AgentPublic/cnil huggingface dataset:
Le projet d'article R. 1111-39 prévoit que le titulaire peut demander la suppression des données contenues dans son ENS sans indiquer les modalités d'exercice de ce droit.
La Commission prend acte que ce projet d'article sera modifié afin de préciser que le droit à l'effacement s'exercera auprès du support téléphonique de la CNAM. Elle invite le ministère à mettre en œuvre des modalités alternatives pour l'exercice de ce droit.
Sur les directives relatives à la conservation, à l'effacement et à la communication des données à caractère personnel d'une personne après son décès
Le projet d'article R. 1111-39 prévoit que le décès du titulaire entraîne la clôture de son ENS et que les données sont conservées dix ans après celle-ci.
Il ressort des précisions apportées par le ministère que l'ENS a notamment pour objectif de promouvoir le rôle de la personne dans la protection et l'amélioration de sa santé ainsi que la gestion de ses données de santé.
Au regard des objectifs poursuivis par l'ENS et de la durée pendant laquelle les données sont conservées en cas de décès de la personne, la Commission invite le ministère à réfléchir à l'intégration d'une composante permettant aux personnes de rédiger des directives relatives à la conservation et à l'effacement de leurs données après leur décès, telles que mentionnées à l'article 85 de la loi informatique et libertés .
Sur les services et outils référencés
La Commission comprend qu'en plus des services et outils référencés, il est envisagé que des services et outils non référencés puissent accéder à l'ENS. D'une part, elle s'interroge sur les finalités, les fonctionnalités et les modalités de fonctionnement de ces services et outils. D'autre part, elle considère que l'intégration à l'ENS d'outils et services non référencés constitue, au vu de la nature particulièrement sensible des données qu'il contient et en ce qu'il implique une absence d'évaluation des finalités poursuivies et du niveau de sécurité, un risque d'atteinte aux droits et libertés des personnes concernées.
L'article 2 du projet de décret prévoit que les dispositions du III de l'article L. 1111-13-11 du CSP entreront en vigueur au 1er septembre 2021. Par conséquent, les services et outils numériques ne pourront pas être proposés aux usagers de l'ENS lors du démarrage de la phase pilote.
La Commission prend acte de ce que trente éditeurs de services et outils ont été sélectionnés afin de coconstruire les différents cas d'usage d'accès aux données de l'ENS en lecture et en écriture, ce qui permettra de déterminer les catégories de données dont un service ou outil aurait besoin pour fonctionner.
Elle prend également acte de ce qu'une convention de référencement, en cours d'élaboration, sera conclue avec les éditeurs de ces services et outils pour déterminer les responsabilités et obligations de ceux-ci.
La Commission accueille favorablement la demande de conseil à venir du ministère relative à la détermination des critères de référencement des outils et services.
Sur les critères de référencement des services et outils numériques en santé
Outre la nécessité de respecter les dispositions du RGPD, le ministère a précisé que ces critères, en cours d'élaboration, permettront de vérifier la conformité de ces services et outils, notamment vis-à-vis :
de la doctrine technique du numérique en santé ;
des critères éthiques, tels que la transparence des traitements algorithmiques, l'impact environnemental des traitements mis en œuvre, les actions en faveur de l'inclusion numérique ;
des critères de qualité des contenus en considération des bonnes pratiques définies par la Haute Autorité de santé.
Le projet d'article R. 1111-35 dispose qu'une analyse d'impact sur la protection des données (AIPD) pourra être demandée à l'appui d'une demande de référencement. Le ministère a précisé que les éditeurs de services et outils souhaitant être référencés et accéder aux données de l'ENS devront avoir mené une AIPD. La Commission en prend acte et considère qu'une AIPD, concluant à l'absence de risque résiduel élevé pour les droits et libertés des personnes concernées, devra être systématiquement exigée à l'appui d'une demande de référencement. Elle l'invite à modifier le projet d'article R. 1111-35, alinéa 2, en ce sens.
Les dispositions du III de l'article L. 1111-13-1 du CSP n'autorisent l'accès des outils et services aux données de l'ENS qu'à des fins de prévention, de diagnostic, de soins ou de suivi social et médico-social . Ainsi, elle considère qu'une justification particulière sur l'intérêt d'accéder aux données de l'ENS et des autres services qu'il contient, tels que le DMP, et la compatibilité des finalités de l'outil ou du service aux dispositions précitées, devront être apportées par les services et outils, notamment en ce qui concerne les applications de bien-être pour lesquelles une telle compatibilité ne saurait être présumée.
La Commission prend acte de ce que ces services et outils n'auront jamais accès au contenu de la messagerie sécurisée en application du principe de secret des correspondances.
En tout état de cause, elle rappelle que ces services et outils ne pourront pas accéder aux données de l'ENS à des fins promotionnelles.
Le ministère a précisé que certains services ou outils ne poursuivant pas les finalités mentionnées au III de l'article L. 1111-13-1 du CSP pourront être référencés dès lors qu'ils n'accèdent pas aux données de l'ENS. La Commission s'interroge sur la possibilité pour ces services et outils de poursuivre totalement ou partiellement des finalités promotionnelles, notamment par la collecte de données supplémentaires qui ne seraient pas synchronisées avec l'ENS de la personne et, par conséquent, ne relèveraient pas de la notion de données de l'ENS .
La Commission invite le ministère à être particulièrement vigilant lors du référencement des services et outils afin de s'assurer qu'une telle utilisation ne soit pas prévue.
La plupart des données contenues dans l'ENS seront couvertes par le secret médical mentionné à l'article L. 1110-4 du CSP et constituent des informations ne pouvant être partagées et échangées que dans les conditions prévues par ce même article.
La Commission estime qu'une attention particulière devra être portée aux conditions dans lesquelles les personnes seront informées des traitements mis en œuvre par ces services et outils, ainsi que des modalités d'exercice des droits. Elle recommande que l'interface de l'ENS recense les modalités d'exercice des droits concernant chaque outil et service et propose un chemin simplifié d'accès, par exemple au moyen d'un tableau de bord.
Sur l'accès à l'ENS
Sur le répertoire des autorisations d'accès
Le projet d'article R. 1111-26 prévoit que l'ENS est notamment composé d' un répertoire des autorisations d'accès que le titulaire est amené à donner ou retirer .
Le ministère a précisé que ce répertoire regrouperait les autorisations consenties par le titulaire pour l'accès aux données contenues dans son ENS par :
des professionnels intervenant pour sa prise en charge ;
des services et outils référencés au sein de l'ENS ;
le personnel des établissements du secteur sanitaire, médico-social et social. La Commission prend acte qu'elle sera saisie pour avis du texte déterminant les conditions d'accès de cette catégorie de professionnels ;
des services et outils non référencés au sein de l'ENS.
De manière générale, la Commission invite le ministère à prévoir :
un système régulier d'alerte de la personne afin de l'inviter à vérifier que les autorisations d'accès délivrées sont toujours pertinentes et adaptées à sa situation et son besoin de prise en charge ;
une suspension de l'autorisation d'accès en cas de modification des identifiants de connexion à un service ou outil référencé, notamment dans le cas de l'ENS d'un mineur.
Le passage à la majorité d'une personne pour laquelle un ENS a été activé lors de sa minorité entraînera la suspension de tous les accès dès lors que la personne n'y aura pas expressément consenti.
S'agissant des autorisations d'accès consenties pour des services et des outils :
ces autorisations d'accès reposent sur le consentement libre et éclairé de la personne, qui devra être parfaitement informée des conséquences de son consentement quant à l'accès à ses données de santé ;
le consentement peut être modifié ou retiré à tout moment ;
toute autorisation d'accès suppose une action positive de la part du titulaire ;
les catégories de données auxquelles les services et outils pourraient avoir accès seront déterminées par finalité lors de la procédure de référencement et la personne en sera spécifiquement informée avant d'y consentir.
S'agissant des autorisations d'accès consenties pour des professionnels participant à la prise en charge de la personne, le projet d'article R. 1111-36 conditionne l'accès des professionnels ou des établissements de santé, social ou médico-social à l'accord préalable de la personne et renvoie aux conditions prévues au 1° du IV de l'article L. 1111-13-1 du CSP.
Seules les autorisations d'accès temporaire des professionnels, c'est-à-dire un accès dont la durée est déterminée par la personne, seront mises en œuvre lors de la phase de généralisation. Cette durée d'accès sera déterminée avec une granularité fine pouvant correspondre à une période de quelques heures ou plusieurs jours.
En outre, le ministère a précisé que :
pour permettre l'accès d'un professionnel, la personne lui remettra un code d'accès dont la durée de validité sera limitée. Ce code d'accès sera généré par la personne via son ENS. La Commission invite le ministère à prévoir une modalité alternative de génération du code d'accès dans la mesure où toute la population cible ne dispose pas d'un accès fréquent aux outils numériques ;
l'accès et l'identité du professionnel concerné seront notifiés à la personne ;
concernant l'accès au DMP uniquement, les règles d'accès et la matrice d'habilitation des professionnels, personne physique ou morale, actuellement en place, seront conservées.
Sur l'accès à l'ENS d'une personne mineure et le secret des informations les concernant
Le ministère a précisé que seul l'un des titulaires de l'autorité parentale pourra accéder à l'ENS d'une personne mineure et que la personne mineure ne disposera pas d'un accès à son ENS.
Des réflexions sont en cours pour permettre l'accès à chacun des titulaires de l'autorité parentale. En tout état de cause, elle rappelle la nécessité de prévoir l'accès de chacun des titulaires de l'autorité parentale dès le commencement de la phase pilote de l'ENS dans la mesure où, en vertu de l'article 372 du code civil, l'autorité parentale s'exerce en commun.
Concernant l'absence d'accès de la personne mineure, le ministère l'a justifié par le fait qu'il relève de la responsabilité des titulaires de l'autorité parentale d'associer leur enfant aux décisions qui le concernent, selon son âge et son degré de maturité, en application de l'article 371-1 du code civil.
La Commission regrette qu'aucun accès de la personne mineure, quel que soit son âge, à son ENS, ne soit prévu et rappelle qu'en vertu de l'article L. 1111-2 du CSP, les personnes mineures ont le droit de disposer des informations relatives à leur santé et de participer à la prise de décision les concernant d'une manière adaptée à leur degré de maturité.
Par ailleurs, le RGPD et la loi informatique et libertés renforcent l'information et les droits des personnes mineures s'agissant des traitements de données à caractère personnel les concernant et, plus particulièrement, sur leur droit à consentir à un tel traitement en ce qui concerne l'offre directe de services. Notamment la Commission souligne que, selon l'article 45 de la loi informatique et libertés , une personne mineure peut, à compter de l'âge de quinze ans, consentir seule à un traitement de ses données.
Par conséquent, la Commission estime que la personne mineure disposant de sa propre carte Vitale doit pouvoir accéder directement à son ENS et consentir à l'accès de services, outils ou professionnels. Elle demande que cet accès et ses nécessaires implications en termes d'autorisation d'accès soient prévus lors du démarrage de la phase pilote de l'ENS.
En outre, elle s'interroge sur les conséquences de cette absence d'accès dans les hypothèses où la personne mineure sollicite le secret des informations la concernant, dans les conditions prévues aux articles L. 1111-5, L. 1111-5-1, L. 2212-7 et L. 6211-3-1 du CSP.
Le projet d'article R. 1111-30 prévoit que la personne mineure peut demander le secret des informations concernant l'un des actes visés aux articles L. 1111-5, L. 1111-5-1, L. 2212-7 et L. 6211-3-1 du CSP dans un ou plusieurs éléments de son ENS. La Commission rappelle que l'accès par les titulaires de l'autorité parentale aux informations couvertes par le secret devra, en outre, respecter les conditions prévues à l'article L. 1111-7 du CSP.
Il ressort, toutefois, des échanges avec le ministère que le masquage des données ne concernera que les données du DMP et les données de remboursement liées à ces actes. La Commission alerte le ministère sur le fait que des informations relatives à des données de santé couvertes par la demande de secret du mineur pourraient être présentes dans d'autres composantes de l'ENS (messagerie sécurisée, agenda, etc.) et l'invite à prévoir un mécanisme de masquage similaire pour toutes les composantes de l'ENS.
Sur les notifications des traces d'accès
Le projet d'article R. 1111-37 prévoit que le titulaire est informé de chaque accès d'un professionnel à son ENS.
Il ressort des échanges avec le ministère que la personne sera également informée de toute alimentation de son DMP ou de la réception d'un message via la messagerie sécurisée. La Commission prend acte de ce que le ministère s'est engagé à :
notifier tout accès, ajout, modification ou suppression des données conservées sur l'ENS de la personne, pour les personnes ayant procédé à l'activation de leur ENS ou ne s'étant pas opposée à cette création disposant d'une adresse électronique reconnue ;
adresser, par voie postale, un résumé des évènements qui se sont produits au cours des douze derniers mois aux personnes n'ayant pas procédé à l'activation de leur ENS.
Par conséquent, la Commission invite le ministère à modifier le projet d'article R. 1111-37 du CSP afin de préciser, d'une part, que la personne est informée de manière régulière des évènements intervenus sur son espace et, d'autre part, qu'un résumé des évènements intervenus au cours des douze derniers mois lui est communiqué.
Sur l'ajout de catégories de professionnels visées à l'article R. 1110-2 du code de la santé publique
Le projet d'article 3 vise à compléter l'article R. 1110-2 du CSP de plusieurs catégories de professionnels autorisées à échanger ou partager des informations relatives à la même personne prise en charge. La Commission s'interroge néanmoins sur la possibilité pour ce projet de décret pris en application des dispositions du V de l'article L. 1111-13-1 du CSP d'étendre les catégories de professionnels autorisées à partager et échanger des informations couvertes par le secret.
Ces catégories de professionnels interviennent dans la prise en charge de la personne à des fins de prévention, de coordination ou de continuité des soins.
La Commission rappelle que l'échange ou le partage d'informations couvertes par le secret médical devront, en tout état de cause, être réalisés sous réserve du respect des conditions prévues aux articles L. 1110-4, L. 1110-12 et R. 1110-1 et suivants du CSP.
Concernant plus particulièrement les services de médecine scolaire, le projet n'apporte pas de précision concernant les catégories de professionnels, susceptibles d'être autorisés à échanger ou partager des informations relatives à une personne prise en charge notamment s'agissant des catégories autres que celles visées à l'article D. 541-2 du code de l'éducation, et pouvant renvoyer à des non-professionnels de santé. La Commission estime que seuls les professionnels de santé mentionnés à la quatrième partie du CSP exerçant au sein d'un service de médecine scolaire pourront être autorisés à échanger ou partager des informations relatives à la santé des élèves. La Commission prend acte de l'engagement du ministère de modifier le projet en ce sens.
Sur la gestion des risques et les mesures de sécurité
La Commission estime que l'ENS est un projet structurant concernant les modalités d'accès aux données de santé de l'ensemble des personnes affiliées à un régime obligatoire d'assurance maladie ou résidant en France ; à ce titre, la sécurité en est une composante majeure et indissociable, tant sur le plan technique que fonctionnel.
En l'absence d'informations concernant la mise en œuvre du traitement envisagé et la sécurité des données traitées, la Commission n'est pas en mesure de vérifier la conformité du traitement au RGPD. Elle prend acte de ce que le ministère a prévu de lui adresser des demandes de conseil sur ces questions.
La Commission prend également acte de ce que l'AIPD qui lui sera transmise sera mise à jour au fur et à mesure de l'avancement du projet, et souhaite en être destinataire avant chaque jalon de déploiement. En particulier, elle souligne que l'AIPD devra lui parvenir avant la mise en œuvre de la première phase pilote impliquant des données réelles, prévue à l'été 2021.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d’une demande d’avis concernant un projet de décret autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel dénommé Portail Autotest COVID-19 ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie d’un projet de décret autorisant la mise en œuvre d’un traitement de données à caractère personnel, placé sous la responsabilité de la direction générale de la santé (DGS), destiné à recueillir les résultats des autotests de dépistage de la covid-19 à des fins de suivi épidémiologique et d’analyse statistique par les organismes intervenant dans la gestion de l’épidémie à savoir, selon l’article 3 du projet de décret, la DGS, les agences régionales de santé (ARS), la Caisse nationale d’assurance maladie, le ministère de l’éducation nationale, l’Agence nationale de santé publique (ANSP) et la direction de la recherche, des études, de l’évaluation et des statistiques (DREES).
Les personnes ayant effectué un autotest pourront créer un compte et indiquer le résultat de celui-ci sur le Portail Autotest Covid-19 . En fonction du résultat, des informations destinées à orienter la personne, notamment afin de les inviter à réaliser un test PCR le cas échéant, ainsi qu’un rappel des consignes sanitaires à appliquer, s’afficheront. La personne accèdera à un récépissé attestant de la réalisation d’un autotest, sans mention de son résultat. Selon les précisions du ministère, le récépissé ne pourra ni servir à prouver le résultat d’un test, ni être utilisé dans le cadre du passe sanitaire dont la mise en œuvre est prévue par le projet de loi relatif à la gestion de la sortie de crise sanitaire. La Commission en prend acte.
Le Portail Autotest Covid-19 ne sera ni rapproché ni interconnecté avec d’autres systèmes d’information.
Sans se prononcer sur la pertinence scientifique du dispositif, qui ne relève pas de sa compétence, la Commission relève que le dispositif repose sur des résultats des autotests ne présentant pas un niveau de fiabilité équivalent à ceux réalisés par des professionnels de santé et que la remontée de ces informations repose sur le volontariat des personnes.
Sur la base légale du traitement et la condition permettant le traitement de données concernant la santé
L’article 1er du projet de décret précise que le traitement sera fondé sur le consentement des personnes concernées, en application de l’article 6.1.a du RGPD. Selon les précisions du ministère, le consentement à la collecte des informations sera recueilli lors de la création du compte, puis à chaque connexion et à chaque validation du résultat de l’autotest sur le portail, par le biais de cases à cocher. La Commission en prend acte et invite le ministère à faire preuve de vigilance quant au respect du principe de la liberté du consentement concernant le remplissage d’informations dans le Portail Autotest Covid-19 , notamment s’agissant des campagnes d’autotests réalisées en milieu scolaire ou dans un contexte professionnel.
Outre l’existence d’une base légale prévue à l’article 6, la Commission rappelle que le traitement, qui relève du RGPD, portera sur des données sensibles, ce qui n’est possible que si l’une des conditions prévues au 2 de l’article 9 du RGPD est remplie. Le ministère a indiqué que le traitement est également nécessaire pour des motifs d’intérêt public dans le domaine de la santé publique remplissant ainsi la condition prévue à l’article 9-2-i) du RGPD permettant de traiter des données concernant la santé. La Commission en prend acte et invite le ministère à modifier le projet de décret sur ce point.
Sur l’information des personnes concernées
Selon les précisions du ministère, les personnes concernées seront informées de la mise en œuvre du traitement par les conditions générales d’utilisation (CGU) qui s’afficheront lors de la création d’un compte sur Portail Autotest Covid-19 . En complément, la Commission suggère l’utilisation de l’approche à plusieurs niveaux dans un environnement numérique recommandée par le Comité européen de la protection des données dans ses lignes directrices relatives à la transparence : l’information, comprenant l’ensemble des éléments prévus à l’article 13 du RGPD, pourrait ainsi être détaillée au fur et à mesure du parcours de l’utilisateur dans le Portail Autotest Covid-19 et rappelée à chaque renseignement de résultats d’autotests.
Par ailleurs, le ministère indique que des informations relatives au Portail Autotest Covid-19 seront diffusées dans les pharmacies, par le biais de communiqués de presse et sur le site web du ministère de la santé. La Commission en prend acte.
En outre, selon les précisions du ministère, les personnes concernées pourront retirer leur consentement en supprimant elles-mêmes les informations relatives à leur compte sur le portail ou en adressant une demande via une adresse électronique dédiée. La Commission en prend acte et invite le ministère à informer les personnes que le retrait du consentement, comme la suppression du compte, entraînent l’effacement des données traitées dans le portail, à l’exception de celles qui auraient déjà été pseudonymisées et transmises pour la réalisation du suivi épidémiologique et la production d’analyses statistiques.
Sur le remplissage d’informations par une autre personne que celle ayant réalisé l’autotest
La Commission relève que seules les personnes ayant réalisé un autotest pourront remplir pour elles-mêmes les informations les concernant dans le Portail Autotest Covid-19 .