AgentPublic/cnil huggingface dataset:
S’agissant de l’échange des données collectées (vidéos comprises) entre le CHU de Nîmes et AI-STROKE, le mécanisme prévu dans le cadre de cette étude consiste à permettre l’accès à AI-STROKE au dossier informatique hébergé par le CHU de Nîmes et créé spécifiquement pour l’étude. Les employés habilités de la société AI-STROKE recevront un lien de téléchargement sécurisé (https) afin de récupérer les données. Cette transmission devra faire l’objet de mesures de sécurité adéquates, en particulier :
configurer les autorisations de partage appropriées pour le dossier afin de restreindre l’accès aux seules personnes habilitées au sein d’AI-STROKE ;
authentifier les utilisateurs et imposer l’utilisation d’un mot de passe robuste, conformément à la délibération de la CNIL n°2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe ;
limiter la durée de validité du lien de téléchargement ;
éviter l’utilisation d’URL prédictibles.
Les autres mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5.1.f et 32 du RGPD. À cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le CHU de Nîmes et la société AI-STROKE demeurent pleinement responsables du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables leur imposent d’être en mesure de justifier de sa conformité à tout moment.
Sur les transferts de données en dehors de l’Union européenne
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne (UE) vers un pays ne présentant pas un niveau de protection adéquat.
Le recours à un sous-traitant étatsunien par la société AI-STROKE permet le stockage de données uniquement à des fins de sauvegarde, ne nécessitant pas un accès par le sous-traitant aux données en clair, sur des serveurs du sous-traitant localisés au sein de l’UE. Ces données sont chiffrées avant leur stockage sur les serveurs du sous-traitant, sans lui transmettre la clé de déchiffrement, conformément aux conditions identifiées dans le cas d’usage n°1 dans les recommandations 01/2020 du Comité européen de la protection des données (CEPD) sur les mesures qui complètent les instruments de transfert destinés à garantir le respect du niveau de protection des données à caractère personnel de l’UE.
Sur les durées de conservation
Les enregistrements vidéo seront conservés pendant vingt mois maximum pour les besoins de l’étude, puis détruits.
 
Les autres données sont conservées pendant trois ans en base active, puis quinze ans en archivage. 
 
Ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e du RGPD.
Sur la réutilisation des données de l’étude
Les enregistrements vidéo, ainsi que certaines données de santé pseudonymisées (âge, sexe, type d’AVC, décision thérapeutique) collectés dans le cadre de la présente étude seront transmises à la société AI-STROKE préalablement au terme de la recherche. Ces enregistrements seront réutilisés par la société AI-STROKE à des fins de développement de l’application AI-Stroke Paramedics "neurologue numérique" (demande d’autorisation n°922294v1). 
Toute autre étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL.
Autorise, conformément à la présente délibération, le Centre hospitalier universitaire de Nîmes et la société AI-STROKE à mettre en œuvre le traitement susmentionné.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la société PIERRE KARAM CONSEIL SANTE d’une demande de modification de l’autorisation concernant des traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données nationales du programme de médicalisation des systèmes d’information (PMSI) ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la Santé du 13 avril 2023 ;
Vu la délibération n°2020-023 du 6 février 2020 portant décision unique et autorisant la société PIERRE KARAM CONSEIL SANTE à mettre en œuvre des traitements à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données nationales du programme de médicalisation des systèmes d’information (PMSI) ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement
La société PIERRE KARAM CONSEIL SANTE (ci-après, "la société PKCS") est une société spécialisée dans l’analyse de données médico-économiques. Elle a notamment développé un outil destiné à analyser l’activité, la performance, le positionnement des établissements à partir des données de programme de médicalisation des systèmes d’information (ci-après "PMSI").
Sur l’opportunité du renouvellement de la décision unique précédemment délivrée par la Commission.
Le 6 février 2020 la société PKCS a été autorisée par la CNIL à mettre en œuvre pendant trois ans des traitements de données à caractère personnel à partir de certaines données du PMSI. Ces traitements avaient pour finalité la réalisation d’études destinées à la construction d’indicateurs d’activité, de positionnement, de parcours, d’efficience, de pertinence et de projection d’activité des établissements de santé.
Dans ce cadre, plusieurs dizaines d’utilisateurs ont exécuté plus d’une centaine de requêtes à partir de cet outil. La Commission relève que lui ont été transmis :
un bilan relatif à ces requêtes ;
le rapport d’un audit externe indépendant portant sur les finalités poursuivies et l’utilisation par le responsable de traitement des résultats des études réalisées.
La société PKCS sollicite un renouvellement de l’autorisation précédemment délivrée par la CNIL afin d’accéder aux données du PMSI pour poursuivre, pendant trois ans, la mise en œuvre de ces études. Dans ce cadre, plus d’une cinquantaine de traitements sont susceptibles d’être mis en œuvre annuellement par la société.
Ces traitements répondent à une même finalité, la réalisation d’études destinées à la construction d’indicateurs d’activités de positionnement, de parcours, d’efficience, de pertinence et de projection d’activité des établissements de santé, portent sur des catégories de données identiques – en l’espèce, les données du PMSI – et dont les catégories de destinataires sont identiques – les personnes habilitées par le responsable de traitement.
Les traitements décrits relevant du régime prévu par les dispositions des articles 66 et 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après loi "informatique et libertés"), la Commission estime opportun, au vu des éléments présentés dans le dossier de demande, de faire application des dispositions de l’article 66 IV, qui lui permettent, par décision unique, de délivrer à un même demandeur une autorisation pour des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.
Sur l’application des dispositions liées au SNDS
Les données du PMSI étant issues de composantes du SNDS, la Commission rappelle que l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce, et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code de la santé publique (CSP).
Sur la licéité des traitements
Les traitements mis en œuvre par la société PKCS sont nécessaires aux fins des intérêts légitimes qu’elle poursuit, prenant en considération le caractère très indirectement identifiant des données et des garanties, notamment en termes de droits des personnes, prévues par les textes encadrant la mise à disposition des données du SNDS.
Ces traitements sont, à ce titre, licites au regard de l’article 6-1-f) du règlement général sur la protection des données (ci-après "RGPD").
Sur la finalité des traitements et leur caractère d’intérêt public
Les traitements nécessitant un accès aux données du PMSI ont pour finalité la réalisation d’études destinées à la construction d’indicateurs d’activité, de positionnement, de parcours, d’efficience, de pertinence et de projection d’activité des établissements de santé.
Ces indicateurs ont pour objet de permettre aux établissements de répondre aux besoins de santé, d’améliorer leurs performances, de faire évoluer leurs pratiques, de décrire leur organisation et leur activité, de comprendre les coopérations entre les différents établissements ainsi que d’anticiper les évolutions futures.
La CNIL considère que la finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5-1-b) du RGPD.
Enfin, elle prend acte que les utilisateurs de l’outil développé par la société PKCS s’engagent, via les conditions générales d’utilisation, à ne pas poursuivre de finalités interdites à partir des indicateurs agrégés de données du PMSI mis à leur disposition.
Sur les catégories de données traitées
La CNIL rappelle que le responsable de traitement ne doit traiter, pour chacun des traitements mis en œuvre dans le cadre de la présente décision unique, que les données strictement nécessaires et pertinentes au regard des objectifs des traitements.
Les données concernant les activités suivantes sont nécessaires à la réalisation de ces études :
médecine, chirurgie, obstétrique et odontologie (MCO) ;
soins de suite et de réadaptation (SSR).
Les traitements inclus dans le cadre de la décision unique portent sur les données nationales du PMSI des années 2017 à 2024, sous réserve qu’elles soient diffusables par l’Agence technique de l'information sur l'hospitalisation (ATIH).
La CNIL rappelle que seules les données strictement nécessaires et pertinentes devront être mises à disposition auprès du responsable de traitement.
Conformément à l'article 30 du RGPD, le responsable de traitement devra tenir à jour, au sein de son registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente décision unique.
Par ailleurs, le caractère adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles les données sont traitées, la zone géographique concernée et la profondeur historique des données consultées devront être justifiés dans ce registre pour chaque traitement mis en œuvre dans le cadre de cette décision unique.
Sur la durée de conservation des données
Les données à caractère personnel du PMSI ne peuvent faire l’objet d’une conservation en dehors de la plateforme du Centre d’accès sécurisé aux données (ci-après "CASD") par le responsable de traitement, leur exportation étant interdite. Seuls des résultats anonymes peuvent en être exportés.
La durée de conservation des données dans la plateforme sécurisée doit être limitée à la durée nécessaire à la mise en œuvre des traitements, qui ne saurait être supérieure à trois ans, à compter de l’accès effectif aux données.
La Commission considère que cette durée de conservation des données n’excède pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.
Sur la publication des résultats
Lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi "informatique et libertés".
Les résultats pourront notamment être adressés aux agences régionales de santé, au comité interministériel de performance et de la modernisation de l’offre de soins, aux établissements publics et privés de santé, aux groupements hospitaliers de territoire ainsi qu’à des cabinets de conseil.
Sur les catégories de destinataires des données
Seul le responsable du traitement et les personnes habilitées par celui-ci ont accès aux données dans le cadre de la présente décision unique. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur l’information et les droits des personnes
Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront prises par le responsable de traitement afin de rendre l’information publiquement disponible concernant la mise en œuvre de ces traitements.
La Commission relève qu’une rubrique dédiée aux traitements mis en œuvre dans le cadre de cette décision unique est publiée sur le site web de la société PKCS.
 
Elle comporte :
une note d’information générale sur les traitements mis en œuvre dans le cadre de cette décision unique, qui inclut l’ensemble des mentions prévues par l’article 14 du RGPD ;
une fiche descriptive de chaque analyse ou étude.
Sur la sécurité des données et la traçabilité des actions
La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre des études s'effectue sous la responsabilité du responsable de traitement, y compris chez des tiers agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD ainsi que de l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS.
Les données seront mises à disposition auprès du responsable de traitement par l’intermédiaire du prestataire d’accès sécurisé désigné par l’ATIH, à savoir le CASD.
Seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction. Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement a réalisé une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014, et concluant sur l’absence de risque en réidentification. Ces processus devront être maintenus à l’état de l’art.
Sur le principe de transparence
La mise à disposition des données du SNDS et de ses composantes est conçue de façon à permettre de rendre compte de leur utilisation au public. A cette fin, l’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé (PDS) de plusieurs éléments par le responsable de traitement, avant et après les études.
Ainsi, le responsable de traitement s’engage à enregistrer auprès du répertoire public tenu par la PDS l’ensemble des études réalisées dans le cadre de cette décision unique. Cet enregistrement, à effectuer par le responsable de traitement ou la personne agissant pour son compte avant le début des traitements, s’accompagne de la transmission à la PDS d’un dossier comportant :
le protocole, incluant la justification de l’intérêt public, ainsi qu’un résumé, selon le modèle mis à disposition par la PDS ;
la déclaration d’intérêts du responsable de traitement, en rapport avec l'objet des traitements.
A la fin des études ou évaluations, la méthode et les résultats obtenus devront être communiqués à la PDS en vue de leur publication. L’enregistrement des traitements et la transmission des résultats sont effectués conformément aux modalités définies par la PDS.
La Commission rappelle également qu’à l’issue du délai de trois ans, un bilan contenant notamment la liste des analyses réalisées dans le cadre de la décision unique ainsi que la méthodologie suivie dans le cadre des analyses devra être lui être adressé.
Autorise, conformément à la présente délibération, la société PIERRE KARAM CONSEIL SANTE à mettre en œuvre les traitements décrits ci-dessus pendant une durée de trois ans, avec obligation de remise d’un bilan à la Commission à l’issue de ce délai.
La Présidente
 
 
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie le 12 avril 2023 par le Centre hospitalier universitaire de Bordeaux d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur le développement et la validation d’indicateurs de qualité de parcours des patients victimes d’accident vasculaire cérébral et de syndrome coronarien chronique, intitulée "DELIQUA-CNV" ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la Santé du 8 septembre 2022 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement
Le responsable de traitement de cette étude est le Centre hospitalier universitaire de Bordeaux (ci-après, le "CHU de Bordeaux").
Sur les sous-traitants
La Plateforme de données de santé (PDS) et l’Université de Bordeaux interviendront dans la mise en œuvre de cette étude.
Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du règlement général sur la protection des données (RGPD).
La répartition des rôles et responsabilités entre le responsable de traitement et la PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes, devra être formalisée dans cette convention.
Sur la finalité du traitement et son caractère d’intérêt public
Le traitement envisagé a pour finalité la mise en œuvre d’une étude portant sur le développement et la validation d’indicateurs de qualité de parcours des patients victimes d’accident vasculaire cérébral (AVC) et de syndrome coronarien chronique (SCC), intitulée "DELIQUA-CNV".
D’après le dossier de demande, cette étude s’inscrit dans le thème "définition et mise en œuvre d’indicateurs de qualité et de sécurité des soins" de l’appel à manifestation d’intérêt "Coopération ATIH – Universités – Organismes de recherche" , organisé par l’Agence technique de l’information sur l’hospitalisation (ATIH). L’étude DELIQUA-CNV permettra de valider des indicateurs de qualité des parcours de soins d’aval de patients victimes de maladies coronaires ou d’accidents vasculaires cérébraux, à partir des bases de données médico-administratives, en vue de leur généralisation et de leur suivi dans le cadre de la réforme du système de santé. Ces indicateurs produits en routine apporteront de l’information indispensable pour identifier les leviers nécessaires à l’optimisation des parcours des patients concernés et l’amélioration de la coordination des acteurs en faveur d’un meilleur suivi des patients et d’une meilleure qualité des soins.
Sous réserve de l’exercice du droit d’opposition, trois cohortes seront constituées dans le cadre de cette étude, à partir des registres cardio-neurovasculaires (registres CNV) et qui seront appariées aux données du système national de données de santé (SNDS) :
une première cohorte comprenant les patients inclus dans le registre aquitain de cardiologie interventionnelle (registre ACIRA), souffrant d’un syndrome coronarien chronique et pris en charge en phase aigüe dans un centre de cardiologie interventionnelle d’Aquitaine entre janvier 2017 et décembre 2021, composée de 17 500 patients environ ;
une deuxième cohorte, constituée à partir des données de l’observatoire des accidents vasculaires cérébraux en Nouvelle-Aquitaine (registre ObA2) pris en charge en phase aigüe pour un accident vasculaire cérébral entre janvier 2019 et décembre 2021 dans un établissement de santé de Nouvelle-Aquitaine, et composée de 15 000 patients environ ;
une troisième cohorte, constituée à partir des données du registre ObA2, comprenant les patients inclus dans ObA2 et ayant bénéficié d’une première consultation post-accident vasculaire cérébral entre juillet 2022 et décembre 2023 dans un établissement de santé de Nouvelle-Aquitaine, composée de 3 750 patients environ.
La finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b du RGPD, et ce traitement présente une finalité d’intérêt public, conformément à l’article 66. I de la loi n° 78-17 du 6 janvier 1978 modifiée (loi "informatique et libertés").
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement mis en œuvre par le CHU de Bordeaux est nécessaire à l’exécution de la mission d’intérêt public dont il est investi.
Ce traitement est, à ce titre, licite au regard de l’article 6.1.e du RGPD. En outre, ce traitement, nécessaire à des fins de recherche scientifique, remplit la condition prévue à l’article 9.2.j du RGPD permettant de traiter des données concernant la santé.
Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi "informatique et libertés", qui prévoient, en l’absence de conformité à une méthodologie de référence, que les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la Commission.
Sur les points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (appariement probabiliste des données cliniques avec les données du Système national des données de santé – SNDS) et des modalités d’information des personnes concernées.
En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004.
Sur la réutilisation des données de bases existantes