AgentPublic/cnil huggingface dataset:
La Commission demande enfin que lui soit communiqué tous les trois ans un rapport sur le fonctionnement de l’entrepôt et sur les recherches réalisées à partir des données qu’il contient.
La Commission considère que ces modalités sont conformes au principe de transparence et aux exigences d’information prévues par les articles 12 et suivants du RGPD.
Sur les droits des personnes concernées :
Les droits s’exercent auprès du délégué à la protection des données de la SFC.
 
En cas d’exercice du droit d’opposition, les données de la personne concernée ne seront plus utilisées à des fins de recherche dans le cadre de Cardiohub. Dans ce cas de figure, les données du SNDS relatives à la personne s’étant opposée ne seront pas collectées.
La Commission considère que les modalités d’exercice des droits des personnes concernées n’appellent pas d’autres observations.
Sur la sécurité des données et la traçabilité des actions :
L’infrastructure technique du responsable de la mise en œuvre de Cardiohub, utilisée pour l’hébergement de systèmes fils du SNDS a été analysée par la Commission à diverses reprises.
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt Cardiohub, ainsi qu’une analyse de risque sur la sécurité des systèmes d’information. Une homologation de la bulle sécurisée a de même été réalisée par l’autorité d’homologation le 21 avril 2021, conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé. Cette décision d’homologation n’est valable que jusqu’au 31 décembre 2022, sous réserve de la mise en œuvre du plan d’action que l’autorité d’homologation a défini. Elle devra donc être renouvelée avant l’expiration de ce délai, si le traitement est encore mis en œuvre.
 
Des mesures techniques et organisationnelles ont été prévues par le responsable de la mise en œuvre afin de cloisonner les différentes extractions du SNDS pouvant être stockées au sein de leur solution technique. Des environnements distincts fondés sur des solutions de conteneurisation logicielle sont notamment mis en œuvre afin d’empêcher toute fusion des données.
Les données de santé seront chiffrées au repos par des algorithmes à l’état de l’art au sein d’un hébergeur certifié pour l’hébergement de données de santé, localisé en France, et exclusivement soumis aux lois et aux juridictions de l’Union européenne. Ces données seront également chiffrées en transit. Les sauvegardes seront chiffrées au repos. Des espaces de projets distincts les uns des autres et de l’entrepôt lui-même, seront mis en place grâce à l’utilisation de solutions de conteneurisation logicielle et de systèmes de fichiers chiffrés pour les données de chaque étude. Des numéros pseudonymes uniques spécifiques à chaque espace de projet, reposant sur un générateur de nombres pseudo-aléatoires cryptographiquement sûr, seront de même mis en œuvre afin de réduire les risques de ré-identification des personnes concernées. En fin d'étude, l'espace de projet dédié sera clos et les données en seront supprimées.
Les données administratives seront cloisonnées physiquement des données de santé grâce à l’utilisation d’un hébergeur tiers de confiance distinct, certifié pour l’hébergement de données de santé, localisé en France et exclusivement soumis aux lois et aux juridictions de l’Union européenne. Ces données administratives seront chiffrées au repos et utiliseront des mécanismes similaires de cloisonnement à ceux mis en œuvre pour les données de santé. Les données administratives d’identification transiteront via des protocoles et algorithmes à l’état de l’art sur un réseau local virtuel dédié chez l’hébergeur principal afin d’effectuer des vérifications de sécurité et la génération de l’ ISP avant d’être transmises à l’hébergeur distinct. Aucune donnée administrative d’identification ne sera stockée chez l’hébergeur principal.
L’exportation de données hors de Cardiohub consistera exclusivement en des rapports statistiques pouvant contenir un ou des modèles ne permettant aucune ré-identification des personnes et transmis exclusivement aux responsables de traitement portant sur la réalisation de recherches ultérieures. A cette fin, un seuil minimal de onze individus sera retenu pour chaque agrégation. La Commission rappelle néanmoins que le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n°05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. A défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit être menée.
 
La saisie des données sera effectuée grâce à une application située au sein de Cardiohub. Une authentification multifacteur comportant un mot de passe conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, ou à toute autre mise à jour ultérieure de cette recommandation, est requise pour y accéder. L’accès aux données et à l’administration de Cardiohub pour les deux hébergeurs repose sur l’utilisation de réseaux privés virtuels chiffrés à l’état de l’art distincts ainsi que sur des mécanismes d’authentification multifacteur similaires. Des bastions d’administration permettent une traçabilité des connexions.
La Commission relève enfin que les traces techniques et fonctionnelles seront conservées pendant une durée conforme à ses préconisations et adossées à un mécanisme proactif de contrôle régulier.
Les mesures de sécurité décrites répondent aux exigences prévues par les articles 5,1, f) et 32 du Règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra à ce dernier de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Dans ces conditions, la Commission autorise la Société française de cardiologie à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé 
 Cardiohub pour une durée de dix ans
.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la société Clinityx d’une demande d’autorisation portant sur un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé Magellan ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés ), notamment ses articles 44-3 et 66-III ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Sur le responsable de traitement :
La société Clinityx est un bureau d’études qui réalise des recherches dans le domaine de la santé, notamment à partir des données du Système national des données de santé (SNDS).
 
Elle développe des outils afin de permettre l’exploitation des données de santé dans des conditions de protection renforcées.
 
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé :
La société Clinityx souhaite constituer un entrepôt de données de santé afin de pouvoir alimenter un outil destiné à calculer de façon automatisée des indicateurs prédéterminés de santé publique portant sur les populations de patients, le recours aux soins, et l’utilisation des produits de santé.
 
Cet outil – dénommé Magellan – vise à permettre :
d’évaluer la représentativité d’un registre ou d’une cohorte ;
d’évaluer l’accès aux produits de santé et à l’offre de soins pour la population ;
d’évaluer l’apport d’une nouvelle technique, technologie, produit de santé ou pratique médicale sur la prise en charge d’une population ;
d’évaluer l’impact des politiques de santé et de protection sociale sur la population ;
de réaliser des études de faisabilité dans le cadre d'une recherche impliquant ou n'impliquant pas la personne humaine.
 
Cet entrepôt sera alimenté par certaines données à caractère personnel issues du SNDS.
La Commission relève que la constitution de l’entrepôt Magellan a pour objectif :
d’une part, de rendre accessibles à certains acteurs du domaine de la santé (associations de patients ou de professionnels de santé, petites ou moyennes entreprises, etc.) des indicateurs agrégés de santé publique pertinents pour leurs activités, calculés à partir des données du SNDS ;
d’autre part, de limiter le nombre de traitements de données individuelles du SNDS nécessaires à la construction d’indicateurs agrégés simples dans une logique de protection de la vie privée dès la conception.
 
Elle relève également que la société Clinityx a transmis, à l’appui de sa demande d’autorisation, une description des cas d’usage de l’outil Magellan .
 
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
 
Le traitement mis en œuvre par la société Clinityx est nécessaire aux fins des intérêts légitimes qu’elle poursuit, prenant en considération le caractère très indirectement identifiant des données et les garanties, notamment en termes de droits des personnes, prévues par les textes encadrant la mise à disposition des données du SNDS.
 
Ce traitement est, à ce titre, licite au regard de l’article 6-1-e du RGPD et remplit une condition permettant le traitement des données concernant la santé au regard de l’article 9-2-i du RGPD.
 
L’entrepôt Magellan est soumis aux dispositions des articles 44-3° et 66-III de la loi du 6 janvier 1978 modifiée qui prévoient, en l’absence de conformité à un référentiel, que les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public ne peuvent être mis en œuvre qu’après autorisation de la Commission.
Les données contenues dans cet entrepôt ne sauraient, conformément au principe des finalités interdites d’utilisation du SNDS, être exploitées à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé, ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d'un individu ou d'un groupe d'individus présentant un même risque. De même, la Commission rappelle l’interdiction de constituer et d’utiliser, à des fins de prospection ou de promotion commerciales, des fichiers composés à partir des données issues directement ou indirectement des prescriptions médicales, dès lors que ces fichiers permettent d’identifier directement ou indirectement le prescripteur (article L. 4113-7 du code de la santé publique – CSP).
La Commission rappelle que les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66, 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public et fasse l’objet de formalités propres.
Sur la gouvernance de l’entrepôt :
La société Clinityx a mis en place un dispositif de gouvernance de l’entrepôt Magellan composé d’un comité en charge de :
proposer les orientations stratégiques de l’outil Magellan ;
rendre un avis sur la pertinence des indicateurs produits et les données utilisées pour calculer ces indicateurs ;
revoir le rapport annuel d’utilisation de l’outil préalablement à sa publication.
 
La Commission relève que ce comité sera notamment composé de membres qualifiés en matière de traitements de données du SNDS.
Sur la nature des données traitées :
Les données suivantes pourront alimenter l’entrepôt Magellan :
les données de consommations individuelles (issues du datamart de consommation inter régime – le DCIR) provenant du Système national d’information inter-régimes de l’assurance maladie (SNIIRAM) ;
les données du Programme de médicalisation des systèmes d’information (PMSI) ;
le référentiel médicalisé des bénéficiaires (IR_IMB_R) ;
le référentiel pharmacie (IR_PHA_R).
 
Les données du SNDS pouvant être traitées dans le cadre de la présente demande portent sur des données dont la profondeur historique maximale est de cinq ans. La Commission relève que cette profondeur historique a été scientifiquement justifiée dans le dossier de demande.
La Commission relève par ailleurs que la société Clinityx traitera environ 240 variables du SNDS aux fins de construction d’un lac de données destiné à rassembler toutes les données relatives à un même patient issues des différentes sources. Après cette étape, l’entrepôt ne contiendra que les données strictement nécessaires au fonctionnement de l’outil Magellan . Les variables ou les jointures destinées à rassembler les données d’un même patient, à calculer le coût d’une prise en charge ou à détecter des anomalies, seront alors détruites. La Commission relève que moins de 35% des variables transmises par la CNAM alimenteront donc l’entrepôt Magellan .
 
Elle relève, enfin, qu’elle a transmis, à l’appui de sa demande, une expression de besoins précisant notamment la liste de ces variables.
 
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur la durée de conservation des données :
Les données à caractère personnel du SNDS ne peuvent faire l’objet d’une conservation en dehors de la bulle sécurisée de la société Clinityx. Seuls des résultats anonymes peuvent en être exportés.
La durée de conservation des données dans la bulle sécurisée doit être limitée à la durée nécessaire à la mise en œuvre du traitement, qui ne saurait être supérieure à cinq ans, à compter de l’accès effectif aux données. Lors de chaque mise à jour des données, les données les plus anciennes seront anonymisées ou supprimées.
 
La Commission considère que cette durée de conservation des données n’excède pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Sur les destinataires des données :
Seul le responsable du traitement et les personnes habilitées par lui ont accès aux données dans le cadre de la mise en œuvre de ce traitement. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
 
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
 
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
La Commission relève que de nombreux organismes (autorités de santé, institutions de santé publique, entreprises du secteur des produits de santé, associations de patients, fédérations hospitalières ou établissements de prévention ou de soins), à l’exception de ceux mentionnés au 1° du A et aux 1°, 2°, 3°, 5° et 6° du B du I de l'article L. 612-2 du code monétaire et financier ainsi que les intermédiaires d'assurance mentionnés à l'article L. 511-1 du code des assurances, pourront, dans le respect des dispositions de la loi informatique et libertés , être destinataires des indicateurs agrégés calculés par l’outil Magellan .
Sur l'information des personnes :
Les personnes concernées sont informées de la mise en œuvre du SNDS et de la réutilisation possible de leurs données de santé à caractère personnel selon des modalités définies par l'article R. 1461- 9 du CSP.
La Commission rappelle que les dispositions de l’article 69 de la loi informatique et libertés sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la constitution de cet entrepôt.
 
La Commission relève qu’un portail de transparence dédié à l’entrepôt Magellan (via l’outil Semaphore ) sera mis en place par la société Clinityx. Une note d’information relative à la constitution de l’entrepôt et à son fonctionnement sera publiée sur ce site web.
La Commission relève également que chaque utilisateur de l’outil Magellan devra renseigner une fiche d’information comportant l’ensemble des mentions prévues par l’article 14 du RGPD et que cette fiche d’information sera publiée sur le portail de transparence préalablement au requêtage de l’outil.
 
Toutes les notes d’information publiées sur le portail de transparence comporteront l’ensemble des mentions prévues par le RGPD.
 
La Commission rappelle que l’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé (PDS) de plusieurs éléments par les responsables de traitement, avant et après les études. Les projets de recherche, d’étude ou d’évaluation réalisés à partir des données de l’entrepôt Magellan devront être enregistrés au sein du répertoire public de la PDS.
La Commission prend par ailleurs acte de l’engagement de la société Clinityx d’inscrire l’entrepôt au sein du répertoire public de la Plateforme des données de santé.
 
La Commission demande enfin que lui soit communiqué tous les trois ans un rapport sur le fonctionnement de l’entrepôt et sur les recherches réalisées à partir des données qu’il contient.
 
La Commission considère que ces modalités sont conformes au principe de transparence et aux exigences d’information prévues par les articles 12 et suivants du RGPD.
Sur les droits des personnes concernées :
Les droits d'accès, de rectification, d’effacement, de limitation du traitement, et d'opposition s'exercent par la personne concernée auprès du directeur de la PDS ou du directeur de l'organisme gestionnaire du régime d'assurance maladie obligatoire auquel la personne est rattachée, conformément aux dispositions de l'article R. 1461-9 du CSP.
 
La Commission considère que les modalités d’exercice des droits des personnes concernées n’appellent pas d’autres observations.
Sur la sécurité des données et la traçabilité des actions :
L’infrastructure technique du responsable de la mise en œuvre de l’entrepôt Magellan, utilisée pour l’hébergement de systèmes fils du SNDS a été analysée par la Commission à diverses reprises, notamment dans le cadre de précédentes demandes d’autorisation.
 
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt Magellan, ainsi qu’une analyse de risque sur la sécurité des systèmes d’information. Une homologation de la bulle sécurisée a de même été réalisée par l’autorité d’homologation le 20 décembre 2021, conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS. Cette décision d’homologation n’est valable que jusqu’au 31 janvier 2023. Elle devra donc être renouvelée avant cette date, si le traitement devait se poursuivre au-delà de cette échéance.
Des mesures techniques et organisationnelles ont été prévues par le responsable de traitement afin de cloisonner les différentes extractions du SNDS pouvant être stockées au sein de leur solution technique. Des environnements distincts, fondés sur des solutions de conteneurisation logicielle, sont notamment mis en œuvre afin d’empêcher toute fusion des données. L’outil de requêtage ainsi que les données sur lesquels reposent cet outil seront de même cloisonnés grâce à l’utilisation de ces solutions.
Les données minimisées issues du SNDS seront transmises par la Caisse nationale d’assurance maladie (CNAM) via un disque dur chiffré dont les algorithmes et modalités de gestion de clés sont conformes aux Annexe B1 et B2 du Référentiel général de sécurité (RGS).
 
Les données de santé seront chiffrées au repos par des algorithmes à l’état de l’art au sein d’un hébergeur certifié pour l’hébergement de données de santé, localisé en France, et exclusivement soumis aux lois et aux juridictions de l’Union européenne. Ces données seront également chiffrées en transit. Enfin, les sauvegardes seront chiffrées au repos.
Une authentification multifacteurs comportant un mot de passe conforme à la délibération n° 2021-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe, ou à toute autre mise à jour ultérieure de cette recommandation, est requise pour tout accès aux données et à l’administration de l’entrepôt. Des bastions d’administration permettent une traçabilité des connexions.
 
La Commission relève par ailleurs que les traces techniques et fonctionnelles seront conservées pendant une durée conforme à ses préconisations et adossées à un mécanisme proactif de contrôle régulier.
 
L’exportation de données hors de l’entrepôt Magellan consistera exclusivement en des rapports statistiques ne permettant aucune ré-identification des personnes, et qui seront transmis exclusivement aux responsables de traitement suite aux requêtes réalisées via l’outil Magellan. A cette fin, un seuil minimal de onze individus sera retenu pour chaque agrégation.
 
La Commission rappelle que le responsable de traitement devra vérifier qu’il délivre les moyens d’authentification aux seules personnes habilitées lors de leur enrôlement. Cette vérification préalable à l’attribution d’un accès à l’outil de requêtage pourra être effectuée via des données accessibles dans un annuaire professionnel tenu à jour, ou bien via un enrôlement réalisé en présentiel.
La Commission prend acte de ce que les utilisateurs externes à la société Clinityx n’auront accès qu’à des rapports statistiques ne comprenant pas de données à caractère personnel.
 
La Commission rappelle néanmoins que le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. Si ces trois critères ne peuvent être réunis, une analyse approfondie des risques d’identification doit être menée par le responsable de traitement afin de démontrer que ces derniers, avec des moyens raisonnables, sont inexistants.
 
Les mesures de sécurité décrites répondent aux exigences prévues par les articles 5-1-f et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. Il appartiendra à ce dernier de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Dans ces conditions, la Commission autorise la société Clinityx à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé Magellan , pour une durée de dix ans.
La Présidente
Marie-Laure DENIS