AgentPublic/cnil huggingface dataset:
Elle rappelle que l’arrêté ne doit pas permettre une remontée systématique et exhaustive de l’ensemble des données dont la liste figure dans le projet, indépendamment des besoins de ces projets.
 
La Commission rappelle par ailleurs, concernant chacun des traitements qui viendrait alimenter l’entrepôt ainsi constitué, qu’il devra préalablement avoir été créé et mis en œuvre conformément aux dispositions du RGPD et de la loi informatique et libertés , notamment s’agissant des formalités prévues par cette dernière le cas échéant.
 
Enfin, elle relève que le projet prévoit que les solutions techniques de mise à disposition des données ne peuvent contenir ni les nom et prénoms des personnes, ni leur numéro d'inscription au répertoire d’identification des personnes physiques (NIR), ni leur adresse.
Sur la durée de conservation des données 
Le projet ne mentionne pas de durée de conservation précise, s’agissant des données contenues dans l’entrepôt. Cependant, le projet s’inscrivant dans le cadre de l'état d'urgence sanitaire déclaré à l'article 4 de la loi du 23 mars 2020, la Commission en déduit que les données ne devront être conservées dans celui-ci que pour la durée de l’état d’urgence sanitaire.
S’agissant de ces données, le ministère a précisé que celles dont la conservation sera prévue par le décret mentionné à l’article L. 1461-7 du code de la santé publique, ainsi que par l’arrêté qui viendra préciser les bases de données figurant au catalogue de la Plateforme des données, seront conservées en application des règles de droit commun, tandis que les autres catégories de données seront détruites.
 
La Commission en prend acte. Elle considère cependant que dans l’hypothèse où l'adoption du cadre juridique de droit commun applicable à la plateforme des données de santé n’aurait pas pu être finalisé à l'issue de l'état d'urgence sanitaire, l'ensemble des données collectées pendant cette période devra être détruit.
Sur les modalités d’information des personnes et d’exercice des droits
La Commission relève qu’en dehors de la constitution, au sein de la Plateforme des données de santé, d’un répertoire public recensant la liste et les caractéristiques de tous les projets portant sur les données de l’entrepôt, le projet ne prévoit aucune modalité d’information ou d’exercice des droits particulière quant à la constitution de l’entrepôt ou aux traitements mis en œuvre ultérieurement.
La Commission rappelle cependant que les personnes concernées devront être informées, s’agissant du traitement de données visant à la constitution de l’entrepôt, puis de chaque projet de recherche menée à partir des données qu’il contient, dans les conditions prévues par l’article 14 du RGPD. A ce titre, en application des dispositions de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information se révèlerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, il appartient au responsable de traitement de prendre des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes des personnes concernées, y compris en rendant les informations publiquement disponibles.
 
Elle demande donc, en prenant en considération le contexte de crise sanitaire actuel ne permettant pas de procéder à une information individuelle de l’ensemble des personnes concernées, que des mesures appropriées soient prises et que l’information relative au traitement de données visant à la constitution de l’entrepôt et à chaque projet de recherche mené à partir des données qu’il contient soit rendue publique, notamment en faisait figurer dans le répertoire public mentionné dans le projet, l’ensemble des informations prévues à l’article 14 du RGPD.
Elle rappelle notamment que cette information devra détailler les modalités d’exercice des droits des personnes concernées et que les responsables de traitement devront prévoir les mesures nécessaires pour faire droit à ces demandes.
Sur les transferts de données vers des pays tiers et les divulgations non autorisées par le droit de l’Union
La Commission relève que les contrats qui lui ont été fournis ne prévoient eux-mêmes ni la localisation des données ni l’ensemble des garanties relatives aux modalités d’accès aux données par les administrateurs de l’hébergeur. Le contrat permet cependant à la Plateforme, à travers les Conditions des services en ligne de choisir le lieu d’hébergement des données. En outre, les informations fournies par la Plateforme des données de santé mentionnent explicitement le recours à un hébergeur certifié hébergeur de données de santé . A cet égard, la Commission prend acte de ce que le ministère s’est engagé à ce que la Plateforme des données de santé exige de son hébergeur que les données au repos soient hébergées au sein de l’Union européenne.
 
La Commission souligne toutefois que cette localisation ne s’applique qu’aux données au repos , alors même que le contrat mentionne l’existence de transferts de données en dehors de l’Union européenne dans le cadre du fonctionnement courant de la plateforme, notamment pour les opérations de maintenance ou de résolution d’incident.
A cet égard, les dispositions contractuelles de sous-traitance conclues entre la Plateforme des données de santé et le prestataire chargé de l’hébergement des données, stipulent que les données traitées peuvent être transférées vers les États-Unis pour y être stockées et traitées, ainsi que dans tout autre pays dans lequel le sous-traitant ou ses sous-traitants ultérieurs sont implantés. Ces transferts font l’objet d’un encadrement conformément au Chapitre V du RGPD, étant régis en l’espèce par des clauses contractuelles types, conformément à l’article 46-2-c de ce règlement.
 
La Commission rappelle, dans ce contexte, les inquiétudes soulevées à plusieurs reprises par le Comité européen de la protection des données (CEPD) concernant l’accès par les autorités des Etats-Unis aux données transférées aux Etats-Unis, plus particulièrement la collecte et l'accès aux données personnelles à des fins de sécurité nationale en vertu de l'article 702 de la loi américaine FISA et du décret ( Executive Order ) 12 333. Ces problématiques sont actuellement soumises à la Cour de justice de l’Union européenne dans le cadre d’une demande de décision préjudicielle formée par la High Court of Ireland concernant la validité de la décision 2010/87/UE, par laquelle la Commission européenne a établi des clauses contractuelles types pour certaines catégories de transferts. Un arrêt de la Cour dans cette affaire (C‑311/18) est attendu dans les mois qui viennent.
La Commission rappelle également que les traitements mis en œuvre par le sous-traitant sont soumis aux dispositions du RGPD, et notamment aux restrictions relatives aux transferts et divulgations non autorisées par le droit de l’Union. Toute demande d’accès d'une juridiction ou d'une autorité administrative d'un pays tiers, adressée au sous-traitant, en dehors d’un accord international applicable ou, selon l’interprétation du CEPD, de l’application d’une dérogation relative à l’intérêt vital de la personne concernée, ne pourrait donc être considérée comme licite.
 
Elle relève également que les dispositions contractuelles de sous-traitance prévoient une obligation de notification au responsable du traitement de toute demande de divulgation des données traitées adressée au sous-traitant en France, sauf interdiction légale, qui ne saurait être fondée qu’en droit de l’Union ou national.
Au vu de ce contexte et de la sensibilité des données dont le traitement est envisagé, pour lesquelles une protection plus élevée doit être assurée, ainsi que des éventuels risques matériels et juridiques en matière d’accès direct par les autorités de pays tiers, la Commission demande qu’une vigilance particulière soit accordée, dans la mise en œuvre de l’arrêté, aux conditions de conservation et aux modalités d’accès aux données, et recommande que la Plateforme des données de santé assure un hébergement et un traitement des données sur le territoire de l’Union européenne. A plus long terme, elle prend acte de ce qu’il lui a été indiqué que l’entrepôt appelé à être constitué au sein de la Plateforme des données de santé n’est pas lié aux services d’un unique prestataire et souhaiterait, eu égard à la sensibilité des données en cause, que son hébergement et les services liés à sa gestion puissent être réservés à des entités relevant exclusivement des juridictions de l’Union européenne.
Sur la 
sécurité
A titre liminaire, La Commission se doit de souligner que la mise en œuvre effective de la solution technique de conservation et de mise à disposition des données de la Plateforme des données de santé, ainsi que la constitution de son catalogue de données, ne devaient initialement intervenir que postérieurement à l’entrée en vigueur d’un cadre juridique précis accompagné de la mise en œuvre de l’ensemble d’un plan d’action. En effet, la Commission relève que la solution technique a fait l’objet d’une analyse globale des risques et des impacts sur la vie privée, suivie d’une homologation le 16 décembre 2019 selon le référentiel de sécurité du SNDS, avec un plan d’action conséquent de mise en œuvre de mesures de sécurité s’étalant sur une période de plusieurs mois. Elle relève en outre que l’homologation des espaces projets par les responsables de traitement des projets pourrait faire l’objet d’une procédure dérogatoire dans le cadre de la crise sanitaire. La Commission s’interroge donc sur les conditions de démarrage anticipé de la solution technique dans un contexte où la Plateforme de données de santé a dû accomplir en quelques semaines des opérations, dont certaines structurantes, pour garantir la sécurité des données traitées étaient prévues pour s’étaler sur plusieurs mois.
 
La Commission souligne en conséquence que la Plateforme des données de santé devra s’assurer que cette mise en œuvre anticipée n’engendre pas de risque supplémentaire pour les personnes concernées.
Par ailleurs, la Commission rappelle l’importance de la mise en place d’une gouvernance centralisée de la sécurité informatique de la solution technique, qui doit être assurée avec un niveau d’indépendance suffisant vis-à-vis de la direction de la Plateforme des données de santé. Elle relève que cette exigence ne semble actuellement pas remplie, alors que le contexte de mise en place en urgence de la solution technique rend cette exigence d’autant plus d’actualité. Bien que la situation actuelle ne soit que transitoire, la Commission appelle la Plateforme des données de santé à mettre en place dans les plus brefs délais une gouvernance dédiée et indépendante chargée de la sécurité.
 
La Commission relève par ailleurs que la Plateforme des données de santé a réalisé une analyse d’impact relative à la protection des données consacrée à la solution technique dans sa version dédiée aux projets en lien avec le COVID-19, ainsi qu’une analyse actualisée de conformité au référentiel de sécurité du SNDS. Elle relève que cette analyse permet d’appréhender correctement l’ensemble des mesures mises en place par la Plateforme des données de santé dans sa démarche de conformité aux principes de la protection des données personnelles, et souligne que cette analyse a été réalisée en conformité avec les principes du RGPD.
Concernant la transmission des données des producteurs de données vers la Plateforme, la Commission prend acte que la procédure qui sera appliquée a fait l’objet d’échanges avec l’Agence nationale de sécurité des systèmes d’information. Les données seront chiffrées avec des clés de chiffrement renouvelées à chaque échange et transmises à travers un canal sécurisé mis en place à l’initiative des opérateurs projets, assurant notamment l’authentification de la source et du destinataire et le chiffrement du flux. Etant donné la diversité des sources possibles, des discussions au cas par cas sur les modalités de transferts sont également envisagées. La Commission rappelle que si les modalités opérationnelles de transfert peuvent en effet être adaptées à des cas particuliers, cela ne devra en aucun cas affaiblir le niveau de sécurité des données.
 
A cet égard, une convention de transfert des données devra être signée entre la Plateforme des données de santé et chaque fournisseur de données afin d’encadrer la transmission des informations, en précisant notamment la fréquence des mises à jour et les conditions de sécurité du transfert.
 
 
La Commission prend acte de ce que la Plateforme des données de santé recevra uniquement des données préalablement pseudonymisées par les producteurs de données, selon les modalités également précisées dans la convention de transfert des données.
Suite à des échanges avec le ministère, il a été indiqué à la Commission que dans le cas particulier d’un appariement déterministe au moyen du NIR des personnes concernées, via le circuit CNAM, un pseudonyme obtenu à partir d’une fonction cryptographique irréversible appliquée au NIR est également fourni à la Plateforme des données de santé. Pour autant, la Commission relève que ces modalités de pseudonymisation ne semblent pas détaillées dans l’analyse d’impact relative à la protection des données et que les conséquences en termes de risques de ré identification pour les personnes ne semblent pas clairement établies à ce stade. Elle relève également que le projet d’arrêté ne prévoit pas la transmission du NIR à la Plateforme des données de santé. Compte tenu du contexte de la saisine et des informations transmises, la Commission n’est pas en capacité d’appréhender pleinement les conséquences du recours à un tel pseudonyme et ne saurait se prononcer sur ce point.
Après réception des données, les pseudonymes utilisés pour la transmission seront remplacés par des pseudonymes aléatoires dans l’espace opérateur de la solution technique. La Commission relève qu’une table de correspondance entre les pseudonymes initiaux et ceux générés par la Plateforme sera conservée. La Commission prend acte que cette table de correspondance sera conservée dans une sous-partie isolée de l’espace opérateur, qu’elle sera chiffrée avec une clé dédiée et dont l’utilisation nécessitera l’action conjointe de deux employés de la Plateforme des données de santé ayant des rôles distincts. Afin d’améliorer encore le niveau de sécurité et dans la mesure où l’accès à ces clés ne semble pas nécessaire dans le cadre du fonctionnement courant des projets, la Commission recommande que ces clés soient stockées dans une base distincte gérée par la Plateforme de données de santé elle-même ou bien par un autre sous-traitant.
Lors de la mise à disposition des données au sein des espaces projets, de nouveaux pseudonymes seront générés, assurant ainsi l’utilisation d’identifiants différents au sein de chaque projet pour un même individu. La Commission s’interroge toutefois sur les modalités pratiques de pseudonymisation mise en œuvre par la Plateforme des données de santé pour cette mise à disposition, notamment en cas de mise à jour des données au sein de ces espaces projets. Elle attire donc l’attention du ministère sur la nécessité de prévoir des modalités de pseudonymisation des données précisant, le cas échéant, le choix de l’opération cryptographique irréversible utilisée ainsi que la procédure de gestion des secrets associés ou encore la sécurité renforcée appliquée en conséquence à la table de correspondance.
 
La Commission prend acte de ce que l’ensemble des échanges de données ayant lieu lors de l’utilisation des espaces projets de la solution technique seront réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire.
La Commission prend également acte de ce que les données stockées seront chiffrées avec des algorithmes à l’état de l’art à partir de clés générées par les responsables de la Plateforme sur un boîtier chiffrant maitrisé par la Plateforme des données de santé.
La Commission relève toutefois qu’afin de bénéficier de toutes les capacités de la solution technique de l’hébergeur ces clés devront lui être confiées. Elles seront conservées par l’hébergeur au sein d’un boîtier chiffrant, ce qui a pour conséquence de permettre techniquement à ce dernier d’accéder aux données.
 
La Commission relève que des mesures techniques sont mises en place afin de maitriser les accès des administrateurs des sous-traitants en charge de la solution technique. Une fonctionnalité d’autorisation préalable des accès administrateurs est activée selon l’analyse d’impact relative à la protection des données réalisée. Néanmoins, la Commission relève que cette fonctionnalité ne semble pas mentionnée dans les contrats fournis. En outre, la Commission s’interroge sur l’effectivité de cette mesure qui ne semble pas couvrir la totalité des accès possibles.
La Commission relève que le projet prévoit que les données ne peuvent être traitées que dans les solutions techniques de la Plateforme des données de santé et de la CNAM, et ne peuvent pas en être extraites. Les fonctionnalités d’exportation automatique ne seront pas utilisables par les entités accédant aux données dans les espaces projets. La Commission s’interroge toutefois sur l’effectivité du blocage de toute possibilité d’exportation. Les pièces du dossier indiquent que les procédures d’audits systématiques des exportations par les opérateurs de données sont maintenues, ainsi que l’obligation, pour les utilisateurs de s’engager à ne pas exporter de données à caractère personnel et à mettre en place des mécanismes de traçabilité des opérations d’exportation. En conséquence la Commission appelle le ministère à indiquer explicitement que toutes les fonctionnalités d’exportation des données seront totalement désactivées et inaccessibles aux utilisateurs, soit en indiquant que les données à caractère personnel hébergées sur la plateforme ne pourront faire l’objet d’aucune exportation, que seules des données ayant fait l’objet d’une procédure d’anonymisation dans les règles de l’art pourront être exportées et que ces exports seront préalablement et systématiquement audités afin de s’assurer du caractère anonyme des données exportées. La Commission rappelle en effet que seules des données anonymes peuvent être exportées hors d’un environnement homologué conformément à l’arrêté
du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS.
Le ministère s’est engagé à ce que la Plateforme des données de santé tienne à sa disposition un registre incluant notamment l’ensemble des projets mis en œuvre et détaillant tous les accès ouverts pour et par les responsables de traitement des projets. La Commission en prend acte.
 
La Commission prend également acte qu’une procédure de gestion des identités et des habilitations est définie par le responsable de la sécurité des systèmes d'information (RSSI) de la Plateforme des données de santé et mise en œuvre sous la responsabilité du directeur technique. 
Sur le circuit de remontée hebdomadaire des données du PMSI
L’article1-II du projet prévoit que, sans préjudice du circuit prévu par l’arrêté du 23 décembre 2016 modifié, les établissements de santé mentionnés à l’article 1er du même arrêté transmettent, selon une périodicité hebdomadaire, les fichiers anonymes mentionnés au I de l’article 5 du même arrêté directement à l’Agence technique de l’information sur l’hospitalisation (ATIH).
 
Ces données seront ensuite transmises sans délai à la CNAM afin d’alimenter le SNDS.
La Commission relève cependant que le projet ne précise pas, à l’inverse du courrier de saisine l’accompagnant, que cette remontée d’informations n’a pas vocation, dans le contexte de forte mobilisation des établissements, à faire réaliser par ceux-ci des remontées exhaustives d’activité de façon hebdomadaire mais d’ouvrir une remontée hebdomadaire permettant d’intégrer en priorité l’activité liée à l’épidémie . Elle demande donc que cette précision soit ajoutée dans le projet.
 
La Commission prend toutefois acte de l’engagement du ministère de mentionner dans le projet que les données remontées dans ce cadre ne pourront pas être utilisées pour les finalités pour lesquelles elles sont habituellement collectées, détaillées à l’article L. 6113-8 du code de la santé publique, sauf s’agissant de la veille et la vigilance sanitaires.
 
La Commission rappelle que les données auxquelles il est fait référence, qui sont des données pseudonymisées, ne sauraient être considérées comme anonymes au sens du RGPD, tel qu’éclairé par l’avis du G29 n° 05/2014 du 10 avril 2014 relatif aux techniques d’anonymisation.
 
Elle prend acte de l’engagement du ministère de modifier le projet sur ce point, afin qu’il ne soit plus fait référence à des données anonymes . Tout traitement de ces données devra donc intervenir dans le respect des dispositions du RGPD et de la loi informatique et libertés , s’agissant de données à caractère personnel.
Les autres dispositions du projet n’appellent pas d’observation de la Commission.
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8-I-2°.b) ;
Après avoir entendu le rapport de M. Philippe GOSSELIN, commissaire, et les observations de M. Damien MILIC, commissaire adjoint du Gouvernement ;
Adopte un référentiel relatif aux traitements de données à caractère personnel mis en œuvre dans le cadre de la protection de l’enfance et des jeunes majeurs de moins de vingt-et-un-ans et figurant en annexe.
La Présidente
Marie-Laure DENIS
ANNEXE
RÉFÉRENTIEL RELATIF AUX TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL MIS EN ŒUVRE DANS LE CADRE DE LA PROTECTION DE L'ENFANCE ET DES JEUNES MAJEURS DE MOINS DE VINGT-ET-UN ANS
Adopté le 20 janvier 2022
1. À qui s’adresse ce référentiel ?
 
1/ Ce référentiel s’adresse aux organismes privés ou publics quelle que soit leur forme juridique, ci-après les organismes
, qui accueillent, hébergent et/ou accompagnent sur le plan social, médico-social, éducatif et/ou judiciaire les mineurs et majeurs de moins de vingt et un ans (voire vingt-cinq ans pour les jeunes nécessitant une protection particulière), ci-après jeune(s) majeur(s) ainsi que, le cas échéant, leurs familles.
 
Le présent référentiel est susceptible d’intéresser les organismes suivants 
(liste non exhaustive)
:
l’aide sociale à l’enfance (ASE) des départements ;
les cellules de recueil, de traitement et d’évaluation des informations préoccupantes (CRIP) des départements ;
les missions locales ;
les maisons d’enfants à caractère social (MECS) ;
les centres de placement familial socio-éducatif (CPFSE) ;
les foyers de l’enfance ;
les crèches ;
les services de protection maternelle et infantile des conseils départementaux ;
les pouponnières à caractère social ;
les centres d’action médico-sociale précoce (CAMSP) ;
les établissements d’accueil mère-enfant (EAME) ;
les services d’aide et d’accompagnement à domicile (SAAD) pour les familles en difficulté ;
les établissements ou services publics ou privés mettant en œuvre les mesures éducatives ordonnées par l’autorité judiciaire ou des articles 375 à 375-8 du code civil ou concernant des majeurs de moins de vingt et un ans ou les mesures d’investigation préalables aux mesures d’assistance éducative prévues au code de procédure civile ;
les services de la prévention spécialisée ;
les services délégués aux prestations familiales ;