AgentPublic/cnil huggingface dataset:
Pour les utilisateurs :
2.2.2.6. Les catégories de données à caractère personnel relatives aux utilisateurs pouvant faire l'objet du traitement sont les suivantes :
nom, prénoms, fonction, profils d'accès ;
si pertinent :
	
coordonnées téléphoniques, postales et/ou électroniques professionnelles, organisme employeur ;
formation, diplômes ;
éléments nécessaires à l'évaluation des connaissances afin de réaliser l'étude.
 
2.2.2.7. Les traitements de données des utilisateurs doivent avoir pour seule finalité la mise en œuvre de l'étude et le respect des obligations légales du responsable de traitement.
 
2.2.2.8. En particulier, les données traitées ont pour finalité la gestion des déclarations d'intérêts, leur transmission à la PDS, le cas échéant et la gestion des procédures d'habilitation internes.
2.3. Accédants et destinataires des données traitées (utilisateurs)
2.3.1. Les données sont mises à disposition du laboratoire de recherche ou du bureau d'études au sein d'un environnement maîtrisé. Le responsable de traitement n’accède pas aux données individuelles du SNDS.
 
2.3.2. Le responsable de la mise en œuvre du traitement tient à jour et met à disposition du responsable de traitement des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
2.3.3. Seules les personnes habilitées du laboratoire de recherche et du bureau d'études peuvent accéder aux données, dans le respect des dispositions prévues par l'article 3 du référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études.
2.3.4. Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
2.3.5. La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, par le laboratoire de recherche ou bureau d'études, conformément aux modalités décrites dans la procédure d'habilitation établie par le responsable de la mise en œuvre du traitement, respectant le cas échéant les consignes données par le responsable de traitement.
 
2.4. Information et droits des personnes concernées par l'étude
2.4.1. Information des personnes
2.4.1.1. S'agissant de données provenant exclusivement du SNDS, les personnes concernées sont informées de la réutilisation possible de leurs données de santé à caractère personnel selon des modalités définies par l'article R. 1461-9 du code de la santé publique.
 
2.4.1.2. Les dispositions de l’article 69 de la loi "informatique et libertés", qui posent le principe d’une information individuelle des personnes dont les données sont traitées, sont applicables à tous les traitements réalisés à partir de données du SNDS.
2.4.1.3. Toutefois, en application des dispositions de l’article 14.5.b du RGPD, le responsable de traitement peut faire valoir une exception à l’obligation d’information individuelle pour la mise en œuvre d’un traitement comportant exclusivement des données issues de la base principale du SNDS.
2.4.1.4. Dans cette hypothèse, il devra prendre des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes des personnes concernées, y compris en rendant les informations publiquement disponibles.
2.4.1.5. À cet égard, l'information des personnes concernées ne peut se limiter à l'inscription de l’étude au sein du répertoire public de la PDS.
2.4.1.6. Dans le cadre de cette méthodologie de référence, la réalisation de chaque recherche, étude ou évaluation dans le domaine de la santé doit être portée à la connaissance du public.
2.4.1.7. A minima, les mesures suivantes doivent être mises en œuvre pour garantir une information publiquement disponible :
la diffusion de la note d’information sur le site web du responsable de traitement ainsi que, le cas échéant, du laboratoire de recherche ou bureau d’études ;
la mise en place d’un portail de transparence lorsque le responsable de traitement réalise plusieurs études à partir des données du SNDS. Ce portail de transparence comporte une information générale sur le SNDS et une note d’information spécifique à chaque étude mise en œuvre.
2.4.1.8. D’autres modalités d’information collective peuvent également être prévues, en fonction des caractéristiques des études réalisées (réseaux sociaux, associations de patients, communiqué de presse, etc.).
 
2.4.1.9. Ces documents doivent comporter l'ensemble des mentions prévues à l'article 14 du RGPD.
2.4.2. Exercice des droits des personnes
2.4.2.1. La personne concernée exerce ses droits d'accès, de rectification, d’effacement, de limitation du traitement et d'opposition concernant le traitement mis en œuvre dans le cadre de la présente méthodologie, directement auprès du délégué à la protection des données de l’organisme responsable du traitement.
 
2.4.2.2. L'information des utilisateurs, ainsi que les modalités d'exercice de leurs droits, doivent être conformes au principe de transparence prévu au chapitre III du RGPD.
2.5. Durée d’accès ou de conservation des données
 
2.5.1. Cette durée doit être limité à celle strictement nécessaire à la mise en œuvre du traitement et ne doit pas excéder la durée de l’étude. En tout état de cause, la durée d’accès ou de conservation ne peut excéder cinq ans à compter de la dernière mise à disposition effective des données. Cette durée peut exceptionnellement être prolongée pour une durée maximale de deux ans, sur demande motivée du responsable de traitement, adressée au CESREES, qui rend alors un nouvel avis. Aucun archivage des données ne peut être réalisé.
2.5.2. Les données à caractère personnel traitées dans le cadre de cette méthodologie ne peuvent faire l'objet d'une conservation en dehors de l’environnement maîtrisé auquel le laboratoire de recherche ou le bureau d'études a recours.
2.5.3. Seuls des résultats anonymes, au sens de l’avis du Groupe de l’article 29 (G29) n° 05/2014 2014 ou à tout avis ultérieur du CEPD relatif à l’anonymisation, peuvent être exportés.
2.5.4. Les données à caractère personnel des utilisateurs chargées de la réalisation de l'étude ne peuvent être conservées au-delà d'un délai de cinq ans après la fin de l'étude.
 
2.6. Publication des résultats
 
2.6.1. Conformément aux dispositions de la loi "informatique et libertés", la présentation des résultats du traitement de données ne peut en aucun cas permettre l'identification directe ou indirecte des personnes concernées.
 
Titre III : SÉCURITÉ
 
3.1. Le traitement des données du Système national des données de santé et de ses composantes devra s’effectuer en conformité avec les dispositions des articles L. 1461-1 à L. 1461-7 du code de la santé publique.
 
3.2. Les mesures de sécurité devront être conformes au référentiel de sécurité applicable au système national des données de santé, prévu par l'arrêté du 22 mars 2017 et ses mises à jour ultérieures.
3.3. Les laboratoires de recherche et bureaux d’étude devront se conformer à l’arrêté du 17 juillet 2017 relatif au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études.
3.4. Les systèmes mettant à disposition les données visées dans cette méthodologie doivent ainsi être conformes au référentiel de sécurité applicable au SNDS précité.
3.5. Conformément au référentiel précité, le responsable de traitement doit s'assurer que le contrat conclu avec le laboratoire de recherche ou le bureau d'études précise les mesures et les conditions de sécurité relatives à la conformité au référentiel précité. En particulier, l’environnement maîtrisé devra avoir fait l’objet d’une homologation préalablement à la mise en œuvre du traitement de données nécessaire à l’étude.
3.6. Le responsable de traitement ou, le cas échéant, le responsable de la mise en œuvre du traitement, doit adopter les mesures techniques et organisationnelles suivantes :
 
 
Répartition des rôles et responsabilités
 
SEC-REP-1
La répartition des rôles et responsabilités entre le ou les responsables de traitement, le responsable de la mise en œuvre du traitement et le gestionnaire de l’environnement maîtrisé doit être formalisée par une convention. Cette dernière doit porter notamment sur la sensibilisation des utilisateurs de l’étude, la surveillance des traces, la gestion des alertes et des incidents ainsi que la gestion des exportations de données anonymes. Cette convention devra être conforme à l’article 28 du RGPD.
 
Gestion des habilitations et accès logique aux données
SEC-HAB-1
 
Différents profils d’habilitation doivent être prévus afin de gérer les accès aux données en tant que de besoin et de façon exclusive.
 
SEC-HAB-2
 
Les personnes habilitées à accéder aux données à caractère personnel doivent être individuellement habilitées selon une procédure impliquant une validation par leur responsable hiérarchique.
 
SEC-HAB-3
 
Une revue des habilitations doit être réalisée régulièrement et a minima annuellement, ainsi qu’à la fin de chaque étude.
 
SEC-HAB-4
 
Les permissions d’accès doivent être retirées dès le retrait des habilitations, par exemple après le départ d’un utilisateur habilité ou une modification de ses missions.
 
Identification et authentification des utilisateurs
SEC-IDE-1
L’accès aux données à caractère personnel doit être subordonné à une identification locale ou nationale pour toute personne physique ou morale, conformément aux exigences du palier 2 du référentiel d'identification de la PGSSI-S.
 
SEC-IDE-2
 
L’accès aux données à caractère personnel doit être subordonné à une authentification forte faisant intervenir a minima deux facteurs d’authentification distincts, conformément aux exigences du palier 2 du référentiel d'authentification de la PGSSI-S. Si l’un de ces facteurs est un mot de passe, celui-ci doit être conforme aux recommandations de la CNIL en matière de mots de passe à la date de rédaction de cette méthodologie (délibération n° 2022-100 du 21 juillet 2022).
 
Espace projet
SEC-ESP-1
 
Les données d’une étude doivent être manipulées par les utilisateurs habilités uniquement dans un espace projet spécifique à cette étude, étanche avec les données du SNDS central ainsi qu’avec les espaces projet d’autres études conduites dans le même environnement maîtrisé.
 
SEC-ESP-2
Les jeux de données importés dans un espace projet spécifique à une étude doivent être minimisés et limités aux seules données nécessaires à l’étude. Un numéro pseudonyme unique spécifique à chaque espace projet doit être généré dans les mêmes conditions de pseudonymisation que celles définies par le référentiel de sécurité applicable au SNDS précité. Par exemple, ce numéro pseudonyme unique pourra être généré par une fonction de hachage cryptographique résistante aux attaques par force brute ou un générateur de nombres pseudo-aléatoires cryptographiquement sûr.
 
Transmission de données
SEC-TRA-1
Toutes les transmissions de données depuis ou vers l’environnement maîtrisé ou les espaces projet doivent faire l’objet de mesures de chiffrement conformes à l’annexe B1 du référentiel général de sécurité (RGS) afin d’en garantir la confidentialité.
Ces mesures de chiffrement s’appliquent aux données en transit et à leur stockage après réception dans l’environnement maîtrisé ou les espaces projet.
Exportation de données anonymes hors des espaces de travail
SEC-EXP-1
Seuls des jeux de données anonymes peuvent faire l’objet d’une exportation hors de l’environnement maîtrisé ou d’un espace projet. Le processus d’anonymisation doit produire un jeu de données conforme aux trois critères définis par l'avis du G29 n° 05/2014 ou à tout avis ultérieur du CEPD relatif à l’anonymisation. Cette conformité doit être documentée. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de réidentification devra être menée et documentée, préalablement à chaque exportation.
 
SEC-EXP-2
 
Les exportations de données doivent être soumises à la validation préalable d’un responsable afin d’en avaliser le principe, notamment au regard de l’exigence SEC-EXP-1.
 
SEC-EXP-3
 
Les exportations doivent faire l’objet d’une surveillance automatique ou manuelle par un opérateur spécialisé afin d’en vérifier le caractère anonyme. Dans le cas où cette surveillance est automatique, toute exportation identifiée comme non conforme doit faire l’objet d’une remontée d’alerte et d’une mise en quarantaine dans un espace cloisonné et dédié, puis doit être vérifiée manuellement par un responsable spécifiquement formé et habilité.
 
Sensibilisation des utilisateurs et sécurité des postes de travail
SEC-SEN-1
 
Chaque personne habilitée à accéder à l’environnement maîtrisé doit être formée au respect du secret professionnel et sensibilisée régulièrement aux risques et obligations inhérents au traitement de données de santé.
 
SEC-SEN-2
Chaque personne habilitée à accéder à l’environnement maîtrisé doit signer une charte de confidentialité. Celle-ci doit préciser notamment les obligations au regard à la fois de la protection des données à caractère personnel de santé et des mesures de sécurité mises en place dans l’environnement maîtrisé, ainsi que les sanctions afférentes au non-respect de ces obligations.
 
SEC-SEN-3
 
Les postes de travail des personnes habilitées à accéder à l’environnement maîtrisé, y compris les utilisateurs externes accédant uniquement aux espaces projet, doivent faire l’objet de mesures de sécurité spécifiques, par exemple en mettant en place des comptes nominatifs, une authentification adéquate, un verrouillage automatique des sessions, un chiffrement des disques durs et des mesures de filtrage. Dans le cas où les postes de travail ne sont pas sous le contrôle du responsable de traitement, les mesures de sécurité à mettre en place sur les postes de travail doivent être encadrées au moyen d’une convention entre les parties concernées.
 
Journalisation
SEC-JOU-1
 
Les actions des utilisateurs des espaces projets et celles des utilisateurs de l’environnement maîtrisé doivent faire l’objet de mesures de journalisation, conformément aux exigences du palier 3 du référentiel d'imputabilité de la PGSSI-S. En particulier, les connexions (identifiants, date et heure), les requêtes et les opérations réalisées doivent être tracées.
 
SEC-JOU-2
Un contrôle des traces doit être réalisé régulièrement et a minima mensuellement, ainsi qu’à la fin de chaque période d’habilitation liée à une étude. Ce contrôle doit être réalisé par :
une solution réalisant une surveillance automatique avec une remontée d’alertes traitées manuellement par un opérateur habilité ;
ou par un contrôle semi-automatique via l’exécution de programmes permettant une sélection des traces anormales, suivi d’une relecture manuelle par un opérateur habilité.
 
SEC-JOU-3
 
Les traces de journalisation définies aux exigences SEC-JOU-1 doivent être conservées pour une durée de six mois à un an à compter de leur collecte, sauf exception justifiée par l’importance du risque pour les personnes en cas de détournement des finalités du traitement et de la fréquence d’occurrences de telles pratiques. Dans ce dernier cas, la durée de conservation maximale des traces de journalisation peut être étendue à trois ans.
 
Gestion des incidents de sécurité et des violations de données à caractère personnel
SEC-INC-1
 
Les parties à la convention doivent prévoir une procédure de gestion et de traitement des incidents de sécurité et des violations de données à caractère personnel, précisant les rôles et responsabilités et les actions à mener en cas de survenue de tels incidents.
 
SEC-INC-2
Tout incident de sécurité, d’origine malveillante ou non et se produisant de manière intentionnelle ou non, ayant comme conséquence, même temporaire, de compromettre l’intégrité, la confidentialité ou la disponibilité de données à caractère personnel, doit faire l’objet d’une documentation en interne dans un registre des violations.
 
SEC-INC-3
 
Toute violation de données doit être notifiée à la CNIL dans les conditions prévues à l’article 33 du RGPD.
 
SEC-INC-4
 
Dans l’hypothèse où la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable de traitement est tenu de communiquer la violation des données aux personnes concernées dans les meilleurs délais, conformément à l’article 34 du RGPD. 
 
 
 
 
3.7. Ces mesures ne sont pas exhaustives et devront être complétées au regard des risques pesant sur le traitement mis en œuvre.
 
3.8. De plus, les articles 5.1.f et 32 du RGPD nécessitent la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques et que les mesures soient conformes à l’état de l’art.
 
Titre IV : SOUS-TRAITANTS
4.1. Le responsable de traitement n'accède jamais aux données individuelles du SNDS et doit recourir, pour tous les traitements, à un laboratoire de recherche ou un bureau d'études indépendant, sous-traitant s'étant déclaré auprès de la CNIL conforme au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études, fixé par arrêté du 17 juillet 2017.
 
4.2. Cette obligation de recourir à un laboratoire de recherche et bureau d’études n’est pas applicable à ce dernier lorsqu’il agit en tant que responsable de traitement.
 
4.3. Conformément à cet arrêté et à l'article 28 du RGPD, les engagements respectifs du responsable de traitement et du laboratoire de recherche ou bureau d'études sont formalisés dans un contrat dont le contenu est défini par ces textes.
 
4.4. En outre, les sous-traitants :
doivent désigner, le cas échéant, un délégué à la protection des données conformément à l'article 37 du RGPD ;
doivent tenir un registre des catégories de traitements effectués pour le compte du responsable de traitement, conformément à l'article 30 du RGPD.
 
Le ou les responsables du traitement s'engagent à :
 
ne pas avoir de liens d'intérêt avec le laboratoire de recherche ou le bureau d'études et l'objet du traitement de nature à constituer un conflit d'intérêts ;
ne pas chercher à accéder aux données à caractère personnel mises à disposition du laboratoire de recherche ou du bureau d'études ;
ne pas utiliser les résultats fournis pour l'une des finalités interdites.
TITRE V : HEBERGEMENT DES DONNEES DU SNDS ET ABSENCE DE TRANSFERT DE DONNÉES HORS DE L’UNION EUROPÉENNE
5.1. Dans le cadre de la présente méthodologie de référence, le ou les responsables de traitement de l’étude s’assurent :
que les données issues de la base principale du SNDS hébergées dans l’environnement maîtrisé le sont exclusivement au sein des pays membres de l’espace économique européen et sans transfert possible en dehors de l’Union européenne ;
de l’absence d’accès distant aux données depuis l’extérieur du territoire de l’Union européenne.
 
5.2. Par ailleurs, les organismes et le cas échéant, leurs sous-traitants, accédant aux données du SNDS dans le cadre de la réalisation des opérations d’hébergement de l’infrastructure technique de l’environnement maîtrisé, ainsi que l’administration et l’exploitation associées à ce stockage, doivent être exclusivement soumis aux lois de l’Union européenne.
 
Titre VI : MISE EN ŒUVRE DU PRINCIPE DE RESPONSABILITÉ
6.1. Analyse d’impact sur la protection des données
6.1.1. Le responsable de traitement effectue une analyse d'impact relative à la protection des données menée conformément aux dispositions de l'article 35 du RGPD, qui doit couvrir en particulier les risques sur les droits et libertés des personnes concernées.
6.1.2. Cette analyse d’impact doit être réexaminée et mise à jour régulièrement, notamment si des changements importants sont prévus dans le traitement mis en œuvre dans le cadre de la présente méthodologie, ou si les risques pour les personnes concernées ont évolué.
6.1.3. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques semblables.
6.2. Formalités
6.2.1. Chaque responsable de traitement désigne un délégué à la protection des données, en application de l'article 37 du RGPD. Ce délégué à la protection des données aura notamment pour mission de vérifier le respect de la conformité des traitements mis en œuvre selon la présente méthodologie.
 
6.2.2. Le responsable de traitement adresse à la CNIL une seule déclaration de conformité à la présente méthodologie pour l'ensemble des traitements qu'il met en œuvre dès lors qu'ils sont et seront réalisés en conformité avec l'ensemble des dispositions de la méthodologie.
6.2.3. Dans le cadre d’une responsabilité conjointe, chaque responsable de traitement procède à une déclaration de conformité à la méthodologie de référence pour son propre compte.
6.2.4. Les traitements visés par la présente méthodologie de référence doivent obtenir un avis expressément favorable du CESREES préalablement à leur mise en œuvre. Pour obtenir cet avis, un dossier doit être déposé auprès du secrétariat unique de la PDS et doit comporter les éléments listés dans la présente méthodologie.
6.2.5. Conformément à l'article 30 du RGPD, le responsable de traitement tient à jour, au sein du registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente méthodologie. Il vérifie régulièrement la conformité des traitements en cours au regard des exigences de la méthodologie de référence et documente cette analyse.
6.3. Principe de transparence
 
6.3.1. Le cadre juridique permettant la mise à disposition des données du SNDS est conçu de façon à rendre compte de leur utilisation à la population. À cette fin, l'article L. 1461-3 du CSP subordonne l'accès aux données du SNDS et de ses composantes à la communication à la PDS de plusieurs éléments par le responsable de traitement, avant et après l'étude.
 
6.3.2. Ainsi, le responsable du traitement s'engage à enregistrer dans le répertoire public tenu par la PDS chaque étude réalisée dans le cadre de cette méthodologie.
6.3.3. Cet enregistrement doit être effectué, avant le début de chaque étude, par le responsable de traitement ou la personne agissant pour son compte. Il s'accompagne de la transmission à la PDS d'un dossier comportant :
 
le protocole, incluant la justification de l'intérêt public, ainsi qu'un résumé, selon le modèle mis à disposition par la PDS. En cas d’avis favorable avec recommandations du CESREES, le protocole et le résumé tenant compte de manière apparente des recommandations doivent être enregistrés ;
la déclaration d'intérêts, en rapport avec l'objet de l'étude, du responsable du traitement, ainsi que celle du laboratoire de recherche ou du bureau d'études, telle que prévue par l'article 5 de l'arrêté du 17 juillet 2017 précité.
 
6.3.4. À la fin de l'étude, la méthode et les résultats obtenus devront être communiqués à la PDS en vue de leur publication dans le respect du secret des affaires et de la propriété intellectuelle.
 
6.3.5. L'enregistrement du traitement et la transmission des résultats sont effectués conformément aux modalités définies par la PDS.
6.4. Bilan
6.4.1. Le responsable de traitement, le cas échéant après avoir consulté le ou les sous-traitants, transmet tous les trois ans à la CNIL un bilan synthétisant les usages observés de la présente méthodologie de référence, en indiquant notamment :
le nombre d’études mises en œuvre sur la période analysée ;
les types de finalités poursuivies ;
les modalités de financement des projets et partenaires (notamment financements publics, etc.) ;
sur les données traitées :
	
les composantes du SNDS majoritairement sollicitées ;
la conformité globale de l’expression des besoins aux objectifs de l’étude ;
la profondeur historique sollicitée en moyenne et son caractère suffisant ou non ;
le nombre moyen de personnes concernées par les études ;
la moyenne de la durée d’accès ou de conservation des données sollicitée et leur caractère suffisant ou non ;
les supports d’information collective mis en œuvre ;