AgentPublic/cnil huggingface dataset:
au niveau du transfert des données, notamment dans le cadre de la portabilité des données lors de l’établissement du protocole de communication entre les responsables de traitement (des protocoles largement utilisés sont recommandés, comme REST HTTP/S, SOAP, etc.) ;
au niveau du format des données, afin que le contenu de celles-ci puisse être aisément interprétable par un autre responsable de traitement ;
au niveau de la sémantique des données, c’est-à-dire de leur signification dans un contexte en particulier. Afin de faciliter la compréhension du modèle des données, de la documentation, des langages sémantiques ou de modélisation (tels qu’UML) peuvent être utilisés.
La Commission considère que le simple fait que le mandataire et le responsable de traitement n’ont pas développé des mécanismes de transmission similaire (directe ou par outil automatisé) ne suffit pas à conclure que l’exercice des droits est techniquement impossible. Il conviendra ainsi que le mandataire et le responsable de traitement déploient des efforts raisonnables en vue de trouver des solutions techniques permettant la bonne transmission des données.
Article 8 - Sur les traitements mis en œuvre par le mandataire lorsque les données ont été transmises par le responsable de traitement
8.1 - Sur la restructuration/réorganisation des données
En ce qui concerne la possibilité pour le mandataire de restructurer les données avant de les transmettre à la personne concernée, la Commission invite les mandataires à informer clairement les personnes, en précisant dans le contrat si cette restructuration fait partie intégrante du service proposé ou si la personne concernée conserve la possibilité de recevoir les données brutes. Le traitement de données réalisé dans ce cadre peut être fondé sur l’exécution du contrat auquel la personne concernée est partie, dès lors que la restructuration opérée fait partie intégrante du service demandé et attendu par la personne concernée.
8.2. - Sur la conservation des données par le mandataire
Les données transmises au mandataire par le responsable de traitement doivent en principe être supprimées, une fois la finalité du traitement découlant du mandat atteinte, ce qui correspond en principe à la transmission des données à la personne concernée ou à un autre responsable de traitement.
Toutefois, le mandataire peut proposer une fonctionnalité permettant à la personne concernée de conserver les données sur un espace de stockage dédié qu’il met à sa disposition pour qu’elle puisse y accéder à tout moment. . Dans un tel cas, la personne concernée doit être en mesure de définir la durée de conservation des données et de décider à tout moment de leur suppression.
La Commission recommande que les mesures suivantes soient prises pour les modalités de conservation des données :
mettre en place une politique de gestion du contrôle d’accès aux données, qui doit être garanti aux seules personnes autorisées, afin de se prémunir contre la destruction, le vol et la modification par des personnes malveillantes ;
mettre en place la journalisation des accès et modifications apportées ;
si les données sont de nature sensible, garantir leur confidentialité par des mesures de chiffrement avec une gestion de clés sous l’unique contrôle de l’utilisateur ;
si les données sont importantes, garantir leur disponibilité et mettre en place des mécanismes de réplication afin de pouvoir les restaurer en cas de perte ;
mettre en place une politique de suppression une fois que la durée de conservation prévue sera atteinte.
Article 9 - Sur la réutilisation des données transmises au mandataire 
Les responsables de traitement répondant à des demandes d’exercice de droits ne sont pas responsables des traitements effectués par le mandataire. Seuls les mandataires sont responsables de ces traitements et doivent, à ce titre, s’assurer de leur licéité, tant au regard du RGPD que d’autres réglementations.
L’objet du mandat visé par le dernier alinéa de l’article 77 du décret d’application de la loi Informatique et Libertés est exclusivement d’exercer les droits de la personne concernée en son nom et pour son compte. Il n’autorise donc pas en tant que telle la réutilisation des données personnelles collectées dans ce cadre par le mandataire pour son propre compte. Une telle réutilisation doit être envisagée de manière distincte, en tant que traitement de données à caractère personnel autonome pleinement soumis au respect de l’ensemble des dispositions du RGPD. Ce traitement doit notamment répondre à une ou des finalités déterminées, explicites et légitimes et être mis en œuvre sous le contrôle de la personne concernée.
A titre d’exemple, le mandataire peut proposer à la personne concernée un service additionnel reposant sur la réutilisation de ses données, auquel elle peut librement souscrire. Dans ce cas, seules les données nécessaires à la fourniture du service explicitement demandé par la personne peuvent être utilisées et cette dernière doit pouvoir revenir à tout moment sur son choix et demander la suppression des données la concernant.
De manière générale, si les données collectées par le biais du mandat venaient à faire l’objet d’un traitement allant au-delà de leur transmission, par le mandataire ou tout autre tiers auquel la personne concernée les aurait confiées, ce traitement devrait être pleinement conforme à toutes les dispositions du RGPD et devrait notamment disposer d’une base légale valable au titre de son article 6. A cet égard, le recueil du consentement spécifique, libre et éclairé des personnes concernées doit être privilégié, et sera souvent obligatoire, préalablement à toute réutilisation de leurs données pour des fins étrangères au mandat d’exercice des droits, dès lors qu’une telle réutilisation ne peut reposer sur l’exécution du contrat de mandat conclu avec la personne concernée et n’apparait pas entrer, de manière générale, dans ses attentes raisonnables.
Si cette réutilisation n’a pas été prévue dès l’entrée en relation contractuelle entre la personne concernée et le mandataire, ce dernier devra procéder à une analyse de compatibilité des finalités en application de l’article 6(4) du RGPD et disposer d’une base légale valable. Ainsi, la Commission estime que dans la grande majorité des cas, une forme de consentement de la personne sera nécessaire avant de procéder à toute réutilisation des données transmises dans le cadre de l’exercice de droit, à moins que cette réutilisation ait un lien fort avec cet exercice, et que les autres critères de compatibilité énumérés à l’article 6(4) soient remplis.
La Commission encourage les mandataires à proposer, le cas échéant, un choix granulaire par type de données et d’utilisation. Ainsi, la personne concernée devrait avoir le choix de décider au cas par cas des réutilisations qu’elle permet.
Le mandataire doit par ailleurs fournir à la personne concernée toutes les informations pertinentes et utiles sur les nouveaux traitements qu’il envisage de mettre en œuvre, d’une manière claire, concise et transparente, en application de l’article 13 du RGPD. Ainsi, la personne doit être en mesure de comprendre précisément ce qui sera fait des données la concernant.
Il appartient également aux mandataires de s’assurer qu’ils respectent les autres réglementations qui peuvent s’appliquer, notamment le droit de la concurrence, le droit des producteurs de bases de données ou encore la théorie civile de l’abus de droit.
Enfin, le droit d’obtenir une copie des données ne doit pas porter atteinte aux droits et libertés d’autrui (article 15 alinéa 4 du RGPD).
Si le droit à la portabilité ne porte pas atteinte aux droits et libertés de tiers (article 20 alinéa 4 du RGPD) dès lors que les données concernant des tiers se rapportent également à la personne concernée à l’origine de la demande, le traitement de données de tiers par un nouveau responsable de traitement doit faire l’objet d’une vigilance particulière. A ce titre, le CEPD considère que le nouveau responsable de traitement peut avoir un intérêt légitime à traiter les données de ces tiers afin de fournir un service à la personne concernée lui permettant de traiter ces données pour son usage personnel, et uniquement pour cet usage. A l’inverse, les droits et libertés des tiers ne semblent pas respectés si le mandataire utilise leurs données à des fins qui lui sont propres. Ainsi, la Commission estime que les mandataires devraient s’abstenir de réutiliser les données relatives à des tiers pour leurs propres finalités.
Article 10 - Sur la sécurité de la transmission des données
En ce qui concerne la sécurité des données transmises directement aux utilisateurs finaux, la Commission recommande que les mesures suivantes soient mises en œuvre par l’entité expéditrice (responsable du traitement ou mandataire) :
assurer la confidentialité des données échangées lors de leur transmission, par exemple en chiffrant les communications avec des algorithmes et des clés à l’état de l’art ;
assurer que seule la personne concernée peut accéder à ses données. Cela peut se traduire par la possibilité d’accéder aux données depuis un compte utilisateur accessible uniquement après authentification, ou par le partage d’un secret par un canal de communication différent de celui par lequel les données sont transmises, permettant de déchiffrer les données lorsqu’elles sont accessibles depuis un environnement non authentifié ;
mettre en œuvre un mécanisme de traçabilité illustrant le parcours des données.
En ce qui concerne les mesures de sécurité, lorsque les données sont transmises au mandataire ou à un responsable de traitement tiers, la Commission recommande que les mesures suivantes soient mises en œuvre :
assurer la confidentialité des données échangées lors de leur transmission en chiffrant les communications avec des algorithmes et des clés à l’état de l’art ;
mettre en place des mécanismes d’authentification mutuelle des entités concernées ;
avoir recours à des mécanismes d’authentification forte pour l’authentification des personnels habilités à accéder aux données ;
mettre en place des mécanismes de traçabilité des accès aux données, associés à une conservation des journaux de traçabilité et à des mécanismes d’analyse automatique de ces données conformément à la recommandation relative à la journalisation adoptée par la Commission le 14 octobre 2021
La présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant un projet de décret relatif au système national des données de santé ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique (CSP), notamment ses articles L. 1461-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8 ;
Vu la loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée ;
Vu l'arrêté du 9 octobre 2020 modifiant l'arrêté du 10 juillet 2020 prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le projet de décret dont est saisie la Commission est pris en application de la loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé, qui a étendu le périmètre du système national des données de santé (SNDS) et créé la Plateforme des données de santé (PDS), chargée de réunir, d'organiser et de mettre à disposition ces données.
A titre liminaire, la Commission souhaite émettre trois observations sur le projet de décret.
D'une part, elle regrette vivement, au regard de l'enjeu essentiel s'attachant à la protection de données de santé de millions de Français, le manque de lisibilité et de clarté des dispositions encadrant le SNDS qui, au-delà de l'insécurité juridique ainsi créée, réservent sa compréhension - et les enjeux importants qui y sont attachés - aux seuls experts du domaine.
D'autre part, elle estime, pour les raisons qui sont détaillées ci-dessous, que le projet de décret ne répond que partiellement aux objectifs qui lui sont fixés par l'article L. 1461-7 du code de la santé publique (CSP), notamment en ce qu'il ne remplit pas suffisamment clairement l'objectif de fixer la liste des catégories de données réunies au sein du système national des données de santé ainsi que les catégories de responsables des traitements du SNDS et les responsables de traitement et fixer leurs rôles respectifs .
Enfin, et surtout, la Commission estime indispensable que la garantie prévue par l'arrêté du 9 octobre 2020 au bénéfice des données de l'entrepôt Covid soit étendue à l'ensemble des données composant le SNDS centralisé et, qu'ainsi, il soit fait interdiction à l'ensemble de ces données de faire l'objet d'un transfert de données en dehors de l'Union européenne, quelles que soient les modalités d'hébergement (portail de la CNAM ; solution technique de la PDS, système fils, etc.). Elle prend acte de l'engagement du ministère de modifier le projet de décret sur ce point.
Sur le périmètre du SNDS
Alors que le SNDS - le SNDS historique - était jusqu'alors limité aux données issues des bases médico-administratives hébergées ou susceptibles d'être hébergées par la Caisse nationale de l'assurance maladie (CNAM), la loi du 24 juillet 2019 a ajouté de nouvelles catégories de données, telles que les données issues de la prise en charge médicale lorsque les actes sont remboursés par la sécurité sociale, les données issues des visites médicales scolaires, des services de protection maternelle ou infantile, des visites de santé au travail ou des enquêtes appariées, etc. L'ensemble de ces données entre dans le périmètre du SNDS élargi . Lorsqu'elles sont utilisées pour l'une des finalités visées à l'article L. 1461-1 III du CSP, elles sont soumises au respect de l'ensemble des dispositions de ce code, tout particulièrement au respect du référentiel de sécurité, à l'interdiction de poursuite de finalités interdites, aux conditions d'accès aux données via un accès permanent ou à la réalisation d'une formalité ainsi qu'aux modalités de transparence. Ce rattachement juridique au SNDS élargi n'emporte pas pour autant à lui seul de migration des données au sein d'une base centralisée.
Par ailleurs, l'essentiel de ces données a vocation à être intégré progressivement dans un SNDS centralisé composé d'une base principale (comprenant à ce jour le SNDS historique et pouvant être dans l'avenir enrichi) et d'une base catalogue incluant d'autres bases de données considérées comme pertinentes pour les acteurs de la recherche. Cette intégration impliquera, quant à elle, la migration des données. Initialement envisagé comme un système décentralisé, la Commission relève que le choix du ministère s'oriente finalement vers une centralisation des données du SNDS. Elle prend acte que ce projet de décret vise à amorcer cette centralisation des données auprès de la CNAM et de la PDS et à encadrer uniquement la mise en œuvre de ce SNDS centralisé .
La Commission relève également que, d'après les précisions apportées par le ministère, la PDS disposera d'une copie de la base principale, actuellement hébergée par la CNAM et que la base catalogue sera uniquement hébergée par la PDS.
La Commission attire, enfin, l'attention du ministère sur l'absence de clarté du périmètre du SNDS élargi , ce qui nuit à la bonne compréhension du dispositif prévu par le projet de décret.
Sur le périmètre du SNDS élargi 
La Commission estime que certaines catégories de données listées à l'article L. 1461-1 du CSP nécessiteraient d'être précisées.
S'agissant des données visées au 6° de l'article L. 1461-1 du CSP, le ministère a précisé que les données issues des dossiers médicaux, de même que celles issues des entrepôts hospitaliers, ne sont pas considérées comme des données du SNDS ab initio. La Commission comprend que ces données auront vocation à intégrer le SNDS élargi à condition d'être utilisées pour l'une des finalités prévues au III de ce même article (pour une finalité de recherche, d'étude ou d'évaluation par exemple). Ces données sont ensuite susceptibles d'intégrer le SNDS centralisé suite à un texte autorisant leur mise à disposition.
En outre, d'après les précisions apportées par le ministère, dès lors que le producteur de la base réutilise ses propres données à des fins de recherche, le critère de la mise à disposition ne sera pas rempli.
La Commission demande donc au ministère de clarifier le régime juridique applicable à la réutilisation de ces données et en particulier la notion de mise à disposition .
Par ailleurs, le ministère a également précisé que toutes les données, dès lors qu'elles seraient appariées avec des données du SNDS, feraient partie du SNDS élargi . Si la Commission comprend qu'un tel traitement soit effectivement soumis aux dispositions du CSP (respect du référentiel de sécurité du SNDS, transparence, etc.), cela ne doit pas pour autant conduire à considérer que la base ainsi appariée fait partie de facto du périmètre du SNDS élargi . Pour relever de ce périmètre, la base ainsi appariée ne devrait contenir que des données visées à l'article L. 1461-1 du CSP.
Parmi les données visées par cet article, la Commission relève que font partie du SNDS élargi les données à caractère personnel des enquêtes dans le domaine de la santé, lorsque ces données sont appariées avec des données mentionnées aux 1° à 6° . La Commission relève que, d'après les précisions apportées par le ministère, cette terminologie fait référence aux enquêtes définies par la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques. Elle prend acte de l'engagement du ministère de préciser le terme enquête dans le projet de décret.
Elle prend également acte de la volonté du ministère de faire figurer les cohortes appariées au SNDS historique dans le SNDS élargi , mais s'interroge, cependant sur la vocation des cohortes appariées au SNDS historique ou d'autres bases de données, constituées à des fins de recherche et ne relevant pas de la loi du 7 juin 1951, à faire partie du périmètre SNDS élargi .
La Commission invite donc le ministère à clarifier le périmètre du SNDS élargi , afin de ne pas l'étendre au-delà des seules données mentionnées dans la loi.
Sur le périmètre du SNDS centralisé (base principale et base catalogue)
La Commission relève que le projet de décret prévoit qu' un arrêté du ministre chargé de la santé liste les données du 1° à 11° du I de l'article L. 1461-1 du présent code qui alimentent la base principale et recense les bases de données du catalogue. Il est actualisé périodiquement selon la disponibilité des données .
Elle constate que le projet de décret renvoie le soin à un arrêté, portant uniquement sur le SNDS centralisé , d'apporter des précisions concernant les catégories de données visées par l'article L. 1461-1 du CSP. Elle regrette que ces catégories de données ne soient pas précisées en amont de l'inscription dans la base principale et dans la base catalogue de manière à déterminer préalablement le périmètre du SNDS élargi .
S'agissant de la base principale
Selon le projet de texte, la base principale a vocation à couvrir l'ensemble de la population et réunit les données mentionnées aux 1° à 4° du I de l'article L. 1461-1 . A ce jour, sont concernées les données issues du Système national d'information inter-régimes de l'Assurance maladie (SNIIRAM), du Programme de médicalisation des systèmes d'information (PMSI), du Centre d'épidémiologie sur les causes médicales de Décès (CepiDC) et des données issues des maisons départementales des personnes handicapées. Il est par ailleurs prévu que cette base principale soit complétée progressivement des données mentionnées aux 5° à 11° de l'article précité. 
La Commission relève que, d'après les précisions apportées par le ministère, la base principale sera alimentée par des données exhaustives couvrant l'ensemble de la population . Elle demande au ministère de préciser les critères pris en compte pour déterminer qu'une base alimentera la base principale, afin que le décret précise, comme le prévoit la loi, les modalités d'alimentation du SNDS.
Elle s'interroge également sur les critères conduisant à intégrer, par arrêté ministériel, les données listées aux 5° à 11° de l'article L. 1461-1 dans le SNDS centralisé .
S'agissant du catalogue
Le projet d'article R. 1461-2 du CSP prévoit que les bases de données du catalogue comprennent des données mentionnées aux 1° à 11° de l'article précité.
La Commission relève que, d'après les précisions apportées par le ministère, le catalogue comprendra uniquement des données visées à l'article L. 1461-1 du CSP.
Elle relève toutefois, également selon les précisions apportées par le ministère, que lorsqu'une base contient pour partie des données appartenant aux catégories visées par les dispositions de l'article L. 1461-1 du CSP et pour partie d'autres données, seule cette première partie de la base pourra être intégrée au catalogue.
Elle attire l'attention du ministère sur les difficultés que peut présenter, d'un point de vue pratique et scientifique, une telle préparation des bases en vue de leur intégration au catalogue.
Enfin, la Commission relève que l'arrêté du ministre chargé de la santé sera actualisé périodiquement, selon la disponibilité des données.
Elle prend acte de l'engagement du ministère de modifier le projet de décret afin que celui-ci précise que l'arrêté a vocation à inscrire les bases au sein du catalogue et non à recenser celles qui ont déjà été inscrites dans celui-ci.
Elle constate, par ailleurs, que le projet de décret renvoie le soin à la PDS de vérifier la conformité des bases ayant vocation à figurer au catalogue, au regard du RGPD et de la loi informatique et libertés . Elle prend acte de l'engagement du ministère, d'une part, de modifier le projet afin que ce rôle ne soit plus dévolu à la PDS et, d'autre part, du fait que la Commission sera saisie pour avis préalable de l'arrêté visé au I de l'article R. 1461-2 du CSP.
Sur l'information des personnes et les modalités d'exercice du droit d'opposition, et les autres droits
Le projet d'article R. 1461-9 du CSP prévoit les modalités d'information des personnes concernées et d'exercice de leurs droits.
S'agissant de l'information relative à la constitution du SNDS
Le projet d'article R. 1461-9 du CSP distingue les modalités d'information mises en œuvre, d'une part, par la PDS et, d'autre part, par la CNAM, la PDS étant chargée de mettre en œuvre sur son site web une information dont le contenu est précisé par le projet de décret. La CNAM est, quant à elle, chargée de réaliser une information relative à la mise en œuvre du système national des données de santé permettant de porter directement à la connaissance des personnes concernées les principales caractéristiques de ce dispositif  et de mettre à disposition ces informations sur son site internet, qui renverra à celui de la PDS.