AgentPublic/cnil huggingface dataset:
Cependant, selon les précisions du ministère, une exception est prévue pour les mineurs : un titulaire de l’autorité parentale pourra remplir le Portail Autotest Covid-19 pour le compte d’un mineur. Le titulaire de l’autorité parentale aura accès, via son compte, aux historiques des mineurs pour lesquels il aura rempli des informations. La Commission en prend acte. Elle estime par ailleurs qu’une dérogation similaire devrait être prévue pour les professionnels qui accompagnent des personnes ne disposant pas des outils numériques nécessaires ou d’un niveau de maîtrise suffisant, dans le cadre du dispositif Aidants-connect .
La Commission attire l’attention du ministère sur le fait que la saisie du résultat ne pouvant être effectuée que via une interface numérique, ce dispositif exclut mécaniquement la partie de la population éloignée du numérique et est susceptible d’engendrer un biais dans le suivi épidémiologique.
Sur les destinataires
Le ministère a précisé qu’après pseudonymisation des données par un algorithme identique à celui utilisé pour SI-DEP et Vaccin Covid , les données collectées seront transmises à la direction du numérique des ministères chargés des affaires sociales (DNUM) qui mettra en place un portail regroupant des indicateurs n’affichant pas de comptage inférieur à 100. Seuls les organismes intervenant dans la gestion de l’épidémie, listés à l’article 3 du projet de décret, pourront y accéder. La Commission prend acte de ce que la DGS et la DNUM formalisent par un acte juridique les responsabilités qui leurs seront dévolues dans le cadre de la mise en œuvre du Portail Autotest Covid-19 .
Sur la durée de conservation des données et de la mise en œuvre du traitement
Selon les précisions du ministère, les données seront conservées trois mois à compter de leur collecte avant d’être supprimées.
Selon les indications du ministère, le portail sera mis en œuvre jusqu’au 31 décembre 2021. La Commission invite donc le ministère à compléter le projet en y mentionnant explicitement cette date ou tout élément permettant d’en déterminer la durée.
Sur la sécurité des données et la traçabilité des actions
La Commission n’a pas été destinataire de l’analyse d’impact sur la protection des données (AIPD) et le ministère n'a pas encore été en mesure de lui transmettre les informations techniques nécessaires concernant la mise en œuvre du traitement. Elle n'a donc pas été en mesure de vérifier la sécurité du traitement avant son déploiement, mais précise qu'elle sera vigilante quant aux conditions de mise en œuvre du Portail Autotest Covid-19 .
La Commission demande qu’un bilan détaillé du Portail Autotest Covid-19 lui soit communiqué, six mois après le début de sa mise en œuvre.
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions et le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19 ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2021-1041 du 5 août 2021 relative à la gestion de la crise sanitaire ;
Vu la décision du Conseil Constitutionnel n° 2021-824 DC du 5 août 2021 ;
Après avoir entendu le rapport de Mme Marie-Laure DENIS, Présidente, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après la Commission ) a été saisie en urgence le 27 juillet 2021 d'un projet de décret modifiant, d'une part, le décret n° 2020-551 relatif aux systèmes d'information Contact Covid , SI-DEP et aux traitements mis en œuvre par les agences régionales de santé (ARS) et, d'autre part, le décret n° 2020-1690 relatif au système d'information Vaccin Covid .
Les modifications envisagées visaient à :
- compléter les finalités poursuivies par les systèmes d'information Contact Covid , SI-DEP ainsi que par les traitements mis en œuvre par les ARS pour permettre le suivi et le contrôle du respect des nouvelles mesures d'isolement s'imposant aux personnes dépistées positives à la covid-19 ;
- allonger la durée de conservation de certaines données collectées au sein de SI-DEP en application de la loi ;
- compléter les finalités poursuivies par le système d'information Vaccin Covid afin de permettre aux agences régionales de santé (ARS) d'être destinataires de la liste des professionnels non vaccinés soumis à l'obligation vaccinale prévue par la loi ;
- ajouter de nouvelles catégories de destinataires aux systèmes d'information précités aux fins de mise en œuvre de ces contrôles.
Concernant les modifications induites par l'ajout d'une finalité relative au suivi et au contrôle des mesures d'isolement, la Commission prend acte de ce que le ministère va modifier le présent projet de décret afin de tenir compte de la décision du Conseil constitutionnel du 5 août 2021 déclarant comme non conformes à la Constitution les articles 7.1° et 9 de la loi relative à la gestion de la crise sanitaire.
L'information des personnes concernées par ces dispositifs et les procédures de contrôle liées constitue une garantie essentielle pour leur permettre de disposer des renseignements nécessaires et des moyens de faire valoir leurs droits. A cet égard, la Commission demande au ministère, à la CNAM ainsi qu'aux ARS d'informer les professionnels concernés par l'obligation vaccinale des modalités de contrôle du respect de cette obligation.
Ainsi, au-delà de son avis sur ce projet de décret, la Commission se montrera particulièrement attentive aux conditions de mise en œuvre de ces traitements qui devront faire l'objet d'analyses d'impact sur la protection des données devant être mises à jour en application de l'article 35 du RGPD.
A cet égard, la Commission relève que la multiplication des traitements de données à caractère personnel de santé liés à la gestion de la crise sanitaire augmente les risques sur la sécurité de ces données et recommande aux différents acteurs concernés (ministère, directions régionales du service médical, ARS) de mener une analyse de risques globale, du type EBIOS-RM, afin de déterminer les mesures techniques et organisationnelles nécessaires afin d'assurer la protection de ces données.
En outre, elle recommande aux différents acteurs de réaliser une revue et une mise à jour fréquente des habilitations des agents concernés, ainsi qu'une purge fréquente et adaptée de leurs messageries et répertoires de travail.
Sur les modifications apportées au système d'information SI-DEP portant sur l'allongement de la durée de conservation des données des personnes testées positives à la covid-19
Le projet d'article 11 du décret n° 2020-551 distingue, parmi les données à caractère personnel contenues dans le traitement SI-DEP :
- les données relatives à une personne ayant fait l'objet d'un examen de dépistage de la covid-19 concluant à une contamination, qui peuvent être conservées pour une durée de six mois après leur collecte ;
- les autres données, dont la durée de conservation reste inchangée (trois mois).
Cette modification tire les conséquences nécessaires de la loi. L'allongement à six mois de la durée de conservation en cas de test positif est lié à la durée pendant laquelle des certificats de rétablissement peuvent être établis en application de l'article 2-2 du décret n° 2021-699.
Sur les modifications apportées au système d'information Vaccin Covid (SI Vaccin Covid )
L'article 12 de la loi institue une obligation vaccinale contre la covid-19 pour les professionnels au contact direct, dans l'exercice de leur activité professionnelle, des personnes les plus vulnérables, ainsi qu'à celles qui travaillent au sein des mêmes locaux dont la liste est limitativement énumérée. L'article 13 de la loi prévoit que les professionnels soumis à cette obligation établissent y avoir satisfait en présentant notamment un justificatif de leur statut vaccinal et que ceux qui ne sont pas soumis à cette obligation en raison d'une contre-indication doivent présenter un certificat médical. Lorsqu'ils sont salariés ou agents publics, ces justificatifs ou certificats sont transmis par les professionnels concernés à leurs employeurs. Dans les autres cas, notamment pour les professions libérales, il est prévu que les ARS compétentes accèdent aux données relatives au statut vaccinal de ces mêmes personnes, avec le concours des organismes locaux d'assurance maladie, afin de contrôler le respect de cette obligation. Ces contrôles ne pourront être diligentés qu'à compter de la date de l'entrée en vigueur de l'obligation vaccinale conformément aux dispositions de l'article 14 de la loi.
Le projet de décret soumis pour avis à la Commission vise à permettre aux ARS d'accéder à ces données afin de vérifier que les professionnels concernés ont bien satisfait à leur obligation vaccinale.
Sur l'ajout d'une finalité relative à la mise à disposition des agences régionales de santé de la liste des professionnels non vaccinés soumis à l'obligation vaccinale
Le projet d'article 1.7° du décret n° 2020-1690 prévoit que le système d'information Vaccin-Covid pourra être mis en œuvre aux fins de mise à disposition de données permettant le contrôle de l'obligation vaccinale des professionnels qui ne sont pas salariés ou agents publics.
Les évolutions introduites par ce projet de décret modifient la finalité initiale de ces traitements puisqu'elles permettent d'utiliser les données collectées à des fins de suivi de la vaccination pour contrôler le respect de l'obligation vaccinale des professionnels. Ces contrôles impliquent la mise en œuvre de traitements de données à caractère personnel ultérieurs par plusieurs responsables de traitements.
La Commission estime que les traitements mis en œuvre par le ministère des solidarités et de la santé, la CNAM aux fins de mise à disposition des données nécessaires au contrôle du respect de l'obligation vaccinale par les ARS relèvent du champ d'application du RGPD puisque les suites des contrôles ne seront pas collectées dans ce traitement et que la conséquence directe des traitements consiste en une interdiction d'exercer et non en une sanction pénale.
Sur les catégories de données transmises aux agences régionales de santé
Le projet d'article 3 du décret n° 2020-1690 prévoit que les agents des ARS spécialement habilités par les directeurs généraux de ces agences sont rendus destinataires de certaines données mentionnées aux 1°, 3° et 5° du I de l'article 2 du projet de décret, nécessaires au contrôle de l'obligation vaccinale (nom, prénoms, date et lieu de naissance, NIR ou, le cas échéant, code d'admission au bénéfice de l'aide médicale d'Etat sous la mention immatriculation ; coordonnées postale, électronique et téléphonique de la personne concernée ainsi que, le cas échéant, de son représentant légal, ainsi que certaines données relatives à la réalisation de la vaccination).
Ces données, collectées et enregistrées dans le cadre de soins médicaux, sont protégées par le secret médical. L'article 13 de la loi implique nécessairement que les ARS puissent connaître à cette fin de données en principe couvertes par le secret médical prévu à l'article L. 1110-4 du code de la santé publique. Cette dérogation au principe du secret médical entraîne le partage de données d'une grande sensibilité susceptibles de concerner une partie de la population française ; la Commission insiste donc sur l'importance de la gestion des habilitations, qui devra limiter l'accès à ces données aux seuls agents ayant le besoin d'en connaître, à savoir ceux intervenant pour le contrôle du respect de l'obligation vaccinale.
La Commission comprend des précisions apportées par le ministère que la procédure de contrôle de l'obligation vaccinale sera la suivante :
- les données d'identification contenues dans le système d'information Vaccin Covid seront croisées par la CNAM avec les données du fichier national des professionnels de santé (FNPS), créé par une décision de la CNAM, grâce au NIR, afin d'identifier les professionnels soumis à l'obligation vaccinale qui ne se seraient pas acquittés de cette obligation ;
- les listes des professionnels de santé libéraux non vaccinés (comportant le nom, prénoms, adresse d'exercice et numéro RPPS) seront transmises par messagerie sécurisée aux organismes locaux d'assurance maladie (directions régionales du service médical - DRSM ) ;
- ces organismes transmettront ensuite ces fichiers aux agents spécialement habilités des ARS.
La Commission souligne que ces listes n'ont pas vocation à être envoyées à toutes les ARS : chaque ARS ne devra être rendue destinataire que des données dont elle a effectivement besoin. Ainsi, lorsque le contrôle se traduit uniquement par des échanges avec le professionnel concerné, seule l'ARS territorialement compétente devrait être destinataire d'informations sur son statut vaccinal. Si d'autres actions des ARS, auprès de certains lieux d'exercice ou de certaines professions, devaient être conduites en application de l'article 13 de la loi de gestion de la crise sanitaire, il conviendrait de veiller à ce que les données pertinentes ne soient rendues accessibles, dans la mesure du possible, qu'aux ARS intéressées.
Compte tenu des précisions apportées par le ministère sur, d'une part, la nature des données nécessaires à l'interconnexion du FNPS et du SI Vaccin-Covid (le NIR) et à la consultation du statut vaccinal ainsi que, d'autre part, sur la nature des données transmises aux agences régionales de santé (nom, prénoms, adresse d'exercice et numéro d'inscription au répertoire partagé des professionnels de santé - RPPS), la Commission s'interroge sur la pertinence de la collecte des autres données visées par le projet d'article 3 du décret, s'agissant notamment du sexe ainsi que des dates et lieux de naissance des professionnels.
Conformément au principe de minimisation prévu à l'article 5 du RGPD, seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées pourront être transmises aux agents des ARS. En application de ce principe et à des fins de transparence vis-à-vis des personnes concernées, la Commission demande au ministère de préciser dans le décret la liste précise des données pouvant être transmises aux ARS dans ce cadre.
S'agissant de la réutilisation du fichier national des professionnels de santé
Ce fichier a été créé par une décision du 17 mars 2004 du président du conseil d'administration de la CNAM, qui détermine les caractéristiques essentielles du traitement mis en œuvre.
Concernant les finalités, le FNPS a été créé à des fins de gestion des informations nominatives relatives aux professionnels de santé pour la tarification de leurs prestations, du suivi de l'application des conventions, de gestion du risque, d'information des usagers sur la prise en charge des actes ainsi que d'automatisation de l'indemnisation des frais de formation.
La Commission estime que, dès lors que le fichier du FNSP est encadrée par des règles fixées par une décision de la CNAM, il est nécessaire que la CNAM vérifie la conformité de l'utilisation qu'il est projeté d'en faire avec ces règles. En l'état des informations dont elle dispose, la Commission estime que la CNAM doit a minima modifier la décision du 17 mars 2004 avant d'utiliser ce fichier pour constituer des listes de personnes non vaccinées. Cette utilisation devra en outre être documentée dans le registre des traitements de données à caractère personnel de la CNAM.
Concernant les données réutilisées, la Commission prend acte de ce que seules les données suivantes du FNPS seront réutilisées à des fins de constitution des listes des professionnels non vaccinés :
- le numéro RPPS. A cet égard, elle attire l'attention du ministère sur le fait que cette donnée n'est pas visée par la décision précitée ;
- l'adresse d'exercice professionnel du lieu d'établissement principal du professionnel.
Concernant les destinataires du FNPS, la Commission relève que si les organismes locaux d'assurance maladie sont qualifiés de destinataires du FNPS, tel n'est pas le cas des ARS. Elle considère toutefois que, compte tenu du contexte sanitaire actuel et des obligations introduites par des dispositions législatives, les ARS peuvent, à titre temporaire et pour une durée strictement nécessaire pour le contrôle du respect de l'obligation vaccinale des professionnels de santé, être destinataires des données conservées dans ce traitement.
Concernant les modalités d'information des professionnels concernés, la Commission relève que :
- le système d'information Vaccin-Covid ne comporte que les données des personnes éligibles à la vaccination (sauf opposition de la personne concernée en application de l'article 5-II 1° du décret n° 2020-1690) et les personnes vaccinées ;
- l'article 10 de la décision créant le FNPS prévoit qu'elle est portée à la connaissance des professionnels de santé au moyen de publications qui leur sont régulièrement adressées .
Les personnes concernées par ces deux traitements n'étant pas identiques, en considération de la sensibilité de la finalité poursuivie et eu égard au rapprochement de ces deux systèmes d'information, la Commission insiste sur la nécessité que la CNAM, en sa qualité de responsable de traitement du FNPS, et les ARS, en leur qualité de destinataires de données, informent tous les professionnels de santé de l'utilisation de ce fichier à des fins de constitution de liste permettant aux ARS de veiller au respect de l'obligation vaccinale. Elle demande à ce que l'article 3 du projet de décret soit complété en ce sens.
La Commission demande au ministère et à la CNAM d'informer les personnes concernées par le FNPS de la réutilisation de leurs données en conformité avec les dispositions du RGPD. Enfin, elle attire leur attention sur la nécessité de prévoir les modalités d'exercice des droits des professionnels concernés par ces traitements.
Sur la durée de conservation des données
La Commission rappelle que les listes des professionnels non vaccinés ne devront être conservées sous une forme permettant l'identification des personnes concernées que pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément à l'article 5.1.e du RGPD. Conformément aux dispositions de l'article 13 de la loi, les ARS peuvent conserver les résultats des vérifications de satisfaction à l'obligation vaccinale contre la covid-19 jusqu'à la fin de l'obligation vaccinale.
Dès lors que les listes des professionnels non vaccinés seront transmises par messagerie sécurisée, elle recommande qu'une attention particulière soit portée aux procédures et à la sensibilisation des agents des directions régionales du service médical (DRSM) et des ARS qui devront respecter les durées de conservation des données, notamment par la purge adéquate des messageries et des répertoires de stockage des fichiers des listes. En particulier, elle considère que les agents des DRSM devront effacer les listes dès leur accusé de réception par les ARS destinataires.
Enfin, elle comprend des échanges avec le ministère que les listes des professionnels non vaccinés seront transmises automatiquement aux ARS selon une fréquence à définir. Au regard de l'avancée quotidienne de la vaccination, la Commission estime nécessaire de réaliser un envoi régulier des listes, en s'assurant que seule leur version la plus récente soit conservée par les destinataires, afin que le statut vaccinal des professionnels visés soit le plus à jour possible et de ne pas solliciter des professionnels venant d'être vaccinés.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par IQVIA Opérations France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un entrepôt de données de santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44-3° et 66-III ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société IQVIA Opérations France, société par actions simplifiée à associé unique.
 
Sur la finalité
La société IQVIA Opérations France souhaite mettre en œuvre un entrepôt de données EMR ( electronic medical records ) permettant de mener des études sur l’évaluation et l’analyse des pratiques de soins en médecine générale.
Cette base sera alimentée par des données à caractère personnel regroupées dans deux bases préexistantes comportant les données longitudinales extraites des dossiers médicaux de logiciels de médecins généralistes en France :
la base disease analyzer (DA) comprend des données issues de logiciels de médecins ayant signé des contrats avec IQVIA Opérations France dans le cadre de son réseau Médical 21 ;
la base longitudinal patient data (LPD) anciennement appelée observatoire THALES comprend des données collectées par la société Cegedim Health Data dans une base de données appelée THIN et transmises à IQVIA Opérations France dans le cadre d’un contrat de fourniture de services.
Le traitement envisagé a pour finalité de constituer un entrepôt de données à caractère personnel comprenant notamment des données de santé.
Ce dernier vise à permettre la réalisation, dans le domaine de la recherche, des activités suivantes :
estimation de la prévalence des maladies ;
analyse de la prise en charge des patients en fonction de leurs pathologies ;
analyse des caractéristiques socio-démographiques et médicales des patients en fonction des pathologies ;
évaluation de la bonne utilisation des médicaments ;
analyse des disparités démographiques, régionales et des profils de prise en charge des médecins ;
suivi de cohortes de patients et surveillance de la survenue d’événements secondaires, le cas échéant indésirables ;
mesure de la consommation de soins ;
évaluation du parcours de soins en ville dans son intégralité, et sa valorisation économique.
 
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
La Commission estime qu’il y a lieu de faire application des dispositions de l’article 44-3° et 66-III de la loi du 6°janvier 1978 modifiée, qui soumettent à son autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Le traitement a pour base légale l’intérêt légitime, au sens de l’article 6-1-f du RGPD, du responsable de traitement, des fins de recherche scientifique, en application de l'article 9-2-j du RGPD.