura aucune incidence sur la prise en charge sanitaire des personnes ;
l’identité de l’hébergeur et la localisation des serveurs d’hébergement de l’entrepôt. 
 
S’agissant des personnes dont les données sont exclusivement issues du SNDS :
En vertu de l'article 69 de la loi " informatique et libertés " et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
 
En l'espèce, il est fait exception au principe d'information individuelle et des mesures appropriées seront mises en œuvre, notamment par :
la diffusion sur le site web du GIP PDS d’une note d’information relative à l’entrepôt ;
la mise en œuvre d’une campagne d’information générale, telle que décrite ci-dessus.
S’agissant des personnes hospitalisées dans l’un des établissements de santé partenaires avant la constitution de l’entrepôt :
Ces personnes ou, le cas échéant, leurs représentants légaux, seront individuellement informées selon les modalités suivantes :
pour les HCL et la FHSJ : la note d’information sera envoyée par voie électronique avec accusé de réception ;
pour le CHU de Nancy : la note d’information sera envoyée par voie électronique avec accusé de réception ou par voie postale ;
pour le CLB, les personnes recevront soit :
un premier niveau d’information via l’outil Myclb ;
la note d’information complète par voie électronique.
		Un accusé de réception devra être prévu, à l’instar de ce qui est envisagé dans les autres établissements de santé partenaires.
 
S’agissant des personnes hospitalisées dans l’un des établissements de santé partenaires après la constitution de l’entrepôt :
Ces personnes ou, le cas échéant, leurs représentants légaux, seront individuellement informées selon les modalités suivantes :
pour les HCL : la note d’information sera remise lors d’une visite de suivi ou envoyée par voie postale ;
pour le CHU de Nancy et le CLB : un premier niveau d’information sera intégré au livret d’accueil. Ce premier niveau d’information devra spécifiquement concerner la constitution de EMC2 ;
pour la FHSJ : la note d’information complète sera remise lors d’une visite de suivi ou envoyée par voie électronique avec accusé de réception.
S’agissant des professionnels de santé exerçant dans l’un des établissements de santé partenaires :
Les professionnels seront individuellement informés selon les modalités suivantes :
pour les HCL : un premier niveau d’information sera joint au bulletin de paie ou au contrat d’embauche ;
pour le CHU de Nancy et le CLB : un premier niveau d’information sera joint au bulletin de paie, diffusé sur l’intranet de l’établissement et affiché dans les lieux de repos du personnel ;
pour la FHSJ : un premier niveau d’information sera diffusé via la newsletter de l’établissement et déposée dans le coffre-fort numérique de chaque professionnel. Une notification sera adressée par voie électronique.
 
Ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi " informatique et libertés ".
Sur les droits des personnes concernées :
Les personnes pourront exercer leurs droits (accès, rectification, opposition ou effacement) en contactant :
le délégué à la protection des données du GIP PDS par voie postale ou électronique ;
l’un des établissements de santé partenaires qui a collecté les données.
 
Pour des raisons tenant à la sécurité de l’architecture technique de la plateforme, il ne sera fait suite aux demandes d’effacement des données de manière généralisée qu’une fois par an. Les personnes devront en être spécifiquement informées. Dans l’attente de l’effacement effectif des données, celles-ci ne pourront pas être réutilisées.
 
Ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi " informatique et libertés ".
Sur la sécurité et la traçabilité des actions :
La sécurité des données de l’entrepôt dépend essentiellement de la solution technique du GIP PDS, qui a fait l’objet d’une analyse globale des risques et d’impact sur la vie privée, suivie d’une homologation selon le référentiel de sécurité du SNDS. Cette solution technique assure un haut niveau de sécurité.
Une analyse d’impact relative à la protection des données (AIPD) a été transmise à la CNIL concernant la constitution de l’entrepôt et intégrant les éléments fournis par le GIP PDS pour sa solution technique.
 
Les mesures de sécurité mises en place par le GIP PDS visent également à garantir la conformité de l’entrepôt aux exigences de sécurité mentionnées dans le référentiel entrepôt de données de santé.
 
La solution technique du GIP PDS prévoit des mesures techniques et organisationnelles d’isolation des espaces de travail contenant des données issues du SNDS et utilisées pour d’autres projets de recherche. Ces mesures sont également mises en œuvre afin d’isoler entre eux et avec les autres espaces les espaces projets dédiées aux études portant sur des données de l’entrepôt, ainsi que les espaces de stockage ou de préparation des données.
 
Seuls des jeux de données anonymes peuvent faire l’objet d’une exportation hors de l’entrepôt ou d’un espace de travail. Le processus d’anonymisation mis en œuvre doit produire un jeu de données pour lequel il est démontré et documenté que le risque de réidentification des personnes est négligeable.
 
Les mesures de sécurité mises en œuvre par le responsable de traitement apparaissent proportionnées aux risques présentés par le traitement.
Sur le recours à la société Microsoft en tant qu’hébergeur :
Le GIP PDS a fait le choix de recourir à la société Microsoft Ireland Operations Ltd (Microsoft) en qualité d’hébergeur des données.
Les données de l’entrepôt seront conservées dans les centres de données de Microsoft situés en France.
 
S’agissant des transferts de données liés à l’administration de la plateforme : 
Il résulte des informations communiquées que, compte tenu du contrat passé avec Microsoft et du fonctionnement des opérations d’administration de la plateforme technique, il est possible que des données techniques d’usage de la plateforme (qui ne révèlent aucune information de santé) soient transférées vers des administrateurs situés aux États-Unis. Ces transferts de données vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne. Les personnes devront être spécifiquement informées de ces transferts.
 
Sur les risques d’accès par les autorités étasuniennes :
L’hébergeur retenu par le GIP PDS appartient à un groupe dont la société mère est située aux États-Unis et soumise au droit de cet État. De ce fait, en application de cette législation, les autorités états-uniennes sont susceptibles d’adresser à Microsoft des injonctions de communication des données qu’il héberge.
La législation des États-Unis, qui prévoit ces injonctions de communication de données, a été révisée récemment, à la suite de l’arrêt de la Cour de justice de l’Union européenne du 16 juillet 2020 (C-311/18) dit " Schrems II ", pour mieux les encadrer et prévoir des voies de recours plus effectives. Cette législation a été jugée conforme aux standards de protection européens, ce qui a permis l’adoption par la Commission européenne d’une nouvelle décision d’adéquation le 10 juillet 2023, reconnaissant que le nouveau cadre de transferts de données à caractère personnel entre les États-Unis et l’Union européenne, le Data Privacy Framework, assure un niveau de protection adéquat.
 
Il n’en reste pas moins que les données stockées par un hébergeur soumis à un droit extra-européen peuvent être exposées à un risque de communication à des puissances étrangères.
Si ce risque est le plus souvent acceptable, notamment s’agissant de pays adéquats, la CNIL recommande depuis longtemps, pour les bases de données les plus sensibles, d’assurer une protection contre les possibilités de divulgation à des autorités publiques de pays tiers. Cette protection implique que, d’une part, sauf exception ponctuelle (par exemple dans le cadre d’un projet de recherche international), les données hébergées dans l’Union européenne ne soient pas transférées en dehors de celle-ci et, d’autre part, de recourir à un prestataire exclusivement soumis au droit européen et offrant le niveau de protection adéquate, tel que prévu par le référentiel SecNumCloud de l’Agence nationale de la sécurité des systèmes d’information (ANSSI).
 
En particulier, pour les entrepôts de données de santé appariées avec le SNDS, et malgré le fait que ces données soient pseudonymisées, la CNIL a toujours demandé aux porteurs de projet, publics et privés, de s’assurer que l’hébergeur des données n’est pas soumis à une législation extra-européenne.
 
Cette préconisation avait, toujours, jusqu’ici été acceptée.
Cette politique apparaît en cohérence avec la doctrine " Cloud au centre " de l’État, matérialisée par la circulaire de la Première ministre du 31 mai 2023 (n° 6404/SG), qui demande, dans sa règle n° 9, aux autorités publiques de s’assurer que les données " d’une sensibilité particulière " hébergées dans le cloud ne soient pas soumises à des lois extra-européennes pouvant impliquer des injonctions de communication.
 
Le GIP PDS, acteur public chargé par la loi de recueillir les bases de données de santé les plus importantes du pays, a fait le choix d’héberger son premier entrepôt auprès d’un hébergeur qui ne bénéficie pas de la certification SecNumCloud et, ainsi, peut faire l’objet d’injonction de communication des données par les autorités des États-Unis. Ce choix apparaît en très nette contradiction avec les éléments rappelés ci-dessus.
À la suite des interrogations de la CNIL et de son souhait que tout soit fait pour permettre que cet entrepôt, apparié au SNDS, soit protégé de tout risque de communication des données à des États étrangers, les pouvoirs publics ont mis en place une mission d’expertise pilotée par la délégation du numérique en santé (DNS), la direction interministérielle du numérique (DINUM) et l’Agence du numérique en santé, aux fins de déterminer si le projet EMC2 pouvait, sans compromettre le projet vis-à-vis des conditions fixées par l’EMA, être mis en œuvre via un prestataire soumis uniquement aux lois de l’Union européenne. La CNIL salue le travail mené par cette mission, dans un délai très contraint.
 
Dans son rapport communiqué à la CNIL le 13 décembre 2023, cette mission d’expertise conclut :
qu’aucun prestataire potentiel ne propose d’offres d’hébergement répondant aux exigences techniques et fonctionnelles du GIP PDS pour la mise en œuvre du projet EMC2 dans un délai compatible avec les impératifs ce dernier ;
que le développement d’un démonstrateur " cloud de confiance ", respectant les conditions de la circulaire précitée et permettant à terme d’héberger des projets de cette nature, et notamment la plateforme du GIP PDS, devrait se poursuivre sur les prochaines années ;
que la construction d’une plateforme d’hébergement spécifique pour le projet EMC2 pourrait retarder la migration de la solution d’hébergement du GIP PDS pour l’ensemble de ses missions ;
qu’en attendant cette migration, le projet EMC2 soit mené sur la solution technique actuelle du GIP PDS.
 
À la lumière de ces conclusions, la CNIL déplore qu’aucun prestataire susceptible de répondre actuellement aux besoins exprimés par le GIP PDS ne protège les données contre l’application de lois extraterritoriales de pays tiers.
 
De manière générale, elle regrette que la stratégie mise en place pour favoriser l’accès des chercheurs aux données de santé n’ait pas fourni l’occasion de stimuler une offre européenne à même de répondre à ce besoin. Le choix initial du GIP PDS, dès sa fondation, de recourir au cloud a conduit à privilégier des offres d’acteurs étasuniens dont il apparaît désormais difficile de se détacher à court terme malgré l’émergence progressive de fournisseurs souverains. Le projet EMC2 aurait pu être retenu par le GIP PDS pour préfigurer la solution souveraine vers laquelle il doit migrer.
 
La CNIL constate pour autant qu’il est nécessaire que les engagements pris vis-à-vis de l’EMA puissent être honorés. Dans ces conditions, elle autorise la constitution de l’entrepôt EMC2 pour la durée de trois ans, qui correspond à la réalisation du projet de migration de la plateforme de la PDS, projet confirmé par le gouvernement.
 
DÉCIDE :
Le groupement d’intérêt public " Plateforme des données de santé " est autorisé, pour une durée de trois ans, à constituer l’entrepôt EMC2, dans les conditions décrites dans le dossier de demande et par la présente décision.
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, MM. Bertrand du MARAIS et Alain DRU, Mmes Christine MAUGÜE et LATOURNARIE-WILLEMS, membres ;
Vu le règlement (CE) no 1987/2006 du Parlement européen et du Conseil du 20 décembre 2006 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen de deuxième génération (SIS II) ;
Vu le règlement (CE) n o 767/2008 du Parlement européen et du conseil du 9 juillet 2008 concernant le système d'information sur les visas (VIS) et l'échange de données entre les États membres sur les visas de court séjour (règlement VIS) ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu le règlement (UE) n° 2018/1861 du Parlement européen et du Conseil du 28 novembre 2018 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen (SIS) dans le domaine des vérifications aux frontières, modifiant la convention d'application de l'accord de Schengen et modifiant et abrogeant le règlement (CE) no 1987/2006 ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 août 2001 portant création d'un traitement informatisé d'informations nominatives relatif à la délivrance des visas dans les postes diplomatiques et consulaires ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu les décisions du 14 août 2020 n° s2020-277C et 2020-278C de la présidente de la Commission nationale de l’informatique et des libertés ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 19 juin 2023 ;
Vu le rapport de Mme Sophie LAMBREMON, commissaire rapporteure, notifié au X et au Y le 10 juillet 2023 ;
Vu les observations écrites versées par le X et Y le 24 aout 2023 ;
Vu les observations orales formulées lors de la séance de la formation restreinte, le 26 octobre 2023 ;
Vu la note en délibéré présentée par le X et Y reçue le 13 novembre 2023 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte :
- Mme Sophie LAMBREMON, commissaire, entendue en son rapport ;
En qualité de représentants du X :
- […]
En qualité de représentants du Y :
- […]
Le X et Y ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. Le système d’information sur les visas (VIS) est un système d’information européen qui a pour objectif d’améliorer la mise en œuvre de la politique commune en matière de visas, la coopération consulaire et les consultations des autorités centrales chargées des visas. Il est composé d’un système central, dont la gestion opérationnelle est effectuée par l’agence EU-LISA et d’une infrastructure de communication entre le VIS principal et les interfaces nationales.
2. Le VIS contient des informations relatives aux demandeurs de visa et aux demandes (passées et en cours) qu’ils ont formulées (demandes acceptées, refusées, annulées…). Il est utilisé pour l’examen des demandes de visas de court séjour et des décisions de refus, de prorogation, d’annulation ou de retrait de visa, ainsi que les vérifications des visas et les vérifications et identifications des demandeurs et des détenteurs de visa.
3. En France, le portail Réseau mondial Visas 2 (RMV2), créé par l’arrêté du 22 août 2001 susvisé, permet d’accéder aux données du VIS. Il est composé d’un système central (RMV2 central) et de 157 postes consulaires (RMV2 locaux). 
4. L'application informatique RMV 2 permet, lors du dépôt d'une demande de visa, l'interrogation systématique :
- du fichier d'opposition du SIS, en application de la convention d'application de l'accord de Schengen et des règlements (CE) n o 767/2008 puis (UE) n° 2018/1861 susvisés ;
- du VIS en application du règlement (CE) n° 767/2008 susvisé ;
- du fichier d'authentification des actes d'état civil.
5. En application des décisions de la présidente de la Commission nationale de l’informatique et des libertés (la CNIL ou la Commission) n° s2020-277C et 2020-278C en date du 14 août 2020, des délégations de la Commission ont procédé à plusieurs opérations de contrôle sur place et sur pièces. Un contrôle sur pièces a été réalisé et un courrier a été adressé le 11 décembre 2020 au Y (Y), puis deux contrôles sur place ont été réalisés les 3 et 4 mars 2021 dans les services relevant du Y. Ces missions avaient pour objet de procéder à la vérification sur place de la conformité aux dispositions applicables des traitements de données à caractère personnel du SIS II et de tout traitement faisant l’objet d’une interconnexion avec celui-ci mis en œuvre par le Y et le X (X) ainsi que des traitements de données à caractère personnel relatifs à la délivrance des visas par les autorités françaises et de tout traitement faisant l’objet d’une interconnexion avec ceux-ci mis en œuvre par le Y et le X.