AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 19 octobre 2023.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées.
La CNIL relève également que les modalités d’information des personnes concernées ne sont pas conformes à la MR-004.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. 
Catégories particulières de données traitées (autres que données de santé)
La collecte des nom, prénom, date de naissance (jour, mois et année) ainsi que des coordonnées (postales, téléphoniques électroniques) est nécessaire pour assurer le suivi des patients qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR). Le NIR sera transmis à la CNAM qui effectuera le rapprochement avec les données du système national des données de santé (SNDS). Les données seront transmises sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. 
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI
Années concernées : 2021 à 2028
Modalités de consultation : portail de la CNAM
 
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. 
Information et droits des personnes 
Tous les participants majeurs recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD).
S’agissant des mineurs, une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi informatique et libertés en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche. 
Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre. 
Une note d’information adaptée aux participants mineurs et comportant l’ensemble des mentions prévues par le RGPD devra leur être remise.
Durée d’accès et de conservation des données
Les nom, prénom, coordonnées postales, téléphoniques et électroniques seront détruites à la fin du suivi des participants
 
Les NIR et les dates de naissance seront conservés pendant cinq ans (dernier appariement au SNDS), puis détruites.
 
Données du SNDS : cinq ans à compter de la mise à disposition des données.
 
Autres données : 
Base active : sept ans
Archivage : quinze ans
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
AUTORISE, l’OBSERVATOIRE REGIONAL DE LA SANTE AUVERGNE-RHÔNE-ALPES à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés au directeur de l’accompagnement juridique et au directeur adjoint de l’accompagnement juridique ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
Sur les points de non-conformité au référentiel concerné
Le dossier mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé" à l’exception :
de la base légale du traitement ;
des finalités du traitement.
 
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel.
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé détenues par les associations participantes et membres de la fédération, dénommé "EDS CONTACT".
 
Le traitement envisagé a pour objectif :
 
L’amélioration des pratiques et de la prise en charge médicale, notamment afin de permettre la production d’indicateurs, le pilotage de l’activité, le passage au niveau national d’initiatives locales de qualité et de pertinence des prises en charge, ainsi que l’amélioration de l'information médicale et la réalisation d’études de faisabilité.
L’utilisation des données par des tiers, notamment afin d’optimiser les trajectoires et parcours de soins ainsi que l’accès aux soins pour tous, contribuer à l’innovation en médecine générale (projets d’intelligence artificielle, la personnalisation des soins ou encore l’éco santé), participer à la recherche en santé et anonymiser les données pour leur réutilisation pour des finalités d’intérêt public.
Les données contenues dans cet entrepôt ne pourront, par analogie avec les finalités "interdites d’utilisation du Système national des données de santé (SNDS), être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque.
 
Le traitement envisagé par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi "informatique et libertés".
Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi "informatique et libertés", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public et fassent l’objet de formalités propres.
Sur les transferts de données 
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne, vers un pays ne présentant pas un niveau de protection adéquat.
Sur la sécurité des données et la traçabilité des actions
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt "EDS CONTACT", ainsi qu’une comparaison détaillée des mesures de sécurité planifiées ou mises en place dans l’entrepôt avec les exigences de sécurité mentionnées dans le référentiel "entrepôt de données dans le domaine de la santé". Aucun écart avec les exigences de sécurité du référentiel n’a été relevé par le responsable de traitement.
 
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
AUTORISE la fédération SOS MEDECINS FRANCE à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l’accompagnement juridique
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Sur les points de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception :
des finalités poursuivies (enseignement) ;
des modalités d’information des personnes concernées ;
de certaines mesures de sécurité.
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé ayant pour finalités :
la réalisation de recherches, études ou évaluations dans le domaine de la santé ;
la réalisation de recherche interne ;
la réalisation d’études de faisabilité ;
la réalisation d’études médico-économiques ;
l’enseignement (constitution de cas clinique et de simulations) ;
la réalisation de modèles prédictifs pour l’intervention pharmaceutique (utilisation d’un algorithme permettant de mieux cibler les prescriptions devant faire l’objet d’une validation ciblée par un pharmacien) et de modèles prédictifs pour la veille sanitaire.
Les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 5-1-b) du RGPD.
Sur les données traitées 
Les données à caractère personnel des patients sont issues de différentes bases des applications métiers du système d’information de l’établissement.
Sur les données traitées à des fins d’enseignement :
 
Seules des données pseudonymisées seront traitées à des fins d’enseignement.
Conformément au référentiel, le NIR des patients sera, d’une part, conservé chiffré et, d’autre part, pseudonymisé de façon irréversible pour alimenter l’entrepôt. 
La profondeur historique des données intégrées dans l’entrepôt ne pourra excéder 20 ans.
Sur l’information des personnes
S’agissant des patients ayant effectués un séjour d’hospitalisation complète aux HUS dans le secteur médecine, chirurgie et obstétrique, finalisé dans les douze mois qui précèdent la date de début de mise en production de l’entrepôt et n’étant plus suivis :
la note d’information sera envoyée sur la messagerie sécurisée de santé disponible sur l’espace numérique de santé "mon espace santé" ;
pour les personnes ne disposant pas d’une telle messagerie ou ne relevant pas le message dans les 15 jours suivant l’envoi, un courriel leur sera envoyé comportant un lien vers la notice d’information. Ce lien sera sécurisé par l’envoi d’un code via SMS nécessaire à l’ouverture du message ; 
à défaut, une note d’information individuelle comportant l’ensemble des mentions prévues par le RGPD sera adressée aux patients par voie postale.
S’agissant des autres participants pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis :
En application de l'article 69 de la loi et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
 
En l'espèce, il sera fait exception au principe d'information individuelle des patients pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis. Des mesures appropriées seront mises en œuvre, notamment :
la publication de communiqués de presse via les médias régionaux, associations de patients, acteurs institutionnels (Caisse primaire d’assurance maladie du Bas Rhin, région Grand-Est, Eurométropole de Strasbourg, communauté européenne d’Alsace (hors conseil départemental de la Moselle) ;
la diffusion d’une note d’information sur le site web du responsable de traitement ;
la diffusion d’une note d’information par voie d’affichage au sein de l’établissement. 
Un portail de transparence sera mis en place par le responsable de traitement :
il comportera une note d’information relative à la constitution de l’entrepôt ;
il devra comporter une note d’information spécifique à chaque traitement mis en œuvre à partir des données de l’entrepôt, publiée préalablement à sa mise en œuvre.
S’agissant des patients toujours suivis et des patients pris en charge postérieurement à la constitution de l’entrepôt :
Une note d’information individuelle, comportant l’ensemble des mentions prévues par le RGPD sera remise aux patients et le cas échéant, à leurs représentants légaux, au moment de leur prise en charge (hospitalisation ou consultation). Une note d’information sera diffusée sur la chaine de télévision de l’établissement et via des écrans installés dans les salles d’attente.
S’agissant des professionnels de santé dont les données ont été collectées antérieurement à la constitution de l’entrepôt :
Les professionnels dont les données sont versées dans l’entrepôt recevront un courriel sur leur messagerie professionnelle, comportant une note d’information individuelle. 
S’agissant des professionnels de santé dont les données ont été collectées postérieurement à la constitution de l’entrepôt :
Les professionnels dont les données sont versées dans l’entrepôt recevront, lors des procédures de recrutement, une note d’information individuelle. 
Ces notes seront également publiées sur l’intranet de l’établissement.
S’agissant des utilisateurs de l’entrepôt :
Une information détaillée devra être annexée au contrat conclu avec les responsables de traitement. Une information renvoyant vers une notice complète devra également être fournie avec le formulaire de demande d’accès.
Les notes d’information devront comporter l’ensemble des mentions prévues par le RGPD.
Sur la sécurité des données et la traçabilité des actions
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt.
Les mesures de sécurité prévues par le responsable de traitement visent à garantir la conformité de l’entrepôt aux exigences de sécurité mentionnées dans le référentiel entrepôts de données dans le domaine de la santé"
Les points de non-conformité vis-à-vis de ce référentiel relevés par le responsable de traitement sont les suivants :
la présence de documents non-structurés contenant des données directement identifiantes ;
le chiffrement des données génétiques ;
l’exportation de données hors de l'entrepôt et hors des espaces de travail dont les modalités sont décrites ci-après.
Conformément à l’exigence SEC-PSE-4 du référentiel "entrepôt de données dans le domaine de la santé", les documents non structurés ajoutés à l’entrepôt doivent faire l’objet d’une étape de suppression ou de masquage avant leur intégration dans l’entrepôt. Cette étape consiste à supprimer les données identifiantes des patients et des professionnels de santé ou à les remplacer par des termes génériques ou des données fictives. Les documents originaux devront être supprimés après la réalisation de cette étape.
 
Les données génétiques collectées au sein de l’entrepôt seront des informations relatives à la caractérisation de la mutation du gène lié à la maladie, recueillies dans le cadre de la prise en charge. Ces informations ne présentant pas de sensibilité supplémentaire comparée aux autres données versées dans l’entrepôt, un cloisonnement spécifique n’est pas nécessaire.
 
L’exigence SEC-EXP-1 du référentiel "entrepôts de données de santé" prévoit que seuls des jeux de données anonymes peuvent faire l'objet d'une exportation hors de l'entrepôt ou d'un espace de travail, à l’exception :
des données relatives aux procédures de réidentification SEC-REI-1 à SEC-REI-3 qui permettent d’assurer respectivement l’exercice des droits, la participation à des recherches et l’urgence médicale ;
des données relatives aux procédures de réidentification dans le cadre de l’enseignement ; à ce titre, le responsable de traitement doit mettre en place une procédure opérationnelle sécurisée afin de sélectionner les identifiants pseudonymes uniques correspondants aux patients d’intérêt pour l’enseignement, puis, en mobilisant la ou les tables de correspondance de l’entrepôt avec ces seuls pseudonymes, de sélectionner les données identifiantes correspondant à ces patients afin de les exporter pour cette seule finalité. 
Dans l’hypothèse où l’exportation de données hors de l’entrepôt ou d’un espace de travail de l’entrepôt serait envisagée dans le cadre d’un projet de recherche, d’étude ou d’évaluation dans le domaine de la santé, la nécessité de cette exportation de données pseudonymisées devra être étudiée par le comité de pilotage de l’entrepôt, qui devra donner son accord exprès et spécifique à cette fin.
Le comité scientifique et éthique s’assure ensuite pour chaque projet de recherche que celui-ci ne pourra pas être réalisé sur un espace projet de l’entrepôt et que les principes de minimisation et de proportionnalité seront respectés quant aux données qui font l’objet de l’exportation.
Il appartient également au responsable de traitement d’encadrer contractuellement toute mise à disposition de données afin de s’assurer que l’exportation est entreprise vers un environnement dont les mesures de sécurité sont adaptées au niveau de risque et permettra uniquement la réutilisation des données aux fins approuvées par le comité scientifique et éthique et pour le traitement ayant fait l’objet des formalités requises auprès de la CNIL.
 
La CNIL rappelle que le plan d’actions communiqué dans le dossier de demande devra être mis en œuvre avant que l’accès à l’entrepôt ne soit ouvert à des partenaires extérieurs.
 
Les mesures de sécurité doivent répondre aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
 
AUTORISE, dans ces conditions, LES HOPITAUX UNIVERSITAIRES DE STRASBOURG à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU
N° de demande d’avis : 24006666
Thématiques : cybersécurité, directives NIS
Organisme(s) à l’origine de la saisine : Secrétariat général de la défense et de la sécurité nationale (SGDSN)
Fondement de la saisine :
Article 8, I, 2°, e) 
de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
 
 
L’essentiel :
1. La CNIL accueille favorablement le renforcement général du niveau de sécurité des systèmes d’information et estime qu’il peut être de nature à converger avec les principes de la protection des données à caractère personnel. 
2. Concernant les entités importantes, la CNIL appelle toutefois l’attention sur le risque de disparités entre les exigences de sécurité découlant des principes de la protection des données et celles relatives aux obligations de la directive NIS 2. Elle souligne qu’un travail d’harmonisation pourra également être nécessaire concernant les sanctions encourues par ces entités, pour lesquelles les dispositions du projet de loi et de la loi Informatique et Libertés divergent.
3. La mise en œuvre de la directive NIS 2 sur le territoire national nécessite une coopération importante des autorités ayant des compétences en termes de cybersécurité, en particulier en ce qui concerne les échanges d’informations entre ces autorités.