AgentPublic/cnil huggingface dataset:
2.3.4. La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d'habilitation établie par le responsable de traitement ou par le responsable de la mise en œuvre du traitement.
2.4. Information et droits des personnes concernées par l'étude
2.4.1. Information des personnes
2.4.1.1. S'agissant de données provenant exclusivement du SNDS, les personnes concernées sont informées de la réutilisation possible de leurs données de santé à caractère personnel selon des modalités définies par l'article R. 1461-9 du code de la santé publique.
 
2.4.1.2. Les dispositions de l’article 69 de la loi "informatique et libertés", qui posent le principe d’une information individuelle des personnes dont les données sont traitées, sont applicables à tous les traitements réalisés à partir de données du SNDS.
 
2.4.1.3. Toutefois, en application des dispositions de l’article 14.5.b du RGPD, le responsable de traitement peut faire valoir une exception à l’obligation d’information individuelle pour la mise en œuvre d’un traitement comportant exclusivement des données issues de la base principale du SNDS.
 
2.4.1.4. Dans cette hypothèse, il devra prendre des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes des personnes concernées, y compris en rendant les informations publiquement disponibles.
2.4.1.5. À cet égard, l'information des personnes concernées ne peut se limiter à l'inscription de l’étude au sein du répertoire public de la PDS.
 
2.4.1.6. Dans le cadre de cette méthodologie de référence, la réalisation de chaque recherche, étude ou évaluation dans le domaine de la santé doit être portée à la connaissance du public.
 
2.4.1.7. A minima, les mesures suivantes doivent être mises en œuvre pour garantir une information publiquement disponible :
la diffusion de la note d’information sur le site web du responsable de traitement ainsi que, le cas échéant, du laboratoire de recherche ou bureau d’études ;
la mise en place d’un portail de transparence lorsque le responsable de traitement réalise plusieurs études à partir des données du SNDS. Ce portail de transparence comporte une information générale sur le SNDS et une note d’information spécifique à chaque étude mise en œuvre.
 
2.4.1.8. D’autres modalités d’information collective peuvent également être prévues, en fonction des caractéristiques des études réalisées (réseaux sociaux, associations de patients, communiqué de presse, etc.).
 
2.4.1.9. Ces documents doivent comporter l'ensemble des mentions prévues à l'article 14 du RGPD.
2.4.2. Exercice des droits des personnes
2.4.2.1. La personne concernée exerce ses droits d'accès, de rectification, d’effacement, de limitation du traitement et d'opposition concernant le traitement mis en œuvre dans le cadre de la présente méthodologie, directement auprès du délégué à la protection des données de l’organisme responsable du traitement.
 
2.4.2.2. L'information des utilisateurs, ainsi que les modalités d'exercice de leurs droits, doivent être conformes au principe de transparence prévu au chapitre III du RGPD.
2.5. Durée d’accès ou de conservation des données
2.5.1. Cette durée doit être strictement nécessaire à la mise en œuvre du traitement et ne doit pas excéder la durée de l’étude. En tout état de cause, la durée d’accès ou de conservation ne peut excéder cinq ans à compter de la dernière mise à disposition effective des données. Cette durée peut exceptionnellement être prolongée pour une durée maximale de deux ans, sur demande motivée du responsable de traitement, adressée au CESREES, qui rend alors un nouvel avis. Aucun archivage des données ne peut être réalisé.
 
2.5.2. Les données à caractère personnel traitées dans le cadre de cette méthodologie ne peuvent faire l'objet d'une conservation en dehors de l’environnement maîtrisé auquel le responsable de traitement ou son sous-traitant a recours.
2.5.3. Seuls des résultats anonymes, au sens de l'avis du Groupe de l’article 29 (G29) n° 05/2014 ou à tout avis ultérieur du CEPD relatif à l’anonymisation, peuvent être exportés.
2.5.4. Les données à caractère personnel des utilisateurs chargés de la réalisation de l'étude ne peuvent être conservées au-delà d'un délai de cinq ans après la fin de l'étude.
2.6. Publication des résultats
2.6.1. Conformément aux dispositions de la loi "informatique et libertés", la présentation des résultats du traitement de données ne peut en aucun cas permettre l'identification directe ou indirecte des personnes concernées.
Titre III : SÉCURITÉ
3.1. Le traitement des données du Système national des données de santé et de ses composantes devra s’effectuer en conformité avec les dispositions des articles L. 1461- 1 à L. 1461-7 du code de la santé publique.
 
3.2. Les mesures de sécurité devront être conformes au référentiel de sécurité applicable au Système national des données de santé, prévu par l'arrêté du 22 mars 2017 et ses mises à jour ultérieures.
3.3. Conformément au référentiel précité, lorsque le responsable de traitement a recours à un laboratoire de recherche ou un bureau d’études, le responsable de traitement doit s'assurer que le contrat conclu avec le laboratoire de recherche ou bureau d'études précise les mesures et les conditions de sécurité relatives à la conformité au référentiel précité. En particulier, l’environnement maîtrisé devra avoir fait l’objet d’une homologation préalablement à la mise en œuvre du traitement de données nécessaire à l’étude.
3.4. Le responsable de traitement ou, le cas échéant, le responsable de la mise en œuvre du traitement, doit adopter les mesures techniques et organisationnelles suivantes :
Répartition des rôles et responsabilités
SEC-REP-1
 
La répartition des rôles et responsabilités entre le ou les responsables de traitement, le responsable de la mise en œuvre du traitement et le gestionnaire de l’environnement maîtrisé doit être formalisée par une convention. Cette dernière doit porter notamment sur la sensibilisation des utilisateurs de l’étude, la surveillance des traces, la gestion des alertes et des incidents ainsi que la gestion des exportations de données anonymes. Cette convention devra être conforme à l’article 28 du RGPD.
 
 
Gestion des habilitations et accès logique aux données
 
SEC-HAB-1
 
Différents profils d’habilitation doivent être prévus afin de gérer les accès aux données en tant que de besoin et de façon exclusive.
 
SEC-HAB-2
 
Les personnes habilitées à accéder aux données à caractère personnel doivent être individuellement habilitées selon une procédure impliquant une validation par leur responsable hiérarchique.
 
 
SEC-HAB-3
 
Une revue des habilitations doit être réalisée régulièrement et a minima annuellement, ainsi qu’à la fin de chaque étude.
 
SEC-HAB-4
 
Les permissions d’accès doivent être retirées dès le retrait des habilitations, par exemple après le départ d’un utilisateur habilité ou une modification de ses missions.
Identification et authentification des utilisateurs
 
SEC-IDE-1
 
L’accès aux données à caractère personnel doit être subordonné à une identification locale ou nationale pour toute personne physique ou morale, conformément aux exigences du palier 2 du Référentiel d'identification de la PGSSI-S.
 
SEC-IDE-2
 
L’accès aux données à caractère personnel doit être subordonné à une authentification forte faisant intervenir a minima deux facteurs d’authentification distincts, conformément aux exigences du palier 2 du Référentiel d'authentification de la PGSSI-S. Si un de ces facteurs est un mot de passe, celui-ci doit être conforme aux recommandations de la CNIL en matière de mots de passe à la date de rédaction de cette méthodologie de référence (délibération n° 2022-100 du 21 juillet 2022).
 
 
Espace projet
 
SEC-ESP-1
 
Les données d’une étude doivent être manipulées par les utilisateurs habilités uniquement dans un espace projet spécifique à cette étude, étanche avec les données du SNDS central ainsi qu’avec les espaces projets d’autres études conduites dans le même environnement maîtrisé.
 
 
SEC-ESP-2
Les jeux de données importés dans un espace projet spécifique à une étude doivent être minimisés et limités aux seules données nécessaires à l’étude. Un numéro pseudonyme unique spécifique à chaque espace projet doit être généré dans les mêmes conditions de pseudonymisation que celles définies par le référentiel de sécurité applicable au SNDS précité. Par exemple, ce numéro pseudonyme unique pourra être généré par une fonction de hachage cryptographique résistante aux attaques par force brute ou un générateur de nombres pseudo-aléatoires cryptographiquement sûr.
 
 
Transmission de données
 
 
SEC-TRA-1
 
Toutes les transmissions de données depuis ou vers l’environnement maîtrisé ou les espaces projets doivent faire l’objet de mesures de chiffrement conformes à l’annexe B1 du référentiel général de sécurité (RGS) afin d’en garantir la confidentialité.
Ces mesures de chiffrement s’appliquent aux données en transit et à leur stockage après réception dans l’environnement maîtrisé ou les espaces projets.
 
 
Exportation de données anonymes hors des espaces de travail
 
SEC-EXP-1
Seuls des jeux de données anonymes peuvent faire l’objet d’une exportation hors de l’environnement maîtrisé ou d’un espace projet. Le processus d’anonymisation doit produire un jeu de données conforme aux trois critères définis par l'avis du G29 n° 05/2014 ou à tout avis ultérieur du CEPD relatif à l’anonymisation. Cette conformité doit être documentée. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de réidentification devra être menée et documentée, préalablement à chaque exportation.
 
SEC-EXP-2
 
Les exportations de données doivent être soumises à la validation préalable d’un responsable afin d’en avaliser le principe, notamment au regard de l’exigence SEC-EXP-1.
 
SEC-EXP-3
 
Les exportations doivent faire l’objet d’une surveillance automatique ou manuelle par un opérateur spécialisé afin d’en vérifier le caractère anonyme. Dans le cas où cette surveillance est automatique, toute exportation identifiée comme non conforme doit faire l’objet d’une remontée d’alerte et d’une mise en quarantaine dans un espace cloisonné et dédié, puis doit être vérifiée manuellement par un responsable spécifiquement formé et habilité.
 
 
Sensibilisation des utilisateurs et sécurité des postes de travail
 
 
 
SEC-SEN-1
 
Chaque personne habilitée à accéder à l’environnement maîtrisé doit être formée au respect du secret professionnel et sensibilisée régulièrement aux risques et obligations inhérents au traitement de données de santé.
 
SEC-SEN-2
Chaque personne habilitée à accéder à l’environnement maîtrisé doit signer une charte de confidentialité. Celle-ci doit préciser notamment les obligations au regard à la fois de la protection des données à caractère personnel de santé et des mesures de sécurité mises en place dans l’environnement maîtrisé, ainsi que les sanctions afférentes au non-respect de ces obligations.
 
 
SEC-SEN-3
 
Les postes de travail des personnes habilitées à accéder à l’environnement maîtrisé, y compris les utilisateurs externes accédant uniquement aux espaces projet, doivent faire l’objet de mesures de sécurité spécifiques, par exemple en mettant en place des comptes nominatifs, une authentification adéquate, un verrouillage automatique des sessions, un chiffrement des disques durs et des mesures de filtrage. Dans le cas où les postes de travail ne sont pas sous le contrôle du responsable de traitement, les mesures de sécurité à mettre en place sur les postes de travail doivent être encadrées au moyen d’une convention entre les parties concernées.
 
 
Journalisation
 
SEC-JOU-1
 
Les actions des utilisateurs des espaces projet et celles des utilisateurs de l’environnement maîtrisé doivent faire l’objet de mesures de journalisation, conformément aux exigences du palier 3 du Référentiel d'imputabilité de la PGSSI-S. En particulier, les connexions (identifiants, date et heure), les requêtes et les opérations réalisées doivent être tracées.
 
 
SEC-JOU-2
Un contrôle des traces doit être réalisé régulièrement et a minima mensuellement, ainsi qu’à la fin de chaque période d’habilitation liée à une étude. Ce contrôle doit être réalisé par :
une solution réalisant une surveillance automatique avec une remontée d’alertes traitées manuellement par un opérateur habilité ; ou
un contrôle semi-automatique via exécution de programmes permettant une sélection des traces anormales, suivi d’une relecture manuelle par un opérateur habilité.
 
SEC-JOU-3
 
Les traces de journalisation définies aux exigences SEC-JOU-1 doivent être conservées pour une durée de six mois à un an à compter de leur collecte, sauf exception justifiée par l’importance du risque pour les personnes en cas de détournement des finalités du traitement et de la fréquence d’occurrences de telles pratiques. Dans ce dernier cas, la durée de conservation maximale des traces de journalisation peut être étendue à trois ans.
 
Gestion des incidents de sécurité et des violations de données à caractère personnel
 
SEC-INC-1
 
Les parties à la convention doivent prévoir une procédure de gestion et de traitement des incidents de sécurité et des violations de données à caractère personnel, précisant les rôles et responsabilités et les actions à mener en cas de survenue de tels incidents.
 
SEC-INC-2
Tout incident de sécurité, d’origine malveillante ou non et se produisant de manière intentionnelle ou non, ayant comme conséquence, même temporaire, de compromettre l’intégrité, la confidentialité ou la disponibilité de données à caractère personnel, doit faire l’objet d’une documentation en interne dans un registre des violations.
 
SEC-INC-3
 
Toute violation de données doit être notifiée à la CNIL dans les conditions prévues à l’article 33 du RGPD.
 
SEC-INC-4
 
Dans l’hypothèse où la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable de traitement est tenu de communiquer la violation des données aux personnes concernées dans les meilleurs délais, conformément à l’article 34 du RGPD.
 
3.5. Ces mesures ne sont pas exhaustives et devront être complétées au regard des risques pesants sur le traitement mis en œuvre.
 
3.6. De plus, les articles 5.1.f et 32 du RGPD nécessitent la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques et que les mesures soient conformes à l’état de l’art.
Titre IV : SOUS-TRAITANTS
4.1. Lorsque le responsable de traitement fait appel à un ou des sous-traitants, il s'assure que ceux-ci présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, de manière à ce que le traitement réponde aux exigences du RGPD et de la loi "informatique et libertés" et garantisse la protection des droits de la personne concernée.
 
4.2. Un responsable de traitement peut notamment choisir comme sous-traitant un établissement de santé, une fédération hospitalière ou un laboratoire de recherche ou bureau d’études.
4.3. Le responsable de traitement établit avec le sous-traitant un contrat ou un autre acte juridique précisant les obligations de chaque partie et reprenant les exigences de l'article 28 du RGPD.
4.4. Par ailleurs, les sous-traitants :
doivent désigner, le cas échéant, un délégué à la protection des données conformément à l'article 37 du RGPD ;
doivent tenir un registre des catégories de traitements effectués pour le compte du responsable de traitement, conformément à l'article 30 du RGPD.
TITRE V : HEBERGEMENT DES DONNEES DU SNDS ET ABSENCE DE TRANSFERT DE DONNÉES HORS DE L’UNION EUROPÉENNE
5.1. Dans le cadre de la présente méthodologie de référence, le ou les responsables de traitement de l’étude s’assurent :
que les données issues de la base principale du SNDS hébergées dans l’environnement maîtrisé le sont exclusivement au sein des pays membres de l’espace économique européen et sans transfert possible en dehors de l’Union européenne ;
de l’absence d’accès distant aux données depuis l’extérieur du territoire de l’Union européenne.
 
5.2. Par ailleurs, les organismes et le cas échéant, leurs sous-traitants, accédant aux données du SNDS dans le cadre de la réalisation des opérations d’hébergement de l’infrastructure technique de l’environnement maîtrisé, ainsi que l’administration et l’exploitation associées à ce stockage, doivent être exclusivement soumis aux lois de l’Union européenne.
Titre VI : MISE EN ŒUVRE DU PRINCIPE DE RESPONSABILITÉ
6.1. Analyse d’impact sur la protection des données
6.1.1. Le responsable de traitement effectue une analyse d'impact relative à la protection des données menée conformément aux dispositions de l'article 35 du RGPD, qui doit couvrir en particulier les risques sur les droits et libertés des personnes concernées.
 
6.1.2. Cette analyse d’impact doit être réexaminée et mise à jour régulièrement, notamment si des changements importants sont prévus dans le traitement mis en œuvre dans le cadre de la présente méthodologie ou si les risques pour les personnes concernées ont évolué
.
6.1.3. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques semblables.
6.2. Formalités
6.2.1. Chaque responsable de traitement désigne un délégué à la protection des données, en application de l'article 37 du RGPD. Ce délégué à la protection des données aura notamment pour mission de vérifier le respect de la conformité des traitements mis en œuvre selon la présente méthodologie.
 
6.2.2. Le responsable de traitement adresse à la CNIL une seule déclaration de conformité à la présente méthodologie pour l'ensemble des traitements qu'il met en œuvre dès lors qu'ils sont et seront réalisés en conformité avec l'ensemble des dispositions de la méthodologie.
6.2.3. Dans le cadre d’une responsabilité conjointe, chaque responsable de traitement procède à une déclaration de conformité à la méthodologie de référence pour son propre compte.
6.2.4.Les traitements visés par la présente méthodologie de référence doivent obtenir un avis expressément favorable du CESREES préalablement à leur mise en œuvre. Pour obtenir cet avis, un dossier doit être déposé auprès du secrétariat unique de la PDS et doit comporter les éléments listés dans la présente méthodologie.
6.2.5. Conformément à l'article 30 du RGPD, le responsable de traitement tient à jour, au sein du registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente méthodologie. Il vérifie régulièrement la conformité des traitements en cours au regard des exigences de la méthodologie de référence et documente cette analyse.
6.3. Principe de transparence
6.3.1. Le cadre juridique permettant la mise à disposition des données du SNDS est conçu de façon à rendre compte de leur utilisation à la population. À cette fin, l'article L. 1461-3 II du CSP subordonne l'accès aux données du SNDS et de ses composantes à la communication à la PDS de plusieurs éléments par le responsable de traitement, avant et après la réalisation des études.
 
6.3.2. Ainsi, le responsable du traitement s'engage à enregistrer dans le répertoire public tenu par la PDS chaque étude réalisée dans le cadre de cette méthodologie.
6.3.3. Cet enregistrement doit être effectué, avant le début de chaque étude, par le responsable de traitement ou la personne agissant pour son compte. Il s'accompagne de la transmission à la PDS d'un dossier comportant :
le protocole, incluant la justification de l'intérêt public, ainsi qu'un résumé, selon le modèle mis à disposition par la PDS. En cas d’avis favorable avec recommandations du CESREES, le protocole et le résumé tenant compte de manière apparente des recommandations, doivent être enregistrés ;
la déclaration d'intérêts, en rapport avec l’objet de l’étude, du responsable du traitement et le cas échéant du sous-traitant.
 
6.3.4. À la fin de l’étude, la méthode et les résultats obtenus devront être communiqués à la PDS en vue de leur publication.
 
6.3.5. L'enregistrement du traitement et la transmission des résultats sont effectués conformément aux modalités définies par la PDS.
6.4. Bilan
6.4.1. Le responsable de traitement, le cas échéant après avoir consulté le ou les sous-traitants, transmet tous les trois ans à la CNIL un bilan synthétisant les usages observés de la présente méthodologie de référence, en indiquant notamment :
le nombre d’études mises en œuvre sur la période analysée ;
les types de finalités poursuivies ;
les modalités de financement des projets et partenaires (notamment financements publics, etc.) ;
concernant les données traitées :
	
les composantes du SNDS majoritairement sollicitées ;
la conformité globale de l’expression des besoins aux objectifs de l’étude ;
la profondeur historique moyenne sollicitée et son caractère suffisant ou non ;
le nombre moyen de personnes concernées par les études ;
la moyenne de la durée d’accès ou de conservation des données sollicitée et leur caractère suffisant ou non ;
les supports d’information collective mis en œuvre ;
la qualité des personnes habilitées à accéder aux données du SNDS ;
concernant la sécurité des données :
	
les incidents de sécurité, susceptibles d’impacter les droits des personnes, éventuellement révélés ou évités ;
toute modification substantielle de l’architecture de l’environnement maîtrisé ;
le nombre de publications scientifiques découlant des recherche, études et évaluations réalisées dans le cadre de la méthodologie ;
les bénéfices, apports scientifiques observés et/ou mesurés.
Titre VII : ENTRÉE EN VIGUEUR
7.1. La présente méthodologie de référence entre en vigueur à compter de sa publication au Journal officiel.
 
7.2. Lorsqu’une recherche, étude ou évaluation dans le domaine de la santé, autorisée antérieurement par la CNIL, fait l’objet d’une modification substantielle et est conforme à la présente méthodologie, il n’est pas nécessaire d’obtenir une nouvelle autorisation de la CNIL.
7.3. La présente délibération sera publiée au Journal officiel de la République française.
Date de l'avis : 29 juin 2023
			N° de la délibération : 2023-060
			N° de demande d'avis : 23006452
			Texte concerné : Projet de décret relatif aux modalités de pilotage et d'évaluation de l'expérimentation de traitements algorithmiques sur les images collectées au moyen de systèmes de vidéoprotection et de caméras installées sur des aéronefs, pris en application de l'article 10 de la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions
			Thématiques : jeux Olympiques et Paralympiques de 2024, caméras augmentées , traitements algorithmiques.
			Fondement de la saisine : Article 10, XI. de la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions
			L'essentiel :
			Le projet de décret a pour objet de définir les modalités de pilotage et d'évaluation de l'expérimentation des dispositifs de caméras augmentées introduits loi relative aux jeux Olympiques et Paralympiques de 2024.
			Deux comités sont constitués : un comité de pilotage assurant la bonne conduite de l'expérimentation et un comité d'évaluation.