AgentPublic/cnil huggingface dataset:
Sur les conditions d’accès au traitement, la Commission relève que, globalement, le niveau de sécurité apporté est adéquat et que les faiblesses potentielles sont identifiées et en cours de traitement.
La Commission tient tout de même à souligner qu’il est important que tous les accès soient redondés, quelle que soit la population d’utilisateurs concernés.
La Commission rappelle, dans le cas où les agents ou administrateurs aient à s’authentifier à l’aide d’un couple identifiant et mot de passe, qu’elle a élaboré dans sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ainsi que dans sa délibération n° 2017-190 du 22 juin 2017 portant modification de la recommandation relative aux mots de passe, plusieurs recommandations relatives à l’utilisation de cette technique d’authentification. Elle invite dès lors le ministère à en prendre connaissance et à procéder aux éventuelles modifications nécessaires afin de mettre sa politique de mots de passe en conformité avec les recommandations de la Commission.
Ainsi, la Commission préconise que les systèmes intègrent une fonction de demande de renouvellement automatique de mots de passe quelle que soit la population concernée.
De même, la Commission recommande de supprimer, autant qu’il est techniquement possible, le recours à l’utilisation de comptes génériques.
En outre, la Commission encourage à une déconnexion automatique des comptes, tant utilisateurs que super-utilisateurs, après une période d’inactivité dont la durée ne doit pas être excessive en fonction du contexte.
Enfin, s’agissant des accès logiques, la Commission recommande, afin de limiter la surface d’attaque, de supprimer toute partie applicative existante n’ayant pas d’utilité au sein de l’application finale, notamment s’agissant des parties relatives à des portails d’accès.
La Commission prend acte des mesures de chiffrement mises en œuvre au niveau des flux, ainsi que la gestion de ces derniers, et n’a pas de remarques particulières à formuler à ce sujet.
La Commission recommande, sur la gestion des traces et journaux techniques, de mettre en œuvre une durée de conservation ne dépassant pas six mois, sauf à être en mesure de prouver que certains risques ne peuvent être couverts que par une extension de cette durée, et de mettre en œuvre, en vue d’être en mesure d’assurer l’intégrité et la disponibilité de ces derniers, un système de centralisation des traces. La Commission rappelle qu’une surveillance proactive des journaux techniques est nécessaire et que l’absence d’outils ne peut justifier une prolongation de la durée de conservation de ces journaux.
La Présidente
 
 
 Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données), notamment son article 58 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b) ;
Vu le règlement intérieur de la Commission, notamment son article 19 ;
La Commission constate des erreurs matérielles dans la délibération ainsi que dans le référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d'entrepôts de données dans le domaine de la santé annexé à la délibération n° 2021-118 du 7 octobre 2021 portant son adoption.
La délibération est donc modifiée de la façon suivante :
Au visa faisant référence à la loi informatique et libertés , le mot : articles est remplacé par : article .
Le référentiel est donc modifié de la façon suivante :
Au point 2.2 du référentiel, les termes : déclarationde sont remplacés par : déclaration de ;
Au point 3.2.2.1 du référentiel, les termes : 5.1 sont remplacés par : 5.2 ;
Au point 5.1 du référentiel, les termes : et que leur collecte sont remplacés par : et dont la collecte ;
Au point 5.6 du référentiel, les termes : 5.3.1.1 sont remplacés par : 5.2.1.1 ;
Au point 6.2 du référentiel, les termes : doit être sont remplacés par : doivent être ;
A la première phrase du point 7.2 du référentiel, les termes : aux points 5.2.1.2 et 5.2.1.3 sont remplacés par : au point 5.2.1.2 ;
A la deuxième phrase du point 7.2 du référentiel, les termes : aux points 5.2.1.2 et 5.2.1.3 sont remplacés par : au point 5.2.1.2 ;
Au point 8.2.2.2 du référentiel, les termes : mis en avant sont remplacés par : mises en avant ;
Au point 12.2 du référentiel, les termes : ne peut entraîner sont remplacés par : ne peuvent entraîner .
ANNEXE 
RÉFÉRENTIEL RELATIF AUX TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL MIS EN ŒUVRE À DES FINS DE CRÉATION D'ENTREPÔTS DE DONNÉES DANS LE DOMAINE DE LA SANTÉ
 
1. A qui s'adresse ce référentiel ?
Ce référentiel s’adresse aux responsables de traitements qui souhaitent, dans le cadre de leurs missions d’intérêt public, réunir des données en vue de leur réutilisation, pour les finalités mentionnées au point 3.1.
1.1 De tels traitements sont ci-après dénommés entrepôts de données de santé .
1.2. Le référentiel s’applique également aux entrepôts mis en œuvre par des responsables conjoints qui définissent leurs obligations respectives conformément à l’article 26 du RGPD.
1.3. Ne sont pas concernés par ce référentiel :
les entrepôts mis en œuvre par une société privée sur le fondement de son intérêt légitime ;
les traitements de données à caractère personnel mis en œuvre uniquement aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements, ou de la gestion de services de santé et mis en œuvre par les professionnels de santé et les systèmes ou services de soins de santé (p. ex : les dossiers médicaux dématérialisés) ;
les traitements de données à caractère personnel mis en œuvre lorsque la personne a donné son consentement explicite à cette fin ;
Les entrepôts appariés avec la base principale du Système national des données de santé tel que défini à l’article L. 1461-1 du code de la santé publique.
2. Portée du référentiel
2.1. Ce référentiel précise le cadre juridique, issu du règlement général sur la protection des données (RGPD) et des dispositions nationales, applicable aux entrepôts de données de santé.
2.2. Les responsables de traitement qui réalisent auprès de la Commission une déclaration de conformité au présent référentiel sont autorisés à mettre en œuvre un entrepôt de données de santé lorsque le traitement est strictement conforme au référentiel.
Pour déclarer sa conformité au référentiel :
"
Déclarer un fichier
"
 
- rubrique "déclaration de conformité "
2.3. Tout traitement de données à caractère personnel visant à mettre en œuvre un entrepôt de données de santé qui ne respecte pas l'ensemble des exigences définies par le présent référentiel doit faire l'objet d'une demande d'autorisation spécifique, conformément aux dispositions de l'article 66 III de la loi informatique et libertés .
Pour demander une autorisation :
"
Déclarer un fichier 
" 
- rubrique "demande d’autorisation santé – finalité d’intérêt public"
 
2.4. Les responsables de traitement doivent mettre en œuvre toutes les mesures appropriées (techniques et organisationnelles) afin de garantir la protection des données à caractère personnel traitées, à la fois dès la conception du traitement et par défaut, comme prévu à l'article 25 du RGPD. Ils doivent, en outre, démontrer cette conformité tout au long de la vie des traitements. Les entrepôts mis en œuvre dans le cadre du référentiel doivent également être inscrits dans le registre des activités de traitement prévu à l'article 30 du RGPD.
2.5. Les principes posés dans ce référentiel constituent également une aide à la réalisation de l'analyse d'impact à la protection des données (AIPD) que les responsables de traitement concernés doivent mener (v. point 13 du présent référentiel).
2.6. En application de l'article 65.1 de la loi informatique et libertés , les entrepôts mis en œuvre après recueil du consentement conforme à l'article 7 du RGPD sur la base de l'article 9.2.a du RGPD de chacune des personnes concernées ne sont pas soumis à une autorisation préalable de la Commission ni à une déclaration de conformité au présent référentiel. La Commission rappelle toutefois que les principes et les mesures posés par le présent référentiel peuvent s'appliquer à l'ensemble des traitements de données de santé de même nature, indépendamment de leur encadrement juridique.
2.7. Les traitements de données de santé à caractère personnel mis en œuvre à des fins de recherche, d'études ou d'évaluation dans le domaine de la santé, à partir des données contenues dans l'entrepôt, constituent des traitements distincts qui doivent faire l'objet des formalités nécessaires au titre des articles 66 et 72 et suivants de la loi informatique et libertés .
3. Objectif(s) poursuivi(s) par le traitement (Finalités) et gouvernance
3.1. Les finalités couvertes par le référentiel
3.1.1. Les entrepôts encadrés par le présent référentiel sont mis en œuvre afin de permettre la réutilisation des données qu'ils contiennent.
3.1.2. Lorsqu'ils sont mis en œuvre exclusivement à partir des données de l'entrepôt par les personnels habilités du responsable de traitement et pour son usage exclusif, les traitements répondant aux finalités suivantes peuvent être mis en œuvre dans le cadre de la déclaration de conformité au présent référentiel :
- la production d'indicateurs et le pilotage stratégique de l'activité, sous la responsabilité du médecin responsable de l'information médicale (département de l'information médicale - DIM) (p. ex : analyses médico-économiques de parcours de soins, évaluation de la qualité et de la pertinence des prises en charge) ;
- l'amélioration de la qualité de l'information médicale ou l'optimisation du codage dans le cadre du programme de médicalisation des systèmes d'information (PMSI) ;
- le fonctionnement d'outils d'aide au diagnostic médical ou à la prise en charge ;
- la réalisation d'études de faisabilité (pré-screening).
3.1.3. Les données peuvent également être réutilisées à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé. Ces traitements devront faire l'objet des formalités adéquates : s'ils sont conformes à une méthodologie de référence, ils peuvent être mis en œuvre à la condition que leur responsable adresse préalablement à la Commission une déclaration attestant de cette conformité. A défaut, ils devront solliciter une autorisation recherche sur le fondement de l'article 66.III de la loi informatique et libertés .
3.1.4. Les données contenues dans les traitements réalisés dans le cadre de ce référentiel ne peuvent être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d'établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque.
3.2. La gouvernance de l'entrepôt
3.2.1. Afin de vérifier le respect des finalités poursuivies, le responsable de traitement met en œuvre une gouvernance pour chaque entrepôt qu'il constitue. Les instances constituées à cette fin peuvent être mutualisées si le responsable de traitement met en œuvre plusieurs entrepôts.
3.2.2. Une première instance (comité de pilotage ou équivalent) détermine les orientations stratégiques et scientifiques de l'entrepôt.
3.2.2.1. Il est de son ressort de tenir une liste exhaustive des données de l'entrepôt et de justifier de leur nécessité, dans la limite des données listées au 5.2 du présent référentiel.
3.2.2.2. Dans le cadre d'une structure dotée d'un DIM, cette gouvernance doit faire intervenir ce dernier, ainsi qu'un représentant de la conférence ou de la commission médicale d'établissement.
3.2.3. Une seconde instance (comité scientifique et éthique, ou équivalent) rend, de manière systématique, un avis préalable et motivé sur les propositions de projets nécessitant la réutilisation des données de l'entrepôt.
3.2.3.1. Seuls les projets ayant été examinés par cette instance peuvent avoir recours à l'entrepôt. L'avis doit être communiqué sans délai au porteur de projet souhaitant réutiliser les données de l'entrepôt.
3.2.3.2. Une liste des traitements sur lesquels ce comité s'est prononcé est communiquée de façon périodique, au moins une fois par an, au délégué à la protection des données du responsable de traitement.
3.2.3.3. Pour les traitements qui relèvent du point 3.1.3, le comité peut choisir, pour certains dossiers qui portent sur des catégories de données et de destinataires identiques, de rendre un avis unique. Il peut également choisir de ne pas se prononcer de façon systématique pour les recherches internes au sens de l'article 65.2° de la loi informatique et libertés .
3.2.3.4. Cette deuxième instance comprend notamment :
- au moins une personne impliquée dans l'éthique en santé ;
- une personne indépendante du responsable de traitement (par exemple : non salariée) ;
- des professionnels de santé et professionnels médico-sociaux ;
- des chercheurs ;
- un représentant des usagers ou d'une association de patients.
4. Base(s) légale(s) du traitement
4.1. Le référentiel ne s'applique qu'aux entrepôts de données de santé dont la constitution se fonde sur l'exercice d'une mission d'intérêt public, au sens de l'article 6-1-e du RGPD. Ainsi, l'entrepôt doit être nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement.
4.2. Le caractère d'intérêt public de la mission du responsable de traitement doit être distingué de l'exigence d'intérêt public imposée pour les finalités des traitements mis en œuvre dans le domaine de la santé, conformément à l'article 66 de la loi n° 78-17 du 6 janvier 1978 modifiée.
5. Données à caractère personnel pouvant être incluses dans l'entrepôt
5.1. Seules des données à caractère personnel adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement peuvent être collectées et traitées. A ce titre, le responsable de traitement ne peut collecter et traiter que :
- des données qui figurent dans le dossier médical et administratif ou dossier unique informatisé de la personne concernée et dont la collecte est justifiée par sa prise en charge ; et/ou
- des données issues de projets de recherches, études et évaluations dans le domaine de la santé précédemment réalisés et dont leur durée de conservation n'a pas expiré.
5.2. Les données pouvant être traitées incluent :
5.2.1. Des données relatives aux patients :
5.2.1.1. Données directement identifiantes et administratives relatives aux patients devant être conservées dans un espace distinct des autres données :
- nom, prénoms ;
- sexe, genre, civilité ;
- statut matrimonial ;
- jour, mois, date et lieu de naissance ;
- date, lieu et cause de décès, si présents dans le dossier médical ;
- coordonnées téléphoniques, électroniques et adresse de résidence ;
- numéro d'identifiant permanent du patient (IPP) ;
- numéro d'identifiant de l'épisode de soin (IEP) ;
- numéro d'identification au répertoire des personnes physiques - identifiant national de santé (NIR-INS).
5.2.1.2. Autres catégories de données à caractère personnel, comprenant des données sensibles :
- poids, taille, comptes rendus (médicaux, RCP, etc.), résultats d'examens, résultats issus d'analyse d'échantillons biologiques, imagerie médicale, données relatives aux effets et événements indésirables ; prescriptions ; observations médicales et paramédicales ; données issues de dispositifs médicaux ou d'appareils de mesure et tout élément constitutif du dossier médical ;
- antécédents personnels ou familiaux, maladies ou événements associés ;
- données médico-administratives issues du PMSI local (1) ;
- données génétiques strictement nécessaires pour répondre aux objectifs ou finalités de l'entrepôt et ayant été interprétées préalablement à leur versement dans l'entrepôt, ne pouvant en aucun cas être utilisées aux fins d'identification ou de réidentification des personnes ; elles doivent avoir été recueillies dans le cadre de la prise en charge médicale de la personne concernée ou d'un projet de recherche, sous réserve que la personne concernée ne s'y soit pas opposée préalablement à la réalisation de l'examen, conformément aux dispositions des articles L. 1130-5 du code de la santé publique et qu'elle ait été informée à cette occasion de la possibilité de réutilisation des résultats obtenus à des fins de recherche ultérieure ;
- vie sexuelle ;
- données révélant l'origine ethnique ;
- photographie et/ou vidéo et/ou enregistrements vocaux ne permettant pas l'identification directe des personnes concernées (par exemple, avec masquage du visage, des yeux, des signes distinctifs) et recueillies dans des conditions conformes aux dispositions applicables en matière de droit à l'image et de droit à la voix ;
- données relatives à la vie professionnelle (profession, historique d'emploi, chômage, trajets et déplacements professionnels, expositions professionnelles, catégorie INSEE socioprofessionnelle, etc.) ;
- niveau de formation (p. ex. : primaire, secondaire, supérieur) ;
- régime d'affiliation à la sécurité sociale, assurance complémentaire (mutuelle, assurance privée) ;
- déplacements (p. ex. : vers le lieu de soin ou de la recherche : mode, durée, distances ou voyages) ;
- consommation de tabac, alcool, drogues ;
- habitudes de vie et comportements, par exemple : dépendance (seul, en institution, autonome, grabataire), assistance (aide-ménagère, familiale), exercice physique (intensité, fréquence, durée), régime et comportement alimentaire, loisirs ;
- mode de vie (p. ex. : urbain, semi-urbain, nomade, sédentaire), habitat (maison particulière, immeuble, étage, ascenseur, etc.) ;
- statut vital et cause du décès ;
- échelle de qualité de vie ou autres informations sur la qualité de vie de la personne ;
- exposition à des risques sanitaires connus (physiques, chimiques, biologiques et environnementaux, etc.).
5.2.2. Des données relatives aux professionnels de santé
- données d'identification : nom, prénom, titre ;
- fonction, service et unité d'exercice ;
- coordonnées professionnelles (adresse électronique et numéro de téléphone professionnels) ;
- numéro ADELI ou numéro RPP (à l'exclusion du numéro du matricule).
5.3. Aucune donnée ne peut être collectée uniquement afin d'alimenter l'entrepôt. Ainsi, est proscrit le versement dans l'entrepôt de données dont la collecte ne serait pas scientifiquement justifiée par la prise en charge sanitaire ou médico-sociale ou par la réalisation d'un projet de recherche, d'étude ou d'évaluation spécifique et prévue par un protocole.
5.4. Le recours à chacune de ces données pour toute réutilisation devra être justifié dans la demande soumise à la gouvernance de l'entrepôt.
5.5. Les données directement identifiantes mentionnées au point 5.2.1.1 ne peuvent être réunies dans l'entrepôt que pour les finalités suivantes :
- recontacter les patients pour leur proposer de participer à des études ou pour les informer régulièrement des projets de recherche n'impliquant pas la personne humaine, réutilisant les données de l'entrepôt les concernant ;
- recontacter les patients à la suite de découvertes de caractéristiques génétiques pouvant être responsables d'une affection justifiant des mesures de prévention ou de soins à leur bénéfice ou au bénéfice de leur famille, à l'exception des cas dans lesquels le patient s'y est opposé, conformément à l'article L. 1130-5 du code de la santé publique ;
- recontacter les patients à la suite de découvertes annexes liées à l'identification de facteurs de risques et/ou d'identification syndromiques à même de modifier leur prise en charge (thérapeutique ou de suivi) ;
- avertir une personne d'un risque sanitaire auquel elle est exposée.
5.6. Les données directement identifiantes mentionnées au point 5.2.1.1 ne peuvent être utilisées que si les finalités du traitement le justifient. A titre d'exemple, le jour de naissance ne pourra être utilisé que s'il est nécessaire à la réalisation d'une recherche impliquant des personnes âgées de moins de deux ans.
5.7. La pertinence des données comprises dans l'entrepôt doit être ré-évaluée régulièrement par la gouvernance de l'entrepôt, notamment au regard de l'utilisation qui en est faite pour les divers projets menés. Les données n'apparaissant plus nécessaires doivent être supprimées.
5.8. Dans le cas où des données directement identifiantes, des tables de correspondance, des données génétiques ou des données de suivi de localisation sont versées dans l'entrepôt, celles-ci doivent être stockées séparément des données pseudonymisées, en utilisant les procédés décrits dans les exigences de sécurité SEC-LOG-4 à SEC-LOG-6.
6. Accès aux informations
6.1. Le responsable de traitement d'un entrepôt de données de santé doit prêter une attention particulière à la gestion des droits d'accès des personnes habilitées à accéder aux données contenues dans l'entrepôt.
6.2. L'accès et l'usage des données directement identifiantes doivent être restreints aux finalités listées au point 5.5 et aux seules personnes chargées de la réalisation des opérations nécessaires à l'accomplissement de ces finalités.
6.3. Peuvent être destinataires de données pseudonymisées strictement nécessaires à la réalisation des objectifs de leurs projets de recherche, d'étude ou d'évaluation validés par la gouvernance de l'entrepôt, les équipes de recherche internes (p. ex. : composées de salariés du responsable de traitement) ou externes (p. ex. : composées de partenaires du responsable de traitement) au responsable de traitement, habilitées à cet effet.
6.4. Le personnel interne au responsable de traitement habilité à cet effet peut être destinataire de données pseudonymisées strictement nécessaires à l'accomplissement de leurs missions correspondant aux finalités de l'entrepôt.
6.5. Lorsque les données font l'objet d'un processus d'anonymisation (2) au sein d'un espace projet de l'entrepôt, les données anonymes en résultant peuvent être publiées ou transmises à tout destinataire.
7. Durées de conservation
7.1. La durée de conservation des données de l'entrepôt de données de santé doit répondre aux exigences prévues à l'article 5.1.e du RGPD.
7.2. Les données mentionnées au point 5.2.1.2 peuvent être conservées 20 ans maximum à compter de leur collecte dans le cadre des soins ou des recherches. Les données mentionnées au point 5.2.1.1 doivent être supprimées lorsque le délai de conservation des données mentionnées au point 5.2.1.2 a expiré.
7.3. Au-delà de ces durées, toute donnée doit être anonymisée ou détruite.
8. Information des personnes
8.1. L'information des patients :
Les personnes doivent être informées par le ou les responsables de traitement que les données collectées lors de leur prise en charge sont versées au sein de l'entrepôt.
8.2. L'information relative à la constitution de l'entrepôt pour les données issues de dossiers médicaux
8.2.1. Lors de la constitution d'un entrepôt, une première information relative à la constitution d'un entrepôt doit être transmise aux personnes concernées.
8.2.2. Collecte des informations auprès des patients admis ou réadmis postérieurement à la constitution de l'entrepôt
8.2.2.1. Les nouveaux patients ainsi que ceux en cours de suivi sont informés individuellement de la constitution de l'entrepôt (p. ex. : par courrier). Le ou les supports d'information utilisés comprennent l'ensemble des éléments prévus à l'article 13 du RGPD.
8.2.2.2. La réutilisation des données ainsi que les modalités d'exercice des droits d'accès et d'opposition doivent être particulièrement mises en avant dans la note d'information.
8.2.3. Collecte des informations issues de dossiers de patients admis antérieurement à la constitution de l'entrepôt et n'étant plus suivis
8.2.3.1. Les patients n'étant plus suivis sont informés individuellement de la constitution de l'entrepôt (p. ex. : par courrier). Le ou les supports d'information utilisés comprennent l'ensemble des éléments prévu à l'article 14 du RGPD.