AgentPublic/cnil huggingface dataset:
Le projet de décret est pris en application du II de l’article 6 de la loi pour la confiance dans l’économie numérique (LCEN), dans sa rédaction modifiée par l’article 17 de la loi du 30 juillet précitée. Il précise les catégories de données mentionnées à l’article L. 34-1 du CPCE (identité civile, informations relatives au paiement, données de connexion et de localisation) et devant être conservées par les personnes visées aux 1 et 2 du I de l’article 6 de la LCEN, à savoir les fournisseurs d’accès à des services de communication au public en ligne et les fournisseurs de services d’hébergement de contenus en ligne (ci-après les fournisseurs ).
De manière générale, la Commission considère que le projet de décret, en ce qu’il fait application de dispositions législatives sur lesquelles elle s’est prononcée dans son avis du 3 mai 2021, n’appelle pas d’observations substantielles.
Si elle relève que le projet de décret détermine les données devant être conservées par les fournisseurs, conformément à l’article 17 de la loi du 30 juillet 2021, la Commission s’interroge néanmoins sur la possibilité de conserver certaines d’entre elles et estime, en outre, que des précisions devraient être apportées concernant certaines des catégories d’informations afin d’améliorer la lisibilité du décret et de clarifier les obligations incombant aux fournisseurs.
Dans ces conditions, la Commission formule les observations suivantes.
 
Observations générales
L’article 7 du projet de décret prévoit que les données mentionnées aux articles 1 à 5 ne doivent être conservées que dans la mesure où elles sont collectées par les personnes mentionnées aux 1 et 2 du I de l’article 6 de la loi du 21 juin 2004 susvisée lorsqu’elles assurent la mise en œuvre des services de communication au public en ligne, et que ces données sont pertinentes au regard des finalités poursuivies par la loi .
 
La Commission relève que les obligations des fournisseurs portent uniquement sur la conservation de certaines catégories de données qu’ils détiennent au titre de la fourniture des services qu’ils proposent, les textes ne leur imposant pas de conserver des données qu’ils n’auraient pas préalablement collectées. La Commission rappelle que le principe de minimisation impose de limiter cette conservation aux données strictement nécessaires au regard des finalités posées par la loi.
La Commission insiste également sur la nécessité d’employer, au sein du projet de décret, les termes les plus précis possibles pour encadrer les données conservées et ce, afin de limiter tout risque de collecte excessive.
Sur les informations relatives à l’identité civile de l’utilisateur
L’article L. 34-1 II bis 1°) prévoit désormais que les opérateurs de communications électroniques sont tenus de conserver des informations relatives à l’identité civile de l’utilisateur jusqu’à l’expiration d’un délai de cinq ans à compter de la fin de validité de son contrat . L’article 1er du projet de décret prévoit que ces données sont : les nom et prénoms ou la raison sociale ; la ou les adresses postales associées ; les date et lieu de naissance ; les adresses de courrier électronique ou de compte associées et le ou les numéros de téléphone.
 
En premier lieu,
 la Commission invite le SGDSN à modifier le projet de décret s’agissant des adresses de courrier électronique ou de compte associées, afin d’inclure, au même titre que les adresses postales et les numéros de téléphone, la possibilité de la collecte d’une seule de ces informations, le cas échéant. La Commission estime qu’une telle modification serait de nature à éviter une conservation systématique de plusieurs données lorsqu’une seule apparaît suffisante au regard des finalités poursuivies. Elle prend acte de l’engagement du SGDSN de modifier le projet de décret en ce sens.
En second lieu, concernant la conservation de la raison sociale, la Commission prend acte de l’engagement du SGDSN de préciser lorsque le compte est ouvert au nom d’une société , ce qui permet de clarifier l’obligation des fournisseurs.
Sur la conservation du lieu de la transaction
Le projet de décret prévoit que les informations relatives au paiement sont conservées par les fournisseurs à l’occasion de chaque opération de paiement . Ces informations portent sur le type de paiement utilisé , la référence de paiement , le montant et la date, heure et lieu de la transaction .
 
Le SGDSN a précisé que le lieu de la transaction correspond à la localisation géographique de l’utilisateur lors de la souscription du contrat.
Si le SGDSN s’est engagé à préciser au sein du décret qu’il s’agit du  lieu en cas de transaction physique , la Commission est en tout état de cause réservée quant à la conservation de cette donnée par les opérateurs. Elle relève en effet que sa conservation est une obligation nouvelle introduite par le projet de décret et considère que la seule justification apportée par le SGDSN à savoir que que ces données pourraient s’avérer utiles dans le cadre de réquisitions judiciaires par exemple, n’est pas suffisante pour démontrer la nécessité de leur conservation.
Sur les autres informations fournies par l’utilisateur lors de la souscription d’un contrat ou de la création d’un compte
 
Conformément à l’article L. 34-1 II bis 2°) du CPCE, le projet de décret précise les autres informations fournies par l’utilisateur lors de la souscription d’un contrat ou de la création d’un compte  conservées par les personnes visées aux 1 et 2 du I de l’article 6 de la LCEN.
En premier lieu, concernant les pseudonymes utilisés , la Commission prend acte de l’engagement du SGDSN de modifier la rédaction à cet égard en précisant le ou les pseudonymes utilisés , dans la mesure où l’utilisateur n’en définit pas systématiquement plusieurs.
 
En second lieu
, en ce qui concerne les données permettant de vérifier le mot de passe ou de le modifier, le cas échéant par l’intermédiaire d’un double système d’identification de l’utilisateur, dans leur dernière version mise à jour , la Commission relève que cette catégorie est nouvelle et ne faisait pas l’objet d’une conservation dans la cadre du décret n° 2011-219 du 25 février 2011. Elle considère que ce libellé et les données qu’il recouvre ne sont pas suffisamment explicites.
En effet, cette rédaction ne permet pas aux fournisseurs d’identifier avec précision les données qu’ils sont tenus de conserver. Au contraire, cette notion peut porter à confusion et les conduire à conserver des données relatives aux techniques d’authentification, dont l’accès pourrait permettre d’usurper l’identité des abonnés. Or, le SGDSN a précisé que seuls étaient visés les canaux de communication déclarés au préalable par la personne pour permettre la récupération de comptes (adresse électronique alternative, numéro de téléphone d’un proche, etc.). A cet égard, la Commission accueille favorablement la proposition du SGDSN de viser les moyens fournis par l’utilisateur pour le joindre afin de vérifier le mot de passe ou de le modifier, le cas échéant par l’intermédiaire d’un double système d’identification de l’utilisateur, dans leur dernière version mise à jour
.
 
Sur les données techniques permettant d’identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés
L’article L. 34-1 II bis 3°) du CPCE prévoit que pour les besoins de la lutte contre la criminalité et la délinquance grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale, les données techniques permettant d’identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés sont conservées. Le projet de décret précise les données visées et qui devront être conservées par les personnes visées aux 1 et 2
du I de l’article 6 de la LCEN.
 
La Commission relève que le terme identifiant de la connexion utilisé au a) du 1°) de l’article 4 du projet de décret n’est pas clair, et paraît redondant avec le terme adresse IP attribuée à la source de la connexion et le port associé visé au c) du 1° du même article, celui-ci étant un cas spécifique d’identifiant de connexion. La Commission invite le SGDSN à clarifier le projet de décret sur ce point, par exemple en regroupant ces libellés sous le même terme, faisant de l’adresse IP un cas particulier d’identifiant de connexion. A cet égard, si elle prend acte de la proposition du SGDSN de remplacer la notion d’identifiant de connexion par l’expression identifiant utilisé , elle considère que ce terme n’apporte pas de clarification suffisante.
 
 
La Présidente
 
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données), notamment son article 58 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8 I 2° b ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Adopte un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d'entrepôts de données dans le domaine de la santé.
La Présidente
Marie-Laure DENIS
REFERENTIEL RELATIF AUX TRAITEMENTS DE DONNEES A CARACTERE PERSONNEL MIS EN OEUVRE A DES FINS DE CREATION D'ENTREPOTS DE DONNEES DANS LE DOMAINE DE LA SANTE
[Vous pouvez consulter l'intégralité du texte avec ses images à partir de l'extrait du Journal officiel électronique authentifié.]
1. À qui s’adresse ce référentiel ?
Ce référentiel s’adresse aux responsables de traitements qui souhaitent, dans le cadre de leurs missions d’intérêt public, réunir des données en vue de leur réutilisation, pour les finalités mentionnées au point 3.1.
1.1 De tels traitements sont ci-après dénommés entrepôts de données de santé .
1.2 Le référentiel s’applique également aux entrepôts mis en œuvre par des responsables conjoints qui définissent leurs obligations respectives conformément à l’article 26 du RGPD.
 
1.3 Ne sont pas concernés par ce référentiel :
 
les entrepôts mis en œuvre par une société privée sur le fondement de son intérêt légitime ;
les traitements de données à caractère personnel mis en œuvre uniquement aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements, ou de la gestion de services de santé et mis en œuvre par les professionnels de santé et les systèmes ou services de soins de santé (p. ex : les dossiers médicaux dématérialisés) ;
les traitements de données à caractère personnel mis en œuvre lorsque la personne a donné son consentement explicite à cette fin ;
Les entrepôts appariés avec la base principale du Système national des données de santé tel que défini à l’article L. 1461-1 du code de la santé publique.
 
 
2. Portée du référentiel
 
2.1 Ce référentiel précise le cadre juridique, issu du règlement général sur la protection des données (RGPD) et des dispositions nationales, applicable aux entrepôts de données de santé.
 
2.2 Les responsables de traitement qui réalisent auprès de la Commission une déclaration de conformité au présent référentiel sont autorisés à mettre en œuvre un entrepôt de données de santé lorsque le traitement est strictement conforme au référentiel.
 
Pour déclarer sa conformité au référentiel :
Déclarer un fichier 
 
- rubrique déclaration de conformité 
 
2.3 Tout traitement de données à caractère personnel visant à mettre en œuvre un entrepôt de données de santé qui ne respecte pas l’ensemble des exigences définies par le présent référentiel doit faire l’objet d’une demande d’autorisation spécifique, conformément aux dispositions de l’article 66 III de la loi informatique et libertés .
 
Pour demander une autorisation :
Déclarer un fichier 
 
- rubrique demande d’autorisation santé – finalité d’intérêt public 
 
2.4 Les responsables de traitement doivent mettre en œuvre toutes les mesures appropriées (techniques et organisationnelles) afin de garantir la protection des données à caractère personnel traitées, à la fois dès la conception du traitement et par défaut, comme prévu à l’article 25 du RGPD. Ils doivent, en outre, démontrer cette conformité tout au long de la vie des traitements. Les entrepôts mis en œuvre dans le cadre du référentiel doivent également être inscrits dans le registre des activités de traitement prévu à l’article 30 du RGPD.
 
2.5 Les principes posés dans ce référentiel constituent également une aide à la réalisation de l’analyse d’impact à la protection des données (AIPD) que les responsables de traitement concernés doivent mener (v. point 13 du présent référentiel).
2.6 En application de l’article 65.1 de la loi informatique et libertés , les entrepôts mis en œuvre après recueil du consentement conforme à l’article 7 du RGPD sur la base de l’article 9.2.a du RGPD de chacune des personnes concernées ne sont pas soumis à une autorisation préalable de la Commission ni à une déclaration de conformité au présent référentiel. La Commission rappelle toutefois que les principes et les mesures posés par le présent référentiel peuvent s’appliquer à l’ensemble des traitements de données de santé de même nature, indépendamment de leur encadrement juridique.
 
2.7 Les traitements de données de santé à caractère personnel mis en œuvre à des fins de recherche, d’études ou d’évaluation dans le domaine de la santé, à partir des données contenues dans l’entrepôt, constituent des traitements distincts qui doivent faire l’objet des formalités nécessaires au titre des articles 66 et 72 et suivants de la loi informatique et libertés .
3. Objectif(s) poursuivi(s) par le traitement (Finalités) et gouvernance 
3.1 Les finalités couvertes par le référentiel 
 
3.1.1 Les entrepôts encadrés par le présent référentiel sont mis en œuvre afin de permettre la réutilisation des données qu’ils contiennent.
3.1.2 Lorsqu’ils sont mis en œuvre exclusivement à partir des données de l’entrepôt par les personnels habilités du responsable de traitement et pour son usage exclusif, les traitements répondant aux finalités suivantes peuvent être mis en œuvre dans le cadre de la déclaration de conformité au présent référentiel :
la production d’indicateurs et le pilotage stratégique de l’activité, sous la responsabilité du médecin responsable de l’information médicale (département de l’information médicale - DIM) (p. ex : 
analyses médico-économiques de parcours de soins, évaluation de la qualité et de la pertinence des prises en charge)
;
l’amélioration de la qualité de l'information médicale ou
 l’optimisation du codage dans le cadre du programme de médicalisation des systèmes d’information (PMSI) ;
le fonctionnement d’outils d’aide au diagnostic médical ou à la prise en charge ;
la réalisation d’études de faisabilité (pré-screening).
3.1.3 Les données peuvent également être réutilisées à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé. Ces traitements devront faire l’objet des formalités adéquates : s’ils sont conformes à une méthodologie de référence, ils peuvent être mis en œuvre à la condition que leur responsable adresse préalablement à la Commission une déclaration attestant de cette conformité. A défaut, ils devront solliciter une autorisation recherche sur le fondement de l’article 66.III de la loi informatique et libertés .
3.1.4 Les données contenues dans les traitements réalisés dans le cadre de ce référentiel ne peuvent être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque.
 
3.2 La gouvernance de l’entrepôt
 
3.2.1 Afin de vérifier le respect des finalités poursuivies, le responsable de traitement met en œuvre une gouvernance pour chaque entrepôt qu’il constitue. Les instances constituées à cette fin peuvent être mutualisées si le responsable de traitement met en œuvre plusieurs entrepôts.
3.2.2 Une première instance (comité de pilotage ou équivalent) détermine les orientations stratégiques et scientifiques de l’entrepôt.
3.2.2.1 Il est de son ressort de tenir une liste exhaustive des données de l’entrepôt et de justifier de leur nécessité, dans la limite des données listées au 5.2 du présent référentiel.
3.2.2.2 Dans le cadre d’une structure dotée d’un DIM, cette gouvernance doit faire intervenir ce dernier, ainsi qu’un représentant de la conférence ou de la commission médicale d’établissement.
3.2.3 Une seconde instance (comité scientifique et éthique, ou équivalent) rend, de manière systématique, un avis préalable et motivé sur les propositions de projets nécessitant la réutilisation des données de l’entrepôt.
3.2.3.1 Seuls les projets ayant été examinés par cette instance peuvent avoir recours à l’entrepôt. L’avis doit être communiqué sans délai au porteur de projet souhaitant réutiliser les données de l’entrepôt.
3.2.3.2 Une liste des traitements sur lesquels ce comité s’est prononcé est communiquée de façon périodique, au moins une fois par an, au délégué à la protection des données du responsable de traitement.
3.2.3.3 Pour les traitements qui relèvent du point 3.1.3, le comité peut choisir, pour certains dossiers qui p
ortent sur des catégories de données et de destinataires identiques, de rendre un avis unique. Il peut également choisir de ne pas se prononcer de façon systématique pour les recherches internes au sens de l’article 65.2° de la loi informatique et libertés .
3.2.3.4 Cette deuxième instance comprend notamment :
au moins une personne impliquée dans l’éthique en santé ;
une personne indépendante du responsable de traitement (par exemple : non salariée) ;
des professionnels de santé et professionnels médico-sociaux ;
des chercheurs ;
un représentant des usagers ou d’une association de patients
4. Base(s) légale(s) du traitement
4.1 Le référentiel ne s’applique qu’aux entrepôts de données de santé dont la constitution se fonde sur l’exercice d’une mission d’intérêt public, au sens de l’article 6-1-e du RGPD. Ainsi, l’entrepôt doit être nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement. 
 
4.2 Le caractère d’intérêt public de la mission du responsable de traitement doit être distingué de l’exigence d’intérêt public imposée pour les finalités des traitements mis en œuvre dans le domaine de la santé, conformément à l’article 66 de la loi n°78-17 du 6 janvier 1978 modifiée.
 
5. Données à caractère personnel pouvant être incluses dans l’entrepôt
 
5.1 Seules des données à caractère personnel adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement peuvent être collectées et traitées. À ce titre, le responsable de traitement ne peut collecter et traiter que :
des données qui figurent dans le dossier médical
et administratif ou dossier unique informatisé de la personne concernée et dont la collecte est justifiée par sa prise en charge ; et/ou 
des données issues de projets de recherches, études et évaluations dans le domaine de la santé précédemment réalisés et dont leur durée de conservation n’a pas expiré.
5.2 Les données pouvant être traitées incluent :
5.2.1 Des données relatives aux patients :
5.2.1.1 Données directement identifiantes et administratives relatives aux patients devant être conservées dans un espace distinct des autres données :
nom, prénoms ;
sexe, genre, civilité ;
statut matrimonial ;
jour, mois, date et lieu de naissance ;
date, lieu et cause de décès, si présents dans le dossier médical ;
coordonnées téléphoniques, électroniques et adresse de résidence ;
numéro d’identifiant permanent du patient (IPP) ;
numéro d’identifiant de l’épisode de soin (IEP) ;
numéro d’identification au répertoire des personnes physiques – identifiant national de santé (NIR-INS).
 
5.2.1.2 Autres catégories de données à caractère personnel, comprenant des données sensibles :
poids, taille, comptes rendus (médicaux, RCP, etc.), résultats d'examens, résultats issus d'analyse d'échantillons biologiques, imagerie médicale, données relatives aux effets et événements indésirables ; prescriptions ; observations médicales et paramédicales ; données issues de dispositifs médicaux ou d’appareils de mesure et tout élément constitutif du dossier médical ;
antécédents personnels ou familiaux, maladies ou événements associés ;
données médico-administratives issues du PMSI local ;
données génétiques strictement nécessaires pour répondre aux objectifs ou finalités de l’entrepôt et ayant été interprétées préalablement à leur versement dans l’entrepôt, ne pouvant en aucun cas être utilisées aux fins d'identification ou de réidentification des personnes ; elles doivent avoir été recueillies dans le cadre de la prise en charge médicale de la personne concernée ou d’un projet de recherche, sous réserve que la personne concernée ne s’y soit pas opposée préalablement à la réalisation de l’examen, conformément aux dispositions des articles L. 1130-5 du code de la santé publique et qu’elle ait été informée à cette occasion de la possibilité de réutilisation des résultats obtenus à des fins de recherche ultérieure ;
vie sexuelle ;
données révélant l’origine ethnique ;
photographie et/ou vidéo et/ou enregistrements vocaux ne permettant pas l'identification directe des personnes concernées (par exemple, avec masquage du visage, des yeux, des signes distinctifs) et recueillies dans des conditions conformes aux dispositions applicables en matière de droit à l'image et de droit à la voix ;
données relatives à la vie professionnelle (profession, historique d’emploi, chômage, trajets et déplacements professionnels, expositions professionnelles, catégorie INSEE socioprofessionnelle, etc.) ;
niveau de formation (p. ex. : primaire, secondaire, supérieur) ;
régime d’affiliation à la sécurité sociale, assurance complémentaire (mutuelle, assurance privée) ;
déplacements (p. ex. : vers le lieu de soin ou de la recherche : mode, durée, distances ou voyages) ;
consommation de tabac, alcool, drogues ;
habitudes de vie et comportements, par exemple : dépendance (seul, en institution, autonome, grabataire), assistance (aide-ménagère, familiale), exercice physique (intensité, fréquence, durée), régime et comportement alimentaire, loisirs ;
mode de vie (p.ex. : urbain, semi-urbain, nomade, sédentaire), habitat (maison particulière, immeuble, étage, ascenseur, etc.) ;
statut vital et cause du décès ;
échelle de qualité de vie ou autres informations sur la qualité de vie de la personne ;
exposition à des risques sanitaires connus (physiques, chimiques, biologiques et environnementaux, etc.).
 
5.2.2 Des données relatives aux professionnels de santé
données d’identification : nom, prénom, titre ;
fonction, service et unité d’exercice ;
coordonnées professionnelles (adresse électronique et numéro de téléphone professionnels) ;
numéro ADELI ou numéro RPP (à l’exclusion du numéro du matricule).
 
5.3 Aucune donnée ne peut être collectée uniquement afin d’alimenter l’entrepôt. Ainsi, est proscrit le versement dans l’entrepôt de données dont la collecte ne serait pas scientifiquement justifiée par la prise en charge sanitaire ou médico-sociale ou par la réalisation d’un projet de recherche, d’étude ou d’évaluation spécifique et prévue par un protocole.