AgentPublic/cnil huggingface dataset:
Les données directement identifiantes devront être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir y accéder.
Sur la conservation des données
Les données versées dans l’entrepôt concerneront l’ensemble des personnes ayant consulté au moins une fois un professionnel de santé du réseau STANE dans les 24 mois précédant la présente décision et ne s’étant pas opposées au traitement de leurs données à cette fin.
La profondeur historique des données versées dans l’entrepôt lors de sa constitution sera de cinq ans maximum.
Les données versées dans l’entrepôt seront ensuite conservées vingt ans à compter de leur collecte initiale dans le cadre des soins, puis supprimées.
Sur la sécurité des données et la traçabilité des actions
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt "EDS STANE", ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel "entrepôt de données dans le domaine de la santé". 
 
Les point de non-conformité vis-à-vis de ces mesures de sécurité sont les suivants :
l’inclusion du sexe, mois, année de naissance et zone IRIS du lieu de naissance dans la base de données principale de l’entrepôt ;
la pseudonymisation des données dans une zone interne de l’entrepôt avec accès restreint et processus automatisés, comportant des mesures organisationnelles et techniques spécifiques.
 
Ces non-conformités ont été dûment justifiées et compensées par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art.
 
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement.
 
Par ailleurs, certaines mesures de sécurité techniques et organisationnelles sont actuellement en cours d’implémentation afin d’améliorer le niveau de sécurité vis-à-vis de risques identifiés, notamment :
le hachage du matricule INS par un algorithme de hachage cryptographique à l’état de l’art comportant un sel aléatoire avant la mise en œuvre de l’entrepôt ;
la mise en place d’alertes automatisées en lien avec un puit de logs ;
l’évaluation des techniques de pseudonymisation envisagées (règles fixes, voire apprentissage automatique en fonction des résultats obtenus).
 
Ces mesures devront être implémentées dans le cadre du plan d’actions communiqué par le responsable de traitement.
Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, des mesures de sécurité.
AUTORISE, dans ces conditions, la société STANE GROUPE à mettre en œuvre le traitement décrit ci-dessus 
pendant une durée de trois ans
. 
 
Le Directeur adjoint de l’accompagnement juridique
 
Paul HEBERT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Sur les points de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé" à l’exception :
de la base légale du traitement ;
de la nature des données traitées (professionnels de santé) ;
des modalités d’information des personnes concernées (professionnels de santé).
 
La CNIL relève également que la nature des données des assurés dont le traitement est envisagé n’est pas conforme au référentiel.
 
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel.
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé. Les données de cet entrepôt seront utilisées dans le cadre de la mise en œuvre d’études, recherches et évaluations portant sur le parcours de santé des assurés et les mesures d’accompagnement dont ils peuvent bénéficier, afin d’identifier des leviers pour améliorer la prévention et la prise en charge en santé des populations.
 
Les données contenues dans cet entrepôt ne devront être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque.
Le traitement envisagé par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi "informatique et libertés".
 
Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi "informatique et libertés", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres.
Sur les données traitées
Les données collectées dans le cadre de l’EDS sont les suivantes :
les données individuelles médico-administratives fournies par MGEN, sous réserve qu’elles aient été légalement collectées dans le cadre de la liquidation des prestations de santé et de l’exécution des contrats de prévoyance ;
les données individuelles appariées en amont de leur versement dans l’EDS issues de projets de recherches, études et évaluations dans le domaine de la santé précédemment réalisés et dont la durée de conservation n’a pas expiré fournies par des demandeurs internes ou externes ;
des données non personnelles fournies par des entités externes, pour la plupart en accès libre sur internet.
Les données collectées dans le cadre de l’EDS concerneront les assurés de la MGEN dans le cadre du régime obligatoire et/ou complémentaire disposant d’un contrat en cours d’exécution dans le mois précédent leur versement et qui n’auront pas exercé leur droit d’opposition.
Chaque mois, de nouvelles données viendront s’ajouter aux données déjà présentes dans l’entrepôt. De nouveaux assurés régime obligatoire et/ou complémentaire pourront être inclus au moment du versement mensuel des données dans l’entrepôt.
Les données seront pseudonymisées avant leur intégration dans l’entrepôt.
 
Les professionnels de santé concernés seront identifiés via un numéro pseudonyme propre au binôme assuré-professionnel de santé . Les données collectées les concernant seront limitées à leur fonction (catégorie et spécialité), leurs coordonnées professionnelles généralisées au département ainsi que leur secteur de conventionnement.
La CNIL relève en outre que le traitement du code IRIS, issu des coordonnées géographiques des assurés, n’est pas conforme aux dispositions du référentiel.
 
Le traitement de ces données a été justifié par le responsable de traitement dans le dossier de demande.
 
Aucune donnée ne pourra être collectée uniquement afin d’alimenter l’entrepôt.
Sur les durées de conservation
La profondeur historique des données versées dans l’entrepôt lors de sa constitution correspondra aux cinq années calendaires passées.
Les données seront ensuite conservées pendant dix ans à compter de leur versement dans l’entrepôt puis supprimées.
Sur les modalités d’information des personnes concernées
S’agissant des assurés :
Ils seront individuellement informés du traitement des données les concernant.
S’agissant des professionnels de santé salariés des centres de santé MGEN :
Ils devront être informés individuellement du traitement de leurs données dans le cadre de la constitution et de la mise en œuvre de l’EDS.
S’agissant des autres professionnels de santé : 
En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des professionnels de santé au regard de la nature peu identifiante des données collectées les concernant. Des mesures appropriées seront mises en œuvre notamment via une notice d’information sur le site du responsable de traitement, des magazines spécialisés ainsi que sur ses réseaux sociaux.
S’agissant des utilisateurs de l’EDS :
Les utilisateurs seront informés individuellement avant toute ouverture des droits d’accès, lors de la signature de la charte d’utilisation détaillant les conditions générales d’utilisation (CGU), incluant les conditions de traitement de leurs données ainsi que les modalités d’exercice de leurs droits sur leurs données personnelles. L’adhésion des utilisateurs aux CGU sera rappelée lors de chaque connexion à leur espace de travail sécurisé. En cas de modification de la charte, cette dernière leur sera adressée par messagerie électronique et ils devront la retourner signée.
Sur la sécurité des données et la traçabilité des actions
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt, ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel "entrepôt de données dans le domaine de la santé". Aucun écart avec les exigences de sécurité du référentiel n’a été relevé par le responsable de traitement.
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
AUTORISE la FONDATION D’ENTREPRISE MGEN POUR LA SANTE PUBLIQUE à mettre en œuvre le traitement décrit ci-dessus 
pendant une durée de trois ans
. 
Le Directeur adjoint de l’accompagnement juridique
Paul HEBERT
N° de demande d'avis : 24015815.
Thématiques : décret NIR, SISERI, radioprotection, dosimétrie
Organisme(s) à l'origine de la saisine : direction générale du travail (DGT)
Fondement de la saisine : article 8.I.4°.a) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés
L'essentiel :
Le projet de décret assure la cohérence des textes liés à la fusion de l'Institut de radioprotection et de sûreté nucléaire (IRSN) et de l'Autorité de sûreté nucléaire (ASN) en une Autorité de sûreté nucléaire et de radioprotection (ASNR).
La CNIL estime que les durées maximales de conservation des données traitées dans le traitement SISERI, dont la gestion est confiée à l'ASNR, devraient être précisées.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son article 8.I.4°.a) ;
Après avoir entendu le rapport de Mme Marie-Laure Denis, présidente, et les observations de Mme Céline Boyer, adjointe au commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
La loi n° 2024-450 du 21 mai 2024 relative à l'organisation de la gouvernance de la sûreté nucléaire et de la protection pour répondre au défi de la relance de la filière nucléaire a prévu la fusion de l'Institut de radioprotection et de sûreté nucléaire (IRSN) et de l'Autorité de sûreté nucléaire (ASN).
Les missions de ces deux organismes sont désormais confiées à l'Autorité de sûreté nucléaire et de radioprotection (ASNR).
B. - L'objet de la saisine
Le projet de décret soumis à la CNIL pour avis par la Direction générale du travail vise à mettre en cohérence plusieurs textes règlementaires, notamment le décret n° 2019-341 du 19 avril 2019 (ci-après décret NIR ) et des parties du code du travail encadrant le traitement Système d'information de la surveillance des expositions aux rayonnements ionisants (ci-après SISERI ).
II. - L'avis de la CNIL
A. - Sur la modification du décret NIR
L'article 3 du projet de décret prévoit la modification de l'article 2.B.9° du décret NIR qui autorise l'IRSN à traiter le NIR pour sa mission de centralisation, d'exploitation et de conservation des informations relatives à la surveillance de l'exposition des travailleurs aux rayonnements ionisants et à leur suivi médical .
La réforme conduisant à la disparition de l'IRSN, le projet prévoit que dorénavant, le traitement du NIR à ces mêmes fins pourra être effectué par l'ASNR ainsi que par les organismes accrédités ou autorisés mentionnés à l'article R. 4451-66 du code du travail .
Interrogé sur le point de savoir quels sont précisément les organismes susceptibles de faire l'objet d'une accréditation au sens des articles R. 4451-65 et R. 4451-66 projetés, le ministère a indiqué que la procédure d'accréditation est actuellement régie par le 6° de l'article R.4451-73 du code du travail, non modifié par le texte soumis à l'avis de la CNIL.
Par ailleurs, l'arrêté du 26 juin 2019 relatif à la surveillance individuelle de l'exposition des travailleurs aux rayonnements ionisants , pris pour l'application du 6° de l'article R. 4451-73 du code du travail précise à cet égard dans son article 24 que peuvent faire l'objet de l'accréditation mentionnée à l'article R. 4451-65 du code du travail les organismes de dosimétrie, les services de santé au travail ou les laboratoires de biologie médicale .
Au regard de ces éléments, la CNIL estime que le projet de décret devrait être modifié de manière à y préciser le périmètre de ces organismes accrédités.
B. - Sur la modification des dispositions relatives au traitement SISERI
La réforme entraine la modification du responsable du traitement SISERI , dont la gestion est désormais confiée à l'ASNR. Ce traitement centralise, consolide et conserve l'ensemble des résultats issus de la surveillance dosimétrique individuelle dans le cadre de la protection des travailleurs contre les risques dus aux rayonnements ionisants.
Les données de SISERI sont, sous certaines conditions, accessibles notamment aux professionnels de santé au travail assurant le suivi individuel de l'état de santé du travailleur ainsi qu'aux conseillers en radioprotection.
L'article 1er du projet soumis à la CNIL prévoit de mettre à jour le code du travail reprenant pour l'essentiel les dispositions existantes, tout en y apportant plusieurs modifications.
Interrogé sur ce point, le ministère a indiqué que les modifications n'ont pas pour objet ni pour effet de faire évoluer les caractéristiques du traitement SISERI, telles que les finalités de traitement, les catégories de données traitées et leur granularité, les durées de leur conservation, les modalités d'information des personnes et de l'exercice des droits, qui demeurent constantes, mais uniquement à assurer sa cohérence avec le transfert de compétences de l'IRSN et de l'ASN vers l'ASNR.
Toutefois, ces dispositions appellent les observations suivantes.
a) Sur la durée de conservation des données
Le projet d'article R. 4451-130 nouveau du code du travail prévoit, dans sa partie III, que les données nominatives des salariés seront conservées dans le traitement SISERI pour une durée minimale de cinquante ans à compter de la dernière exposition du travailleur concerné .
Il s'agit d'une rédaction à droit constant, identique à celle de l'article R. 4451-127 actuel du code du travail.
La CNIL relève que ce texte ne prévoit pas de limite de la durée de conservation.
Le ministère a indiqué que le choix de cette durée de conservation a été motivé par la nécessité de respecter la définition réglementaire de la dose efficace engagée visée à l'article 4.14) de la Directive 2013/59/EURATOM du Conseil du 5 décembre 2013.
En effet, selon ce texte (…) aux fins du respect des limites de dose spécifiées dans la présente directive, τ est une période de 50 ans après incorporation pour les adultes, et le nombre d'années restant jusqu'à l'âge de 70 ans pour les nourrissons et les enfants.
Par ailleurs, l'article 43.3 de la directive exige que les résultats de la surveillance radiologique individuelle soient conservés pendant toute la durée de la vie professionnelle de l'intéressé comportant une exposition aux rayonnements ionisants, puis jusqu'au moment où celui-ci a ou aurait atteint l'âge de 75 ans, et en tout état de cause pendant une période d'au moins trente ans à compter de la fin de l'activité professionnelle comportant une exposition.
Le ministère précise que les durées de conservation figurent dans l'arrêté du 23 juin 2023 relatif aux modalités d'enregistrement et d'accès au système d'information et de surveillance de l'exposition aux rayonnements ionisants SISERI , particulièrement à son article 6.
Pour tenir compte des observations de la CNIL, le ministère propose de modifier la rédaction du III du projet d'article R. 4451-130 comme suit : III. - L'ensemble des données et informations mentionnées au I sont conservées dans le traitement “SISERI” pour une durée minimale de cinquante ans et pour une durée maximale de soixante ans à compter de la dernière exposition du travailleur concerné. Les données et informations non identifiantes nécessaires à la réalisation d'études ou de recherches portant sur l'exposition des travailleurs aux rayonnements ionisants sont conservées pour une durée maximale de cent ans.
La CNIL accueille favorablement cette proposition. Elle rappelle à cet égard que, conformément à l'article 14.2 du RGPD, il incombera à l'ASNR, en sa qualité de responsable du traitement SISERI, de fournir notamment aux personnes concernées une information concernant la durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée .
b) Sur le traitement des données de la dose efficace
Le projet d'article R. 4451-130.I.2° du code du travail prévoit que les catégories de données susceptibles d'être enregistrées dans SISERI comprennent notamment les données de santé relatives à l'exposition des travailleurs aux rayonnements ionisants et aux conditions de cette exposition en milieu de travail . Rentrent notamment dans cette catégorie les informations relatives à la dose efficace d'irradiation reçue par les travailleurs.
Conformément aux dispositions de l'article 15 du RGPD, les personnes concernées ont, lorsque des données de dose efficace font effectivement l'objet de traitement dans SISERI, le droit d'obtenir du responsable de traitement l'accès à ces données.
La rédaction actuelle de l'article R. 4451-67 du code du travail prévoit à cet égard que le travailleur a accès à tous les résultats issus de la surveillance dosimétrique individuelle dont il fait l'objet ainsi qu'à la dose efficace le concernant.
Or, la modification projetée prévoit de modifier ce texte de manière à en retirer les mots ainsi qu'à la dose efficace le concernant . Une telle modification suggérerait que dorénavant, les intéressées ne pourront plus avoir accès à cette donnée.
Le ministère a indiqué que la modification était purement rédactionnelle et n'impacte en rien le fonctionnement du traitement SISERI, lequel continuera de fournir aux personnes l'accès à l'ensemble des données traitées, et notamment aux divers calculs de la dose efficace. En effet :
- les personnes concernées continueront à avoir accès à tous les résultats dosimétriques les concernant, y compris à la dose efficace ;
- les catégories précises de données faisant l'objet de traitement et auxquelles les personnes concernées pourraient avoir accès, sont détaillées dans l'arrêté du 26 juin 2019 relatif à la surveillance individuelle de l'exposition des travailleurs aux rayonnements ionisants, si bien que l'article R.4451-67 du code du travail n'a pas à mentionner cette catégorie spécifiquement.
La CNIL prend note de ces précisions, qui n'appellent pas d'observations de sa part.
Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
N° de demande d'avis : 24010025
Thématiques : compte professionnel de formation, contrôle et référencement des organismes de formation, lutte contre la fraude
Organisme(s) à l'origine de la saisine : ministère du Travail et de l'Emploi
Fondement de la saisine : article 8. I. 4°, a) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés
L'essentiel :
Les traitements relatifs au système d'information du compte personnel de formation ( SI-CPF ) et à Mon Activité Formation ( MAF ) répondent à de nouvelles finalités relatives au contrôle et au référencement des organismes de formation par la Caisse des dépôts et consignations et à la lutte contre la fraude.
La CNIL considère que la publication des données relatives aux déréférencements des organismes de formation constitue une finalité propre qui devrait être mentionnée explicitement dans le projet de décret.
Elle recommande au ministère de distinguer les catégories de données à caractère personnel nécessaires d'une part, pour la gestion et le contrôle des droits acquis au titre du CPF, et d'autre part, de celles nécessaires aux fins du contrôle et du référencement des organismes de formation, et de lutte contre la fraude.
Elle prend acte de l'engagement du ministère de modifier la durée de conservation des données collectées dans le traitement MAF aux fins des missions d'audit et de contrôle de la Commission européenne.