AgentPublic/cnil huggingface dataset:
Elle relève que le temps médian d’accès à la liste d’attente ainsi que le temps moyen d’accès à la liste d’attente de ces patients seront calculés à l’échelle départementale et à celle de l’entité gestionnaire (correspondant à un agrégat de centres) ; chacun de ces délais sera calculé en fonction du profil des patients (âge – réparti en trois tranches ; indice de masse corporelle – réparti également en trois tranches ; présence ou non d’un diabète) et les comorbidités associées (maladies cardio-vasculaires, cancers, ou hémopathie évolutifs et leurs associations).
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur l’information et les droits des personnes
En application de l'article 69 de la loi informatique et libertés modifiée et de l'article 14-5-b du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, conformément au RGPD, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, la Commission prend acte qu'il sera fait exception au principe d'information individuelle des personnes et que des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du groupe France télévisions d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD.
Elle relève que cette information sera mise en ligne dès que les données auront été mises à disposition du responsable de traitement par l’Agence de la biomédecine.
Les personnes concernées seront également informées lors de la diffusion du documentaire.
Sur les mesures de sécurité et la traçabilité des actions
La Commission relève que la mise à disposition des données ne pourra être effectuée que selon l’une des deux modalités suivantes.
La mise à disposition des données via le Centre d’accès sécurisé aux données (CASD)
Les données pourront être mises à disposition auprès du responsable de traitement par l’intermédiaire du Centre d’accès sécurisé aux données. La Commission souligne que la transmission des données au CASD devra s’effectuer par des moyens sécurisés.
Par la suite, seules pourront faire l’objet d’une extraction depuis le CASD des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes soit impossible.
La Commission rappelle que, pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’article 29 (G29) le 10 avril 2014. A défaut, si ces trois critères ne peuvent être réunis, une étude des risques de réidentification doit être menée.
A cet égard, la Commission relève que l'analyse des données sera réalisée à différentes échelles : d’une part, au niveau départemental et, d’autre part, à l’échelle de l’entité gestionnaire correspondant à un agrégat d’établissements de soins dont le nombre de patients sera systématiquement supérieur à dix.
Elle attire cependant l’attention du responsable de traitement sur le fait que la suppression des résultats contenant de petits effectifs peut ne pas être suffisante pour respecter les trois critères définis par l’avis n° 05/2014 précité et qu’une analyse complète de ses processus d’anonymisation doit être menée, assortie d’une réévaluation régulière des risques de réidentification.
La mise à disposition d’indicateurs agrégés par l’Agence de la biomédecine 
A défaut de mise à disposition via le CASD, la Commission relève que l’Agence de la biomédecine pourra transmettre au responsable de traitement des résultats traités et agrégés selon la méthodologie figurant dans le dossier de demande.
Dans cette hypothèse, la Commission rappelle que seules des données vérifiant les critères de l’avis du G29 susvisé pourront être mises à disposition, et ce par des moyens sécurisés, adaptés notamment au niveau des risques de réidentification.
Sur les catégories de destinataires
Quelle que soit la modalité de mise à disposition, seul le responsable du traitement et les personnes habilitées par lui ont accès aux données à caractère personnel dans le cadre de la présente autorisation. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur la durée de conservation des données
La durée d’accès aux données à caractère personnel devra être limitée à la durée nécessaire à la mise en œuvre du traitement, qui ne saurait être supérieure à six mois, à compter de l’accès effectif aux données.
Cette durée n’excède pas celle nécessaire aux finalités pour lesquelles les données sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Sur la transparence du traitement et la publication des résultats
la Commission relève que le responsable de traitement envisage une diffusion de l’ensemble des résultats dans un documentaire. Ces résultats seront notamment rendus accessibles sous forme de cartographies (s’agissant de la description des pratiques de prise en charge selon les lieux et les comorbidités des patients) ainsi que sous forme de graphiques et de tableaux (s’agissant des évolutions et modalités de prise en charge en fonction des profils des patients).
Outre la mise à disposition du documentaire en replay, la Commission prend acte de l’engagement du responsable de traitement de publier sur le site web du groupe France télévisions une description précise de la méthodologie suivie ainsi que l’ensemble des résultats obtenus.
La Commission rappelle que, lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi informatique et libertés .
Autorise, conformément à la présente délibération, la société PREMIÈRES LIGNES TÉLÉVISION à mettre en œuvre le traitement susmentionné.
La Présidente
 
 
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la société PREMIÈRES LIGNES TÉLÉVISION d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur les variations d’incidence et de mortalité liées à l’épidémie de la COVID-19 par types et sous-types d’établissements dans les établissements d’hébergement pour personnes âgées dépendantes, intitulée VarIncidMortEHPAD ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’avis du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 9 juin 2020 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
 
Formule les observations suivantes :
Sur le responsable de traitement
La société PREMIÈRES LIGNES TÉLÉVISION est spécialisée dans la production d’émissions télévisées, et plus particulièrement de documentaires d’investigation. A ce titre, elle produit notamment l’émission Cash Investigation pour la chaîne télévisée France 2.
Pour les besoins d’une émission qui sera diffusée durant l’année 2021, elle souhaite accéder aux données de la plateforme de signalement obligatoire COVID-19 EHPAD/ESMS coordonnée par l’Agence nationale de santé publique.
Sur la licéité du traitement
Le traitement mis en œuvre par la société PREMIÈRES LIGNES TÉLÉVISION s’inscrit dans le cadre de son activité de production de documentaires d’investigation.
Il est nécessaire aux fins des intérêts légitimes poursuivis par le responsable de traitement. A ce titre, sont pris en considération le caractère très indirectement identifiant des données et les garanties, notamment en termes de droits des personnes, prévues dans le dossier de demande.
Ce traitement est, à ce titre, licite au regard de l’article 6-1-f) du Règlement général sur la protection des données (ci-après RGPD ).
Sur la finalité et l’intérêt public du traitement
Le traitement a pour finalité la mise en œuvre d’une étude portant sur l’intensité de l’épidémie liée à la COVID-19 au sein des établissements d’hébergement pour personnes âgées dépendantes.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5-1- b du RGPD.
Elle estime, par ailleurs, que ce traitement présente une finalité d’intérêt public, conformément à l’article 66-I de la loi informatique et libertés .
Sur la nature des données traitées
Les données colligées par la plateforme de signalement obligatoire COVID-19 EHPAD/ESMS durant les années 2020 et 2021 seront utilisées dans le cadre de cette étude, sous réserve de leur disponibilité.
La Commission relève que cette plateforme, coordonnée par l’Agence nationale de santé publique, permet de signaler la survenue de cas présentant un tableau clinique compatible avec une infection liée à la COVID-19 parmi les résidents et le personnel des établissements d’hébergement pour personnes âgées dépendantes (EHPAD) ainsi que des établissements médico-sociaux (EMS) afin de mettre en place des mesures médicales, sanitaires et sociales d’accompagnement de ces personnes.
Cette plateforme recueille notamment des informations relatives :
aux caractéristiques de l’établissement (statut et sous-statut administratif, numéro FINESS) ;
au nombre de résidents et de membres du personnel présents lors du signalement ;
au nombre de cas parmi les résidents et les membres du personnel (cas possibles, cas confirmés, cas hospitalisés ainsi que, le cas échéant, lieu de survenance du décès) ;
au nombre de tests réalisés auprès des résidents et du personnel.
La Commission relève que les déclarations effectuées par les établissements diffèrent selon le statut de l’épisode infectieux (initial, en cours ou achevé) :
pour les établissements dans lesquels l’épisode infectieux n’est pas achevé, le responsable de traitement sollicite un accès à l’ensemble des variables disponibles au moment de l’extraction ;
pour les établissements dans lesquels l’épisode infectieux est achevé, le responsable de traitement sollicite un accès à l’ensemble des variables consolidées.
Les données issues de la plateforme de signalement feront l’objet d’un appariement avec des données disponibles en open-data :
les données du fichier national des établissements sanitaires et sociaux (FINESS) des EHPAD officiellement immatriculés afin, d’une part, de fusionner les établissements déclarants et les établissements non-déclarants et, d’autre part, de lier chaque établissement déclarant à son entité gestionnaire ;
les données de l’annuaire du Portail national d’information et d’orientation des personnes âgées en perte d’autonomie et de leurs proches contenant notamment des informations relatives au statut juridique de l’établissement, à sa capacité totale et à ses tarifs.
Ces données seront appariées à partir d’une clef primaire constituée du code postal suivi du nom de l’établissement et d’une clé secondaire constituée par son numéro FINESS géographique.
La Commission relève, enfin, que les données ainsi appariées permettront d’analyser l’intensité de l’épidémie à travers la production d’indicateurs relatifs au :
taux d’incidence parmi les résidents et/ou les personnels de ces établissements ;
taux de mortalité ;
rapport d’incidence entre les résidents infectés et les personnels infectés lorsque des cas ont été déclarés parmi le personnel de l’établissement.
Ces indicateurs seront déclinés selon différentes variables ayant trait au profil des résidents (niveau moyen de dépendance, etc.), de l’établissement (statut et sous-statut juridique, capacité, taux d’encadrement, tarifs), de l’entité gestionnaire (mono-site, multi-sites, etc.) ainsi qu’à différentes échelles géographiques (établissement ou entité gestionnaire, commune, département, région, territoire national).
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5, 1, c) du RGPD.
Sur l’information et les droits des personnes
En application de l'article 69 de la loi informatique et libertés modifiée et de l'article 14-5-b du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, conformément au Règlement général sur la protection des données, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, la Commission prend acte qu'il sera fait exception au principe d'information individuelle des personnes et que des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du groupe France télévisions d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par l’article 14 du RGPD.
Elle relève que cette information sera mise en ligne dès que les données auront été mises à disposition du responsable de traitement par l’Agence nationale de santé publique.
Les personnes concernées seront également informées lors de la diffusion du documentaire.
Sur les mesures de sécurité et la traçabilité des actions
La Commission relève que la mise à disposition des données ne pourra être effectuée que selon l’une des deux modalités suivantes.
La mise à disposition des données via le Centre d’accès sécurisé aux données (CASD)
Les données pourront être mises à disposition auprès du responsable de traitement par l’intermédiaire du Centre d’accès sécurisé aux données. La Commission souligne que la transmission des données au CASD devra s’effectuer par des moyens sécurisés.
Par la suite, seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes soit impossible, pourront faire l’objet d’une extraction depuis le CASD.
La Commission rappelle que, pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n°05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. A défaut, si ces trois critères ne peuvent être réunis, une étude des risques de réidentification doit être menée.
A cet égard, la Commission relève que les résultats concernant moins de dix cas seront systématiquement exclus.
Elle attire cependant l’attention du responsable de traitement sur le fait que la suppression des résultats contenant de petits effectifs peut ne pas être suffisante pour respecter les trois critères définis par l’avis n°05/2014 précité et qu’une analyse complète de ses processus d’anonymisation doit être menée, assortie d’une réévaluation régulière des risques de réidentification.
La mise à disposition d’indicateurs agrégés par l’Agence nationale de santé publique
A défaut de mise à disposition via le CASD, la Commission relève que l’Agence nationale de santé publique pourra transmettre au responsable de traitement des résultats traités et agrégés selon la méthodologie figurant dans le dossier de demande.
Dans cette hypothèse, la Commission rappelle que seules des données vérifiant les critères de l’avis du G29 susvisé pourront être mises à disposition, et ce par des moyens sécurisés, adaptés notamment au niveau des risques de réidentification.
Sur les catégories de destinataires
Quelles que soient les modalités de mise à disposition des données, seul le responsable du traitement et les personnes habilitées par lui ont accès aux données à caractère personnel dans le cadre de la présente autorisation. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur la durée de conservation des données
La durée d’accès aux données à caractère personnel devra être limitée à la durée nécessaire à la mise en œuvre du traitement, qui ne saurait être supérieure à dix-mois mois, à compter de l’accès effectif aux données.
Cette durée n’excède pas celle nécessaire aux finalités pour lesquelles les données sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du Règlement général sur la protection des données.
Sur la transparence du traitement et la publication des résultats
La Commission relève que le responsable de traitement envisage une diffusion de l’ensemble des résultats dans un documentaire. Ces résultats seront notamment rendus accessibles sous forme de cartographies (s’agissant des variables géographiques), de graphiques et de tableaux.
Outre la mise à disposition du documentaire en replay, la Commission prend acte de l’engagement du responsable de traitement de mettre en ligne une page web spécifique à ce projet sur le site web du groupe France télévisions contenant un résumé du projet, une description précise de la méthodologie suivie, l’ensemble des résultats obtenus ainsi que le renvoi vers une adresse courriel dédiée afin de permettre au grand public d’adresser des demandes d’explications complémentaires.
La Commission rappelle que, lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi informatique et libertés .
Autorise, conformément à la présente délibération, la société PREMIÈRES LIGNES TÉLÉVISION à mettre en œuvre le traitement susmentionné.
La Présidente
 
 
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut national du cancer (INCa) et la société AstraZeneca d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude intitulée ATU PACIFIC et Plateforme de données en cancérologie portant sur le suivi longitudinal des patients atteints d’un cancer du poumon non à petites cellules (CPNPC) de stade III inopérable traités par durvalumab après une chimio radiothérapie ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique, notamment ses articles L. 1461-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au système national des données de santé ;
Vu l’avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 4 octobre 2019 ;
Vu la délibération n° 2019-082 du 20 juin 2019 autorisant l’Institut national du cancer (INCa) à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé visant à étudier les trajectoires des personnes atteintes d’un cancer, intitulé : Plateforme de données en cancérologie ;
Vu la délibération n° 2019-083 du 20 juin 2019 portant décision unique et autorisant l’Institut national du cancer (INCa) à mettre en œuvre des traitements automatisés à des fins de recherche, d’étude et d’évaluation basés sur la Plateforme de données en cancérologie de l’INCa ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur les responsables de traitement
Les deux responsables de traitement, l’Institut national du cancer (INCa) et la société Astra Zeneca déterminent conjointement les finalités et les moyens du traitement.
A cet égard, la Commission rappelle que, conformément à l'article 26 du RGPD, les responsables conjoints du traitement doivent définir de manière transparente leurs obligations respectives. Elle prend acte que la répartition des rôles et responsabilités a été formalisée par une convention entre les deux parties.
Sur le recours à la Plateforme des données en cancérologie de l’INCa
La Commission relève que le traitement nécessite le recours aux données issues de la Plateforme des données en cancérologie, pour laquelle l’INCa dispose d’une autorisation (délibération n° 2019-082 du 20 juin 2019 - demande d’autorisation n° 918314).
Cette plateforme inclut des données issues :
du Système national des données de santé (SNDS) pour lesquelles l’INCa dispose d’un accès permanent, conformément aux dispositions des articles R. 1461-11 et suivants du code de la santé publique ;
des registres du cancer ;
des structures de gestion de dépistage du cancer.
Elle relève que l’INCa s’assure, d’une part, de la pertinence et de la qualité des informations y figurant, en s’appuyant notamment sur des groupes d’experts et les fédérations hospitalières et, d’autre part réalise des pré-traitements spécifiques au domaine de la cancérologie.
La Commission prend ainsi acte de la spécificité des données figurant au sein de la Plateforme de données en cancérologie, qui sont nécessaires à la réalisation de la présente étude.
Sur l’application des dispositions liées au SNDS