AgentPublic/cnil huggingface dataset:
Les données à caractère personnel de l’échantillon du SNIIRAM, des tableaux de bord et des datamarts ne peuvent faire l’objet d’une conservation en dehors du portail de la CNAM par le responsable de traitement, leur exportation étant interdite. Par ailleurs, les données du PMSI et des RPU ne peuvent être exportées de la plateforme sécurisée de l’ATIH. Seuls des résultats anonymes peuvent en être exportés.
La durée d’accès aux données dans la plateforme sécurisée doit être limitée à la durée nécessaire à la mise en œuvre des traitements, qui ne saurait être supérieure à cinq ans.
La Commission considère que cette durée de conservation des données n’excède pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.
Sur la publication des résultats
Lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi informatique et libertés .
Sur les catégories de destinataires des données
Seul le responsable du traitement et les personnes habilitées par lui ont accès aux données dans le cadre de la présente décision unique. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur l’information et les droits des personnes
Les personnes concernées sont informées de la mise en œuvre du SNDS et de la réutilisation possible des données de santé à caractère personnel les concernant selon des modalités définies par l'article R. 1461-9 du CSP.
Les dispositions de l’article 69 de la loi informatique et libertés sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront prises par le responsable de traitement afin de rendre l’information publiquement disponible concernant la mise en œuvre de ces traitements.
La Commission relève qu’une rubrique dédiée aux traitements mis en œuvre dans le cadre de cette décision unique sera publiée sur le site web de l’Union.
Elle comportera :
une note d’information générale sur les traitements mis en œuvre dans le cadre de cette décision unique ;
le bilan des études réalisées.
La Commission prend acte qu’une note d’information relative à chaque traitement mis en œuvre dans le cadre de cette décision unique sera également publiée sur ce site web.
Sur la sécurité des données et la traçabilité des actions
La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l’étude s'effectue sous la responsabilité du responsable de traitement, y compris chez des tiers agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD ainsi que de l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS.
Les données seront mises à disposition auprès du responsable de traitement par l’intermédiaire du portail de la CNAM ou, s’agissant des données du PMSI et des RPU, via la plateforme sécurisée de l’ATIH.
Seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction. Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement devra réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. Si ces trois critères ne peuvent être réunis, une étude des risques de réidentification doit avoir été menée afin de démontrer que les risques de réidentification sont négligeables et ainsi conclure à l’anonymat des données.
Sur le principe de transparence
La mise à disposition des données du SNDS et de ses composantes est conçue de façon à rendre compte de leur utilisation au public. A cette fin, l’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé de plusieurs éléments par le responsable de traitement, avant et après les études.
Ainsi, le responsable de traitement s’engage à enregistrer auprès du répertoire public tenu par la Plateforme des données de santé l’ensemble des études réalisées dans le cadre de cette décision unique. Cet enregistrement, à effectuer par le responsable de traitement ou la personne agissant pour son compte avant le début des traitements, s’accompagne de la transmission à la Plateforme des données de santé d’un dossier comportant :
le protocole, incluant la justification de l’intérêt public, ainsi qu’un résumé, selon le modèle mis à disposition par la Plateforme des données de santé ;
la déclaration d’intérêts du responsable de traitement, en rapport avec l'objet des traitements.
A la fin des études, la méthode et les résultats obtenus devront être communiqués à la Plateforme des données de santé en vue de leur publication. L’enregistrement des traitements et la transmission des résultats sont effectués conformément aux modalités définies par la Plateforme des données de santé.
La Commission accueille favorablement la proposition de l’Union de lui adresser, à l’issue d’un délai de trois ans, un bilan contenant notamment la liste des analyses réalisées dans le cadre de la décision unique, ainsi que la méthodologie suivie dans le cadre des analyses. Elle rappelle qu’un autre bilan devra lui être adressé à l’issue du délai de cinq ans.
 
Autorise, conformément à la présente délibération, l’Union nationale des professionnels de santé à mettre en œuvre les traitements décrits ci-dessus pendant une durée de cinq ans, avec obligation de remise d’un bilan à la Commission à l’issue de ce délai.
La Présidente
Marie-Laure DENIS
la société Clinityx et l’Association pour la complémentarité des connaissances et des pratiques de la pneumologie à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé Colibri-Pneumo
(Demande d’autorisation n° 2225003)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Clinityx et l’Association pour la complémentarité des connaissances et des pratiques de la pneumologie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé Colibri-Pneumo ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés ), notamment ses articles 44-3° et 66 ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur les responsables conjoints de traitement
Plusieurs organismes interviendront en qualité de responsables conjoints de traitement dans le cadre de la constitution de l’entrepôt dénommé Colibri-Pneumo :
d’une part, l’Association pour la complémentarité des connaissances et des pratiques de la pneumologie (ACCPP), créée en 2007 et régie par la loi du 1er juillet 1901, dont l’objectif est d’améliorer la prise en charge des patients atteints de maladies respiratoires ;
d’autre part, la société Clinityx, bureau d’études qui réalise des recherches dans le domaine de la santé, notamment à partir des données du Système national des données de santé (SNDS).
Conformément à l'article 26 du règlement général sur la protection des données (RGPD), l’ACCPP et la société Clinityx devront définir de manière transparente leurs obligations respectives.
Sur les sous-traitants
Plusieurs sous-traitants interviendront dans la mise en œuvre de cet entrepôt.
Le traitement des données par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD.
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
 
Les responsables conjoints de traitement souhaitent constituer un entrepôt de données de santé afin de réaliser des recherches pneumologiques en vie réelle destinées notamment à :
préciser le phénotypage des différentes populations souffrant de maladies bronchiques chroniques et de pneumopathies interstitielles diffuses (PID) ;
préciser les trajectoires évolutives de ces pathologies en intégrant la complexité des prises en charges ;
évaluer les différents parcours de soin selon le type d’exercice des patients ;
compléter les données d’ordre épidémiologiques actuellement disponibles en France.
Cet entrepôt de données est soumis aux dispositions de l’article 44-3° et 66-III de la loi du 6 janvier 1978 modifiée, qui prévoient une autorisation pour les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Il sera alimenté par des données à caractère personnel issues :
de la plateforme de consultations digitales Colibri-Pneumo de l’ACCPP ;
du SNDS.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
Le traitement mis en œuvre par les responsables conjoints de traitement est nécessaire aux fins des intérêts légitimes qu’ils poursuivent. Ce traitement est, à ce titre, licite au regard de l’article 6-1-f) du RGPD et remplit une condition permettant le traitement des données concernant la santé au regard des dispositions des articles 9-2-j) du RGPD et 44-3 de la loi informatique et libertés.
La mise en place de cette base de données nécessite un appariement entre des données du SNDS historique et des données issues de la plateforme de consultations numériques Colibri-Pneumo .
Les données contenues dans cet entrepôt ne sauraient, conformément aux dispositions de l’article L. 1461-1 du CSP, être exploitées à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé, ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d'un individu ou d'un groupe d'individus présentant un même risque (finalités interdites d’utilisation du SNDS). De même, la Commission rappelle l’interdiction de constituer et d’utiliser, à des fins de prospection ou de promotion commerciales, des fichiers composés à partir des données issues directement ou indirectement des prescriptions médicales, dès lors que ces fichiers permettent d’identifier directement ou indirectement le prescripteur (article L. 4113-7 du code de la santé publique).
Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés , qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public et devra faire l’objet de formalités propres.
Sur la gouvernance de l’entrepôt
Les responsables conjoints de traitement ont mis en place un dispositif de gouvernance de l’entrepôt Colibri-Pneumo composé :
d’un comité scientifique se réunissant deux fois par an et de manière ad hoc, et qui est en charge de :
proposer les orientations stratégiques de l’entrepôt ;
sélectionner les sources de données venant alimenter l’entrepôt et le périmètre de données pertinentes ;
procéder à la validation ou l’invalidation d’un projet soumis ;
d’un comité de pilotage, se réunissant en fonction de l’évolution de l’outil et qui est en charge de :
				
la gestion opérationnelle de l’infrastructure d’hébergement des données et des projets de recherches menés sur l’entrepôt ;
la gestion de l’orientation stratégique de l’entrepôt et des données intégrées. Il liste les données contenues dans l’entrepôt de manière exhaustive et justifie leur nécessité.
La Commission recommande vivement que ces comités de gouvernance comprennent des membres qualifiés en matière de traitements de données du SNDS.
Sur la nature des données traitées
Les données issues de la plateforme Colibri-Pneumo regroupent trois bases de données :
Colibri broncho-pneumopathie chronique obstructive (BPCO) des patients inclus entre 2012 et 2030 (autorisation DR-2013-526, demande d’autorisation n° 913053) ;
Colibri pneumopathie interstitielle diffuses des patients inclus entre 2015 et 2030 (autorisation DR-2018-094, demande d’autorisation n° 918102) ;
Colibri Asthme des patients inclus entre 2022 et 2030.
Concernant les données des patients :
données administratives d’identification :
				
nom et prénom,
 
date et lieu de naissance,
département de résidence ;
données médico-administratives : date des consultations ;
données relatives au mode vie :
				
style de vie,
activité physique quotidienne,
 
 
 
exposition aux risques environnementaux liés à des pathologies pulmonaires,
indication sur une situation de fragilité (psychologique, sociale, environnementale) ;
données de santé :
				
prescription des traitements médicamenteux et autres produits de santé,
prescription des traitements non médicamenteux (kinésithérapie- réhabilitation),
recommandations pour la santé (activité physique, sevrage),
comorbidités déclarées,
données cliniques,
données fonctionnelles,
données biologiques,
score de questionnaires,
examens médicaux complémentaires.
Les données administratives d’identification collectées à des fins d’appariement sont conservées de manière cloisonnée par un tiers de confiance distinct.
Les données de la plateforme Colibri-Pneumo seront appariées avec les données du SNDS provenant :
du Système national d’information inter-régimes de l’assurance maladie (SNIIRAM), s’agissant notamment des consultations et traitements médicaux ;
du Programme de médicalisation des systèmes d’information (PMSI), s’agissant des évènements, des hospitalisations et des ré-interventions pendant le suivi ;
du Centre d’épidémiologie sur les causes médicales de décès (CépiDC), s’agissant du statut vital des participants et des causes de décès.
La Commission relève que les données du SNIIRAM, du PMSI et du CépiDc alimenteront l’entrepôt Colibri-Pneumo pour les années 2012 à 2022. Par la suite, l’entrepôt sera alimenté en fenêtre roulante jusqu’en 2030, afin de conserver une antériorité de dix ans des données du SNDS (les données datant de plus de dix ans seront supprimées chaque année à l’occasion de l’ajout de la dernière année des données concernées du SNDS).
Concernant les données des professionnels de santé :
Les données nominatives seront renseignées par les professionnels de Colibri-Pneumo lors de la création de leur compte (nom, prénom et adresse courriel).
Les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur le circuit des données collectées dans Colibri-Pneumo 
Les données directement identifiantes (nom, prénom, date et lieu de naissance) des patients seront transmises directement et de manière sécurisée par l’hébergeur des données de Colibri-Pneumo aux services concernés de la Caisse nationale d’assurance vieillesse (CNAV), pour reconstitution du numéro d’inscription au répertoire national d'identification des personnes physiques (NIR).
Les fichiers transmis aux seules fins de l’appariement seront conservés le temps nécessaire à la bonne réalisation de l’appariement et seront ensuite supprimés définitivement.
Un numéro d’identifiant relatif à chaque patient sera créé. La correspondance entre identifiant et identité du patient sera conservée uniquement par les services concernés et par l’hébergeur de Colibri-Pneumo .
Dans l’hypothèse où l’appariement déterministe ne pourrait être réalisé, les données de la plateforme Colibri-Pneumo et les données du SNDS feront l’objet d’un appariement probabiliste.
Sur la durée de conservation des données
 
Les données de santé des patients issues de la plateforme Colibri-Pneumo seront conservées pendant une durée de huit ans en base active, puis les données seront archivées pendant une durée de deux ans. Au-delà, les données seront supprimées.
Les données du SNDS seront conservées pour une durée totale de dix ans, en fenêtre roulante. A cet égard, la Commission demande que cette opération fasse l’objet d’une automatisation.
La Commission considère que ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Sur les accédants et les destinataires des données
Seules les personnes habilitées par la société Clinityx ont accès aux données dans le cadre de la mise en œuvre de ce traitement. Clinityx tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Des organismes de recherche académique et des associations de patients, ainsi que d’autres catégories d’acteurs, pourront, après l’accord des comités de gouvernance de l’entrepôt et l’accomplissement des formalités préalables prévues par la loi informatique et libertés , être destinataires des données de l’entrepôt afin de réaliser des projets de recherche.
Sur l'information des personnes
 
En ce qui concerne les patients dont le suivi est achevé :
Ils recevront une note d’information individuelle par voie postale.
La Commission prend acte de ce que les données relatives aux patients perdus de vue ne seront pas traitées dans le cadre de l’entrepôt Colibri-Pneumo .
En ce qui concerne les patients dont le suivi est toujours en cours et ceux nouvellement inclus :
Ils recevront une note d’information individuelle à l’occasion d’une visite de suivi.
Par ailleurs, la Commission relève qu’un portail de transparence dédié à l’entrepôt Colibri-Pneumo (via l’outil Semaphore ) sera mis en place, afin de diffuser les notes d’information relatives à sa constitution, et aux recherches réalisées à partir des données qu’il contient.
Une note d’information collective sera également diffusée dans les différents lieux de consultation Colibri-Pneumo .
En ce qui concerne les professionnels de santé :
L’information des professionnels de santé est prévue par le contrat les liant à l’ACCPP.
Tous les documents d’information devront être conformes aux dispositions du RGPD.
En ce qui concerne la transparence des traitements :
La Commission rappelle que l’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé (PDS) de plusieurs éléments par les responsables de traitement, avant et après les études.
Les projets de recherche, d’étude ou d’évaluation réalisés à partir des données de l’entrepôt Colibri-Pneumo devront être enregistrés au sein du répertoire public de la Plateforme des données de santé.
La Commission prend par ailleurs acte de l’engagement de la société Clinityx d’inscrire l’entrepôt au sein du répertoire public de la Plateforme des données de santé.
Elle demande enfin que lui soit communiquée tous les trois ans un rapport sur le fonctionnement de l’entrepôt et sur les recherches réalisées à partir des données qu’il contient.
Ces modalités d’information sont conformes au principe de transparence et aux exigences d’information prévues par les articles 12 et suivants du RGPD.
Sur les droits des personnes concernées
Les droits s’exercent auprès du délégué à la protection des données de l’ACCPP.
En cas d’exercice du droit d’opposition, les données de la personne concernée n’alimenteront pas l’entrepôt ou seront, le cas échéant, supprimées.
Sur la sécurité des données et la traçabilité des actions
L’infrastructure technique du responsable de la mise en œuvre de Colibri-Pneumo , utilisée pour l’hébergement de systèmes fils du SNDS a été analysée par la Commission à diverses reprises.
Les responsables conjoints de traitement ont réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt Colibri-Pneumo , ainsi qu’une analyse de risque sur la sécurité des systèmes d’information. Une homologation de la bulle sécurisée a de même été réalisée par l’autorité d’homologation le 20 décembre 2021, conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS.
Cette décision d’homologation n’est valable que jusqu’au 21 janvier 2023, sous réserve de la mise en œuvre du plan d’action que l’autorité d’homologation a défini. Elle devra donc être renouvelée avant cette date, si le traitement devait se poursuivre au-delà de cette échéance.
Des mesures techniques et organisationnelles ont été prévues par le responsable de la mise en œuvre afin de cloisonner les différentes extractions du SNDS pouvant être stockées au sein de sa bulle sécurisée. Des environnements distincts fondés sur des solutions de conteneurisation logicielle sont notamment mis en œuvre afin d’empêcher toute fusion des données.
Aucune donnée administrative ne sera hébergée au sein de cet entrepôt de données de santé. La mise en place de cet entrepôt n’entraîne pas le transfert de données à caractère personnel, directement ou indirectement identifiantes des patients, hors de l’Union européenne.