AgentPublic/cnil huggingface dataset:
des cibles relais (mairies, associations de maires, associations et organisations non gouvernementales locales, professionnels de santé, syndicats de pêcheurs, d’agriculteurs, de producteurs et vendeurs de produits de pêche ou agricoles, etc.) ;
de partenaires (collectivités territoriales, CGSS de Martinique et Guadeloupe, ORS, etc.).
Par ailleurs, une note d’information collective sera publiée sur le site web du responsable de traitement. Elle devra comporter l’ensemble des mentions prévues par le RGPD.
Ces modalités d’information seront réalisées avant la constitution des bases de données par les CGSS de Martinique et de Guadeloupe, et de l’ENIM permettant la réalisation du tirage au sort.
S’agissant des personnes tirées au sort :
A l’issue du tirage au sort, tous les participants recevront une note d’information individuelle.
S’agissant des participants mineurs :
Une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi "informatique et libertés" en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche. Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre.
Les mineurs participant à l’étude recevront également une note d’information individuelle.
Toutes les notes d’information devront comporter l’ensemble des mentions prévues par l’article 13 du RGPD.
Ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi informatique et libertés .
S’agissant des modalités d’exercice des droits :
Conformément aux dispositions de l’article 74 de la loi "informatique et libertés", les personnes disposent du droit de s’opposer au traitement de leurs données à des fins de recherche. Elles devront en être informées dans la note d’information collective publiée sur le site web du responsable de traitement.
Les personnes ayant fait exercice de leur droit d’opposition en refusant de participer à l’étude ne devront pas être contactées.
Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données du responsable de traitement pendant toute la durée de l’étude.
Ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi informatique et libertés .
Sur les accédants et destinataires
Dans le cadre de la mise en œuvre de l’étude "Kannari-2" :
les membres du personnel de l’ANSP auront accès :
				
aux données pseudonymisées de l’ensemble des bénéficiaires de la branche maladie des CGSS de Guadeloupe et de Martinique, et de l’ENIM afin de réaliser le tirage au sort des participants ;
aux données de santé pseudonymisées des participants afin de réaliser l’analyse des données pour les besoins de l’étude ;
les membres de la société IPSOS auront accès aux données nominatives et de santé des participants pour assurer le suivi des inclusions et le recueil des données à travers la passation des questionnaires ;
les membres des ORS de Martinique et de Guadeloupe auront accès aux données de santé pseudonymisées des participants afin d’analyser les données de santé déclaratives issues des questionnaires.
Le responsable de traitement a indiqué que les données nominatives des participants doivent être collectées et traitées afin de leur adresser leurs résultats à la fin de l’étude. Aux fins de confidentialité, ces résultats devront être envoyés par la société IPSOS.
Des documents tenus à jour indiquent la ou les personnes compétentes pour le responsable de traitement et chaque sous-traitant permettant de délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations.
 
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
 
La qualification des personne habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement et ses sous-traitants.
Sur la sécurité des données et la traçabilité des actions
À titre liminaire, le dossier de demande mentionne que le traitement envisagé est conforme aux mesures de sécurité prévues dans la MR-001.
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au traitement envisagé. Celle-ci devra être mise à jour pour tenir compte des différentes phases de l’étude (pilote et à grande échelle), préciser les mesures techniques et organisationnelles ainsi que le plan d’actions retenu.
Dans le cadre de la phase pilote, aucune donnée de l’étude ne sera hébergée sur les serveurs internes du responsable de traitement. Les données seront consolidées et analysées sur la plateforme du Centre d’accès sécurisé aux données (CASD).
Pour l’étude à grande échelle, la Commission prend acte de ce que les serveurs internes du responsable de traitement seront conformes à l’état de l’art, notamment à des mesures de sécurité équivalentes aux exigences mentionnées dans le référentiel entrepôt de données dans le domaine de la santé .
Des espaces projets devront alors être prévus pour toute mise à disposition, interne ou à destination des ORS, toute mise à disposition ou export de données non anonymes étant exclus. Si ces conditions ne sont pas réunies, un hébergement et une mise à disposition au CASD seront réalisés.
Le responsable de traitement devra s’assurer du respect des exigences de sécurité à toutes les étapes du traitement opérées par les différents organismes participants, y compris pour les fiches papiers.
Des pseudonymes aléatoires, dédiés à chaque typologie d’acteurs et flux de données, sont prévus pour les flux de données. Toute table de correspondance devra être supprimée dans les meilleurs délais après remise des résultats individuels aux participants, consolidation de la base et génération de nouveaux pseudonymes aléatoires pour celle-ci. Pour toute mise à disposition, des pseudonymes dédiés à chaque espace projet devront être générés.
Les échanges de données seront réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Les algorithmes de chiffrement utilisés et les procédures de gestion des clés devront être conformes à l’annexe B1 du référentiel général de sécurité.
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5.1.f et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Sur les transferts de données en dehors de l’Union européenne
Le responsable de traitement prévoit de transférer au Canada certaines données pseudonymisées des participants à l’étude. Prenant en considération l'arrêt C-311/18 rendu par la Cour de justice de l’Union européenne le 16 juillet 2020, la Commission rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD. Lorsque ce transfert s'effectue à destination d'un pays n’assurant pas un niveau de protection suffisant, celui-ci doit être réalisé moyennant des garanties appropriées (clauses contractuelles types, règles d'entreprise contraignantes, code de conduite, mécanisme de certification).
Conformément aux dispositions de l’article 46 du RGPD, en l’absence de décision d’adéquation, le responsable de traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives.
Le responsable de traitement envisage d’encadrer le transfert de données au Canada par la conclusion de clauses contractuelles type telles que prévues par la décision d’exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021. Il incombe au responsable de traitement d'évaluer si le niveau de protection requis par le droit de l’Union européenne est respecté au Canada afin que les garanties fournies par les clauses contractuelles types puissent être respectées. Le cas échéant, ces clauses contractuelles ne pourront constituer des garanties appropriées au sens du chapitre V du RGPD qu’à la condition d’avoir été complétées par des mesures supplémentaires afin de garantir un niveau de protection essentiellement équivalent à celui prévu dans l'Espace économique européen. Le responsable de traitement est également tenu de s'assurer que la législation du pays tiers n'empiétera pas sur ces mesures supplémentaires de manière à les priver d'effectivité.
Sur la durée de conservation des données
S’agissant des personnes non tirées au sort :
Les données seront conservées pour une durée de trois mois, puis détruites.
S’agissant des personnes refusant de participer à l’étude :
Les données seront détruites au moment de leur refus.
S’agissant des données des personnes participant à l’étude :
les données administratives d’identification nom, prénom, coordonnées téléphonique, électronique et postale seront conservées pendant six mois après la transmission des derniers résultats aux participants puis elles seront détruites ;
les échantillons biologiques seront conservés pendant cinq ans puis détruits.
Les autres données de l’étude seront conservées en base active pour une durée de sept ans, puis feront l’objet d’un archivage intermédiaire pour une durée de quinze ans.
A l’issue de ce délai, les données seront supprimées ou versées aux archives nationales, conformément aux dispositions du code du patrimoine.
Ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e du RGPD.
Sur la réutilisation des données et des échantillons biologiques
La constitution d’une base de données associée à une collection d’échantillons biologiques relève, sauf en cas de recueil du consentement exprès conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi "informatique et libertés" pour les traitements de données à caractère personnel dans le domaine de la santé (déclaration de conformité au référentiel "entrepôt de données de santé" ou dépôt d’une demande d’autorisation).
Conformément à la délibération n° 2018-327 du 11 octobre 2018 relative aux analyses d’impact sur la protection des données, les traitements des données de santé nécessaires à la constitution d’une base de données pérenne associée à une collection d’échantillons biologiques nécessitent la réalisation préalable d’une telle analyse.
Toute nouvelle étude qui serait mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la Commission.
Observations particulières
Afin de corriger les effets de sélection induits par la non-participation de certaines personnes tirées au sort, le responsable de traitement souhaite mettre en œuvre des méthodes statistiques de traitement des biais de sélection dans l’étude Kannari-2 . Cette étude fera l’objet d’une formalité distincte auprès de la Commission.
Autorise, conformément à la présente délibération, l’Agence nationale de santé publique à mettre en œuvre le traitement susmentionné.
La Présidente
Marie -Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie le 30 novembre 2022 par l’Assistance publique – Hôpitaux de Paris d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur l’épidémiologie et les parcours de soins des enfants présentant des variations du développement génital, intitulée "VarGen" ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 12 mai 2022 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire adjoint du Gouvernement,
Formule les observations suivantes :
 
Sur le responsable de traitement
Le responsable de traitement de cette étude est l’Assistance publique – Hôpitaux de Paris (AP-HP).
Sur les sous-traitants
La Plateforme de données de santé (PDS) interviendra dans la mise en œuvre de cette étude.
La répartition des rôles et responsabilités entre le responsable de traitement et la PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes, devra être formalisée par une convention entre les deux parties conformément à l’article 28 du règlement général sur la protection des données (RGPD).
Sur la finalité du traitement et son caractère d’intérêt public
Le traitement envisagé a pour finalité la mise en œuvre d’une étude portant sur l’épidémiologie et les parcours de soins des enfants présentant des variations du développement génital, intitulée "VarGen".
La Commission relève que la mise en œuvre de cette étude vise à rassembler les éléments nécessaires à la constitution du rapport prévu par l’article 30 de la loi n° 2021-1017 du 2 août 2021 relative à la bioéthique. En application de ces dispositions, le Gouvernement doit remettre au Parlement un rapport relatif à l’activité et au fonctionnement des centres de référence des maladies rares compétents concernant la prise en charge des personnes présentant des variations du développement génital en France, au nombre d'actes médicaux réalisés en lien avec ces variations, ainsi qu'au respect des recommandations internationales en matière de protocole de soins. Elle relève également que ce rapport devra être transmis dans un délai de dix-huit mois suivant la publication de l’arrêté du 15 novembre 2022 fixant les règles de bonnes pratiques de prise en charge des enfants présentant des variations du développement génital et être accompagné d'éléments chiffrés quant au nombre de personnes concernées ainsi qu’à la nature des actes médicaux réalisés chaque année.
Sous réserve de l’exercice du droit d’opposition, deux cohortes seront constituées dans le cadre de cette étude :
une première cohorte comprenant l’ensemble des enfants nés entre 2015 et 2023 suivis dans le réseau expert maladies rares ayant un diagnostic "orphanet" de variation de développement génital (la cohorte "BNDMR-VDG", composée de 3 000 personnes environ) ;
une seconde cohorte constituée à partir des données du Système national des données de santé (SNDS) comprenant les enfants nés entre 2012 et 2023 ayant un code diagnostique, un acte ou un traitement témoignant d’une variation de développement génital (la cohorte "SNDS-VDG", composée de 20 000 personnes environ).
La finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b du RGPD, et ce traitement présente une finalité d’intérêt public, conformément à l’article 66. I de la loi n° 78-17 du 6 janvier 1978 modifiée (loi "informatique et libertés").
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement mis en œuvre par l’AP-HP de Paris est nécessaire à l’exécution de la mission d’intérêt public dont elle est investie.
Ce traitement est, à ce titre, licite au regard de l’article 6.1.e du RGPD. En outre, ce traitement, nécessaire à des fins de recherche scientifique, remplit également la condition prévue à l’article 9.2.j du RGPD permettant de traiter des données concernant la santé.
Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi "informatique et libertés", dont il résulte qu’en l’absence de conformité à une méthodologie de référence, les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la Commission.
Sur les points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées.
En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004.
Sur la réutilisation des données de bases existantes
Les données de la Banque nationale de données maladies rares (BNDMR) autorisée par la CNIL (délibération n° 2019-113 du 5 septembre 2019 ; demande d’autorisation n° 2211418) seront réutilisées dans le cadre de la présente étude. Ces données seront appariées aux données du SNDS.
La Commission relève que les données de la BNDMR ont vocation à intégrer la base du catalogue du SNDS en application de l’article 3 de l’arrêté du 12 mai 2022 relatif aux données alimentant la base principale et aux bases de données du catalogue du SNDS.
Seules les données des enfants nés entre 2015 et 2023 suivis dans le réseau expert maladies rares ayant un code "orphanet" de variation de développement génital seront traitées.
Sur les catégories particulières de données traitées
S’agissant du traitement de données du SNDS :
Sous réserve qu’elles soient diffusables par la Caisse nationale de l’assurance maladie (CNAM), le responsable de traitement sollicite un accès aux données du système national d'information inter-régimes de l'assurance maladie (SNIIRAM), du programme de médicalisation des systèmes d'information (PMSI) et des causes médicales de décès (CépiDc) des années 2012 à 2025.
Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront transmises par la CNAM ; à cet égard, les filtrages et les appariements de données seront réalisés en amont de cette transmission par la CNAM.
Les données du SNIIRAM, du PMSI et du CépiDc étant issues de bases composant le SNDS, l’ensemble des dispositions législatives (articles L. 1461-1 à L. 1461-7 du code de la santé publique – CSP) et réglementaires relatives au SNDS sont applicables en l’espèce, notamment :
l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ;
le respect du référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017.
S’agissant des modalités d’appariement des données de la BNDMR avec les données du SNDS :
Plusieurs modalités d’appariement des données de la BNDMR avec les données du SNDS sont prévues dans le dossier de demande :
dans un premier temps, l’appariement sera réalisé de façon déterministe grâce au numéro d’inscription au répertoire national d’identification des personnes physiques (NIR)des patients recueillis dans l’application BaMaRa (application web qui permet aux professionnels des centres de référence et de compétences maladies rares de collecter et d’exploiter eux-mêmes leurs données de maladies rares). Les NIR seront envoyés à la CNAM directement depuis la base BaMaRa, par l’équipe en charge de cette base, qui est distincte de celle en charge de la BNDMR ;
pour les patients dont les données n’auront pas été appariées grâce au NIR faute de disponibilité de ce dernier, un appariement probabiliste sera réalisé grâce à la date et au lieu de prise en charge du patient dans le réseau expert, à sa date de naissance (mois et année), à son lieu de résidence (commune et département), à son sexe et au diagnostic ;
enfin, pour les patients dont les données n’auraient pas pu être appariées au moyen des deux méthodes précédentes faute de disponibilité du NIR et en raison du faible nombre de variables communes entre les deux bases de données, les données de la BNDMR pourront être appariées avec les données du SNDS grâce à la reconstitution du NIR par la Caisse nationale de l’assurance vieillesse (CNAV) : les données nominatives, le sexe, la date de naissance complète ainsi que le lieu de naissance des participants seront extraits des bases BaMaRa aux fins de reconstitution du NIR par la CNAV.
En ce qui concerne la première modalité d’appariement (recueil du NIR à partir de l’application BaMaRa), la Commission attire l’attention du responsable de traitement sur :
la nécessaire effectivité du cloisonnement entre les deux équipes intervenant sur la BNDMR et sur BaMaRa, dont il doit s’assurer par des mesures organisationnelles et techniques adaptées aux risques et par des vérifications régulières ;
la nécessité que le pôle "Opérations", qui exploite BaMaRa et réalisera l’extraction des NIR, supprime la table de correspondance [IDMR – IDacc] qui lui est transmise comme paramètre du programme d’extraction ; cette suppression devra intervenir dès la fin de la procédure d’extraction, la table n’étant conservée que par l’équipe de la BNDMR ;
la nécessité que chaque demande d’extraction utilise une série de numéros d’accrochage (IDacc) différente, pour limiter les risques de réidentification croisée.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5.1.c du RGPD.
Sur l’information et les droits des personnes
S’agissant des titulaires de l’exercice de l’autorité parentale des enfants participant à la cohorte "BNDMR-VDG" ayant reçu une note d’information individuelle lors de la constitution de la BNDMR prévoyant un dispositif spécifique d’information auquel ils pourront se reporter préalablement à la mise en œuvre de chaque nouvelle étude réalisée à partir des données de l’entrepôt :
Une note d’information relative à la présente étude sera diffusée avant le début de l’étude sur le site web dédié à la BNDMR.
S’agissant des autres participants à la cohorte "BNDMR-VDG" et de ceux inclus dans la cohorte "SNDS-VDG" :
En vertu de l'article 69 de la loi "informatique et libertés" et de l’article 14.5.b du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par la diffusion d’une information collective sur le site web du responsable de traitement.