AgentPublic/cnil huggingface dataset:
La CNIL observe que le dispositif global, et notamment ce qui relève de l'article L. 2321-2-1 du code de la défense, couvre désormais non plus seulement des réseaux mais aussi des serveurs de systèmes d'information, dès lors qu'ils sont affectés par une menace susceptible de porter atteinte à la sécurité des systèmes d'information d'autorités publiques d'OIV et d'OSE ; ce dispositif s'étend à une large gamme d'acteurs (opérateurs de communications électroniques, fournisseurs d'accès à Internet, hébergeurs et opérateurs de centre de données) ; il permet de cibler tous les types de données (non plus seulement les métadonnées mais aussi le contenu), y compris lorsque celles-ci sont chiffrées (dès lors que les recueils de données aménagés ont permis d'obtenir les conventions de chiffrement), et ceci pour des organisations dont les traitements s'effectuent potentiellement sur les données d'une large partie de la population recouvrant plusieurs secteurs sensibles (autorités publiques, OIV et OSE). La portée de ce dispositif est donc sans commune mesure avec ce qu'elle était dans le cadre de la LPM précédente.
La CNIL souligne que les opérations de collecte de données pourront potentiellement comporter un volume conséquent de données à caractère personnel collectées de manière incidente, y compris des données sensibles (notamment des données de santé lors d'attaques qui toucheraient des ressources informatiques appartenant à des établissements de santé ou prendraient appui sur elles).
La CNIL considère dès lors que :
- l'utilisation des techniques et des modalités de mise en œuvre prévues par les projets d'articles R. 2321-1-1 à R. 2321-1-6 du code de la défense, pris pour l'application de l'article L. 2321-2-1 de ce code, est susceptible de porter une atteinte particulièrement importante à la vie privée des individus et au droit à la protection des données à caractère personnel, puisque ces techniques, même limitées à des opérateurs particuliers, conduisent à recueillir, avant qu'elles ne soient filtrées en raison de leur utilité, un grand nombre de données dont la nature n'est pas définie à l'avance et qui sont donc, le cas échéant, susceptibles de relever de la catégorie des données sensibles ;
- la mise en œuvre d'une surveillance poussée de l'intégralité de ces données pourrait, à elle seule, entraîner des effets dissuasifs sur l'exercice de leur liberté d'information et d'expression par les utilisateurs d'Internet et des réseaux de communication électronique.
La CNIL relève que, pour éviter une atteinte disproportionnée à ces droits et libertés, le Parlement a assorti le dispositif d'un ensemble de garanties (utilisation du dispositif conditionnée à l'identification d'une menace, rôle de l'ARCEP, durée limitée de conservation etc.). Elle regrette cependant que l'idée d'une expérimentation, proposée par l'ARCEP dans son avis sur le projet de LPM pour les années 2024 à 2030 (avis n° 2023-0542), n'ait pas été retenue. Un tel cadre expérimental aurait notamment présenté l'intérêt de pouvoir affiner, au niveau de la loi, les garanties devant entourer le dispositif.
La CNIL comprend des dispositions du projet de décret que seuls les agents de l'ANSSI seront habilités à recevoir la communication des données collectées par les dispositifs projetés.
B. - Sur les finalités et le régime juridique applicable aux dispositifs
Les finalités des opérations de collecte des données sont prévues par les articles L. 2321-2-1 et L. 2321-2-3 du code de la défense et visent :
- la détection des évènements susceptibles d'affecter la sécurité des systèmes d'information (article L. 2321-2-1 du code de la défense) ;
- la caractérisation de la menace, qui vise à connaître les modes opératoires des attaques et justifie la conservation d'éléments qui en permettent la reconnaissance future (articles L. 2321-2-1 et L. 2321-2-3 de ce code) ;
- la prévention des menaces (pour ce qui concerne uniquement l'article L. 2321-2-1 du même code).
S'agissant des dispositifs prévus par l'article L. 2321-2-1 du code de la défense, la CNIL considère que le projet de décret (projet d'article R. 2321-1-5 du code de la défense) devrait davantage préciser la finalité de prévention afin de déterminer si elle concerne seulement des opérations visant à protéger un système d'information en amont d'une attaque, ou si elle peut par exemple relever d'opérations visant à la remédiation ou à la récupération d'un système d'information suite à une attaque.
Le IV de l'article L. 2321-2-3 du code de la défense autorise le recueil et la conservation des données directement utiles à la caractérisation des menaces . Or, le projet d'article R. 2321-1-10 du même code pris pour son application prévoit de conserver les données utiles à la prévention et à la caractérisation de la menace . La loi ne prévoit la conservation des données qu'à des fins de caractérisation de la menace, et non à des fins de prévention. La CNIL prend acte de l'engagement du SGDSN de modifier le projet de décret pour limiter la conservation des données aux données directement utiles à la caractérisation de la menace.
S'agissant du régime juridique applicable aux traitements mis en œuvre en application des articles L. 2321-2-1 et L. 2321-2-3 du code de la défense, le SGDSN a indiqué qu'ils relèvent du titre IV de la loi informatique et libertés (traitements intéressant la sûreté de l'Etat et la défense). Dans la mesure où ces dispositifs sont mis en œuvre à des fins de garantir la défense et la sécurité nationale, la CNIL partage cette analyse.
La CNIL se félicite que le SGDSN ne prévoie pas d'exclure qu'elle exerce son contrôle a posteriori sur les traitements couverts par le projet de décret, quoiqu'ils relèvent du titre IV de la loi informatique et libertés .
C. - Sur les durées de conservation
Les projets d'articles R. 2321-1-5 et R. 2321-1-10 du code de la défense prévoient que l'ANSSI dispose au maximum de trois mois pour analyser les données recueillies et que seules les "données utiles" à la prévention ou à la caractérisation des menaces peuvent être conservées au-delà de ce délai. La CNIL prend acte de l'engagement du SGDSN de modifier le projet de décret afin de faire référence aux "données directement utiles", comme les définit la loi. En effet, les données à supprimer étant définies dans le projet de décret comme celles qui ne sont pas utiles, la formulation de la loi est plus protectrice : elle empêche que des données qui seraient jugées utiles mais seulement "indirectement" puissent être conservées une fois l'analyse effectuée dans le délai de trois mois.
S'agissant des données qui ne sont pas directement utiles, les projets d'articles R. 2321-1-5 et R. 2321-1-10 du code de la défense prévoient qu'elles sont détruites dans un délai d'un jour ouvré, ce qui respecte l'exigence prévue par la loi (articles L. 2321-2-1 et L. 2321-2-3 du code de la défense) d'un "délai bref" de suppression.
D. - Sur les droits des personnes
S'agissant des dispositifs exploitant des marqueurs techniques ou permettant le recueil des données (dispositifs prévus par l'article L. 2321-2-1 du code de la défense) et des dispositifs de blocage et de redirection de nom de domaine (prévus par l'article L. 2321-2-3 du code de la défense), le SGDSN envisage que les droits des personnes dont les données à caractère personnel seront traitées soient régis comme suit :
- les droits d'information et d'opposition prévus respectivement aux articles 116 et 117 de la loi du 6 janvier 1978 ne seraient pas applicables ;
- les droits d'accès, de rectification et d'effacement s'exerceraient de manière indirecte, auprès de la CNIL, dans les conditions prévues à l'article 118 de la même loi.
La présidente,
M.-L. Denis
N° de demande d’avis : 23001213
Textes concernés : projet d’arrêté relatif au référentiel de sécurité applicable au Système national des données de santé
Thématiques : Système national de données de santé (SNDS), sécurité des systèmes d’information
Fondement de la saisine : article 8.I.4°- a) de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et articles L. 1461-1 et R. 1461-6 du code de la santé publique
 
L’essentiel :
Le projet d’arrêté vise à mettre à jour les exigences de sécurité applicables aux systèmes d’information et traitements utilisant des données à caractère personnel issues du SNDS.
La CNIL salue l’ambition de sécuriser l’ensemble des systèmes d’information comprenant des données du SNDS, mais préconise que le périmètre d’application du référentiel soit clarifié.
Compte tenu du niveau particulièrement élevé des exigences qu’il contient ainsi que des possibles freins au partage des données qu’il risque de générer, elle invite le ministère à fournir aux acteurs concernés des moyens humains et financiers suffisants afin de leur permettre de se mettre en conformité.
 
LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi " informatique et libertés ") ;
 
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé ;
 
Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ;
 
Vu la délibération n° 2017-022 du 26 janvier 2017 portant avis sur un projet de décret relatif au référentiel de sécurité applicable au Système national des données de santé ;
 
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement,
 
ADOPTE LA DÉLIBÉRATION SUIVANTE :
 
I. La saisine
 
A. Le contexte
 
Le système national des données de santé (SNDS), créé par la loi n° 2016-41 du 26 janvier 2016, a pour finalité la mise disposition de données à caractère personnel concernant la santé, afin notamment de mettre en œuvre des traitements à des fins de recherches, d’études ou d’évaluations dans le domaine de la santé répondant à un motif d’intérêt public.
Initialement circonscrit au " SNDS historique ", c'est-à-dire aux données issues des bases médico-administratives hébergées ou susceptibles d’être hébergées par la Caisse nationale de l’assurance maladie (CNAM), le périmètre des catégories de données le composant a été élargi par la loi n° 2019-774 du 24 juillet 2019 (données issues de la prise en charge médicale, des visites médicales scolaires, des services de protection maternelle ou infantile, des visites de santé au travail ou des enquêtes appariées, etc.).
Lorsqu’elles sont traitées pour l’une des finalités mentionnées au III de l’article L. 1461-1 du code de la santé publique (CSP), les catégories de données visées au I de l’article L. 1461-1 du CSP composent le SNDS " élargi " (ou " données du SNDS "). Elles sont alors soumises à l’ensemble des dispositions de ce code. En particulier, les gestionnaires des bases de données du SNDS doivent respecter le référentiel de sécurité, ne poursuivre aucune finalité interdite, respecter les conditions d’accès aux données via un accès permanent ou à la réalisation d’une formalité, se conformer aux modalités de transparence. Une partie de ces données a alors vocation à être intégrée progressivement dans un " SNDS central " géré par la CNAM et par la Plateforme des données de santé (PDS). Ce " SNDS central " est composé d’une base principale (comprenant à ce jour le " SNDS historique " ainsi que d’autres bases couvrant l’ensemble de la population bases telles que " SI-DEP " et " Vaccin-COVID ") et d’un catalogue incluant d’autres bases de données.
 
Afin de garantir un niveau de sécurité suffisant, l’accès aux données du SNDS doit s’effectuer dans des conditions assurant la confidentialité, l’intégrité des données et la traçabilité des accès et des autres traitements, conformément à un référentiel défini par l’arrêté, tel que prévu au 3) du IV de l’article L. 1461-1 et à l’article R. 1461-7 du CSP (" référentiel de sécurité du SNDS ").
 
B. L’objet de la saisine
Le projet d’arrêté a pour objet la mise à jour du précédent référentiel de sécurité du SNDS issu de l’arrêté du 22 mars 2017 en raison des évolutions du cadre juridique et de l’état de l’art en matière de sécurité des données.
 
Le projet de référentiel définit les exigences de sécurité que doivent mettre en œuvre les responsables de traitement et les gestionnaires des différents systèmes d’information traitant des données du SNDS, sur la base :
de principes généraux, déclinés de façon opérationnelle au moyen d’une analyse de risques ;
de la prise de mesures techniques et organisationnelles afin de réduire ces risques ;
d’une homologation avec acceptation des risques résiduels.
 
II. L’avis de la CNIL
 
A. Concernant le périmètre d’application du référentiel de sécurité applicable au SNDS
 
La CNIL relève que l’élargissement du périmètre des données du SNDS opéré en 2019 a pour conséquence d’accroître celui du référentiel de sécurité du SNDS qui prévoit désormais quatre cas d’usage. Le ministère a explicité ces cas en les illustrant avec des exemples dont certains sont repris ci-dessous.
 
Ainsi, selon les éléments transmis par le ministère, le champ d’application du projet de référentiel s’étend aux systèmes rassemblant et assurant la mise à disposition des données du SNDS pour les finalités du SNDS (appelés " système du SNDS ") pouvant impliquer :
soit une " mise à disposition
 
" des données via un " espace projet " ;
soit une " transmission des données ", c’est-à-dire l’envoi des données à un " autre système du SNDS ".
 
Ces différentes notions sont définies dans le projet de référentiel. Le ministère a précisé que le référentiel s’appliquera dès lors qu’interviendra une transmission ou une mise à disposition des données du SNDS à un autre responsable de traitement, que celui-ci soit un responsable de traitement conjoint ou responsable d’un traitement ultérieur. A cet égard, le ministère s’est engagé à modifier la définition de " mise à disposition " afin de préciser qu’" un traitement de données mis en œuvre dans le cadre d’une co-responsabilité entre le responsable de traitement du système d’information et un tiers " constitue une " mise à disposition ".
 
Par ailleurs, d’une manière générale, selon les précisions apportées par le ministère, le projet de référentiel :
ne s’appliquera pas lorsque les données du SNDS sont utilisées par le gestionnaire du système du SNDS pour ses propres traitements ;
s’appliquera uniquement lors de la mise à disposition et de la transmission des données issues des " bases sources " telles que les entrepôts hospitaliers, et non à l’hébergement des données.
 
Ces précisions faites, le projet de référentiel prévoit les quatre cas d’usage décrits ci-après.
Le premier cas d’usage est relatif au " SNDS central ". Le projet reprend ce cas déjà prévu dans le précédent référentiel tout en précisant qu’il sera également applicable à l’alimentation, l’hébergement et la transmission, y compris entre les gestionnaires de système du " SNDS central ".
 
Le deuxième cas d’usage porte sur l’application du référentiel aux " systèmes fils " pour l’hébergement, la transmission et la mise à disposition des données du SNDS. Sont définis comme " systèmes fils " l’ensemble des systèmes du SNDS rassemblant ou mettant à disposition des données du SNDS dans le cadre des finalités du SNDS, transmises soit par le SNDS central, soit par un autre système fils ou encore par un autre système du SNDS. Le ministère estime donc que le référentiel sera notamment applicable à un entrepôt de données de santé qui rassemble et permet la mise à disposition à des tiers de données provenant des dossiers médicaux des patients, et ce à des fins de recherche. Dans le silence du projet de référentiel, s’agissant des entrepôts de données de santé alimentant la base catalogue du SNDS et conservés par leur responsable de traitement initial en vue d’une mise à disposition ou d’une transmission de données à des tiers pour des finalités SNDS, la CNIL en déduit que leur hébergement devra être réalisé en conformité avec le référentiel de sécurité du SNDS.
 
Le troisième
cas d’usage concerne les bases de données qui alimentent le " SNDS central " ou un " autre système du SNDS ". Dans cette hypothèse, le référentiel s’applique uniquement :
lors de la mise à disposition à un tiers pour des finalités du SNDS ;
lors de la transmission de données vers un " système SNDS ".
 
Le dernier cas
 d’usage concerne les " systèmes du SNDS n’alimentant ni le SNDS central, ni un système fils, ni un autre système du SNDS ". Le référentiel s’applique alors uniquement :
à la mise à disposition de données du SNDS à un tiers pour des finalités du SNDS : par exemple, lorsque des données d’une cohorte constituée de données issues de l’administration de questionnaires combinées à des données recueillies dans le cadre du soin sont mises à disposition d’un tiers à des fins de recherche ;
à la transmission de données du SNDS vers un " autre système du SNDS " : par exemple, un établissement transmettant des données issues de dossiers médicaux à un autre établissement de santé en vue d’une recherche multicentrique.
 
S’agissant de la notion d’" autre système du SNDS ", le ministère a précisé qu’il s’agissait d’une " base de données contenant des données du SNDS et non qualifiée de système fils ". Il s’est engagé à inclure cette définition dans le référentiel.
La CNIL prend également acte de ce que, selon le ministère, le référentiel sera également applicable, dans le cadre du dernier cas d’usage, à une transmission de données du SNDS à un tiers, que les données soient ou non versées dans " un autre système du SNDS ".
 
La CNIL salue l'ambition du ministère de sécuriser l'ensemble des traitements mettant à disposition des données du SNDS à un tiers pour l’une des finalités du SNDS.
 
Elle relève cependant que son application apparait particulièrement complexe à mettre en œuvre, notamment pour ce qui concerne les deux derniers cas d’usage. En effet, le projet de référentiel s’appliquera à la seule mise à disposition ou à la seule transmission des données pour des finalités du SNDS, mais ne s’appliquera pas au simple hébergement des données. Elle estime que le référentiel sera particulièrement délicat à mettre en œuvre, notamment pour les projets en cours qui se prolongeront au-delà des deux ans de la période transitoire prévue par le projet d’arrêté, et pour lesquels les données ont déjà été transmises par le gestionnaire du système.
 
Elle s’inquiète par ailleurs d’un référentiel de sécurité qui resterait partiellement lettre morte, en raison du manque de compétences techniques et de moyens de certains acteurs de la recherche. Cela aurait alors pour conséquence de décourager les organismes disposant de moindres moyens de partager les données à des fins de recherches en santé.
En tout état de cause, elle estime que le périmètre d’application du référentiel devrait être 
énoncé de façon plus détaillée afin d’améliorer la clarté du dispositif. A cet égard, elle prend acte de l’engagement du ministère d’intégrer des exemples précis dans la documentation pédagogique qui accompagnera la publication de ce référentiel.
 
Par ailleurs, la CNIL appelle le ministère à fournir aux acteurs de la recherche et à l’écosystème les moyens nécessaires afin qu’ils puissent mettre en conformité, vis-à-vis des exigences de sécurité du projet de référentiel, les outils leur permettant d’effectuer leurs études.
 
B. Concernant les dispositions transitoires de l’arrêté
 
Le projet d’arrêté prévoit une application progressive du référentiel de sécurité :
les systèmes du SNDS existants soumis au précédent référentiel devront être en conformité totale avec le référentiel mis à jour pour leur prochaine homologation de sécurité et au plus tard dans un délai de deux ans à compter de sa publication ;
les systèmes du SNDS existants mais non soumis au précédent référentiel devront être en conformité avec le référentiel mis à jour dans un délai de deux ans à compter de sa publication ;
les systèmes d’information créés après l’entrée en vigueur de l’arrêté devront être en conformité avec le référentiel mis à jour dès leur création.
Tous les systèmes du SNDS existants devront, en outre, établir un plan d’action de mise en conformité avec le référentiel mis à jour, dans un délai de six mois à compter de sa publication.
 
Le ministère a précisé privilégier la mise en conformité directement avec le nouveau référentiel, pour les systèmes du SNDS existants mais non soumis au précédent référentiel. Selon lui, l’encadrement actuel de ces systèmes (le précédent référentiel, mais aussi le référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d'entrepôts de données dans le domaine de la santé, etc.) impose un niveau de sécurité et de confidentialité comparable à celui prévu par le projet de référentiel.
 
La CNIL s’interroge sur la variabilité des niveaux de sécurité des systèmes SNDS entrant dans le champ d’application du projet de référentiel pendant la période transitoire. En effet, parmi les systèmes qui devront respecter le nouveau référentiel, certains ne sont soumis ni au précédent référentiel ni à celui applicable aux entrepôts de données de santé. Il en résulte des risques en matière de sécurité pendant la période transitoire. La CNIL invite donc le ministère à préciser dans le projet de référentiel que le plan d’action de mise en conformité devra prévoir une priorisation des mesures en fonction des risques identifiés.
 
C. S’agissant des mesures de sécurité que doivent mettre en œuvre les " systèmes du SNDS "
S’AGISSANT DES EXIGENCES GÉNÉRALES EN MATIÈRE DE SÉCURITÉ
 
En premier lieu, le précédent référentiel indiquait que les systèmes du SNDS devaient s’assurer du respect des règles " de la Politique générale de sécurité des systèmes d’information en santé (PGSSI-S), de la Politique de sécurité des systèmes d’information pour les ministères chargés des affaires sociales (PSSI MCAS), des règles applicables dans le cadre du Référentiel Général de Sécurité (RGS) ". Ces mentions ne figurent plus dans le projet de référentiel.
 
Le ministère a indiqué que la PGSSI-S et le RGS n’avaient pas vocation à s’appliquer à l’environnement informatique des systèmes du SNDS. Il s’est néanmoins engagé à rétablir la référence à la PSSI-MCAS et à mentionner le décret n° 2022-513 du 8 avril 2022, qui encadrent chacun les règles de sécurité des systèmes d’information de l’État, considérant que les systèmes du SNDS constituent des infrastructures informatiques entrant dans leurs champs d’application. Pour ces mêmes raisons, la CNIL invite le ministère à s’interroger sur l’applicabilité de la circulaire n° 6404/SG du 31 mai 2023 portant actualisation de la doctrine d’utilisation de l’informatique en nuage par l’Etat aux systèmes du SNDS.
En second lieu, le projet de référentiel prévoit que l’homologation de sécurité sera désormais à la charge du gestionnaire du système du SNDS y compris " dans le cadre de la mise à disposition dans des espaces projets par le gestionnaire du système ". La CNIL salue cette évolution qui correspond davantage à la réalité dans la mesure où les systèmes fils ne sont pas toujours mis en œuvre par les responsables de traitements, mais également par des prestataires spécialisés regroupant et hébergeant un grand nombre d’entre eux.
 
Afin d’assurer la transparence et la visibilité sur l’ensemble des systèmes homologués pour traiter des données du SNDS, la CNIL prend acte de l’intention du ministère d’engager des travaux dans la perspective de la création d’un annuaire ou d’un répertoire public. Néanmoins, afin de ne pas priver d’effectivité l’ensemble du dispositif d’homologation et de conformité au référentiel de sécurité, elle estime que ce nouvel outil devrait être renseigné de façon systématique par les gestionnaires de ces systèmes.