Décision DR-2024-156 du 18 octobre 2024 autorisant l’OBSERVATOIRE REGIONAL DE LA SANTE AUVERGNE-RHÔNE-ALPES à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évolution de la consommation de soins suite à la réalisation de travaux de réhabilitation de logements, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2021 à 2028. (Demande d’autorisation n° 921305v1)
Type : Autorisation de recherche
Date : 2024-10-18
État juridique : VIGUEUR

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 19 octobre 2023. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées. La CNIL relève également que les modalités d’information des personnes concernées ne sont pas conformes à la MR-004. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) La collecte des nom, prénom, date de naissance (jour, mois et année) ainsi que des coordonnées (postales, téléphoniques électroniques) est nécessaire pour assurer le suivi des patients qui en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR). Le NIR sera transmis à la CNAM qui effectuera le rapprochement avec les données du système national des données de santé (SNDS). Les données seront transmises sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM et PMSI Années concernées : 2021 à 2028 Modalités de consultation : portail de la CNAM Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes Tous les participants majeurs recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD). S’agissant des mineurs, une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi informatique et libertés en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche. Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre. Une note d’information adaptée aux participants mineurs et comportant l’ensemble des mentions prévues par le RGPD devra leur être remise. Durée d’accès et de conservation des données Les nom, prénom, coordonnées postales, téléphoniques et électroniques seront détruites à la fin du suivi des participants Les NIR et les dates de naissance seront conservés pendant cinq ans (dernier appariement au SNDS), puis détruites. Données du SNDS : cinq ans à compter de la mise à disposition des données. Autres données : Base active : sept ans Archivage : quinze ans Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE, l’OBSERVATOIRE REGIONAL DE LA SANTE AUVERGNE-RHÔNE-ALPES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT