AgentPublic/cnil huggingface dataset:
Tester sur des données fictives ou anonymisées
Utiliser des fonctions cryptographiques
			Utiliser des algorithmes, des logiciels et des bibliothèques reconnus
			Conserver les secrets et les clés cryptographiques de manière sécurisée
 
69/ Pour ce faire, le responsable de traitement pourra utilement se référer au Guide de la sécurité des données personnelles. À noter que la mise en place d’un dispositif de gestion des habilitations des utilisateurs du logiciel permet de limiter les accès aux seules données qui leur sont strictement nécessaires. Ainsi, des niveaux d’habilitation différenciés doivent être créés en fonction des besoins des utilisateurs pour remplir leurs missions. De plus, un dispositif de gestion des traces et des incidents permet d’identifier un accès frauduleux ou une utilisation abusive des données personnelles ou de déterminer l’origine d’un accident. Le responsable de traitement sera ainsi mieux à même de pouvoir réagir face à une violation des données.
 
Attention
 :
En cas d’hébergement des données de santé à caractère personnel réalisé pour le compte des organismes assurant le suivi social ou médico-social par un prestataire informatique, celui-ci doit être agréé ou certifié pour l’hébergement, le stockage, la conservation de données de santé, conformément aux dispositions de l’article L. 1111-8 du code de la santé publique.
11. Analyse d’impact relative à la protection des données (AIPD)
70/ Les traitements ayant pour finalité l’accompagnement social et médico-social des personnes figurent dans la liste des types d’opérations de traitement pour lesquelles une AIPD est requise : ils doivent par conséquent systématiquement donner lieu à la réalisation préalable d’une AIPD.
 
71/ Ce référentiel constitue une aide à la réalisation d’une AIPD. Celle-ci repose, à cet égard, sur deux piliers :
les principes et droits fondamentaux fixés notamment par le RGPD et la loi Informatique et Libertés et devant être respectés quels que soient la nature, la gravité et la vraisemblance des risques encourus ;
la gestion des risques sur la vie privée qui permet de déterminer les mesures techniques et d’organisation appropriées pour protéger les données.
 
Pour réaliser une étude d’impact, le responsable de traitement pourra également s’appuyer sur :
- les principes contenus dans ce référentiel ;
- ainsi que sur les outils méthodologiques proposés par la CNIL sur son site web.
 
Si l’organisme en a désigné un, le DPD/DPO devra être consulté.
 
72/ Conformément à l’article 36 du RGPD, le responsable de traitement doit consulter la CNIL préalablement à la mise en œuvre du traitement si l’analyse d’impact indique qu’il ne parvient pas à identifier des mesures suffisantes pour réduire les risques à un niveau acceptable.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 31 mars 2021 portant création d'un traitement automatisé de données à caractère personnel dénommé SI honorabilité ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme. Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
Sur la finalité du traitement :
Le projet d’arrêté ajoute une finalité à l’article 1er de l’arrêté du 31 mars 2021 afin que le traitement puisse permettre aux personnes habilitées de procéder à un contrôle de l’inscription ou non au fichier judiciaire national automatisé des auteurs d’infractions sexuelles ou violentes (FIJAISV) des personnes intervenant auprès de mineurs dans le cadre des activités relevant du contrôle des agences régionales de santé (ARS).
Selon les précisions du ministère, la possibilité pour les directeurs généraux des ARS de consulter le FIJAISV résulte de la combinaison des articles 706-53-7 et R. 53-8-24 du code de procédure pénale, et s’inscrit dans le cadre des missions qui leur sont confiées par l’article L. 1431-2 du code de la santé publique.
Sur les personnes concernées :
Selon les précisions du ministère, toute personne ayant des contacts réguliers avec des mineurs fera l’objet d’un contrôle à court terme. Cela concernerait à la fois les salariés et les personnels non-salariés, tels que des prestataires et des membres d’associations. Cependant, la Commission relève que ces derniers ne sont pas explicitement visés par le projet d’arrêté. En effet, l’article 1er, qui modifie la liste de données pouvant être collectées afin de requêter le FIJAISV, prévoit la collecte de la nature des professions suivantes : profession médicale, pharmacien, auxiliaire médical, aide-soignant, ambulancier, n’envisageant donc pas de professions autres, pouvant être exercées par des salariés ou des personnes non salariées. Au vu de la variété des professions pouvant entraîner une vérification dans le FIJAISV.
Le ministère envisage d’ajouter au formulaire une catégorie autres , qui serait systématiquement renseignée, afin de conserver la possibilité de connaître la répartition des professions contrôlées .Si la Commission comprend l’intérêt de la réalisation de statistiques concernant les professions contrôlées, elle rappelle que le ministère a lui-même entendu limiter la collecte d’informations relatives aux professions en prévoyant que la sélection d’une profession dans le système d’information à l’aide d’un menu déroulant.
La Commission invite donc le ministère à compléter la liste des champs détaillant les professions ou les missions exercées par les personnes concernées et à ajouter en dernier recours une catégorie autre , sans prévoir d’y associer un champ libre. 
Sur les destinataires et les personnes pouvant accéder aux données :
L’article 1er du projet d’arrêté modifie l’arrêté du 31 mars 2021 afin que les personnes désignées par le directeur de l’établissement de santé ou médico-social ou, à défaut, les agents habilités des ARS puissent enregistrer les données relatives aux personnes dont l’honorabilité est contrôlée par les ARS dans le SI Dépose , qui permet de requêter le FIJAISV. Selon les précisions du ministère, il sera demandé au directeur général de l’établissement concerné de désigner un ou deux collaborateurs. Selon les estimations du ministère, les collaborateurs seront pour la plupart membres de l’équipe de direction, par exemple issus de la direction des ressources humaines. La Commission prend acte de ce que le ministère s’est engagé à s’attacher à ce que les agents concernés soient en nombre limité et soient sensibilisés aux obligations attachées à cette habilitation.
 
L’article 1er du projet d’arrêté modifie également l’arrêté du 31 mars 2021 afin que les agents des ARS habilités par le directeur général de l’ARS puissent accéder aux données enregistrées dans le portail SI Retour . La Commission relève que seuls ces agents auront accès à ce portail.
Selon les précisions du ministère, aucune condition n’est a priori fixée pour déterminer la liste des personnes au sein des ARS habilitées ou désignées pour le SI Dépose et le SI retour , en raison notamment de l’absence d’organigramme type de ces agences. La Commission prend acte de ce que le ministère s’est engagé à recommander des profils de personnes pouvant remplir ces missions en fonction de leurs compétences ou des missions qui leur sont confiées dans les instructions adressées aux ARS.
Le III de l’article 4 de l’arrêté du 31 mars 2021 n’est pas modifié par le projet d’arrêté. Ainsi, la liste des personnes destinataires des données enregistrées dans le portail SI Retour mais non habilitées n’est pas modifiée. Il n’est donc pas possible pour les agents des ARS qui ont accès aux données de SI retour de les communiquer aux directeurs d’établissements. La Commission prend acte de ce que le ministère s’est engagé à modifier le projet d’arrêté sur ce point.
Sur l'information et l’exercice des droits des personnes :
Pour les personnes non salariées (prestataires, associatifs…), les sociétés ou associations seront informées en amont et seront en charge d’un premier niveau d’information des personnes. La Commission prend acte de ce que le ministère s’est engagé à proposer des documents type d’information
à destination de ces acteurs afin de faciliter l’information des personnes.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits des personnes concernées s’exercent auprès de l’ARS compétente et, à défaut, auprès du secrétariat général du ministère de la santé. Ce dernier, qui ne dispose pas d’un accès au FIJAISV, aura pour tâche d’assurer la prise en compte des demandes d’exercice des droits par les ARS. La Commission prend acte de ce que le ministère s’est engagé à préciser ces éléments dans le document d’information destiné aux personnes concernées.
Sur la sécurité des données et la traçabilité des actions :
L’architecture du SI Honorabilité et ses mesures de sécurité existantes ont déjà fait l’objet d’analyses par la Commission et ne présentent pas de nouveaux développements majeurs. L’AIPD ainsi que le plan d’action associé ont été mis à jour afin de prendre en compte la nouvelle finalité du traitement.
La Commission relève que le SI Honorabilité intégrait dès son homologation les mesures de sécurité permettant de garantir le cloisonnement des données en fonction des différents types d’utilisateurs et de leur domaine d’intervention. Ce mécanisme de cloisonnement sera ainsi réutilisé pour le contrôle effectué par les ARS. Elle prend acte de ce que le ministère a réduit la durée de conservation des codes retour du FIJAISV conformément à ses engagements et de ce que des numéros d’identification non incrémentaux ont été mis en œuvre afin de rendre plus difficile à un attaquant ou utilisateur malveillant de déduire des informations concernant les personnes faisant l’objet d’un contrôle d’honorabilité.
Selon les précisions du ministère, le chiffrement des transmissions de données entre le SI Retour et les serveurs du ministère de la Justice lors de l’envoi et la réception automatiques des données liées à l’interrogation du FIJAISV a de même été implémenté. La Commission rappelle que la mise en place de ce chiffrement doit s’accompagner d’une authentification mutuelle entre les serveurs. Elle relève qu’une plateforme sécurisée pour l’appel aux serveurs gérant le casier judiciaire est en cours de réalisation et invite le ministère à prioriser le développement de cette plateforme.
Les traces techniques seront conservées pendant une durée conforme aux recommandations de la Commission. Elle rappelle néanmoins que la conservation de ces traces doit être assortie à un mécanisme proactif de contrôle automatique, contribuant à la détection des comportements anormaux par la génération d’alertes. Elle rappelle que les traces fonctionnelles doivent de même être conservées pendant une durée de six mois à un an pour des finalités de sécurité et être adossées à un mécanisme proactif de contrôle, conformément à ses recommandations.
Les autres points du projet d’arrêté n’appellent pas d’observations de la Commission.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la Société française de cardiologie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé Cardiohub ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés ), notamment ses articles 44-3° et 66-III ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement :
La Société française de cardiologie (SFC) est une société savante créée en 1937 et régie par la loi du 1er juillet 1901. Elle est mobilisée pour faire avancer la recherche contre les maladies cardiovasculaires.
Dans le cadre de la constitution de l’entrepôt Cardiohub , la SFC définit les axes de recherche, sélectionne les projets proposés en son sein et assure le financement de l’entrepôt.
Sur le responsable de la mise en œuvre :
La société Clinityx est notamment chargée de la mise en œuvre technique de l’entrepôt et de la gestion des données après leur collecte ; elle intervient en qualité de sous-traitant de la SFC.
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé :
La SFC souhaite constituer un entrepôt de données de santé afin de réaliser des recherches sur les pathologies cardiaques.
 
Cet entrepôt sera alimenté par des données à caractère personnel issues :
du registre Mitragister ;
du Système national des données de santé (SNDS) pour les personnes incluses dans le registre Mitragister.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du règlement général sur la protection des données (RGPD).
Le traitement mis en œuvre par la SFC est nécessaire à l’exécution de la mission d’intérêt public dont elle est investie. Ce traitement est, à ce titre, licite au regard de l’article 6-1-e) du RGPD et remplit une condition permettant le traitement des données concernant la santé au regard de l’article 9-2-i) du RGPD.
La mise en place de cette base de données nécessite un appariement entre des données du SNDS historique et des données issues du registre Mitragister. Cette base s’apparente à un entrepôt de données, soumis aux dispositions de l’article 44-3° et 66-III de la loi du 6 janvier 1978 modifiée, qui prévoient une autorisation pour les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
 
Les données contenues dans cet entrepôt ne sauraient, conformément au principe des finalités interdites d’utilisation du système national des données de santé (SNDS), être exploitées à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé, ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d'un individu ou d'un groupe d'individus présentant un même risque. De même, la Commission rappelle l’interdiction de constituer et d’utiliser, à des fins de prospection ou de promotion commerciales, des fichiers composés à partir des données issues directement ou indirectement des prescriptions médicales, dès lors que ces fichiers permettent d’identifier directement ou indirectement le prescripteur (article L.4113-7 du code de la santé publique).
La Commission rappelle que les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public et devra faire l’objet de formalités propres.
Sur la gouvernance de l’entrepôt :
La SFC a mis en place un dispositif de gouvernance de l’entrepôt Cardiohub composé :
d’une commission des registres, en charge de :
	
la proposition des orientations stratégiques,
la détermination du périmètre des données pertinentes,
du comité scientifique de Mitragister en charge de :
	
la détermination de ses orientations spécifiques,
l’élaboration du formulaire électronique de données devant être recueillies,
la réévaluation de la pertinence des données collectées,
la validation des projets de recherche visant à réutiliser les données en se fondant sur leur originalité, leur faisabilité, leur pertinence scientifique et stratégique, la validité de la méthodologie au regard des objectifs définis, l’éthique et le caractère d’intérêt public. Le comité vérifie l’impossibilité du ciblage de patients ou de prescripteurs au regard du plan d’analyse statistique soumis,
conseiller les chercheurs et porteurs de projet afin de favoriser des collaborations entre experts,
du comité de pilotage opérationnel de Mitragister, en charge de la gestion de la collecte des données auprès des centres et de la communication vers ceux-ci.
La Commission recommande vivement que ces comités de gouvernance soient notamment composés de membres qualifiés en matière de traitements de données du SNDS.
Sur la nature des données traitées :
Les données issues de Mitragister sont des données cliniques d’hospitalisation collectées durant deux ans à compter de l’hospitalisation de la personne concernée :
données administratives d’identification :
nom et prénom,
numéro de téléphone,
coordonnées postales,
coordonnées électroniques.
données de santé :
	
critères d’inclusion
données démographiques : date de naissance, sexe, poids, taille,
données de mode de vie (célibataire, isolé, activités professionnelles),
antécédents médicaux et facteurs de risques cardiaques,
caractéristiques cliniques de la cardiopathie étudiée,
comptes-rendus d’examens d’imagerie cardiaque,
comptes-rendus des examens complémentaires,
 
données de qualité de vie,
données d’examens biologiques,
données de prises en charge,
données de suivi hospitalier,
données de suivi (comptes rendus des examens complémentaires),
données de sortie.
 
Les données du registre Mitragister seront appariées avec les données du SNDS portant sur les deux années précédant l’hospitalisation de la personne concernée et jusqu’à dix ans après sa prise en charge et provenant :
du Système national d’information inter-régimes de l’Assurance maladie (SNIIRAM) s’agissant notamment des consultations des médecins généralistes, cardiologues et des traitements médicaux ;
du Programme de médicalisation des systèmes d’information (PMSI) s’agissant des évènements, des hospitalisations et des ré-interventions pendant le suivi ;
du Centre d’épidémiologie sur les causes médicales de décès (CépiDC) s’agissant du statut vital des participants.
La Commission relève que les données du SNIIRAM, du PMSI et du CépiDc des années 2014 à 2032 alimenteront l’entrepôt Cardiohub aux fins de mise en œuvre du suivi passif des personnes concernées.
Les données administratives d’identification collectées à des fins de suivi et d’appariement sont conservées de manière cloisonnée et conservées par un tiers de confiance distinct.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur le circuit des données collectées dans Cardiohub :
Lors de l’inclusion d’une personne dans le registre Mitragister, un numéro de cohorte est généré individuellement. Les médecins investigateurs (cardiologues) remplissent un formulaire électronique structuré (eCRF) afin d’y indiquer les données relatives à l’hospitalisation de la personne concernée. Afin de permettre la collecte de données spécifiques, telles que des images d’échographie, un suivi des personnes concernées est effectué par les personnes habilitées au sein de la SFC ou par le médecin investigateur, soumises au secret professionnel et sensibilisées à la confidentialité des données collectées. Les personnes habilitées collectent les informations transmises dans des formulaires électroniques.
Sur l’appariement des données de Mitragister et du SNDS dans le cadre de Cardiohub : 
Préalablement à la demande d’extraction des données du SNDS adressée à la Caisse nationale d’assurance maladie (CNAM), la SFC génère aléatoirement un identifiant spécifique projet (ISP). L’appariement est indirect : Clinityx produit un fichier d’appariement contenant les variables communes à Mitragister et au SNDS ainsi que l’ISP et le transmet de manière sécurisée à la CNAM. La Commission en prend acte.
Sur la durée de conservation des données :
Les données de santé des patients issues des différentes sources seront conservées en base active pendant une durée de quinze ans à compter de l’inclusion de la personne concernée dans Mitragister.
Les données administratives d’identification seront conservées pendant une durée de dix ans à compter de l’inclusion des personnes concernées dans Mitragister.
Au-delà, les données seront anonymisées ou supprimées. A cet égard, la Commission prend acte que cette opération fera l’objet d’une automatisation.
La Commission considère que ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.
Sur les destinataires des données de Cardiohub :
Des organismes de recherche académique, des autorités de santé, des fabricants de dispositifs médicaux, des associations de patients pourront, après l’accord des comités de gouvernance de l’entrepôt Cardiohub et l’accomplissement des formalités préalables prévues par la loi informatique et libertés , être destinataires des données de l’entrepôt afin de réaliser des projets de recherche.
Sur l'information des personnes :
Les personnes concernées seront individuellement informées du traitement des données les concernant dans le cadre de l’entrepôt Cardiohub par voie postale, électronique ou téléphonique.
Les personnes déjà incluses dans Mitragister avant la mise en œuvre de Cardiohub seront informées de l’évolution du traitement par la SFC à l’occasion de leur suivi à six mois, un ou deux ans.
Un portail de transparence sur lequel la note d’information relative à la constitution de l’entrepôt, ainsi que sur les différentes notes d’information relatives aux futures recherches menées sur l’entrepôt, sera disponible sur le site web de la SFC. La SFC devra communiquer aux établissements incluant des personnes dans Mitragister les notes d’information afin qu’ils les rendent disponibles sur leur propre site web.
La Commission prend acte de ce que la SFC s’engage à publier sur son site web le type de données disponibles au sein de son entrepôt ainsi qu’un résumé des recherches menées sur ces données. A des fins de transparence, le résumé et les résultats de chaque projet de recherche, d’étude ou d’évaluation réalisé sur les données de l’entrepôt seront publiés sur le portail de transparence de la SFC.
 
L’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé (PDS) de plusieurs éléments par les responsables de traitement, avant et après les études. Les projets de recherche, d’étude ou d’évaluation réalisés à partir des données de l’entrepôt Cardiohub devront être enregistrés au sein du répertoire public de la PDS. La Commission demande que l’entrepôt soit également inscrit au répertoire public de la Plateforme des données de santé.