AgentPublic/cnil huggingface dataset:
La Commission relève que le projet d'article R. 1461-2 - III prévoit qu' à l'exception des organismes visés au 2° du I de l'article L. 1461-3 qui bénéficient d'un accès permanent au système national des données de santé en application de la section 2 du présent chapitre, ils [les responsables de traitement] déposent auprès de la Plateforme de données de santé ou de la Caisse nationale de l'assurance maladie un dossier de demande d'accès aux données du système national des données de santé dont la composition figure sur leurs sites internet. 
La Commission considère qu'une telle formulation pourrait laisser entendre que la CNAM intervient au même titre que la PDS en qualité de guichet unique , dans le cadre du traitement des dossiers de demande d'autorisation, comme le prévoient les dispositions de l'article 76 de la loi informatique et libertés . Sur ce point, le ministère a précisé faire référence à l'étape d'expression des besoins du demandeur pour l'accès effectif aux données du SNDS, quelle que soit la formalité effectuée en amont. La Commission prend acte de l'engagement du ministère de clarifier le projet de décret sur ce point.
Sur la faculté pour la PDS de procéder à des opérations pour le compte d'un tiers
La Commission relève que l'article L. 1462-1 du CSP attribue un nouveau rôle à la PDS, qui peut procéder, pour le compte d'un tiers et à la demande de ce dernier, à des opérations nécessaires à la réalisation d'un traitement de données issues du SNDS .
La Commission rappelle que si, selon la réponse du ministère, la PDS aura un rôle de sous-traitant au sens du RGPD, elle ne pourra traite[r] les données à caractère personnel que sur instruction documentée du responsable du traitement selon l'article 28 du RGPD.
Données issues de l'entrepôt Covid et des fichiers Contact Covid et SIDEP
La Commission relève que l'article 8 du projet de décret prévoit que les données, traitées sur le fondement de l'arrêté du 21 avril 2020 et appariées aux données du système national des données de santé, sont conservées dans le système national des données de santé. 
La Commission attire l'attention du ministère sur l'utilisation du critère d'appariement des données, alors même que les données conservées au titre de l'article 30 de l'arrêté du 10 juillet 2020 modifié, qui a remplacé l'arrêté du 21 avril 2020, n'ont pas été appariées avec les données de la base principale du SNDS.
En outre, elle rappelle que la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions et le décret n° 2020-1018 du 7 août 2020 ont prévu une durée de conservation à des fins de surveillance épidémiologique et de recherche sur le virus de six mois après la fin de l'état d'urgence sanitaire, s'agissant des données issues de Contact Covid et SIDEP.
La durée de conservation des données du SNDS étant de vingt ans en application de l'article L. 1461-1-IV-4° du CSP, la Commission s'interroge sur la possibilité d'étendre par décret la durée de conservation fixée par la loi.
Sur l'architecture technique
Le ministère a confirmé que la PDS disposera d'une copie de la base principale, pour répondre efficacement aux demandes et notamment pour la réalisation d'appariements ad hoc entre la base principale et le catalogue.
Sans remettre en cause cette nécessité opérationnelle, la Commission s'inquiète toutefois de la duplication d'une base comportant, par nature, des données sensibles couvrant l'ensemble de la population. En effet, cette duplication implique de transférer régulièrement un grand volume de données entre la CNAM et la PDS, ainsi que de partager des identifiants pseudonymisés ; en outre, la Commission rappelle que la PDS ne dispose pas - contrairement à la CNAM - de ses propres centres de données et fait appel à un prestataire dans un centre de données mutualisé avec plusieurs clients.
Elle rappelle que ces différentes opérations augmentent mécaniquement la surface d'attaque et les risques de violations sur ces données.
Sur les mesures de sécurité
La Commission relève que le projet d'article R. 1461-5 du CSP prévoit que le nombre de personnes habilitées est limité à ce qui est strictement nécessaire . En complément de leur revue régulière, elle recommande que ces habilitations soient délivrées ab initio pour une durée limitée et que leur reconduction engage le même circuit d'habilitation.
S'agissant du projet d'article R. 1461-6 du CSP, la Commission prend acte de la précision du ministère que la liste des personnes habilitées mentionnera la durée de l'habilitation de chaque personne.
Sur la pseudonymisation
La Commission insiste sur le fait que la pseudonymisation constitue l'un des piliers originels de la sécurité du SNDS. Dans le cadre de l'utilisation de la solution technique de la PDS, qui vise notamment à permettre de nombreux appariements de données, son rôle sera d'autant plus crucial : la robustesse de la pseudonymisation devra donc être assurée durablement par l'ensemble des acteurs amenés à fournir des donnés à la PDS ou à y mener des projets.
A ce titre, la Commission restera extrêmement vigilante sur ce point dans le cadre des demandes d'autorisation qui lui seront adressées, s'agissant notamment de la constitution de l'entrepôt de la PDS ainsi que des projets menés sur la solution technique de la PDS.
Par ailleurs, la Commission prend acte de la mise à jour prochaine du référentiel de sécurité du SNDS, en particulier concernant les règles de pseudonymisation, avec une date cible de publication fixée au début de 2021. A cet égard, elle recommande que des appariements dérivés du NIR ne soient pas mis en œuvre sur la solution technique de la PDS avant que la Commission ait pu rendre un avis sur ce référentiel.
Enfin, la Commission prend acte des précisions apportées par le ministère concernant le projet d'article R. 1461-14 du CSP qui mentionne des données agrégées présentant un risque résiduel de réidentification en ce qu'elles correspondent à des datamarts de données non anonymisées mais présentant un faible risque de ré-identification du fait de leur agrégation. A cet égard, elle recommande que les risques de ré-identification de ces datamarts soient réévalués régulièrement.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d’une demande d’avis concernant un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions et le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la Covid-19 ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 2021-689 du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire, notamment son article 7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie d’un projet de décret modifiant les décrets relatifs aux systèmes d’information (SI) Contact Covid, SI-DEP et Vaccin Covid.
Les modifications envisagées visent à :
adapter le traitement Contact Covid pour prendre en compte les effets de la vaccination ;
étendre les catégories de destinataires des données contenues dans le traitement Contact Covid à des fins de recherche et d’évaluation ;
préciser les caractéristiques essentielles des traitements de données à caractère personnels mis en œuvre par les agences régionales de santé (ARS) à des fins de réalisation des enquêtes sanitaires ;
améliorer le taux de couverture vaccinale.
A titre liminaire, la Commission rappelle que la création de traitements de données placés sous la responsabilité de différents acteurs, qui répondent à des finalités distinctes, portent sur différentes catégories de données et qui ne prévoient pas les mêmes catégories de destinataires, constitue l’une des mesures essentielles avancée par les pouvoirs publics pour garantir le respect de la vie privée des personnes et la protection des données qui les concernent, tout en constituant des moyens de lutter contre la Covid-19.
Sur l’information des personnes concernées et les modalités d’exercice des droits
Au vu de la sensibilité des données recueillies dans ces systèmes d’information, en raison du contexte justifiant leur mise en œuvre ainsi que leur ampleur, la Commission estime nécessaire d’améliorer l’information déjà disponible afin que, conformément à l’article 12 du RPGD, le ministère diffuse une information concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, afin que l’ensemble de la population puisse avoir connaissance de l’existence des différents traitements et appréhender leur étendue ainsi que leurs interconnexions. A cette fin, la Commission invite notamment le ministère à compléter les informations déjà diffusées avec des schémas et des cartographies détaillant les liens entre chacun de ces traitements.
En effet, la multiplication des traitements de données et de leurs interconnexions participe à la création d’un écosystème complexe, nécessitant que les personnes concernées disposent des renseignements nécessaires et des moyens de faire valoir leurs droits.
A cet égard, la Commission souligne avoir été contactée à de nombreuses reprises par des personnes souhaitant exercer leurs droits s’agissant des traitements mis en œuvre dans le cadre de lutte contre l’épidémie. La Commission rappelle la nécessité que les informations rendues publiques par le ministère fassent clairement apparaître les coordonnées auprès desquelles les personnes peuvent obtenir des informations et exercer leurs droits. Sur ce point, la Commission invite d’ailleurs le ministère à simplifier l’exercice des droits des personnes, en permettant par exemple aux personnes de s’opposer une unique fois à l’ensemble des réutilisations des données collectées dans le cadre de ces traitements.
La Commission relève enfin que le projet de décret n’apporte aucune précision s’agissant de l’information des personnes concernant l’évolution des différents systèmes d’information. A l’instar de ce qui était prévu dans les autres projets de décrets modifiant les traitements relatifs à la lutte contre l’épidémie de Covid-19, tels que le décret n° 2020-1018 du 7 août 2020, la Commission invite le ministère à compléter le projet de décret afin de détailler la façon dont les personnes dont les données ont été collectées avant sa date d’entrée en vigueur seront informées par les responsables de traitement des modifications de ceux-ci. La Commission prend acte de ce que la CNAM s’engage à mettre à jour et améliorer les différents supports d’information des personnes et à faciliter l’exercice de leurs droits de façon globale, notamment par le biais des personnels soignants.
Sur les modifications apportées au système d’information Vaccin Covid (SI Vaccin covid )
L’article 2 du projet de décret vise à modifier les dispositions relatives au SI Vaccin Covid afin d’améliorer la couverture vaccinale en facilitant un accès à la vaccination des personnes les plus à risque, par :
l’envoi par le service médical de la Caisse nationale d’assurance maladie (CNAM) au médecin traitant de la liste de ses patients vulnérables non vaccinés ;
l’accompagnement à la vaccination, par le service médical de la CNAM, des personnes non vaccinées présentant des pathologies à risque de forme grave de Covid-19.
Afin de permettre la mise en place de ces actions, qui visent, selon les précisions du ministère, à sensibiliser les personnes concernées et à leur apporter une aide dans la programmation des rendez-vous, l’article 2 du projet de décret ajoute la finalité d’accompagnement des personnes présentant des vulnérabilités particulières à la vaccination au SI Vaccin Covid .
Si le Gouvernement fait valoir que la mobilisation conjuguée des médecins traitants et des services de la CNAM vise à éviter que des personnes ne fassent l’objet d’aucune action de sensibilisation dans des cas où elle serait pertinente, la Commission souligne que cela peut néanmoins conduire, dans certains cas, à ce que ces actions soient redondantes et à des sollicitations répétées auprès des mêmes personnes. Elle prend acte de ce que, la vaccination n’étant pas obligatoire, ces sollicitations auront pour objet d’informer et de sensibiliser les personnes et non d’essayer de les convaincre lorsqu’elles indiqueront ne pas souhaiter se faire vacciner. Afin d’éviter tout risque de sollicitations répétées, la Commission invite le ministère à prévoir que l’action de l’Assurance maladie sera exercée prioritairement à l’intention des personnes n’ayant pas désigné de médecin traitant.
Sur l’établissement de listes de patients non vaccinés
Sur la création et la diffusion de listes de patients
Selon les précisions du ministère :
la liste des patients ayant déclaré un médecin traitant et n’étant pas vaccinés sera établie par le rapprochement automatique de la base des personnes ayant déclaré un médecin traitant (base médecins traitant ) et du SI Vaccin Covid . Elle pourra notamment inclure les personnes qui auront été destinataires de bons de vaccination, qui auront exprimé leur droit d’opposition à SI Vaccin Covid et qui n’auront pas été vaccinées ;
le service médical de la CNAM réceptionnera ensuite les différents jeux de données avant de les communiquer aux médecins traitants par la messagerie sécurisée d’Ameli pro puis à, compter de juillet 2021, via l’espace sécurisé d’Ameli pro, accessible par l’utilisation de la carte de professionnel de santé (CPS) du médecin traitant uniquement ;
l’envoi par le service médical de la CNAM au médecin traitant de la liste des patients non vaccinés permettra au professionnel de santé de mener des actions ciblées d’information et de sensibilisation de sa patientèle qu’il identifie comme fragile ;
le médecin traitant pourra avoir ainsi communication, dans le cadre du SI Vaccin Covid , d’informations relatives à ses patients vaccinés ou non ;
la liste des patients pourra être mise à jour après sollicitation du service médical par le médecin traitant.
Dans cette optique, l’article 2 du projet de décret prévoit d’étendre les catégories de données pouvant être collectées dans le cadre du SI Vaccin Covid aux données d’identification de la personne éligible à la vaccination, qu’elle soit vaccinée ou non.
Si la Commission comprend l’objectif de sensibilisation des personnes à risque de forme grave de Covid-19, elle tient cependant à rappeler qu’elle n’est en principe pas favorable à la création et la diffusion de listes de personnes non vaccinées, tant au regard du volume et de la sensibilité des données nécessaires à son établissement, qu’au regard de leur caractère intrusif et des craintes de mésusages que ces listes sont susceptibles de générer, notamment chez les personnes ne souhaitant pas se faire vacciner.
De plus, la Commission regrette d'avoir à se prononcer sur la proportionnalité d'une telle mesure sans disposer d'éléments d'enquête préalable permettant d'évaluer la part de médecins traitants n'ayant pas déjà systématiquement contacté leurs patients à risque de forme grave de Covid-19, ainsi que la part de médecins traitants désireux de recevoir les listes envisagées.
Eu égard à la crise sanitaire particulièrement grave à laquelle la France est confrontée, au rôle central que joue la vaccination et au fait que celle-ci demeure facultative, des actions de sensibilisation à la vaccination mobilisant des moyens inédits peuvent légitimement être mises en œuvre, à condition d’être entourées de garanties fortes. La Commission estime que la protection du secret médical régi par l’article L. 1110-4 du code de la santé publique n’y fait pas obstacle dès lors que ces informations ne seraient communiquées qu’aux médecins-traitants des patients, et seront traitées par la CNAM qui peut, dans le cadre de sa mission d’information et de sensibilisation des assurés sociaux et sous réserve de respecter les dispositions applicables, accéder et traiter des informations couvertes par le secret médical. La commission formule en revanche un certain nombre de demandes et de réserves dans le présent avis, en particulier afin d’éviter des risques de sollicitations excessives. Elle rappelle que les listes ne devront être conservées sous une forme permettant l'identification des personnes concernées que pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément à l’article 5.1.e du RGPD. La Commission recommande en outre que les listes ne soient établies et transmises aux médecins traitants qu’à leur demande, adressée au service compétent de l’Assurance maladie. La Commission invite donc le ministère à
modifier le projet de décret en conséquence.
Les personnes intervenant dans l’accompagnement devront donc être sensibilisées à la nécessité d’éviter les sollicitations multiples, à plus forte raison s’agissant des personnes qui se seraient opposées au traitement de données les concernant dans SI Vaccin Covid .
Sur la réutilisation de la base médecins traitants pour la constitution de ces listes
Selon les indications du ministère, la base médecins traitant est créée par l’article L. 162-5-3 du code de la sécurité sociale (CSS) ainsi que par le décret n° 2015-390 du 3 avril 2015 autorisant les traitements de données à caractère personnel par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie pour l'accomplissement de leurs missions d'affiliation, d'immatriculation, d'instruction des droits aux prestations et de prise en charge des soins, produits et services.
Selon le décret n° 2015-390 du 3 avril 2015, la base médecins traitants , tout comme les autres traitements mis en œuvre par les organismes gestionnaires de régimes obligatoires de base de l’assurance maladie, permet notamment :
l'immatriculation, l'affiliation, l'instruction, la gestion et le contrôle des droits des bénéficiaires ;
l'acquisition, le contrôle, le traitement et l'enregistrement des informations utiles ;
la gestion individualisée de la relation avec les bénéficiaires ;
le suivi et le traitement des procédures amiables, recours gracieux, actions contentieuses et actions de prévention et de lutte contre les fautes, abus et fraudes ;
le transfert des informations en cas de changement d'organisme gestionnaire ;
la production de statistiques.
La Commission relève que l’utilisation de ces traitements, dont fait partie la base médecins traitants , afin d’identifier des patients et de mener des actions ciblées d’information et de sensibilisation via les médecins traitants n’y figure pas. Elle s’interroge donc sur la compatibilité de cet objectif avec les finalités prévues par l’article 1er du décret n° 2015-390 du 3 avril 2015 et invite le ministère à modifier le décret n° 2015-390 si nécessaire.
Sur l’accès à certaines bases de données contenant des informations médicales
Afin d’obtenir la liste des personnes les plus à risque de forme grave de Covid-19 devant être accompagnées, le service médical accèdera au SI Vaccin Covid afin de croiser les données des personnes non vaccinées mais ayant reçu des bons de vaccination dans le cadre de la première campagne de vaccination, avec d’autres bases de données comportant des données médicales :
la base Hippocrate , permettant d’identifier les assurés ayant des affections longue durée ;
une base relative aux versements des indemnités journalières dérogatoires aux personnes vulnérables ;
une base relative à l’invalidité.
Le ministère n’ayant pas précisé le fondement et le régime juridique applicable à ces traitements, la Commission rappelle que l’objectif poursuivi doit être compatible avec les finalités des fichiers consultés et appelle, le cas échéant, à apporter les modifications nécessaires aux textes encadrant ces fichiers.
Sur le rôle du service médical de la CNAM
Le service médical de la CNAM serait, d’une part, chargé de la constitution des listes à destination des médecins traitants, l’article 3 du décret n° 2015-390 du 3 avril 2015 prévoyant que les agents de la CNAM habilités intervenant dans la prise en charge des assurés peuvent accéder aux données de la base médecins traitants , à raison de leurs attributions et dans la limite du besoin d’en connaître. D’autre, part, certains de ces agents, rattachés au service médical de la CNAM, participeraient également à l’accompagnement à la vaccination des personnes les plus à risque de forme grave de Covid-19.
La Commission invite le ministère à porter une attention particulière à l’articulation entre les textes régissant les missions confiées à ce service, en particulier l’article L. 315-1 du code de la sécurité sociale, et celles qui lui seraient dévolues dans le cadre du présent projet.
Sur les interconnexions entre Contact Covid, SI-DEP et SI Vaccin Covid
Le projet d’article 1er du décret du 25 décembre 2020 ajoute une finalité au SI Vaccin Covid afin d’adapter les mesures médicales d’isolement prophylactiques pour les personnes vaccinées identifiées comme cas contact ou personnes co-exposées en application des dispositions de l’article 1er du décret du 12 mai 2020 créant SI-DEP et Contact Covid. La Commission comprend que cette finalité vise à permettre le versement de données de SI Vaccin Covid dans Contact Covid, afin que les mesures sanitaires adéquates soient mises en œuvre, notamment en évitant le placement en quarantaine de personnes vaccinée, et considère que cette finalité est pertinente.
La Commission tient toutefois à souligner que chacun de ces systèmes d’information, qui s’inscrit dans la lutte contre l’épidémie de Covid-19, poursuit des finalités propres, définies à l’article 11 de la loi du 11 mai 2020 et aux articles 1er et 9 du décret du 12 mai 2020 pour les traitements Contact Covid et SI-DEP, et définies à l’article 1er du décret du 25 décembre 2020 pour le SI Vaccin Covid .
Sur le recueil de données issues de SI-DEP dans le SI Vaccin Covid
Le projet d’article 2 du décret du 25 décembre 2020 prévoit le versement dans le SI Vaccin Covid de la date d’une infection par le virus du SARS-CoV-2 datant de moins de six mois, issue de SI-DEP. La Commission rappelle toutefois que, à l’exception de la conservation à des fins de recherche et de suivi épidémiologique, la durée de conservation des données de SI-DEP prévue par l’article 11 de la loi n° 2020-546 du 11 mai 2020 est de trois mois à compter de leur collecte. Elle invite donc le ministère à modifier le projet de décret sur ce point.
Sur le recueil de données issues du SI Vaccin Covid dans Contact Covid et SI-DEP
S’agissant de Contact Covid
La Commission relève que le projet d’article 2.I.5° du décret du 12 mai 2020 prévoit que Contact Covid sera alimenté par les données issues du SI Vaccin Covid . Le ministère a précisé que cette transmission d’informations porterait uniquement sur le statut vaccinal, le nom du vaccin et la ou les dates d’injection visés au projet d’article 2.IIe) afin de s’assurer de la protection des personnes présentant un risque de contamination (cas contact et personnes co-exposées) et d’adapter l’orientation des personnes susceptibles de l’être en fonction de leur schéma vaccinal.