AgentPublic/cnil huggingface dataset:
5.4 Le recours à chacune de ces données pour toute réutilisation devra être justifié dans la demande soumise à la gouvernance de l’entrepôt.
 
5.5 Les données directement identifiantes mentionnées au point 5.2.1.1 ne peuvent être réunies dans l’entrepôt que pour les finalités suivantes :
recontacter les patients pour leur proposer de participer à des études
 ou pour les informer régulièrement des projets de recherche n’impliquant pas la personne humaine, réutilisant les données de l’entrepôt les concernant ;
recontacter les patients à la suite de découvertes de caractéristiques génétiques pouvant être responsables d’une affection justifiant des mesures de prévention ou de soins à leur bénéfice ou au bénéfice de leur famille, à l’exception des cas dans lesquels le patient s’y est opposé, conformément à l’article L. 1130-5 du code de la santé publique ;
recontacter les patients à la suite de découvertes annexes liées à l’identification de facteurs de risques et/ou d’identification syndromiques à même de modifier leur prise en charge (thérapeutique ou de suivi) ;
avertir une personne d’un risque sanitaire auquel elle est exposée.
 
5.6 Les données directement identifiantes mentionnées au point 5.2.1.1  ne peuvent être utilisées que si les finalités du traitement le justifient. À titre d’exemple, le jour de naissance ne pourra être utilisé que s’il est nécessaire à la réalisation d’une recherche impliquant des personnes âgées de moins de deux ans.
5.7 La pertinence des données comprises dans l’entrepôt doit être ré-évaluée régulièrement par la gouvernance de l’entrepôt, notamment au regard de l’utilisation qui en est faite pour les divers projets menés. Les données n’apparaissant plus nécessaires doivent être supprimées.
5.8 Dans le cas où des données directement identifiantes, des tables de correspondance, des données génétiques ou des données de suivi de localisation sont versées dans l’entrepôt, celles-ci doivent être stockées séparément des données pseudonymisées, en utilisant les procédés décrits dans les exigences de sécurité SEC-LOG-4 à SEC-LOG-6.
 
6. Accès aux informations
 
6.1 Le responsable de traitement d’un entrepôt de données de santé doit prêter une attention particulière à la gestion des droits d’accès des personnes habilitées à accéder aux données contenues dans l’entrepôt.
 
6.2 L’accès et l’usage des données directement identifiantes doivent être restreints aux finalités listées au point 5.5 et aux seules personnes chargées de la réalisation des opérations nécessaires à l’accomplissement de ces finalités.
6.3 Peuvent être destinataires de données pseudonymisées strictement nécessaires à la réalisation des objectifs de leurs projets de recherche, d’étude ou d’évaluation validés par la gouvernance de l’entrepôt, les équipes de recherche internes (p.ex. : composées de salariés du responsable de traitement) ou externes (p.ex. : composées de partenaires du responsable de traitement) au responsable de traitement, habilitées à cet effet.
 
6.4 Le personnel interne au responsable de traitement habilité à cet effet peut être destinataire de données pseudonymisées strictement nécessaires à l’accomplissement de leurs missions correspondant aux finalités de l’entrepôt.
 
6.5 Lorsque les données font l’objet d’un processus d’anonymisation au sein d’un espace projet de l’entrepôt, les données anonymes en résultant peuvent être publiées ou transmises à tout destinataire.
 
7. Durées de conservation
 
7.1 La durée de conservation des données de l’entrepôt de données de santé doit répondre aux exigences prévues à l’article 5.1.e du RGPD.
 
7.2 Les données mentionnées  au point 5.2.1.2 peuvent être conservées 20 ans maximum à compter de leur collecte dans le cadre des soins ou des recherches. Les données mentionnées au point 5.2.1.1 doivent être supprimées lorsque le délai de conservation des données mentionées au point 5.2.1.2 a  expiré.
 
7.3 Au-delà de ces durées, toute donnée doit être anonymisée ou détruite.
8. Information des personnes
8.1 L’information des patients :
Les personnes doivent être informées par le ou les responsables de traitement que les données collectées lors de leur prise en charge sont versées au sein de l’entrepôt.
 
8.2 L’information relative à la constitution de l’entrepôt pour les données issues de dossiers médicaux
 
8.2.1 Lors de la constitution d’un entrepôt, une première information relative à la constitution d’un entrepôt doit être transmise aux personnes concernées.
 
8.2.2 Collecte des informations auprès des patients admis ou réadmis postérieurement à la constitution de l’entrepôt
 
8.2.2.1 Les nouveaux patients ainsi que ceux en cours de suivi sont informés individuellement de la constitution de l’entrepôt (p.ex. : par courrier). Le ou les supports d’information utilisés comprennent l’ensemble des éléments prévus à l’article 13 du RGPD.
 
8.2.2.2. La réutilisation des données ainsi que les modalités d’exercice des droits d’accès et d’opposition doivent être particulièrement mises en avant dans la note d’information.
 
8.2.3 Collecte des informations issues de dossiers de patients admis antérieurement à la constitution de l’entrepôt et n’étant plus suivis
 
8.2.3.1 Les patients n’étant plus suivis sont informés individuellement de la constitution de l’entrepôt (p.ex. : par courrier). Le ou les supports d’information utilisés comprennent l’ensemble des éléments prévu à l’article 14 du RGPD.
8.2.3.2 Ces mentions d’information doivent intégrer la politique de protection des données à caractère personnel du responsable de traitement et être présentées dans une section dédiée.
 
8.2.2.3.La réutilisation des données ainsi que les modalités d’exercice des droits d’accès et d’opposition doivent faire l’objet d’une mise en avant spécifique dans la note d’information.
 
8.2.3.4 Le responsable de traitement peut faire valoir une exception à l’obligation d’information individuelle pour la constitution de l’entrepôt, s’il justifie dans son registre d’activité de traitement que la fourniture des informations exigerait des efforts disproportionnés, conformément à l’article 14.5.b du RGPD.
 
8.2.3.5 À ce titre, peuvent notamment être invoqués, au vu de sa situation :
le nombre de personnes concernées ;
l’ancienneté des données ;
le coût et le temps de la délivrance des informations.
 
Dans la plupart des cas, l’exception à l’obligation d’information ne sera justifiée que pour une catégorie de personnes concernées. À titre d’exemple, cette exception peut s’appliquer aux personnes pour lesquelles le responsable de traitement dispose d’un dossier médical mais qui ne sont plus suivies au sein de l’établissement ou centre où s’exercent des activités de prévention, de diagnostic et de soins. L’exception ne pourrait cependant être invoquée afin de ne pas informer les personnes qui viendraient consulter après la mise en œuvre de l’entrepôt.
L’AIPD devra détailler précisément en quoi l’information individuelle des personnes concernées constituerait un effort disproportionné, ainsi que les garanties mises en œuvre par le responsable de traitement afin de protéger les droits et libertés ainsi que les intérêts légitimes des personnes concernées.
 
8.2.3.6 En cas de recours à l’exception à l’obligation d’information individuelle, le responsable de traitement rend les informations publiquement disponibles, notamment en :
diffusant la note d’information relative à la constitution de l’entrepôt sur son site web, dans une rubrique dédiée et accessible depuis la page d’accueil, complétée par des informations détaillées sur chaque traitement mis en œuvre à partir des données de l’entrepôt ;
communiquant au sujet de l’entrepôt sur les réseaux sociaux, dans les médias régionaux, auprès des associations de patients ;
diffusant un communiqué de presse informant de la mise en place de l’entrepôt.
 
8.3 L’information relative à l’intégration dans l’entrepôt de données issues de la recherche
 
8.3.1 Si l’entrepôt intègre des données issues de recherches, les personnes concernées doivent être informées individuellement de la réutilisation des données issues de la recherche afin de constituer un entrepôt conformément aux dispositions de l’article 14 du RGPD. Dans cette hypothèse, le recours à l’exception à l’information individuelle est possible, dans les conditions mentionnées aux points 8.2.3.4 à 8.2.3.6.
8.3.2 Seules des données issues de traitements dont la durée de conservation n’a pas expiré pourront être intégrées dans l’entrepôt de données de santé.
 
8.4 Les personnes concernées doivent en outre être informées de chacune des réutilisations des données la concernant à des fins de recherche, d’étude ou d’évaluation, sauf lorsque les responsables de traitement se trouvent dans l’impossibilité de réaliser l’information ou qu’elle exigerait des efforts disproportionnés.
8.5 L’information des professionnels
8.5.1 Concernant l’information des professionnels exerçant au sein des établissements du responsable de traitement postérieurement à la mise en œuvre de l’entrepôt :
Les professionnels dont les données sont versées dans l’entrepôt doivent être informés individuellement et par écrit des mentions prévues par l’article 13 du RGPD.
Si le responsable de traitement est l’employeur des professionnels, la fiche d’information pourra prendre la forme d’un courrier ou d’un courriel joint au bulletin de paie ou au contrat de travail. L’information devra également être diffusée en commission ou conférence médicale d’établissement, sur l’intranet de celui-ci et à l’aide d’affiches dans les lieux de repos des personnels.
 
8.5.2 Concernant l’information des professionnels n’exerçant pas ou plus au sein des établissements du responsable de traitement lors de la mise en œuvre de l’entrepôt :
Si le responsable de traitement n’est pas l’employeur des professionnels dont les données sont collectées dans l’entrepôt, il devra réaliser une information individuelle par écrit de chacun d’entre eux, comportant les mentions prévues à l’article 14 du RGPD.
9. Droits des personnes
 
9.1 En complément de l’information individuelle, le responsable de traitement diffuse une information générale, via une campagne d’information publique (p.ex. : sur les réseaux sociaux, au sein de l’établissement et par la publication d’encarts dans la presse régionale), préalablement à la mise en place de l’entrepôt afin de garantir qu’une période de temps raisonnable (p.ex. : un mois) s’écoule entre la notification des patients et le commencement du traitement de leurs données, afin que ceux-ci puissent faire valoir leur droit d’opposition.
 
9.2 Les personnes concernées (professionnels et patients) dont les données figurent dans l’entrepôt disposent des droits suivants, qu’elles exercent dans les conditions prévues par le RGPD :
droit d’accès ;
droit de rectification ;
droit à l’effacement ;
droit à la limitation du traitement ;
droit d’opposition.
9.3 Le droit d’opposition des professionnels de santé s’exerce sous réserve des conditions d’exercice de ce droit en application des dispositions de l’article 21 du RGPD.
9.4 Le droit d’opposition des patients doit pouvoir s’exercer par tout moyen. Dans le cadre du présent Référentiel, le responsable de traitement doit permettre aux personnes de s’opposer au traitement dès leur information (p.ex., par la transmission d’un document papier pouvant être rempli immédiatement ou par une case à cocher par le professionnel, attestant de l’exercice du droit d’opposition).
 
9.5 Ces droits s’exercent auprès de toute personne spécifiquement formée et habilitée à cette fin par le responsable de traitement, et dont les coordonnées sont communiquées aux personnes concernées. Le cas échéant, il peut s’agir du délégué à la protection des données du responsable de traitement.
9.6 Le responsable de traitement ne peut se prévaloir des dispositions de l’article 11 du RGPD pour limiter l’exercice des droits des personnes concernées. En effet, lorsque les modalités de constitution de l’entrepôt n’impliquent pas la conservation de données identifiantes ou de moyens de correspondance avec l’identité des personnes, le responsable de traitement reste en capacité de répondre aux demandes des personnes si celles-ci fournissent des informations complémentaires permettant la réidentification de leurs données dans l’entrepôt. Il devra pour cela mettre en place un mécanisme garantissant la correspondance entre les données transmises par la personne exerçant ses droits et les données de l’entrepôt la concernant. Le responsable de traitement précisera dans la note d’information les informations qui devront lui être transmises pour l’exercice des droits.
 
9.7 En tout état de cause les mécanismes d’alimentation de l’entrepôt doivent permettre aux personnes d’exercer de façon pérenne leur droit d’opposition et peuvent constituer un moyen de réidentifier les données des personnes exerçant leurs autres droits.
 
 
10. Sécurité
10.1 De manière générale, le responsable de traitement, ainsi que les sous-traitants auxquels il fait appel, doivent prendre toutes les précautions utiles au regard des risques présentés par son traitement pour préserver la sécurité des données à caractère personnel et, notamment, au moment de leur collecte, durant leur transmission et leur conservation, empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.
 
10.2 En particulier, dans le contexte particulier du présent référentiel, le responsable de traitement doit adopter les mesures techniques et organisationnelles suivantes :
 
 
 
Numéros d’exigence
Exigences de sécurité
 
Cloisonnement réseau
 
SEC-RES-1
 
Le réseau de communication sur lequel l’entrepôt est hébergé ou rendu accessible doit faire l’objet de mesures de cloisonnement séparant les flux réseau spécifiques à l’entrepôt du reste des flux du système d’information.
SEC-RES-2
 
Des mesures de filtrage doivent également restreindre l’émission et la réception de ces flux réseau aux machines spécifiquement identifiées et autorisées pour le fonctionnement de l’entrepôt.
SEC-RES-3
 
Toutes les transmissions de données depuis ou vers l’entrepôt, ainsi que tous les flux de données internes à l’entrepôt, doivent faire l’objet de mesures de chiffrement conformes à l’annexe B1 du référentiel général de sécurité ( RGS ) afin d’en garantir la confidentialité.
 
 
 
Cloisonnement logique et cryptographique
 
SEC-LOG-1
Le responsable de traitement doit collecter et stocker les données à caractère personnel faisant partie de l’entrepôt sur des systèmes et bases de données distincts de ceux assurant la prise en charge des patients.
 
SEC-LOG-2
 
Les données à caractère personnel doivent être chiffrées au repos par des algorithmes et tailles de clé conformes à l’annexe B1 du RGS. Une procédure opérationnelle de gestion des clés doit être formalisée.
 
SEC-LOG-3
 
Les sauvegardes de ces données doivent également faire l’objet d’un chiffrement conforme à l’annexe B1 du RGS.
 
SEC-LOG-4
 
Dans le cas où des données directement identifiantes ou des tables de correspondance sont stockées dans l’entrepôt, celles-ci doivent être séparées logiquement des données pseudonymisées par des moyens cryptographiques. Par exemple, les données administratives des patients et les tables de correspondance doivent être chiffrées avec des clés différentes de celles utilisées pour chiffrer les données de santé de l’entrepôt.
 
SEC-LOG-5
 
L’accès aux deux catégories de données séparées définies à l’exigence SEC-LOG-4 doit être effectué via des comptes utilisateur différents, ou via un seul compte utilisateur devant choisir à la connexion un des profils d’habilitation différents qui lui sont attribués.
 
SEC-LOG-6
Dans le cas où des données génétiques ou de suivi de localisation sont collectées, celles-ci doivent faire l’objet d’un chiffrement distinct avec une clé spécifique par rapport aux autres données de l’entrepôt. 
 
La clé de déchiffrement des données génétiques ou de suivi de localisation ne doit être mobilisable que par les profils d’habilitation responsables de l’alimentation de l’entrepôt et de l’exportation de données vers un espace de travail.
 
 
Constitution et alimentation de l’entrepôt
 
SEC-ALI-1
 
Les circuits de collecte des données doivent faire l’objet de mesures de sécurité appropriées, en particulier la purge régulière des répertoires de transit et un contrôle d’accès strict aux données collectées.
 
SEC-ALI-2
 
Dans le cas où l’entrepôt est alimenté manuellement via des logiciels de saisie autorisant également la consultation des données saisies, les accès à ces logiciels doivent être sécurisés via une authentification forte conforme à l’exigence SEC-AUT-1.
 
 
Pseudonymisation des données
 
SEC-PSE-1
Aucun numéro interne, tel qu’un numéro de dossier patient ne peut être directement réutilisé comme identifiant au sein de l’entrepôt. Seul un identifiant pseudonyme unique peut être utilisé, permettant le cas échéant la correspondance entre les données pseudonymisées stockées dans l’entrepôt et des données directement identifiantes. Cet identifiant doit être dédié à un seul entrepôt. Il doit être généré par une fonction de hachage cryptographique résistante aux attaques par force brute ou un générateur de nombres pseudo-aléatoires cryptographiquement sûr. Les données doivent être pseudonymisées préalablement à leur intégration dans l’entrepôt.
SEC-PSE-2
Dans le cas où l’entrepôt intègre des jeux de données existants déjà pseudonymisés, un nouveau numéro pseudonyme unique respectant les conditions de l’exigence SEC-PSE-1 doit être généré lors de l’alimentation de l’entrepôt.
 
SEC-PSE-3
 
Dans le cas où des données relatives aux professionnels de santé sont collectées, le responsable de traitement doit pseudonymiser ces données.
 
SEC-PSE-4
Les documents non structurés ajoutés à l’entrepôt doivent faire l’objet d’une étape de suppression ou de masquage avant leur intégration dans l’entrepôt. Cette étape consiste à supprimer les données identifiantes des patients et des professionnels de santé ou à les remplacer par des termes génériques ou des données fictives. Par exemple, les NIR, nom de naissance, prénom, code postal, ville ou numéro de téléphone seront remplacés par des termes génériques tels que NIR , NOM_DE_NAISSANCE , PRENOM , CODE_POSTAL , VILLE ou TEL .
Cette exigence s’applique notamment aux documents bureautiques et aux fac-similés d’impression (comme les comptes rendus médicaux et les prescriptions), aux numérisations de documents, à l’imagerie médicale et à toute forme de résultats d’analyse biomédicale. Elle concerne également les commentaires en saisie libres contenus dans les bases de données.
L’opération de masquage ou suppression devra s’appliquer au contenu visible des documents (comme les entêtes des courriers et les cartouches des images), aux métadonnées contenues dans ces fichiers (comme le nom de l’opérateur d’imagerie) et aux attributs des fichiers (comme leur nom).
 
 
Accès physique aux données
 
 
 
SEC-PHY-1
 
L’accès physique
 aux serveurs et aux locaux hébergeant les infrastructures de l’entrepôt doit être sécurisé par des mesures de protection adéquates. En particulier, des mesures de contrôle d’accès physique doivent être mises en place.
Gestion des habilitations et accès logique aux données
 
SEC-HAB-1
 
Différents profils d’habilitation doivent être prévus afin de gérer les accès aux données en tant que besoin et de façon exclusive.
 
SEC-HAB-2
 
Une granularité des accès aux données doit être prévue pour chaque profil d’habilitation, tout en respectant l’exigence SEC-LOG-5 relative au cloisonnement des tables de correspondance et données directement identifiantes. Par exemple, un profil peut contenir soit un accès uniquement à des données agrégées et/ou un accès à des données pseudonymisées, soit un accès uniquement à des données directement identifiantes.
 
SEC-HAB-3
 
Les personnes autorisées à accéder aux données à caractère personnel doivent être individuellement habilitées selon une procédure impliquant une validation par :
une des instances assurant la gouvernance de l’entrepôt ; ou
par leur responsable hiérarchique dans le cas des ingénieurs et administrateurs système et réseau.
 
SEC-HAB-4
 
Les accès privilégiés disposant de droits étendus, notamment pour l’administration et la maintenance doivent être réservés à une équipe restreinte et être limités au strict nécessaire.
 
SEC-HAB-5
 
Une revue manuelle ou automatique des habilitations doit être réalisée régulièrement et a minima annuellement, ainsi qu’à la fin de chaque projet de recherche utilisant les données de l’entrepôt.
 
SEC-HAB-6
Les permissions d’accès doivent être retirées dès le retrait des habilitations, par exemple après le départ d’un collaborateur ou une modification de ses missions.
 
 
Authentification pour la consultation et l’administration de l’entrepôt
 
SEC-AUT-1
 
L’accès aux données à caractère personnel doit être subordonné à une authentification forte faisant intervenir a minima deux facteurs d’authentification distincts. Si un de ces facteurs est un mot de passe, celui-ci doit être conforme aux recommandations de la CNIL en matière de mot de passe (délibération 
n° 2017-012 du 19 janvier 2017 à la date de rédaction de ce référentiel).
 
SEC-AUT-2
 
Cette authentification forte doit être mise en place à la fois pour les accès internes et externes à l’entrepôt.
 
 
SEC-AUT-3
 
Toutes les transmissions de données depuis ou vers l’entrepôt, ainsi que tous les flux internes à l’entrepôt, réalisés automatiquement sans action d’un utilisateur, doivent être effectués par des serveurs mutuellement authentifiés par certificat ou dispositif d’authentification équivalent
.
 
 
Espace de travail
 
SEC-ESP-1
Les données de l’entrepôt doivent être manipulées par les chercheurs uniquement dans des espaces de travail internes à l’entrepôt et spécifiques à chaque projet de recherche, étanches avec la base de données de l’entrepôt et étanches les uns des autres. Des capacités d’échange entre les espaces de travail sont néanmoins possibles pour le partage de données qui auront subi le processus d’anonymisation détaillé à l’exigence SEC-EXP-1.
 
SEC-ESP-2
 
Les jeux de données importées dans un espace de travail spécifique à un projet de recherche doivent être minimisés et limités aux seules données nécessaires au projet. Un numéro pseudonyme unique spécifique à chaque espace de travail devra être généré dans les mêmes conditions qu’à l’exigence SEC-PSE-1.
 
SEC-ESP-3
 
En cas de suivi de cohorte, le même numéro pseudonyme unique peut être réutilisé dans plusieurs espaces de travail.
 
 
Exportation de données hors de l’entrepôt et hors des espaces de travail
 
SEC-EXP-1
A l’exception des données relatives aux procédures de ré-identification SEC-REI-1 à SEC-REI-3, seuls des jeux de données anonymes peuvent faire l’objet d’une exportation hors de l’entrepôt ou d’un espace de travail. Le processus d’anonymisation doit produire un jeu de données conforme aux trois critères définis par l'avis du G29 n° 05/2014 ou à tout avis ultérieur du CEPD relatif à l’anonymisation. Cette conformité doit être documentée et démontrable. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification devra être menée et documentée.
 
SEC-EXP-2
 
Les exports de données doivent être soumis à la validation préalable d’un responsable afin d’en avaliser le principe, notamment au regard de l’exigence SEC-EXP-1.
 
SEC-EXP-3
 
Les exports doivent faire l’objet d’une surveillance automatique ou manuelle par un opérateur spécialisé afin d’en vérifier le caractère anonyme. Dans le cas où cette surveillance est automatique, tout export identifié comme non conforme doit faire l’objet d’une remontée d’alerte et d’une mise en quarantaine dans l’entrepôt, puis doit être vérifié manuellement par un responsable spécifiquement formé et spécifiquement habilité.
 
SEC-EXP-4
 
Les systèmes mis en place dans l’entrepôt relatifs à la production d’indicateurs et au pilotage
 stratégique de l’activité d’un établissement de santé ne doivent permettre que des restitutions anonymes, y compris en tenant compte