AgentPublic/cnil huggingface dataset:
Les attributions mentionnées aux articles 2 et 3 de la présente décision ne peuvent être exercées par la présidente de la Commission qu’à la seule fin d'adopter celles de ces mesures qui présentent un caractère d'urgence et que la formation plénière de la Commission est dans l’impossibilité matérielle d’adopter régulièrement dans les conditions fixées par la délibération du 2 avril 2020 susvisée.
La présidente informe, sans délai et par tout moyen, les membres de la Commission de toute décision prise dans le cadre de la présente décision.
 
Article 5
La présente décision est applicable durant la période courant du 2 avril 2020 jusqu'à l'expiration de l'état d'urgence sanitaire déclaré par l'article 4 de la loi du 23 mars 2020 susvisée augmentée d'une durée d'un mois.
 
Article 6
La présidente de la Commission est chargée de l’exécution de la présente délibération, qui sera publiée sur le site web de la Commission nationale de l’informatique et des libertés.
 
La présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d’une demande d’avis concernant le projet d’arrêté relatif aux données alimentant la base principale et aux bases de données du catalogue du système national des données de santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code de la santé publique (CSP), notamment ses articles L. 1461-1 et R. 1461-2 ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Etant rappelés les éléments de contexte suivants
Le système national des données de santé (SNDS), créé par la loi n° 2016-41 du 26 janvier 2016, a pour finalité la mise disposition de données à caractère personnel concernant la santé, afin notamment de mettre en œuvre des traitements à des fins de recherches, d’études ou d’évaluations dans le domaine de la santé répondant à un motif d’intérêt public.
Initialement circonscrit au " SNDS historique ", le périmètre des catégories de données le composant actuellement a été élargi par la loi n° 2019-774 du 24 juillet 2019. Ainsi, lorsqu’elles sont traitées pour l’une des finalités mentionnées à l’article L. 1461-1 III du code de la santé publique (CSP), les catégories de données visées à l’article L. 1461-1 I du CSP composent le SNDS (SNDS " élargi ") et sont soumises au respect de l’ensemble des dispositions y afférentes (respect du référentiel de sécurité, modalités de transparence, etc.).
Si ce rattachement juridique au " SNDS élargi " n’emporte pas, à lui seul, de migration au sein d’une base centralisée, une partie de ces données a toutefois vocation à être intégrée progressivement dans un " SNDS centralisé " par la Caisse nationale de l’assurance maladie (CNAM) et par la Plateforme des données de santé (PDS).
Ce " SNDS centralisé " est composé d’une base principale (comprenant à ce jour le " SNDS historique ") et d’un catalogue incluant d’autres bases de données considérées comme pertinentes pour les acteurs de la recherche. Ces dernières peuvent être de nature et d’ampleur variées (bases détenues par un organisme privé, cohortes, etc.). Cette intégration impliquera la migration des données vers la CNAM et/ou la PDS (seule celle-ci disposera du catalogue).
La mise en œuvre du " SNDS centralisé " est encadrée par le décret n° 2021-848 du 29 juin 2021 (ci-après le " décret SNDS "). Afin d’en parachever la mise en place, ce décret a prévu à l’article R. 1461-2 du CSP qu’un arrêté, pris après avis de la Commission, liste les données relevant des 1° à 11° du I de l'article L. 1461-1 du CSP qui alimentent la base principale, fixe les modalités d'alimentation de cette base et désigne les bases de données figurant dans le catalogue.
Bien que l’article R. 1461-2 du CSP ne fasse référence qu’aux modalités d’alimentation de la base principale, cet arrêté précise également les modalités d’alimentation du catalogue et les garanties permettant d’assurer la légalité de ces traitements. La Commission estime donc qu’en renvoyant à un arrêté ministériel le soin de désigner les bases de données alimentant le catalogue, le Premier ministre a implicitement mais nécessairement entendu confier à cet arrêté le soin de préciser les conditions d’alimentation de la base catalogue.
Tel est l’objet du projet d’arrêté, résultant d’une saisine rectificative, soumis pour avis à la Commission.
Emet l’avis suivant sur le projet d’arrêté
Sur l’économie générale du texte
Si ce projet d’arrêté ne procède pas à la création d’un traitement de données à caractère personnel, les catégories de données composant le SNDS étant déjà prévues par le CSP, il permet de lister, sur la recommandation du Comité stratégique des données de santé, les bases de données ayant vocation à enrichir la base principale et à alimenter le catalogue du " SNDS centralisé ".
S’agissant du catalogue, ce projet d’arrêté vise à fixer un socle minimum de garanties, tant juridiques que techniques, qui devront être détaillées par les conventions conclues entre, d’une part, les responsables des bases de données destinées à être versées au catalogue et, d’autre part, la PDS.
Il résulte de l’article 3 du projet d’arrêté et des échanges avec le ministère que, s’agissant de la base catalogue :
la désignation d’une base comme devant figurer dans le catalogue et le régime juridique qui en découle résultent de la seule entrée en vigueur du présent arrêté ;
la transmission des données est subordonnée à la signature d’une convention entre le responsable de traitement initial de la base de données et la PDS dont une partie du contenu est prévue à l’article 4 du projet.
Ainsi, la Commission estime que les données issues des bases visées à l’article 3 du projet ne devront alimenter le catalogue que si une convention est conclue avec le producteur à cet effet.
La définition de critères objectifs et précis pouvant conduire au versement d’une base dans la base principale ou le catalogue ou du basculement au sein de la base principale d’une base figurant dans le catalogue est indispensable pour garantir l'adhésion et la confiance des acteurs de l'écosystème et la pérennité de ce dispositif. A cet égard, la Commission demande que les travaux initiés par le Comité stratégique des données de santé soient poursuivis de manière prioritaire, avant toute nouvelle saisine portant modification de l'arrêté.
Sur l’enrichissement de la base principale du " SNDS centralisé "
Sur les critères d’enrichissement de la base principale
L'article R. 1461-2 du CSP prévoit que la base principale comprend des données qui portent sur l'ensemble de la population. Selon les précisions du ministère, un traitement pourra, dans un premier temps, être inscrit au catalogue avant d'alimenter la base principale, dès lors qu'il répondra à la condition précitée.
La Commission renouvelle sa demande de clarification, déjà formulée dans sa délibération n° 2020-106 du 29 octobre 2020 portant avis sur le projet de décret SNDS, de la notion de base " couvrant l'ensemble de la population ", dans la mesure où elle sera déterminante pour l'inscription d’un traitement dans la base principale et où cette intégration emporte des conséquences en termes d'information, d'exercice des droits et de mesures de sécurité à mettre en œuvre.
Sur l’enrichissement par les données des bases SI-DEP et " Vaccin-covid "
Le projet d'article 1er prévoit que les bases " Vaccin-covid " et " SI-DEP " alimentent la base principale du " SNDS élargi " et l’article 2 liste les catégories des données issues de ces bases qui vont y être versées.
Cet article prévoit que plusieurs types de données relatives aux professionnels de santé issues de la base " Vaccin-covid " alimenteront la base principale :
d’une part, l’identification des professionnels de santé ayant réalisé respectivement la consultation préalable à la vaccination et chaque injection ;
d’autre part, les numéros d’identification des professionnels de santé et des personnes placées sous leur responsabilité ayant réalisé la consultation préalable et la vaccination.
La Commission estime que, conformément aux dispositions de l’article R. 1461-4 du CSP, la base principale du SNDS ne peut comporter de données directement identifiantes des professionnels de santé. Elle prend acte de ce que le projet d’arrêté sera modifié afin de faire uniquement référence au " numéro d’identification du professionnel de santé ".
Plus généralement, les personnes concernées devront en être informées conformément aux dispositions du RGPD :
concernant la base " Vaccin-covid ", la Commission demande que les supports d'information de tous les responsables conjoints de traitements, notamment ceux de la CNAM, soient mis à jour et qu'un renvoi vers la page web dédiée de la DREES soit réalisé ;
a Commission prend acte de ce que le site du ministère de la santé portant information des personnes concernées par ces traitements sera mis à jour et de ce qu’un renvoi sera réalisé vers la page web dédiée de la DREES.
S’agissant des modalités d’exercice du droit d’opposition, elle relève que :
les dispositions de l’article R. 1461-9 du CSP prévoient que le droit d’opposition prévu à l’article 21 du RGPD ainsi qu’à l’article 74 de la loi " informatique et libertés " ne s’applique pas aux données de la base principale dans le cadre de la constitution du SNDS ;
les dispositions de l’article 13 du décret n° 2020-551 du 12 mai 2020 et de l’article 5-III du décret n° 2020-1690 du 25 décembre 2020 prévoient que les personnes concernées dont les données sont traitées dans les bases " SI-DEP " et " Vaccin-covid " bénéficient d’un droit d’opposition relatif à la transmission des données à des fins de recherche à la PDS et à la CNAM.
La Commission prend acte de ce que le ministère s’est engagé à ce que les documents d’information destinés aux personnes concernées soient modifiés afin de clarifier les modalités d’exercice du droit d’opposition.
Sur la conclusion d’une convention préalablement à l’enrichissement de la base principale
Le ministère a précisé que la transmission dans la base principale des données en relevant (à ce jour, les bases " SI-DEP " et " Vaccin-covid ") n’interviendra qu’à compter de la conclusion d’une convention entre les responsables de ces bases de données et la CNAM.
Le projet ne faisant mention d’un tel dispositif que s’agissant de l’alimentation de la base catalogue, la Commission recommande que le projet d’arrêté prévoie également la conclusion d’une convention lorsque la base de données intègre la " base principale ", notamment dans l’hypothèse où une base, initialement inscrite au catalogue, viendrait à intégrer la base principale du SNDS.
Sur l’alimentation du catalogue des bases du SNDS " centralisé "
Sur les traitements ayant vocation à alimenter le catalogue
L’article 3 du projet désigne les bases de données qui alimenteront le catalogue et l’article 4 prévoit que les responsables initiaux de ces bases les conservent dans leurs propres systèmes d’information, sous leur responsabilité. Ce même article prévoit également que la PDS est responsable du stockage et de la mise à disposition d’une copie de ces bases, qui constitue une partie du " SNDS centralisé ".
La Commission rappelle que les responsables initiaux de ces bases devront respecter le cadre de conformité de la formalité qui a été, le cas échéant, initialement réalisée auprès d’elle. L’inscription au catalogue du SNDS n’a effectivement ni pour objet ni pour effet de modifier les caractéristiques essentielles de ces traitements notamment en ce qui concerne la durée de conservation des données.
La Commission considère que seules les bases de données régulièrement constituées devraient pouvoir alimenter le catalogue. Pour ce faire, elle estime qu’il serait opportun qu’elle soit associée le plus amont possible aux travaux du Comité stratégique portant sur l’évaluation de l’opportunité de l’inscription des bases au catalogue
, 
auxquels elle pourrait participer au titre des dispositions de l’article 6 de l’arrêté 
du 29 juin 2021 en portant création.
Elle rappelle enfin qu’elle sera particulièrement vigilante et exercera ses pouvoirs de contrôle pour s’assurer que les bases inscrites au catalogue sont 
régulièrement constituées et mises en œuvre
.
Sur les catégories de données pouvant alimenter le catalogue
Selon l’article 4 du projet d’arrêté, la convention conclue entre le responsable de la base de données et la PDS précisera les catégories de données qui alimenteront le catalogue.
La Commission attire l’attention du ministère sur les dispositions de l’arrêté du 29 novembre 2019 portant approbation d’un avenant à la convention constitutive de la PDS qui prévoient que celle-ci est autorisée à traiter des données contextuelles " lorsque c’est pertinent au regard de la demande des utilisateurs ".
La Commission comprend que lorsqu’une base contient des données relevant pour partie du SNDS et des données contextuelles qui seraient indivisibles, l’intégralité de la base pourrait être transmise à la PDS. Elle rappelle que seules les catégories de données visées par l’article L. 1461-1 I du CSP et strictement nécessaires aux finalités du SNDS pourront alimenter les bases du " SNDS centralisé ".
Sur l’information par le responsable de la base de données
L’article 4 du projet prévoit que les responsables des bases de données réalisent une information individuelle des personnes concernées, par voie papier ou électronique, relativement à l’alimentation du catalogue du SNDS, sauf si la fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés au sens de l’article 14 du RGPD. Les modalités selon lesquelles cette obligation devra être respectée doivent être fixées dans la convention conclue entre le responsable de la base de données et la PDS.
Cette information, qui revêt un caractère obligatoire pour tous les responsables de traitement, devra être conforme aux dispositions des articles 13 ou 14 du RGPD.
La Commission rappelle à ce titre que :
par principe, les personnes concernées doivent être individuellement informées lors d'un traitement de leurs données à caractère personnel, qu’il s’agisse d’une collecte directe ou d’une collecte indirecte de données ;
uniquement en cas de collecte indirecte des données, conformément aux dispositions de l’article 14-5-b du RGPD, l'obligation d'information individuelle des personnes concernées peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles ;
lorsque la collecte de données, même indirecte, est réalisée de façon prospective, une information individuelle doit, dans la mesure du possible, être délivrée aux personnes concernées ;
les documents d’information devront mentionner que les données seront versées au catalogue ou être complétés à cette fin.
Enfin, la Commission demande que les motifs justifiant de faire exception, pour tout ou partie des personnes concernées, à la fourniture d’une information individuelle, ainsi que les mesures appropriées mises en œuvre pour rendre l’information publiquement disponible, soient explicitement décrits dans la convention. Elle souhaite également que des échanges ultérieurs aient lieu avec le ministère et la PDS sur ce point.
Sur les modalités d’exercice des droits
La convention prévue à l’article 4 du projet, conclue entre le responsable du traitement et la PDS, précisera les modalités de conservation des tables de correspondance (" conservation des secrets "). Ces précisions sont essentielles pour permettre aux personnes d’exercer leurs droits.
La Commission estime que les conventions devront a minima indiquer, au titre de ces modalités :
l’organisme responsable de cette conservation ;
les conditions de conservation dans l’hypothèse où le responsable de traitement souhaite mettre fin au traitement et/ou supprimer les données traitées ;
les modalités de conservation suivant que les données sont appariées grâce au numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) des personnes ou non.
Par ailleurs, la Commission considère que délai minimal d’un mois entre la signature de la convention et le versement effectif des données au catalogue contribue à garantir l’effectivité du droit d’opposition dont les personnes disposent en application du II de l’article R. 1461-9 du CSP. Ce délai devra être déterminé en fonction des caractéristiques du traitement et notamment en fonction du nombre de personnes concernées, des modalités d’information et de l’ancienneté des données traitées.
Sur les conventions organisant le versement des données dans le catalogue
L’article 4 du projet fixe les grands principes qui devront être détaillés dans toutes les conventions conclues avec les producteurs de données notamment en ce qui concerne :
les modalités d’information et d’exercice des droits au niveau du producteur des données et de la PDS ;
la répartition des rôles et des responsabilités ;
les mesures de sécurité encadrant la transmission des données et leur pseudonymisation.
Les modalités convenues dans la convention devront permettre d’assurer un respect effectif des obligations issues du RGPD.
Sur l’application du référentiel de sécurité du SNDS
Les mesures de sécurité applicables aux opérations d’alimentation du catalogue devront être conformes au référentiel de sécurité applicable au SNDS prévu par l’arrêté du 22 mars 2017. La Commission rappelle que ce référentiel devra être actualisé pour tirer les conséquences des évolutions introduites par le " décret SNDS ", notamment en ce qui concerne le rôle de la PDS dans la mise en œuvre du SNDS et le déploiement du catalogue. Elle estime que
cette mise à jour devrait donc intervenir préalablement à la conclusion des conventions avec les responsables de traitement et à l’alimentation du catalogue.
La Commission considère, au regard des dispositions du référentiel actuellement en vigueur, que les traitements " SI-DEP " et " Vaccin-covid " doivent être qualifiés de " systèmes sources " du SNDS. Elle s’interroge enfin sur la qualification en tant que " systèmes sources " des traitements dont l’inscription au catalogue du SNDS est envisagée par le présent projet de texte.
Les autres dispositions du projet d’arrêté n’appellent pas d’observations de la part de la Commission.
La Présidente
Marie-Laure DENIS
La Commission a été saisie, en urgence, le 11 avril puis le 19 avril et le 02 mai 2022, de saisines rectificatives, d’une demande d’avis par le ministère de l’économie et des finances et de la relance, portant sur un projet de décret relatif à la publication de la liste des personnes morales propriétaires des biens immobiliers faisant l’objet des mesures de gel prises en application du règlement UE n° 269/2014 du Conseil du 17 mars 2014 modifié concernant les mesures restrictives eu égard aux actions compromettant ou menaçant l'intégrité territoriale, la souveraineté et l'indépendance de l'Ukraine.
Le projet de décret s’inscrit dans la continuité du décret n° 2022-515 du 8 avril 2022 relatif à la publication des mesures de gel de biens immobiliers sur lequel la Commission a émis un avis le 24 mars 2022.
Le présent projet vise à permettre la publication de la liste des personnes morales possédées, détenues ou contrôlées par des personnes physiques ou morales, entités ou organismes énumérés à l’annexe I du règlement (UE) n° 269/2014 du Conseil du 17 mars 2014 et qui sont propriétaires des biens immobiliers faisant l’objet des mesures de gel mises en œuvre en vertu du règlement UE n° 269/2014 du Conseil du 17 mars 2014 susvisé et publiés au fichier immobilier ou au livre foncier en application de l’article L. 562-8 du code monétaire et financier. Le 1 de l’article 2 de ce règlement dispose que " Sont gelés tous les fonds et ressources économiques appartenant aux personnes physiques ou à des personnes physiques ou morales, entités ou organismes qui leurs sont associés énumérés à l'annexe I, de même que tous les fonds et ressources économiques que ces personnes physiques ou que ces personnes physiques ou morales, entités ou organismes qui leurs sont associés possèdent, détiennent ou contrôlent. "
La Commission relève que le projet de décret, d’une part, ajoute une catégorie de documents dérogeant à l’obligation d’anonymisation préalable à la diffusion, en application du deuxième alinéa de l’article L. 312-1-2 du code des relations entre le public et l’administration, et organise, d’autre part, un traitement relatif à la publication de la liste objet du présent décret. La Commission relève que le présent projet de décret a pour objet d’organiser la seule publication de dénominations de personnes morales, sans les lier publiquement directement ou indirectement à une personne physique ou morale faisant l’objet d’une mesure de gel en application du règlement UE n° 269/2014 du Conseil du 17 mars 2014 susvisé et qui sont propriétaires de biens immobiliers faisant l’objet d’une mesure de gel publiée au fichier immobilier ou au livre foncier. Elle relève que ces dénominations pourraient contenir des données à caractère personnel telles que le nom de leur propriétaire, par exemple. Dès lors, bien qu’il s’agisse d’un cas marginal, la Commission considère que le présent projet de décret constitue un traitement de données à caractère personnel au sens de l’article 4 du règlement (UE) 2016/679 du 27 avril 2016 susvisé (RGPD).
A cet égard, la Commission prend acte de la précision du ministère selon laquelle les informations relatives aux personnes morales visées ne seront pas mises en relation, rapprochées ou interconnectés dans la publication avec les personnes physiques qui les détiennent, contrôlent ou possèdent. Elle estime que l’absence de possibilité de rapprochement aisé avec l’identité de ces personnes physiques doit rester une garantie forte pour la protection des données à caractère personnel.
 
D’autre part, la Commission relève que le projet de décret indique qu’il s’agit d’un dispositif temporaire d’information du public, en effet, ces éléments seront supprimés du site internet www.tresor.economie.gouv.fr à l’expiration de la mesure de gel. La limitation dans le temps du traitement de diffusion de données à caractère personnel subordonnée à la décision de mesure de gel est une garantie supplémentaire pour la protection de telles données. Elle relève en outre que le caractère temporaire de la diffusion, qui lui avait déjà été indiqué lors de l’examen du futur décret n° 2022-515 du 8 avril 2022, sera désormais mentionné dans ce décret dans les mêmes termes, comme s’y était engagé le Gouvernement.
Enfin, le traitement a pour finalité l’information du public sur les mesures de gel mises en œuvre par l’Etat dans le cadre de l’application du règlement de 2014 susvisé et il a pour base légale l’exécution d’une mission d’intérêt public au sens du e) du 1 de l’article 6 du RGPD. Le traitement projeté ne fait l’objet d’aucune dérogation aux droits des personnes.
 
La Commission rappelle cependant que la publication de telles informations constitue un traitement de données à caractère personnel au sens de l’article 4 du RGPD et que le responsable du traitement devra, pour la mise en œuvre du décret, s’assurer de sa conformité à la réglementation relative à la protection des données à caractère personnel.
 
Sous ces précisions, la Commission considère que cette dérogation à l’anonymisation des données à caractère personnel apparaît adaptée au contexte spécifique dans lequel elle s’inscrit.
 
La Présidente
Marie-Laure DENIS